▶ コニカ ミノルタ ビジネス ソリューションズ ユー．エス．エー．， インコーポレイテッドの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024096033
(43)【公開日】2024-07-11
(54)【発明の名称】ＯｐｅｎＩＤオフローディングプロキシ
(51)【国際特許分類】
G06F 21/33 20130101AFI20240704BHJP
G06F 21/62 20130101ALI20240704BHJP
【ＦＩ】
G06F21/33
G06F21/62 318
【審査請求】有
【請求項の数】20
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2023217936
(22)【出願日】2023-12-25
(31)【優先権主張番号】18/148,786
(32)【優先日】2022-12-30
(33)【優先権主張国・地域又は機関】US
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＪＡＶＡＳＣＲＩＰＴ
２．Ｂｌｕ－ｒａｙ
３．ＨＤＭＩ
(71)【出願人】
【識別番号】519448326
【氏名又は名称】コニカ ミノルタ ビジネス ソリューションズ ユー．エス．エー．， インコーポレイテッド
(74)【代理人】
【識別番号】110001254
【氏名又は名称】弁理士法人光陽国際特許事務所
(72)【発明者】
【氏名】スラパラジュ， ラウル
(57)【要約】 （修正有）
【課題】保護されたリソースにアクセスするための方法、非一時的コンピュータ可読媒体、およびコンピュータシステムを提供する。
【解決手段】方法は、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションを認証することと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることとを含む。
【選択図】図４
【解決手段】方法は、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションを認証することと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることとを含む。
【選択図】図４
【特許請求の範囲】
【請求項1】
保護されたリソースにアクセスする方法であって、
プロセッサにより、保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記プロセッサにより、前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと
を含む方法。
プロセッサにより、保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記プロセッサにより、前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと
を含む方法。
【請求項2】
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを、認証することと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１に記載の方法。
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１に記載の方法。
【請求項3】
前記プロセッサにより、アプリケーションプログラミングインターフェース（ＡＰＩ）コールによって、ＨＴＴＰＳハンドシェイクを通して、アプリケーションＯｐｅｎＩＤライフサイクルを通じて、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを支援すること
をさらに備える、請求項１に記載の方法。
をさらに備える、請求項１に記載の方法。
【請求項4】
前記プロセッサにより認証することをさらに備え、前記アプリケーションＯｐｅｎＩＤライフサイクルが、公開鍵インフラストラクチャ（ＰＫＩ）認証を含む、請求項１に記載の方法。
【請求項5】
前記プロセッサにより、前記ＯｐｅｎＩＤプロバイダに向かうフローを開始するために、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立すること
をさらに備える、請求項１に記載の方法。
をさらに備える、請求項１に記載の方法。
【請求項6】
前記プロセッサにより、前記保護されたリソースへのアクセスを求める、前記ＯｐｅｎＩＤ非対応アプリケーションからの要求で、前記ＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続を終了させることと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションのための前記保護されたリソースにアクセスするために、前記ＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続の詳細を、前記ＯｐｅｎＩＤリライングパーティとの新たな接続にマッピングすることと
をさらに備える、請求項１に記載の方法。
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションのための前記保護されたリソースにアクセスするために、前記ＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続の詳細を、前記ＯｐｅｎＩＤリライングパーティとの新たな接続にマッピングすることと
をさらに備える、請求項１に記載の方法。
【請求項7】
前記プロセッサにより、前記保護されたリソースへのアクセスのための、前記ＯｐｅｎＩＤ非対応アプリケーションに対する通信を仲介すること
をさらに備える、請求項６に記載の方法。
をさらに備える、請求項６に記載の方法。
【請求項8】
前記プロセッサにより、前記保護されたリソースへのアクセスのための、前記ＯｐｅｎＩＤ非対応アプリケーションに対する前記アクセストークンのみを仲介すること
をさらに備える、請求項６に記載の方法。
をさらに備える、請求項６に記載の方法。
【請求項9】
前記アクセストークンが、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔオブジェクト表記法）ウェブトークン、署名済みＪＳＯＮウェブトークン、または暗号化されたＪＳＯＮウェブトークンとしてフォーマットされる、請求項１に記載の方法。
【請求項10】
前記プロセッサにより、プロファイリングの目的で有限状態機械によって、複数のＯｐｅｎＩＤ非対応アプリケーションの状態を維持すること
をさらに備える、請求項１に記載の方法。
をさらに備える、請求項１に記載の方法。
【請求項11】
前記ＯｐｅｎＩＤ非対応アプリケーションが、前記ＯｐｅｎＩＤ非対応アプリケーションの認証のためのＯｐｅｎＩＤプロトコルを含まない、請求項１に記載の方法。
【請求項12】
前記ＯｐｅｎＩＤ非対応アプリケーションが、前記ＯｐｅｎＩＤ非対応アプリケーションのユーザの認証のための前記ＯｐｅｎＩＤプロトコルを含まない、請求項１１に記載の方法。
【請求項13】
前記プロセッサにより、公開鍵インフラストラクチャベース（ＰＫＩベース）の認証によって、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証すること
をさらに備える、請求項１に記載の方法。
をさらに備える、請求項１に記載の方法。
【請求項14】
前記保護されたリソースは、セキュアソフトウェアアプリケーションである、請求項１に記載の方法。
【請求項15】
保護されたリソースにアクセスするためのコンピュータプログラム製品であって、
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと、
を備えるプロセスを実行させる、コンピュータプログラム製品。
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと、
を備えるプロセスを実行させる、コンピュータプログラム製品。
【請求項16】
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証することと、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１５に記載のコンピュータプログラム製品。
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１５に記載のコンピュータプログラム製品。
【請求項17】
アプリケーションプログラミングインターフェース（ＡＰＩ）コールによって、ＨＴＴＰＳハンドシェイクを通してアプリケーションＯｐｅｎＩＤライフサイクルを通じて、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを支援すること
をさらに備える、請求項１５に記載のコンピュータプログラム製品。
をさらに備える、請求項１５に記載のコンピュータプログラム製品。
【請求項18】
認証することをさらに備え、前記アプリケーションＯｐｅｎＩＤライフサイクルが、公開鍵インフラストラクチャ（ＰＫＩ）認証を含む、請求項１５に記載のコンピュータプログラム製品。
【請求項19】
メモリと、
プロセッサとを備えるコンピュータシステムであって、前記プロセッサは、
保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取り、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立し、
前記保護されたリソースへのアクセスのための前記ＯｐｅｎＩＤ非対応アプリケーションに対するＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取る
ように構成される、コンピュータシステム。
プロセッサとを備えるコンピュータシステムであって、前記プロセッサは、
保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取り、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立し、
前記保護されたリソースへのアクセスのための前記ＯｐｅｎＩＤ非対応アプリケーションに対するＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取る
ように構成される、コンピュータシステム。
【請求項20】
前記プロセッサが、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立する
ようにさらに構成される、請求項１９に記載のコンピュータシステム。
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立する
ようにさらに構成される、請求項１９に記載のコンピュータシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、一般に、ＯｐｅｎＩＤオフローディングプロキシに関し、より詳細には、ＯｐｅｎＩＤ非対応アプリケーションと通信するＯｐｅｎＩＤオフローディングプロキシによりＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することによって、ＯｐｅｎＩＤ非対応アプリケーションから保護されたリソースにアクセスするための方法およびシステムに関する。
【背景技術】
【0002】
ＯｐｅｎＩＤは、ソフトウェアアプリケーション、ユーザ、アイデンティティプロバイダ、およびＯｐｅｎＩＤアクセプタ（またはリライングパーティ）が関わる様々な異なるやり方で生じる通信のためのフレームワークをもたらす技術標準である。ＯｐｅｎＩＤフレームワークは、アプリケーションプログラミングインターフェース（ＡＰＩ）アクセス制御のための様々な異なるトークンを標準化する。ＯｐｅｎＩＤのＡＰＩベースのセキュリティ部分はＯＡｕｔｈ ２．０から引き継がれる。
【0003】
ＡＰＩセキュリティは、アプリケーションにとって決定的に重要な構成要素であるが、それはまた、各アプリケーションに追加の設計、および実装の複雑さをもたらす。従って、ＯｐｅｎＩＤ統合の伝統的、および古典的なやり方は、今日開発されているアプリケーションに対して理想的なものとは考えられ得ない。たとえば、関わるプロトコルおよびＯｐｅｎＩＤフロー要件に関わらず、各アプリケーションは、ＯｐｅｎＩＤ対応である必要があり、すなわち、各アプリケーションは、ＯｐｅｎＩＤプロトコルを満たすために必要なネットワーク動作を行うソフトウェアコード（またはコード）を有する必要がある。
【0004】
複雑なソフトウェアシステムは、ＯｐｅｎＩＤベースのＡＰＩセキュリティ機構を用いてデータを安全に交換する、多種多様な分散型アプリケーションを備える。アプリケーションプログラミングインターフェースアクセス許可トークンは、アプリケーションに要求することによって取得され、アクセスを許可するサービス／アプリケーションは、同じシステム内の別のアプリケーションであり得、異なるベンダによるサードパーティアプリケーションであり得る。セキュアＡＰＩアクセスを有する従来のＯｐｅｎＩＤ方式は、各アプリケーションが、ＯｐｅｎＩＤ対応であることを必要とする。各アプリケーションは、ＯｐｅｎＩＤプロトコルを満たすために必要なネットワーク動作を行う、ソフトウェアコード（またはコード）の部分を有する必要があるので、この要件は、開発コストを追加し、また市場へのアプリケーションのリリースを遅らせ得る。
【発明の概要】
【発明が解決しようとする課題】
【0005】
上記の問題を考慮して、独自の集中化されたＯｐｅｎＩＤオフローダをもたらす解決策を有することが望ましく、これは、アプリケーションからＯｐｅｎＩＤ意味論の負担を軽減し、特に、特定の設計および実装の負担（そうでなければ必要になる）の抽象性をなくすＯｐｅｎＩＤオフローディングプロキシであり得、アプリケーションは、ＯｐｅｎＩＤ対応である必要はない（すなわち、アプリケーションはＯｐｅｎＩＤ非対応である）。さらに、解決策は、ＡＰＩコールを通した認証を支援するように実装され得る、ＯｐｅｎＩＤオフローディングプロキシによるＨＴＴＰハンドシェイクをもたらすことが望ましくなり得る。
【課題を解決するための手段】
【0006】
一態様によれば、保護されたリソースにアクセスする方法が開示され、方法は、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションを認証することと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることとを含む。
【0007】
別の態様によれば、保護されたリソースにアクセスするためのコンピュータプログラム製品であって、その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと、を備えるプロセスを実行させる。
【0008】
さらなる態様によれば、コンピュータシステムは、メモリと、プロセッサとを備え、プロセッサは、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取り、ＯｐｅｎＩＤ非対応アプリケーションを認証し、ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立し、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取るように構成される。
【0009】
添付の図面は、本発明のさらなる理解をもたらすために含まれ、本明細書に組み込まれ、その一部を構成する。図面は、本発明の実施形態を示し、全体的な説明と共に本発明の原理を説明するために役立つ。
【図面の簡単な説明】
【0010】
【発明を実施するための形態】
【0011】
次に、本発明の現在好ましい実施形態が詳細に参照され、その例が添付の図面に示される。可能な場合はどこでも、同一または類似の部分を参照するために、図面でおよび説明では同一の参照番号が使用される。
【0012】
図１は、現在のＯｐｅｎＩＤベースのエコシステム１００の図である。図１に示されるように、現在のＯｐｅｎＩＤベースのエコシステム１００は、１つまたは複数の保護されたリソース１１０と、オンプレミスシステム１２０とを含み得る。１つまたは複数の保護されたリソース１１０は、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４、ＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）１１６、および１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を通じてアクセスされるように構成され得る。１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３（またはエンドユーザ）は、たとえば、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と対話する、ソフトウェア開発キット（ＳＤＫ）／アプリケーションプログラミングインターフェース（ＡＰＩ）であり得る。１つまたは複数の保護されたリソース１１０はまた、ＯｐｅｎＩＤリライングパーティ１１４を有する１つまたは複数のクラウドサーバ１１５上にホストされ得る。代替として、１つまたは複数の保護されたリソース１１０、ＯｐｅｎＩＤリライングパーティ１１４、およびＯｐｅｎＩＤプロバイダ１１６は、１つまたは複数のクラウドサーバ１１５、１１７上にホストされ得る。
【0013】
１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３は、それに対する識別情報が要求されているエンティティである。たとえば、ＯＡｕｔｈ ２．０では、これはリソース所有者と呼ばれ得る。ＯｐｅｎＩＤリライングパーティ１１４は、ＯＡｕｔｈ ２．０をサポートし、ユーザ（またはエンドユーザ）１３０、およびそのユーザ１３０についての要求情報または資格を認証するためにＯｐｅｎＩＤプロバイダ１１６に依存するクライアントアプリケーションである。ＯｐｅｎＩＤプロバイダ１１６は、たとえば、サービスとしてユーザ認証と、ユーザ同意と、トークン発行とを提供するＯＡｕｔｈ ２．０許可サーバであり得る。ＯｐｅｎＩＤプロバイダ１１６は、ユーザ１３０が認証されることを確実にすることを助け、ユーザ１３０および認証イベントについての情報または資格を、ＯｐｅｎＩＤリライングパーティ１１４にもたらす。
【0014】
ＯｐｅｎＩＤプロバイダ１１６は、ＯｐｅｎＩＤリライングパーティ１１４に、ＯＤＩＣトークンまたは識別情報トークンを通して、ユーザ１３０についての情報を提供し得る。識別情報を確かめる、またはアクセス許可をもたらすために異なるタイプのトークンが、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と、ＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）１１６と、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４との間で交換され得る。トークンは、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と、ＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）１１６と、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４との間のトランザクションの間にユーザの識別情報を確立する。
【0015】
トークンタイプは、識別子（ＩＤ）トークンおよびアクセストークンのうちの１つまたは複数を含み得る。ＩＤトークンはＩＤカードまたはパスポートと同様であり得、ユーザ１３０についての多くの必要な属性または資格を含む。ＩＤトークンは、比較的高レベルのセキュリティに対するＪＳＯＮウェブ署名を用いてデジタル的に署名された、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔオブジェクト表記法）ウェブトークン（ＪＷＴ）であり得る。アクセストークンは、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３に関連付けられるリソースサーバから、エンドユーザ所有リソースを取得するようにＯｐｅｎＩＤリライングパーティ１１４に許可を与える。アクセストークンは、エンドポイント、たとえば、「ＵｓｅｒＩｎｆｏエンドポイント」から、ユーザ１３０の情報または資格をフェッチすることによって検証される不透明トークンであり得る。ＵｓｅｒＩｎｆｏエンドポイントは、同意された資格、またはログインされたエンドユーザについてのアサーションを、クライアントアプリケーションがそこで取り出すことができるＣｏｎｎｅｃｔ２ｉｄサーバのＯＡｕｔｈ ２．０保護されたリソースである。資格は、ＪＳＯＮオブジェクト内にパッケージされることができ、サブメンバは、サブジェクトまたはユーザ（エンドユーザ）識別子を表し得る。
【0016】
図１に示されるように、ユーザ１３０は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を通じて、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４（１０４）を通じて、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて、保護されたリソース１１０を要求し得る。ＯｐｅｎＩＤリライングパーティ１１４は、ｃｈｅｃｋｉｄ＿ｉｍｍｅｄｉａｔｅモード（１０４）と、ｃｈｅｃｋｉｄ＿ｓｅｔｕｐモード（１０２）とを含み得る１つまたは複数のモード（１０５）を通じて、ＯｐｅｎＩＤプロバイダ１１６と通信し得る。ｃｈｅｃｋｉｄ＿ｉｍｍｅｄｉａｔｅモード（１０４）では、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、すべての通信が、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４に明示的に通知せずに、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４に対するユーザエージェントを通して中継されるように、ＯｐｅｎＩＤプロバイダ１１６が、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４と対話しないように要求する。ｃｈｅｃｋｉｄ＿ｓｅｔｕｐ（１０２）では、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４は、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４にアクセスするように、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４によって用いられる同じユーザエージェントを通じて、ＯｐｅｎＩＤプロバイダ１１６と通信する。ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４、およびＯｐｅｎＩＤプロバイダ１１６は、任意選択で、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４が次いで記憶する関連ハンドルによって参照される共有秘密を確立し得る。ｃｈｅｃｋｉｄ＿ｓｅｔｕｐモードを用いる場合では、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４が、ＯｐｅｎＩＤプロバイダ１１６により直接認証できるように、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４のユーザエージェントをＯｐｅｎＩＤプロバイダ１１６にリダイレクトする。認証の方法は様々となり得るが、通常は、ＯｐｅｎＩＤプロバイダ１１６は、パスワードまたは何らかの暗号トークンに対して１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を促し、ＯｐｅｎＩＤプロバイダ１１６は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４が、必要な識別情報詳細を受け取るためにＯｐｅｎＩＤリライングパーティ（ＲＰ）１１６を信頼するかどうかを尋ねる。
【0017】
１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４が、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４を信頼するとの、ＯｐｅｎＩＤプロバイダの要求を断った場合は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４のユーザエージェントは、認証が拒絶されたことを示すメッセージを用いて、ＯｐｅｎＩＤリライングパーティ１１４に戻るようにリダイレクトされ、代わりにリライングパーティは、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を認証するのを拒否する。
【0018】
１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４が、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４を信頼するようにとの、ＯｐｅｎＩＤプロバイダ１１６の要求を受け入れた場合は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４のユーザエージェントは、エンドユーザの証明書と共にＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４に戻るようにリダイレクトされる。次いでＯｐｅｎＩＤリライングパーティ１１４は、証明書が実際にＯｐｅｎＩＤプロバイダ１１６から来たことを確認しなければならない。ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４およびＯｐｅｎＩＤプロバイダ１１６が、以前に共有秘密を確立していた場合は、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、それの共有秘密のコピーを、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４の証明書と共に、受け取られたものと比較することによって、ＯｐｅｎＩＤプロバイダ１１６の識別情報を検証し得る。ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、それがセッションの間の共有秘密を記憶するので、「ステートフル」であると呼ばれる。対照的に、「ステートレス」または「処理能力なし」のリライングパーティは、データが実際にＯｐｅｎＩＤプロバイダ１１６から来たことを確実にするために、再度バックグラウンド要求（ｃｈｅｃｋ＿ａｕｔｈｅｎｔｉｃａｔｉｏｎ）を行わなければならない。
【0019】
ＯｐｅｎＩＤが確かめられた後、認証は成功したと考えられ、およびＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４は、所与のＯｐｅｎＩＤによって指定された識別情報のもとで、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４にログインされたと考えられる。次いでＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は通常、ＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４の他のセッション情報と共に、ＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４のＯｐｅｎＩＤを記憶する。
【0020】
図１に示されるように、ＯｐｅｎＩＤプロバイダ１１６は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を通じてユーザ１３０を認証し、ユーザ１３０の認証のために要求された情報を識別する資格、または資格のセットが満たされ得、ユーザ１３０のために、ＯＩＤＣトークンが、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４に発行され得る。
【0021】
ＯＩＤＣトークンがＯｐｅｎＩＤプロバイダ１１６によって発行された後、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４は、ＯＩＤＣトークンをＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４に提出する。ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、ＯｐｅｎＩＤトークンを検証し、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて１つまたは複数の保護されたリソースにアクセスすることを、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を通じてユーザ１３０に許可する。
【0022】
次いで、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４は、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて、たとえば、ソフトウェア開発キット（ＳＤＫ）／アプリケーションプログラミングインターフェース（ＡＰＩ）を通じて、１つまたは複数の保護されたリソース１１０に安全にアクセスする（１０６）ことができる。
【0023】
図２は、例示的実施形態によるＯｐｅｎＩＤオフローディングプロキシ２１０によるＯｐｅｎＩＤエコシステム２００の図である。図２に示されるように、ＯｐｅｎＩＤベースのエコシステム２００は、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じてアクセス可能な１つまたは複数の保護されたリソース１１０を含み得る。ＯｐｅｎＩＤベースのエコシステム２００はまた、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と、ＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）、たとえば、役割ベースのアクセス制御（ＲＢＡＣ）２１６を有するＯｐｅｎＩＤプロバイダと、ＯｐｅｎＩＤオフローディングプロキシ２１０と、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２とを含み得る。１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３は、たとえば、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と対話するソフトウェア開発キット（ＳＤＫ）／アプリケーションプログラミングインターフェース（ＡＰＩ）を含み得る。１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じてアクセス可能な１つまたは複数の保護されたリソース１１０と、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３とはまた、ＯｐｅｎＩＤリライングパーティ１１４を有する１つまたは複数のクラウドサーバ１１５、１１７、および役割ベースのアクセス制御（ＲＢＡＣ）２２６を有するＯｐｅｎＩＤプロバイダ上にホストされ得る。一実施形態によれば、ＲＢＡＣ２１６を有するＯｐｅｎＩＤプロバイダは、たとえば、許可されたユーザ１３０へのアクセスを制限するように構成され得、これは、たとえば、強制アクセス制御（ＭＡＣ）または任意アクセス制御（ＤＡＣ）プロトコルを通じて実装され得る。
【0024】
ＯｐｅｎＩＤオフローディングプロキシ２１０と、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２とは、オンプレミスとすることができ、すなわち、ソフトウェアを用いるユーザ１３０または組織の敷地の１つまたは複数のコンピュータ２２１、２２３にインストールされ、それらの上で稼働するオンプレミスソフトウェアを用いる。代替として、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２は、エッジコンピューティングシステム、またはサーバファームまたはクラウド２２５などのクラウドコンピュータシステム遠隔施設においてインストールされ稼働するソフトウェアであり得る。
【0025】
一実施形態によれば、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２は、初期ハンドシェイクおよびＯｐｅｎＩＤオフローディングプロキシ２１０によるアプリケーションＯｐｅｎＩＤライフサイクル（有限状態機械）の通過を必要とし得る。ＯｐｅｎＩＤオフローディングプロキシ２１０と、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２とは、たとえばＰＫＩベースのアプリケーション認証方法を通じて互いに通信し得る。たとえば、ＰＫＩベースのアプリケーション認証方法は、１つのポイントから別のポイントに送られるデータを検証するために証書を用い得る。ＯｐｅｎＩＤオフローディングプロキシ２１０および１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２のそれぞれは、公開鍵と秘密鍵とを有する。ＰＫＩ証書ベースの認証のもとで公開鍵は共有され、データを送信し、データを解読することによって、ユーザ１３０と、対応する１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２との識別情報を検証するために用いられる。
【0026】
一実施形態によれば、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２は、たとえば標準のセキュアハイパーテキスト転送プロトコル（ＨＴＴＰＳ）手段を用いて接続することによって、ＯｐｅｎＩＤオフローディングプロキシ２１０と対話し得る。ＯｐｅｎＩＤオフローディングプロキシ２１０は、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２のそれぞれからの着信ＨＴＴＰＳ接続を終了させ、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて保護されたリソース１１０にアクセスするために、詳細をＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４との新たな接続上にマッピングする（仲介および適合）。
【0027】
図２に示されるように、ＯｐｅｎＩＤオフローディングプロキシ２１０は、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２の代わりに、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて保護されたリソース１１０を要求し得る（２０４）。一実施形態によれば、各１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２の認証フェーズにおいて、ＯｐｅｎＩＤオフローディングプロキシ２１０は、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４とのＯｐｅｎＩＤ接続を確立し、ＲＢＡＣ２１６を有するＯｐｅｎＩＤプロバイダに向かうフローを開始する。ＯｐｅｎＩＤプロバイダ２１６は、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２を通じて、ユーザ１３０を認証（２０２）し、ユーザ１３０の認証のために要求された情報を識別する資格、または資格のセットが満たされ得、ユーザ１３０および１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２のために、ＯｐｅｎＩＤオフローディングプロキシ２１０に、ＯＩＤＣトークンが発行され得る。
【0028】
ＯＩＤＣトークンがＲＢＡＣ２１６を有するＯｐｅｎＩＤプロバイダによって発行された後、ＯｐｅｎＩＤオフローディングプロキシ２２０は、ＯＩＤＣトークンを、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４に提出する（２０４）ことによって、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４とのＯｐｅｎＩＤ接続を確立し得る。ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、ＯｐｅｎＩＤトークンを検証し、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて１つまたは複数の保護されたリソース１１０にアクセスする（２０６）ことを、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２を通じてユーザ１３０に許可する。
【0029】
一実施形態によれば、１つまたは複数のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２は、コンピュータシステムまたはクライアントデバイス２２１上にホストされ得る。コンピュータシステムまたはクライアントデバイス２２１は、たとえば多機能周辺機器または多機能プリンタ（ＭＦＰ）、コンピュータシステム、パーソナルコンピュータ、モバイルデバイス、スマートフォン、スマートタブレット、またはスマートウォッチであり得る。さらに、オーセンティケータ２４０は、たとえば１つまたは複数のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２上で、ユーザ１３０の認証のために用いられ得る生体認証バンドであり得る。コンピュータシステムまたはクライアントデバイス２２１は、代替として、たとえば医用デバイスまたは医用装置であり得、これらは、たとえば診断および／または治療目的で使用され得る。医用デバイスまたは医用装置の例には、医用撮像デバイスが含まれ得、医用撮像デバイスは、たとえば放射線画像、血管造影画像、超音波画像、および／または断層画像を取得し得る。
【0030】
一実施形態によれば、１つまたは複数のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２は、セキュアソフトウェアアプリケーションであり得る保護されたリソース１１０にアクセスするためのものであり得る。たとえば１つまたは複数のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２は、多機能周辺機器または多機能プリンタ（ＭＦＰ）に関連付けられる印刷サービスを管理するセキュアソフトウェアアプリケーションにアクセスするアプリケーションであり得る。印刷サービスは、たとえばユーザ認証と、監視およびレポーティングと、ユーザおよびコスト管理と、コスト会計および予算管理と、プリンタキュー管理と、ワークフロー管理のうちの１つまたは複数を含み得る。たとえばユーザ認証は、ユーザ１３０の識別情報の制御を含み得、識別情報の制御は、印刷ジョブが解放および／または印刷される前にユーザ１３０がデバイスで認証されていることを保証することを助け得る。監視およびレポート機能は、定期的なレポーティング、スケジューリングされたレポーティング、およびオンデマンドレポーティングを通じて、管理者が使用をリアルタイムに追跡および監視することを可能にし得る。ユーザおよびコスト管理機能は、コストセンタにユーザを割り当てること、または文書を印刷する前に関連するコストセンタ、課金またはプロジェクトコードをユーザが選択することを可能にすることによってコストを管理およびチャージバックするのを助け得る。さらに、ユーザおよびコスト管理機能は、印刷規則またはポリシーを作成するために使用され得、印刷規則またはポリシーは、異なるユーザ役割が異なるデバイスおよび特徴にアクセスするのを可能にすることによって、より厳重なコスト管理を保証するのを助け得る。たとえば、ユーザおよびコスト管理機能は、たとえば個人および／またはグループに対して両面印刷および／またはカラー印刷を制御し得る。さらに、コスト会計および予算管理は、コスト制御および柔軟性を実現し、コスト制御および柔軟性は、ユーザのアカウントを補充するためのオプションと共に、管理者が印刷予算をユーザに割り当てることを可能にする印刷管理ソリューションとして使用され得る。たとえば、大学などの環境では、たとえばこれにより、必要に応じて学生が追加し得る無料印刷割当て量を管理者が学生に与えることが可能となる。さらに、印刷キュー管理は、たとえばオフィス内のオフィス印刷キューに加えて、個々の製品の管理のために使用され得る。
【0031】
一実施形態によれば、ＯｐｅｎＩＤベースのエコシステム２００は、１つまたは複数の保護されたリソース１１０と、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と、役割ベースのアクセス制御（ＲＢＡＣ）２１６を有するＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）と、ＯｐｅｎＩＤオフローディングプロキシ２１０と、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２とを含み得、これらは、１つまたは複数の通信ネットワーク２３０を通じて接続され得る。通信ネットワーク２３０は、たとえば、ワイヤードまたはワイヤレスの従来型ネットワークを含み得、スター構成、トークンリング構成、または他の既知の構成などの任意の数の構成を有し得る。通信ネットワーク２３０は、１つまたは複数のローカルエリアネットワーク（「ＬＡＮ」）、広域ネットワーク（「ＷＡＮ」）（たとえば、インターネット）、仮想プライベートネットワーク（「ＶＰＮ」）、ピアツーピアネットワーク、近距離場ネットワーク（たとえば、Ｂｌｕｅｔｏｏｔｈ（登録商標））、セルラネットワーク（たとえば、３Ｇ、４Ｇ、５Ｇ、他の世代）、および／または複数のコンピューティングノードがそれを介して通信し得る任意の他の相互接続されたデータ経路を含み得る。
【0032】
一実施形態によれば、ユーザ１３０は、認証のためにオーセンティケータ２４０を、１つまたは複数のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２に提示し得る。オーセンティケータ２４０は、たとえば生体識別子であり得、生体識別子は、人間の特徴に関するメトリックを含む個人をラベル付けして記述し、または識別するために使用される特有の測定可能な特徴である。たとえば生体識別子は、限定はしないが、指紋、手のひら静脈、顔認識、ＤＮＡ（すなわちデオキシリボ核酸）、掌紋、掌形、虹彩認識、網膜、および／または臭気／芳香を含む個人の生理学的特徴を含み得る。
【0033】
図３は、例示的実施形態による、ＯｐｅｎＩＤオフローディングプロキシ２１０の図である。図３に示されるように、ＯｐｅｎＩＤオフローディングプロキシ２１０は、ＯｐｅｎＩＤで保護されたリソース３１０と通信し、ＯｐｅｎＩＤで保護されたリソース３１０は、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、ＯｐｅｎＩＤ非対応アプリケーション３２０とを通じてアクセス可能なサービスおよびアプリケーションを含み得る。ＯｐｅｎＩＤ非対応アプリケーション３２０は、図２に示されるように、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２を含み得る。一実施形態によれば、ＯｐｅｎＩＤ非対応アプリケーション３２０は、ＯｐｅｎＩＤプロトコルを満たすために必要なネットワーク動作を行うコードを含まない。ＯｐｅｎＩＤオフローディングプロキシ２１０は、アプリケーションライフサイクルマネージャ３３０と、ＯｐｅｎＩＤトークンデータベース（ＤＢ）３３２と、ＨＴＴＰＳサーバおよびクライアント３３４と、証書発行サービス３３６と、アプリケーション認証証書データベース（ＤＢ）３３８とを含み得る。
【0034】
一実施形態によれば、アプリケーションライフサイクルマネージャ３３０は、たとえば、エッジコンピューティングシステムへのアプリケーションのインストールを支援すること、エッジコンピューティングシステムのリソースを供給および／または指定すること、および仮想マシンのライフサイクルを管理（たとえば、開始、停止、リセット）することを行うために、ＨＴＴＰＳサーバおよびクライアント３３４と通信し得る。
【0035】
ＯｐｅｎＩＤトークンデータベース３３２は、本明細書で開示されるように、ＲＢＡＣを有するＯｐｅｎＩＤプロバイダ１１６から受け取られたトークンを記憶し、管理するためのデータベースであることが好ましい。ＨＴＴＰＳサーバおよびクライアント３３４は、たとえば、ＨＴＴＰＳ接続を通じてＯｐｅｎＩＤ非対応アプリケーション３２０と通信し、またＯｐｅｎＩＤ接続を通じてＯｐｅｎＩＤで保護されたリソース３１０と通信する。証書発行サービス３３６は、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、本明細書で開示されるように１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２を含み得るＯｐｅｎＩＤ非対応アプリケーション３２０とのために、ＯｐｅｎＩＤプロトコルに従った証書の発行を管理するように構成される。さらに、ＯｐｅｎＩＤオフローディングプロキシ２１０は、たとえば、ＲＢＡＣ２１６を有するＯｐｅｎＩＤプロバイダによって発行された証書を認証するように構成されたアプリケーション認証証書データベース３３８を含み得る。
【0036】
一実施形態によれば、ＯｐｅｎＩＤオフローディングプロキシ２１０は、ＯｐｅｎＩＤによってサポートされる１つまたは複数のフロー変形体をサポートするように構成され得、従ってＯｐｅｎＩＤオフローディングプロキシ２１０は、ＯｐｅｎＩＤ標準に完全に準拠し得る。たとえばＯｐｅｎＩＤオフローディングプロキシは、許可コードフロー、暗黙的フロー、またはハイブリッドフローをサポートするように構成され得る。
【0037】
さらに、ＯｐｅｎＩＤオフローディングプロキシは、完全プロキシモードと、ＯｐｅｎＩＤ専用プロキシモードとを含む１つまたは複数の動作モードをサポートするように構成され得る。たとえば完全プロキシモードでは、各アプリケーションからのあらゆるパケットは、ＯｐｅｎＩＤ通信だけでなく、ＯｐｅｎＩＤオフローディングプロキシ２１０を通過する。従って、ＯｐｅｎＩＤ接続が確立された後、１つまたは複数のアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、アクセス可能なサービスおよび／またはアプリケーションを含む対応する保護されたリソース１１０も、プロキシ処理を受ける。たとえば、ＯｐｅｎＩＤオフローディングプロキシ２１０は、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２への１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じた、サービスおよび／またはアプリケーションを含む保護されたリソース１１０からのすべての通信を全部仲介し得る。完全プロキシモードでは、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４は、たとえば、ＯｐｅｎＩＤプロバイダ２１６によって発行されるＯｐｅｎＩＤトークンを記憶する必要がない。従って、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２は、比較的トランスペアレントなやり方で１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて保護されたリソース１１０にアクセスし得、ＯｐｅｎＩＤオフローディングプロキシ２１０は、通信の仲介によって課される負担を管理し得る。
【0038】
代替として、一実施形態では、ＯｐｅｎＩＤオフローディングプロキシ２１０は、ＯｐｅｎＩＤオフローディングプロキシ２１０が、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２２に対してＯｐｅｎＩＤアクセストークンを取得している間に、仲介するだけのＯｐｅｎＩＤ専用プロキシモードを含み得る。トークンがＯｐｅｎＩＤオフローディングプロキシ２１０によって取得された後、ＯｐｅｎＩＤオフローディングプロキシ２１０は、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２２にアクセストークンを供給し、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２２は、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２０が１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３との通信の間に、ＨＴＴＰヘッダ内にアクセストークンを配置できるようにアクセストークンを記憶する。ＯｐｅｎＩＤ専用プロキシモードでは、ＯｐｅｎＩＤオフローディングプロキシ２１０はアクセストークンの記憶を維持しないので、ＯｐｅｎＩＤトークンＤＢ３３２は用いられない。さらに、ＯｐｅｎＩＤオフローディングプロキシ２１０による処理のための別のトリガは、ＯｐｅｎＩＤ非対応アプリケーション２２０、２２２が、たとえば、満了したアクセストークンをリフレッシュするように要求するときであり得る。
【0039】
一実施形態によれば、ＯｐｅｎＩＤオフローディングプロキシ２１０は、たとえば、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔオブジェクト表記法）ウェブトークン（ＪＷＴ）、署名済みＪＷＴ、および暗号化されたＪＷＴを含むアクセストークンのフォーマットの観点からのＯｐｅｎＩＤ標準に従う。
【0040】
一実施形態によれば、ＯｐｅｎＩＤオフローディングプロキシ２１０はまた、プロファイリングの目的でアプリケーション優先権をサポートし得る。たとえば、ＯｐｅｎＩＤオフローディングプロキシ２１０が、エコシステム２００内で複数のベンダによって開発された複数のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２をサポートする場合、アプリケーション優先権が必要となり得る。たとえば、アプリケーションライフサイクルマネージャ３３０は、有限状態機械によって複数のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２のそれぞれの状態を維持することができ、２つ以上のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２が同じ名前を有する場合、プロファイリングは、ＯｐｅｎＩＤオフローディングプロキシ２１０が、２つ以上のＯｐｅｎＩＤ非対応アプリケーション２２０、２２２、および対応するリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３のうちの、いずれを呼び出し、受け入れるかを決定するのを助けるようになる。
【0041】
図４は、一実施形態による保護されたリソースにアクセスする方法４００のフローチャートである。方法は、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ること（４１０）と、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションを認証すること（４２０）と、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立すること（４３０）と、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることとを含む。
【0042】
一実施形態によれば、方法は、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証することと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することとを含む。方法は、プロセッサにより、アプリケーションプログラミングインターフェース（ＡＰＩ）コールによってＨＴＴＰＳハンドシェイクを通してアプリケーションＯｐｅｎＩＤライフサイクルを通じて、ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを支援することをさらに含む。
【0043】
一実施形態によれば、方法は、プロセッサにより認証することを含み、アプリケーションＯｐｅｎＩＤライフサイクルが、公開鍵インフラストラクチャ（ＰＫＩ）認証を含む。
【0044】
一実施形態によれば、方法は、プロセッサにより、ＯｐｅｎＩＤプロバイダに向かうフローを開始するためのＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することをさらに含む。一実施形態によれば、方法は、プロセッサにより、保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求で、ＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続を終了させることと、プロセッサにより、ＯｐｅｎＩＤ非対応アプリケーションのための保護されたリソースにアクセスするためにＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続の詳細を、ＯｐｅｎＩＤリライングパーティとの新たな接続にマッピングすることとを含む。さらに、方法は、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションに対する通信を仲介することを含み得る。方法はまた、プロセッサにより、保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションに対するアクセストークンのみを仲介することをさらに含み得る。
【0045】
一実施形態によれば、アクセストークンは、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔオブジェクト表記法）ウェブトークン、署名済みＪＳＯＮウェブトークン、または暗号化されたＪＳＯＮウェブトークンとしてフォーマットされ得る。
【0046】
一実施形態によれば、方法は、プロセッサにより、プロファイリングの目的で有限状態機械によって複数のＯｐｅｎＩＤ非対応アプリケーションの状態を維持することをさらに含む。
【0047】
一実施形態によれば、ＯｐｅｎＩＤ非対応アプリケーションは、ＯｐｅｎＩＤ非対応アプリケーションの認証のためのＯｐｅｎＩＤプロトコルを含まない。さらに、ＯｐｅｎＩＤ非対応アプリケーションは、ＯｐｅｎＩＤ非対応アプリケーションのユーザの認証のためのＯｐｅｎＩＤプロトコルを含まない。
【0048】
一実施形態によれば、方法は、プロセッサにより、公開鍵インフラストラクチャベース（ＰＫＩベース）の認証によって、ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証することをさらに含む。
【0049】
一実施形態によれば、保護されたリソースはセキュアソフトウェアアプリケーションである。セキュアソフトウェアアプリケーションは、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じてアプリケーションにアクセスするために、ユーザまたはエンドユーザの認証を要求するソフトウェアアプリケーションである。たとえば、セキュアソフトウェアアプリケーションは、多機能周辺機器または多機能プリンタ（ＭＦＰ）に関連付けられる印刷サービスを管理するアプリケーション、個人または団体の収入、支出費用、および資産を処理および管理する財務管理ソフトウェアアプリケーション、または診療記録、予約、料金請求、および診療所または健康管理システム内の他の関連する診療業務を管理する医用ソフトウェアアプリケーションであり得る。
【0050】
図５は、本開示の実施形態、またはその部分がハードウェア上で実行されるコンピュータ可読コードとして実装され得る、代表的コンピュータシステム５００を示す。たとえば、本明細書で開示される方法およびシステムに関連する１つまたは複数のコンピュータシステム、サーバ、またはクライアントデバイス１１５、１１７、１２１、２２１、２２３、２２５は、全体的または部分的に、ハードウェア、ハードウェア上で実行されるソフトウェア、ファームウェア、命令が記憶された非一時的コンピュータ可読媒体、またはそれらの組合せを使用する、コンピュータシステム５００によって実装され得、１つまたは複数のコンピュータシステムあるいは他の処理システムで実装され得る。ハードウェア、ハードウェア上で実行されるソフトウェア、またはそれらの任意の組合せは、現在説明される方法およびシステムの方法およびステップを実装するために使用されるモジュールおよび構成要素を実施し得る。
【0051】
プログラム可能論理が使用される場合、そのような論理は、専用コンピュータまたは専用デバイス（たとえば、プログラム可能論理アレイ、特定用途向け集積回路など）となるように実行可能ソフトウェアコードによって構成された市販の処理プラットフォーム上で実行し得る。開示される主題の実施形態が、マルチコアマルチプロセッサシステム、ミニコンピュータ、メインフレームコンピュータ、分散機能と共にリンクまたはクラスタ化されたコンピュータ、ならびにほぼ任意のデバイス内に仮想的に組み込まれ得るパーベイシブまたはミニチュアコンピュータを含む、様々なコンピュータシステム構成で実施され得ることを当業者なら理解されよう。たとえば、少なくとも１つのプロセッサデバイスおよびメモリが、前述の実施形態を実装するために使用され得る。
【0052】
本明細書で論じられるプロセッサユニットまたはデバイスは、単一のプロセッサ、複数のプロセッサ、またはそれらの組合せであり得る。プロセッサデバイスは１つまたは複数のプロセッサ「コア」を有し得る。本明細書で論じられる「コンピュータプログラム媒体」、「非一時的コンピュータ可読媒体」、および「コンピュータ使用可能媒体」という用語は、取外し可能記憶ユニット５１８、取外し可能記憶ユニット５２２、ハードディスクドライブ５１２内に設置されたハードディスクなどの有形媒体を一般に指すために使用される。
【0053】
本開示の様々な実施形態が、この代表的コンピュータシステム５００の観点から説明される。この説明を読んだ後、他のコンピュータシステムおよび／またはコンピュータアーキテクチャを使用して本開示をどのように実装するかが当業者には明らかとなるであろう。動作が順次プロセスとして説明されることがあるが、動作の一部は、実際には並列に、同時に、かつ／または分散環境で実施され得、プログラムコードが、単一プロセッサまたはマルチプロセッサマシンによるアクセスのためにローカルまたはリモートに記憶される。さらに、いくつかの実施形態では、開示される主題の趣旨から逸脱することなく、動作の順序が再構成され得る。
【0054】
プロセッサデバイス（またはプロセッサ）５０４は、本明細書で論じられる機能を実施するように具体的に構成されたプロセッサデバイスであり得る。プロセッサデバイス５０４は、バス、メッセージキュー、ネットワーク、マルチコアメッセージパッシング方式などの通信インフラストラクチャ５０６に接続され得る。ネットワークは、本明細書で開示される機能を実施するのに適した任意のネットワークであり得、ローカルエリアネットワーク（「ＬＡＮ」）、広域ネットワーク（「ＷＡＮ」）、ワイヤレスネットワーク（たとえば、「Ｗｉ－Ｆｉ」）、モバイル通信ネットワーク、サテライトネットワーク、インターネット、光ファイバ、同軸ケーブル、赤外線、無線周波数（「ＲＦ」）、またはそれらの任意の組合せを含み得る。他の適切なネットワークタイプおよび構成が、当業者には明らかとなるであろう。コンピュータシステム５００はまた、メインメモリ５０８（たとえば、ランダムアクセスメモリ、読み取り専用メモリなど）をも含み得、２次メモリ５１０をも含み得る。２次メモリ５１０は、ハードディスクドライブ５１２と、フロッピィディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッシュメモリなどの取外し可能記憶ドライブ５１４とを含み得る。
【0055】
取外し可能記憶ドライブ５１４は、周知の方式で取外し可能記憶ユニット５１８から読み取り、かつ／または取外し可能記憶ユニット５１８に書き込み得る。取外し可能記憶ユニット５１８は、取外し可能記憶ドライブ５１４によって読み取られ、書き込まれ得る取外し可能記憶媒体を含み得る。たとえば、取外し可能記憶ドライブ５１４がフロッピィディスクドライブまたはユニバーサルシリアルバスポートである場合、取外し可能記憶ユニット５１８は、それぞれフロッピィディスクまたはポータブルフラッシュドライブであり得る。一実施形態では、取外し可能記憶ユニット５１８は非一時的コンピュータ可読記録媒体であり得る。
【0056】
いくつかの実施形態では、２次メモリ５１０は、コンピュータプログラムまたは他の命令をコンピュータシステム５００内にロードすることを可能にする代替手段、たとえば取外し可能記憶ユニット５２２およびインターフェース５２０を含み得る。そのような手段の例には、（たとえば、ビデオゲームシステムで見られるような）プログラムカートリッジおよびカートリッジインターフェース、取外し可能メモリチップ（たとえば、ＥＥＰＲＯＭ、ＰＲＯＭなど）および関連するソケット、ならびに当業者には明らかとなるであろうが、他の取外し可能記憶ユニット５２２およびインターフェース５２０が含まれ得る。
【0057】
コンピュータシステム５００（たとえば、メインメモリ５０８および／または２次メモリ５１０）内に記憶されるデータは、光ストレージ（たとえば、コンパクトディスク、デジタルバーサタイルディスク、Ｂｌｕ－ｒａｙディスクなど）や磁気ストレージ（たとえば、ハードディスクドライブ）などの任意のタイプの適切なコンピュータ可読媒体上に記憶され得る。データは、リレーショナルデータベース、構造化照会言語（ＳＱＬ）データベース、分散データベース、オブジェクトデータベースなどの任意のタイプの適切なデータベース構成で構成され得る。適切な構成およびストレージタイプは当業者には明らかとなるであろう。
【0058】
コンピュータシステム５００はまた、通信インターフェース５２４をも含み得る。通信インターフェース５２４は、コンピュータシステム５００と外部デバイスとの間でソフトウェアおよびデータを転送することを可能にするように構成され得る。例示的通信インターフェース５２４には、モデム、ネットワークインターフェース（たとえば、イーサネットカード）、通信ポート、ＰＣＭＣＩＡスロットおよびカードなどが含まれ得る。通信インターフェース５２４を介して転送されるソフトウェアおよびデータは、信号の形であり得、当業者には明らかとなるであろうが、信号は、電子信号、電磁信号、光信号、または他の信号であり得る。信号は、通信経路５２６を介して移動し得、通信経路５２６は、信号を搬送するように構成され得、ワイヤ、ケーブル、光ファイバ、電話線、セルラフォンリンク、無線周波数リンクなどを使用して実装され得る。
【0059】
コンピュータシステム５００は、さらにディスプレイインターフェース５０２を含み得る。ディスプレイインターフェース５０２は、コンピュータシステム５００と外部ディスプレイ５３０との間でデータを転送できるように構成してもよい。例示的なディスプレイインターフェース５０２には、高精細マルチメディアインターフェース（ＨＤＭＩ）、デジタルビジュアルインターフェース(ＤＶＩ)、ビデオグラフィックスアレイ(ＶＧＡ)などが含まれ得る。ディスプレイ５３０は、ブラウン管（ＣＲＴ）ディスプレイ、液晶ディスプレイ（ＬＣＤ）、発光ダイオード（ＬＥＤ）ディスプレイ、静電容量式タッチディスプレイ、薄膜トランジスタ（ＴＦＴ）ディスプレイなど、コンピュータシステム５００のディスプレイインターフェース５０２を介して伝送されるデータを表示するのに適した任意のタイプのディスプレイであってよい。コンピュータプログラム媒体およびコンピュータ使用可能媒体は、メインメモリ５０８やセカンダリメモリ５１０などのメモリを指す場合があり、これらはメモリ半導体（ＤＲＡＭなど）であり得る。これらのコンピュータプログラムプロダクトは、コンピュータシステム５００にソフトウェアを提供するための手段であり得る。コンピュータプログラム（例えば、コンピュータ制御ロジック）は、メインメモリ５０８および／またはセカンダリメモリ５１０に記憶してもよい。コンピュータプログラムは、通信インターフェース５２４を介して受信することもできる。そのようなコンピュータプログラムが実行されると、コンピュータシステム５００は、本書で説明されるように、現在の方法を実行できるようになり得る。特に、コンピュータプログラムが実行されると、プロセッサデバイス５０４は、本書で説明する図１から４で示される方法を実行できるようになり得る。従って、そのようなコンピュータプログラムは、コンピュータシステム５００の制御装置を表す。本開示がハードウェア上で実行されるソフトウェアを使用して実施される場合、ソフトウェアはコンピュータプログラムプロダクトに格納され、リムーバブル記憶ドライブ５１４、インターフェース５２０、およびハードディスクドライブ５１２、または通信インターフェース５２４を使用してコンピュータシステム５００にロードされる。
【0060】
プロセッサデバイス５０４は、コンピュータシステム５００の機能を実行するように構成された１つまたは複数のモジュールまたはエンジンから構成してもよい。各モジュールまたはエンジンは、ハードウェアを使用して実行することができ、場合によっては、メインメモリ５０８またはセカンダリメモリ５１０に記憶されたプログラムコードおよび／またはプログラムに対応するなど、ハードウェア上で実行されるソフトウェアを利用することもできる。このような場合、プログラムコードは、コンピュータシステム５００のハードウェアによって実行される前に、プロセッサデバイス５０４によって（例えば、コンパイルモジュールまたはエンジンによって）コンパイルされてもよい。例えば、プログラムコードは、プロセッサデバイス５０４および／またはコンピュータシステム５００の追加ハードウェアコンポーネントによって実行されるように、アセンブリ言語やマシンコードなどの下位レベルの言語に翻訳されたプログラミング言語で書かれたソースコードであり得る。コンパイルのプロセスには、字句解析、前処理、構文解析、意味解析、構文指示翻訳、コード生成、コード最適化、および本明細書に開示されている機能を実行するためにコンピュータシステム５００を制御するのに適した低レベル言語へのプログラムコードの翻訳に適したその他の技術の使用が含まれ得る。コンピュータシステム５００が、上記で説明した機能を実行するために特別にプログラムされたコンピュータシステム５００となることは、関連する技術の当業者には明らかであろう。
【0061】
例示的実施形態によれば、開示されたような方法およびプロセスは、非一時的コンピュータ可読媒体上に実装され得る。非一時的コンピュータ可読媒体は、磁気記録媒体、光磁気記録媒体、または将来に開発されるであろう任意の他の記録媒体であり得、そのすべては、全く同じように本発明に適用可能と考えられ得る。１次および２次複製製品を含むこのような媒体の複製などは、間違いなく上記の媒体と等価と考えられる。さらに、本発明の実施形態がソフトウェアおよびハードウェアの組合せである場合でも、それは本発明の概念から全く外れない。本開示は、本開示のソフトウェア部分が予め記録媒体上に書き込まれるように実装され得、動作時の必要に応じて読み出されるようになる。
【0062】
本明細書で用いられる、単数形で記載され、「ａ」または「ａｎ」の語が先行する要素またはステップは、明示的にそのような除外が記載されない限り、複数の要素またはステップを除外しないものと理解されるべきである。さらに本開示の「例示の実施形態」または「一実施形態」と呼ぶものは、記載された特徴をやはり組み込んだ追加の例の存在を除外すると解釈されることを意図するものではない。
【0063】
本文書の終わりでの特許請求項は、「するための手段」または「するためのステップ」の文言が請求項において明示的に記載されるなど、従来のミーンズプラスファンクションの文言が明示的に記載されない限り、米国特許法（３５ Ｕ．Ｓ．Ｃ．）第１１２条（ｆ）のもとで解釈されるものではない。
【0064】
当業者には、本発明の範囲または思想から逸脱せずに、本発明の構成に、様々な修正および変形がなされ得ることが明らかになるであろう。上記に鑑みて、本発明の修正および変形が、添付の「特許請求の範囲」およびそれらの等価なものの範囲に包含されるならば、本発明はそれらを含むものである。
【図1】
【図2】
【図3】
【図4】
【図5】
【手続補正書】
【提出日】2024-04-08
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
保護されたリソースにアクセスする方法であって、
プロセッサにより、保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記プロセッサにより、前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと
を含む方法。
プロセッサにより、保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記プロセッサにより、前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと
を含む方法。
【請求項2】
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを、認証することと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１に記載の方法。
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１に記載の方法。
【請求項3】
前記プロセッサにより、アプリケーションプログラミングインターフェース（ＡＰＩ）コールによって、ＨＴＴＰＳハンドシェイクを通して、アプリケーションＯｐｅｎＩＤライフサイクルを通じて、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを支援すること
をさらに備える、請求項１又は２に記載の方法。
をさらに備える、請求項１又は２に記載の方法。
【請求項4】
前記アプリケーションＯｐｅｎＩＤライフサイクルが、公開鍵インフラストラクチャ（ＰＫＩ）認証を含む、請求項３に記載の方法。
【請求項5】
前記プロセッサにより、前記ＯｐｅｎＩＤプロバイダに向かうフローを開始するために、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立すること
をさらに備える、請求項１又は２に記載の方法。
をさらに備える、請求項１又は２に記載の方法。
【請求項6】
前記プロセッサにより、前記保護されたリソースへのアクセスを求める、前記ＯｐｅｎＩＤ非対応アプリケーションからの要求で、前記ＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続を終了させることと、
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションのための前記保護されたリソースにアクセスするために、前記ＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続の詳細を、前記ＯｐｅｎＩＤリライングパーティとの新たな接続にマッピングすることと
をさらに備える、請求項１又は２に記載の方法。
前記プロセッサにより、前記ＯｐｅｎＩＤ非対応アプリケーションのための前記保護されたリソースにアクセスするために、前記ＯｐｅｎＩＤ非対応アプリケーションからの着信ＨＴＴＰＳ接続の詳細を、前記ＯｐｅｎＩＤリライングパーティとの新たな接続にマッピングすることと
をさらに備える、請求項１又は２に記載の方法。
【請求項7】
前記プロセッサにより、前記保護されたリソースへのアクセスのための、前記ＯｐｅｎＩＤ非対応アプリケーションに対する通信を仲介すること
をさらに備える、請求項６に記載の方法。
をさらに備える、請求項６に記載の方法。
【請求項8】
前記プロセッサにより、前記保護されたリソースへのアクセスのための、前記ＯｐｅｎＩＤ非対応アプリケーションに対する前記アクセストークンのみを仲介すること
をさらに備える、請求項６に記載の方法。
をさらに備える、請求項６に記載の方法。
【請求項9】
前記アクセストークンが、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔオブジェクト表記法）ウェブトークン、署名済みＪＳＯＮウェブトークン、または暗号化されたＪＳＯＮウェブトークンとしてフォーマットされる、請求項１又は２に記載の方法。
【請求項10】
前記プロセッサにより、プロファイリングの目的で有限状態機械によって、複数のＯｐｅｎＩＤ非対応アプリケーションの状態を維持すること
をさらに備える、請求項１又は２に記載の方法。
をさらに備える、請求項１又は２に記載の方法。
【請求項11】
前記ＯｐｅｎＩＤ非対応アプリケーションが、前記ＯｐｅｎＩＤ非対応アプリケーションの認証のためのＯｐｅｎＩＤプロトコルを含まない、請求項１又は２に記載の方法。
【請求項12】
前記ＯｐｅｎＩＤ非対応アプリケーションが、前記ＯｐｅｎＩＤ非対応アプリケーションのユーザの認証のための前記ＯｐｅｎＩＤプロトコルを含まない、請求項１１に記載の方法。
【請求項13】
前記プロセッサにより、公開鍵インフラストラクチャベース（ＰＫＩベース）の認証によって、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証すること
をさらに備える、請求項１又は２に記載の方法。
をさらに備える、請求項１又は２に記載の方法。
【請求項14】
前記保護されたリソースは、セキュアソフトウェアアプリケーションである、請求項１又は２に記載の方法。
【請求項15】
保護されたリソースにアクセスするためのコンピュータプログラムであって、
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと、
を備えるプロセスを実行させる、コンピュータプログラム。
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、
前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと、
を備えるプロセスを実行させる、コンピュータプログラム。
【請求項16】
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証することと、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１５に記載のコンピュータプログラム。
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立することと
をさらに備える、請求項１５に記載のコンピュータプログラム。
【請求項17】
アプリケーションプログラミングインターフェース（ＡＰＩ）コールによって、ＨＴＴＰＳハンドシェイクを通してアプリケーションＯｐｅｎＩＤライフサイクルを通じて、前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを支援すること
をさらに備える、請求項１５又は１６に記載のコンピュータプログラム。
をさらに備える、請求項１５又は１６に記載のコンピュータプログラム。
【請求項18】
前記アプリケーションＯｐｅｎＩＤライフサイクルが、公開鍵インフラストラクチャ（ＰＫＩ）認証を含む、請求項１７に記載のコンピュータプログラム。
【請求項19】
メモリと、
プロセッサとを備えるコンピュータシステムであって、前記プロセッサは、
保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取り、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立し、
前記保護されたリソースへのアクセスのための前記ＯｐｅｎＩＤ非対応アプリケーションに対するＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取る
ように構成される、コンピュータシステム。
プロセッサとを備えるコンピュータシステムであって、前記プロセッサは、
保護されたリソースへのアクセスのためのＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取り、
前記ＯｐｅｎＩＤ非対応アプリケーションを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションの認証時にＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立し、
前記保護されたリソースへのアクセスのための前記ＯｐｅｎＩＤ非対応アプリケーションに対するＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取る
ように構成される、コンピュータシステム。
【請求項20】
前記プロセッサが、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立する
ようにさらに構成される、請求項１９に記載のコンピュータシステム。
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられるユーザを認証し、
前記ＯｐｅｎＩＤ非対応アプリケーションに関連付けられる前記ユーザの前記認証時に、前記ＯｐｅｎＩＤリライングパーティとの前記ＯｐｅｎＩＤ接続を確立する
ようにさらに構成される、請求項１９に記載のコンピュータシステム。
【手続補正2】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【0007】
別の態様によれば、保護されたリソースにアクセスするためのコンピュータプログラムであって、その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、保護されたリソースへのアクセスを求めるＯｐｅｎＩＤ非対応アプリケーションからの要求を受け取ることと、前記ＯｐｅｎＩＤ非対応アプリケーションを認証することと、前記ＯｐｅｎＩＤ非対応アプリケーションの認証時に、ＯｐｅｎＩＤリライングパーティとのＯｐｅｎＩＤ接続を確立することと、前記保護されたリソースへのアクセスのための、ＯｐｅｎＩＤ非対応アプリケーションに対する、ＯｐｅｎＩＤアイデンティティプロバイダによって発行されたアクセストークンを受け取ることと、を備えるプロセスを実行させる。
【手続補正3】
【補正対象書類名】明細書
【補正対象項目名】００１４
【補正方法】変更
【補正の内容】
【0014】
ＯｐｅｎＩＤプロバイダ１１６は、ＯｐｅｎＩＤリライングパーティ１１４に、ＯＩＤＣトークンまたは識別情報トークンを通して、ユーザ１３０についての情報を提供し得る。識別情報を確かめる、またはアクセス許可をもたらすために異なるタイプのトークンが、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と、ＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）１１６と、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４との間で交換され得る。トークンは、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３と、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と、ＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）１１６と、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４との間のトランザクションの間にユーザの識別情報を確立する。
【手続補正4】
【補正対象書類名】明細書
【補正対象項目名】００１６
【補正方法】変更
【補正の内容】
【0016】
図１に示されるように、ユーザ１３０は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を通じて、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４（１０４）を通じて、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じて、保護されたリソース１１０を要求し得る。ＯｐｅｎＩＤリライングパーティ１１４は、ｃｈｅｃｋｉｄ＿ｉｍｍｅｄｉａｔｅモード（１０４）と、ｃｈｅｃｋｉｄ＿ｓｅｔｕｐモード（１０２）とを含み得る１つまたは複数のモード（１０５）を通じて、ＯｐｅｎＩＤプロバイダ１１６と通信し得る。ｃｈｅｃｋｉｄ＿ｉｍｍｅｄｉａｔｅモード（１０４）では、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、すべての通信が、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４に明示的に通知せずに、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４に対するユーザエージェントを通して中継されるように、ＯｐｅｎＩＤプロバイダ１１６が、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４と対話しないように要求する。ｃｈｅｃｋｉｄ＿ｓｅｔｕｐ（１０２）では、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４は、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４にアクセスするように、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４によって用いられる同じユーザエージェントを通じて、ＯｐｅｎＩＤプロバイダ１１６と通信する。ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４、およびＯｐｅｎＩＤプロバイダ１１６は、任意選択で、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４が次いで記憶する関連ハンドルによって参照される共有秘密を確立し得る。ｃｈｅｃｋｉｄ＿ｓｅｔｕｐモードを用いる場合では、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４が、ＯｐｅｎＩＤプロバイダ１１６により直接認証できるように、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４のユーザエージェントをＯｐｅｎＩＤプロバイダ１１６にリダイレクトする。認証の方法は様々となり得るが、通常は、ＯｐｅｎＩＤプロバイダ１１６は、パスワードまたは何らかの暗号トークンに対して１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４を促し、ＯｐｅｎＩＤプロバイダ１１６は、１つまたは複数のＯｐｅｎＩＤ対応クライアントアプリケーション１２２、１２４が、必要な識別情報詳細を受け取るためにＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４を信頼するかどうかを尋ねる。
【手続補正5】
【補正対象書類名】明細書
【補正対象項目名】００２３
【補正方法】変更
【補正の内容】
【0023】
図２は、例示的実施形態によるＯｐｅｎＩＤオフローディングプロキシ２１０によるＯｐｅｎＩＤエコシステム２００の図である。図２に示されるように、ＯｐｅｎＩＤベースのエコシステム２００は、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じてアクセス可能な１つまたは複数の保護されたリソース１１０を含み得る。ＯｐｅｎＩＤベースのエコシステム２００はまた、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と、ＯｐｅｎＩＤプロバイダ（またはＯｐｅｎＩＤアイデンティティプロバイダ）、たとえば、役割ベースのアクセス制御（ＲＢＡＣ）２１６を有するＯｐｅｎＩＤプロバイダと、ＯｐｅｎＩＤオフローディングプロキシ２１０と、１つまたは複数のＯｐｅｎＩＤ非対応クライアントアプリケーション２２０、２２２とを含み得る。１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３は、たとえば、ＯｐｅｎＩＤリライングパーティ（ＲＰ）１１４と対話するソフトウェア開発キット（ＳＤＫ）／アプリケーションプログラミングインターフェース（ＡＰＩ）を含み得る。１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３を通じてアクセス可能な１つまたは複数の保護されたリソース１１０と、１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３とはまた、ＯｐｅｎＩＤリライングパーティ１１４を有する１つまたは複数のクラウドサーバ１１５、１１７、および役割ベースのアクセス制御（ＲＢＡＣ）２１６を有するＯｐｅｎＩＤプロバイダ上にホストされ得る。一実施形態によれば、ＲＢＡＣ２１６を有するＯｐｅｎＩＤプロバイダは、たとえば、許可されたユーザ１３０へのアクセスを制限するように構成され得、これは、たとえば、強制アクセス制御（ＭＡＣ）または任意アクセス制御（ＤＡＣ）プロトコルを通じて実装され得る。
【手続補正6】
【補正対象書類名】明細書
【補正対象項目名】００３８
【補正方法】変更
【補正の内容】
【0038】
代替として、一実施形態では、ＯｐｅｎＩＤオフローディングプロキシ２１０は、ＯｐｅｎＩＤオフローディングプロキシ２１０が、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２２に対してＯｐｅｎＩＤアクセストークンを取得している間に、仲介するだけのＯｐｅｎＩＤ専用プロキシモードを含み得る。トークンがＯｐｅｎＩＤオフローディングプロキシ２１０によって取得された後、ＯｐｅｎＩＤオフローディングプロキシ２１０は、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２２にアクセストークンを供給し、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２２は、要求するＯｐｅｎＩＤ非対応アプリケーション２２０、２２２が１つまたは複数のリソースアプリケーションプログラミングインターフェース（ＡＰＩ）１１１、１１２、１１３との通信の間に、ＨＴＴＰヘッダ内にアクセストークンを配置できるようにアクセストークンを記憶する。ＯｐｅｎＩＤ専用プロキシモードでは、ＯｐｅｎＩＤオフローディングプロキシ２１０はアクセストークンの記憶を維持しないので、ＯｐｅｎＩＤトークンＤＢ３３２は用いられない。さらに、ＯｐｅｎＩＤオフローディングプロキシ２１０による処理のための別のトリガは、ＯｐｅｎＩＤ非対応アプリケーション２２０、２２２が、たとえば、満了したアクセストークンをリフレッシュするように要求するときであり得る。
【手続補正7】
【補正対象書類名】明細書
【補正対象項目名】００４３
【補正方法】変更
【補正の内容】
【0043】
一実施形態によれば、方法は、アプリケーションＯｐｅｎＩＤライフサイクルが、公開鍵インフラストラクチャ（ＰＫＩ）認証を含む。
【外国語明細書】