特許 7194212 認証方法及び装置、コンピューティング機器、並びに媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-12-13

(45)【発行日】2022-12-21

(54)【発明の名称】認証方法及び装置、コンピューティング機器、並びに媒体

(51)【国際特許分類】

   G06F 21/31 20130101AFI20221214BHJP

【ＦＩ】

G06F21/31

【請求項の数】 16

【外国語出願】

(21)【出願番号】P 2021029103

(22)【出願日】2021-02-25

(65)【公開番号】P2022054382

(43)【公開日】2022-04-06

【審査請求日】2021-02-25

(31)【優先権主張番号】202011025626.X

(32)【優先日】2020-09-25

(33)【優先権主張国・地域又は機関】CN

(73)【特許権者】

【識別番号】514322098

【氏名又は名称】ベイジン バイドゥ ネットコム サイエンス テクノロジー カンパニー リミテッド

【氏名又は名称原語表記】Ｂｅｉｊｉｎｇ Ｂａｉｄｕ Ｎｅｔｃｏｍ Ｓｃｉｅｎｃｅ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏ．， Ｌｔｄ．

【住所又は居所原語表記】２／Ｆ Ｂａｉｄｕ Ｃａｍｐｕｓ， Ｎｏ．１０， Ｓｈａｎｇｄｉ １０ｔｈ Ｓｔｒｅｅｔ， Ｈａｉｄｉａｎ Ｄｉｓｔｒｉｃｔ， Ｂｅｉｊｉｎｇ １０００８５， Ｃｈｉｎａ

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100135079

【弁理士】

【氏名又は名称】宮崎 修

(72)【発明者】

【氏名】プオンフェイ ジュヨン

【審査官】上島 拓也

(56)【参考文献】

【文献】特開２０１３－１０９６２０（ＪＰ，Ａ）

【文献】特開２００８－１８１４２７（ＪＰ，Ａ）

【文献】特開２０１５－０５０４９６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／３１

(57)【特許請求の範囲】

【請求項1】

認証方法であって、
認証情報を含む接続要求を受信するステップと、
前記接続要求から前記認証情報を抽出するステップと、
抽出された前記認証情報に基づいて、接続認証結果を判定するステップと、
前記接続認証結果が認証成功を示すことに応答して、少なくとも前記接続認証結果と抽出された前記認証情報とに基づいて認証記憶データを判定するステップと、
前記接続認証結果が認証成功を示すことに応答して、少なくとも１つのサービス要求を受信するステップと、
前記認証記憶データに基づいて、前記少なくとも１つのサービス要求の各々に対して認証を実行するステップと、を含み、
前記認証記憶データは、認証状態を含み、
認証コンテキストメモリを作成するステップと、
前記認証状態を前記認証コンテキストメモリに記憶するステップと、をさらに含み、
前記接続認証結果が認証成功を示すことに応答して、少なくとも前記接続認証結果と抽出された前記認証情報とに基づいて前記認証記憶データを判定する前記ステップは、
前記接続認証結果が認証成功を示すことに応答して、前記認証コンテキストメモリ内の前記認証状態を成功に設定するステップを含み、
前記認証記憶データは、認証コンテキストメモリアドレスを含み、
前記接続認証結果が認証成功を示すことに応答して、読み取り専用メモリを作成するステップと、
前記認証コンテキストメモリアドレスを前記読み取り専用メモリに記憶するステップと、をさらに含み、
前記認証記憶データに基づいて、前記少なくとも１つのサービス要求の各々に対して認証を実行する前記ステップは、
前記認証コンテキストメモリの実際アドレスと、前記読み取り専用メモリに記憶された前記認証コンテキストメモリアドレスとが一致するか否かを判定するステップと、
前記認証コンテキストメモリの実際アドレスと前記読み取り専用メモリに記憶された前記認証コンテキストメモリアドレスとが一致しないと判定したことに応答して、前記サービス要求のサービス認証結果が不通過であると判定するステップと、を含む認証方法。

【請求項2】

前記接続認証結果を判定するステップは、
前記認証情報を認証サーバーに送信するステップと、
前記認証サーバーから返信された前記接続認証結果を受信するステップと、を含む、請求項１に記載の認証方法。

【請求項3】

ゲートウェイが、前記認証サーバーから前記認証情報を取得するステップと、
前記ゲートウェイが、前記認証情報を前記接続要求に注入し、前記接続要求に前記認証情報を含ませるステップと、をさらに含む、請求項２に記載の認証方法。

【請求項4】

前記ゲートウェイは、前記認証情報に基づいて、前記認証情報を前記接続要求に注入するように前記接続要求を修正する、請求項３に記載の認証方法。

【請求項5】

前記ゲートウェイは、データ挿入の方式によって前記認証情報を前記接続要求に注入する、請求項３に記載の認証方法。

【請求項6】

前記接続要求は、アクセスエントリーをさらに含み、前記認証情報は、認証ＩＰアドレスを含み、
前記アクセスエントリーのための一意の認証ＩＰアドレスを設定するステップと、
前記アクセスエントリーに対応する前記認証ＩＰアドレスをゲートウェイに記憶するステップと、
前記ゲートウェイが、前記認証ＩＰアドレスを前記接続要求に注入し、前記接続要求に前記認証ＩＰアドレスを含ませるステップと、をさらに含む、請求項２に記載の認証方法。

【請求項7】

前記認証記憶データに基づいて、前記少なくとも１つのサービス要求の各々に対して認証を実行する前記ステップは、
前記サービス要求の受信に応答して、前記認証コンテキストメモリに記憶された前記認証状態が成功であるか否かを判定するステップと、
前記認証状態が不成功であると判定したことに応答して、前記サービス要求のサービス認証結果が不通過であると判定するステップと、を含む、請求項１に記載の認証方法。

【請求項8】

前記認証記憶データは、前記認証情報及び前記接続認証結果を含み、
抽出された前記認証情報及び前記接続認証結果を読み書き可能メモリに記憶するステップと、
前記認証情報及び前記接続認証結果を前記読み取り専用メモリに記憶するステップと、をさらに含み、
前記認証記憶データに基づいて、前記少なくとも１つのサービス要求の各々に対して認証を実行する前記ステップは、
前記読み取り専用メモリ及び前記読み書き可能メモリの両方に記憶された前記認証情報が前記接続認証結果と一致するか否かを判定するステップと、
前記読み取り専用メモリ及び前記読み書き可能メモリの両方に記憶された前記認証情報が前記接続認証結果の少なくとも一方と一致しないと判定したことに応答して、前記サービス要求のサービス認証結果が不通過であると判定するステップと、を含む、請求項１に記載の認証方法。

【請求項9】

接続切断に応答して、前記認証コンテキストメモリ内の前記認証状態をエラーに設定するステップと、
前記読み取り専用メモリの読み取り専用状態を解除し、前記読み取り専用メモリに記憶されたデータを削除するステップと、をさらに含む、請求項８に記載の認証方法。

【請求項10】

前記認証情報が失効したか否かを判定するステップと、
前記認証情報が失効したと判定したことに応答して、前記認証コンテキストメモリ内の前記認証状態を失効に設定するステップと、をさらに含む、請求項２に記載の認証方法。

【請求項11】

前記認証情報が失効したか否かを判定する前記ステップは、
前記認証サーバーから送信された、前記認証情報が失効したか否かの通知を受信するステップを含む、請求項１０に記載の認証方法。

【請求項12】

前記認証情報が失効したか否かを判定する前記ステップは、
前記認証情報が失効したか否かの確認要求を所定の時間間隔で前記認証サーバーに送信するステップと、
前記認証サーバーから送信された、前記認証情報が失効したか否かの通知を受信するステップと、を含む、請求項１０に記載の認証方法。

【請求項13】

前記接続認証結果が認証失敗を示すことに応答して、前記認証コンテキストメモリ内の前記認証状態を失敗に設定するステップをさらに含む、請求項１に記載の認証方法。

【請求項14】

プロセッサ、及び
前記プロセッサによって実行されると、請求項１～１３のいずれか１項に記載の認証方法を前記プロセッサに実行させる命令を含むプログラムを記憶したメモリを備えるコンピューティング機器。

【請求項15】

コンピューティング機器のプロセッサによって実行されると、請求項１～１３のいずれか１項に記載の認証方法を前記コンピューティング機器に実行させる命令を含むプログラムを記憶したコンピュータ読み取り可能な記憶媒体。

【請求項16】

コンピューティング機器のプロセッサによって実行されると、請求項１～１３のいずれか１項に記載の認証方法を前記コンピューティング機器に実行させる命令を含むコンピュータ読み取り可能な記憶媒体に記憶されるコンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、クラウドコンピューティングの技術分野に関し、特に認証方法及び装置、コンピューティング機器、並びに媒体に関する。

【背景技術】

【0002】

クラウドコンピューティングシステムでは、リソース利用率を向上させるために、通常、１組のクラウドサーバーを使用して複数のユーザに同時にサービスを提供することができる。クラウドサーバーにおいて越境アクセスが発生したり、ユーザデータが漏洩したりするという事態を回避し、ユーザデータのセキュリティを確保するために、クラウドサーバーがユーザからの要求を受信すると、受信した要求を認証する必要がある。各ユーザは、自分の権限の範囲内でのみクラウドサーバー内のデータにアクセスできる。

【0003】

この部分に記載された方法は、必ずしも以前に想定又は採用されていた方法であるわけではない。別に明記されていない限り、この部分に記載されたいずれの方法も、この部分に含まれているという理由のみで先行技術とみなされるものと仮定してはならない。同様に、別に明記されていない限り、この部分に記載されている問題は、如何なる先行技術においても認められているとはみなされない。

【発明の概要】

【0004】

本開示の一態様によれば、
認証情報を含む接続要求を受信するステップと、
接続要求から認証情報を抽出するステップと、
抽出された認証情報に基づいて、接続認証結果を判定するステップと、
接続認証結果が認証成功を示すことに応答して、少なくとも接続認証結果と抽出された認証情報とに基づいて認証記憶データを判定するステップと、
接続認証結果が認証成功を示すことに応答して、少なくとも１つのサービス要求を受信するステップと、
認証記憶データに基づいて、少なくとも１つのサービス要求の各々に対して認証を実行するステップと、を含む認証方法を提供する。

【0005】

本開示の別の態様によれば、
認証情報を含む接続要求を受信するように構成される受信部と、
接続要求から認証情報を抽出するように構成される抽出部と、
抽出された認証情報に基づいて接続認証結果を判定するように構成される第１の判定部と、
接続認証結果が認証成功を示すことに応答して、少なくとも接続認証結果と抽出された認証情報とに基づいて認証記憶データを判定するように構成される第２の判定部と、を備え、
受信部は、接続認証結果が認証成功を示すことに応答して、少なくとも１つのサービス要求を受信するようにさらに構成され、
認証記憶データに基づいて、少なくとも１つのサービス要求の各々に対して認証を実行するように構成される認証部と、を備える、認証装置をさらに提供する。

【0006】

本開示の別の態様によれば、プロセッサ、及びプロセッサによって実行されると、上記認証方法をプロセッサに実行させる命令を含むプログラムを記憶したメモリを備える、コンピューティング機器をさらに提供する。

【0007】

本開示の別の態様によれば、コンピューティング機器のプロセッサによって実行されると、上記認証方法をコンピューティング機器に実行させる命令を含むプログラムを記憶したコンピュータ読み取り可能な記憶媒体をさらに提供する。

【0008】

本開示の別の態様によれば、コンピューティング機器のプロセッサによって実行されると、上記認証方法を前記コンピューティング機器に実行させる命令を含むコンピュータ読み取り可能な記憶媒体に記憶しされるコンピュータプログラムをさらに提供する。

【0009】

本開示は、認証記憶データによって受信されたサービス要求の各々に対して認証を行うことにより、ユーザデータのセキュリティを確保しつつ、システムの処理効率を向上させることができる。

【図面の簡単な説明】

【0010】

図面は、実施例を例示的に示し、明細書の一部を構成し、明細書の記載と共に、実施例の例示的な実施形態を説明する。示される実施例は、例示のみを目的としており、特許請求の範囲を限定するものではない。すべての図面において、同一の符号は、類似するが必ずしも同一ではない要素を指す。

【図1】例示的な実施例による認証方法を示すフローチャートである。

【図2】例示的な実施例による認証情報の注入を示す模式図である。

【図3】例示的な実施例による認証記憶データの記憶を示す模式図である。

【図4】例示的な実施例による認証装置を示す模式的な構成ブロック図である。

【図5】例示的な実施例に適用可能な例示的なコンピューティング機器を示す構造ブロック図である。

【発明を実施するための形態】

【0011】

本開示において、特に説明しない限り、「第１」、「第２」などの用語で様々な要素を説明することは、これらの要素の位置関係、時系列関係、又は重要性関係を限定することを意図しておらず、このような用語は、１つの要素を別の要素から区別することにのみ使用される。いくつかの例では、第１の要素及び第２の要素は、この要素の同じ実例を指すことができ、いくつかの場合では、文脈の説明から、それらは異なる実例を指すこともできる。

【0012】

本開示では、様々な実施例を説明するために用いられる用語は、単なる特定の例を説明するためのものであり、限定することを意図していない。文脈によって特に明示的に示されない限り、要素の数が特に限定されない場合、この要素は１つでも複数でもよい。さらに、本開示で使用される用語「及び／又は」は、リストされた項目の任意の１つ及び可能な組み合わせのすべてを包含する。

【0013】

クラウドコンピューティングシステムでは、１組のクラウドサーバーを用いて複数のユーザに同時にサービスを提供する。クラウドサーバー内の各ユーザのデータ隔離性及びセキュリティを確保し、クラウドサーバー内の越境アクセスを回避するために、クラウドコンピューティングシステムはユーザごとに特定のアクセス権限を設定することで、このユーザがクラウドサーバー内でアクセスできるデータ範囲、操作権限などを限定する。ユーザの要求ごとに、そのユーザが有するアクセス権限の範囲内でのみ関連処理が許可される。

【0014】

関連技術では、クラウドコンピューティングシステムの処理効率を確保するために、クラウドサーバーは、ネットワーク層の接続確立時にのみ、接続要求中のアクセスエントリー情報に基づいて認証を１回行い、認証情報と、認証によって得られたこのユーザのアクセス権限を含む認証結果とをクラウドサーバーのメモリに記憶する。クラウドサーバーは、この接続に基づく以後の各サービス要求に対しては認証を行わずに、メモリに記憶された認証情報と認証結果とに基づいて、このサービス要求が有するアクセス権限を判定し、サービス要求を処理する。

【0015】

しかしながら、この方式では、クラウドサーバーのコンピューティングオーバーヘッドを削減できるが、セキュリティ上のリスクがある。たとえば、ソフトウェアにバグ（ｂｕｇ）が発生したり、悪意のある第三者の攻撃を受けたりした場合、クラウドサーバーに記憶された認証情報や接続認証結果が改ざんされる可能性がある。あるいは、ネットワーク接続確立後にアクセスエントリーのアクセス権限が変更された場合、クラウドサーバーに記憶された認証情報や認証結果が変更後のアクセス権限と一致しないようになる。この場合、クラウドサーバーは、サービス要求を受信すると、改ざんされた又は変更前の認証結果に基づいて、そのユーザのアクセス権限を判定し、その結果、サーバー内での越境アクセスやデータ漏洩が発生する。

【0016】

これに基づき、本開示は、接続要求から接続要求に含まれる認証情報を抽出して接続認証を行い、接続認証結果が認証成功を示すことに応答して、少なくとも接続認証結果と抽出された認証情報とに基づいて、認証記憶データを判定する認証方法を提案する。接続認証結果が認証成功を示すことに応答して、クライアントとクラウドサーバーとの間に接続が確立され、クラウドサーバーはこの接続に基づくサービス要求を受信する。クラウドサーバーは、サービス要求を処理する前に、この認証記憶データに基づいてサービス要求の各々に対して認証を実行する。これにより、クラウドサーバーがローカルに記憶された認証記憶データに基づいてサービス要求の各々に対して認証を行うことを実現することができ、それにより、認証速度が速く、クラウドサーバーの処理効率が確保される。また、クラウドサーバーに記憶された接続認証結果のみに依存して、すべてのサービス要求に対応するユーザのアクセス権限を判定する場合のセキュリティ上のリスクを克服し、ユーザデータのセキュリティを向上させることができる。

【0017】

本開示の技術案は、クラウドサーバーのマルチテナント認証に限定されるものではなく、他のサーバーのマルチテナント認証にも適用可能である。

【0018】

以下、図面を参照しながら本開示の認証方法をさらに説明する。

【0019】

図１は本開示の例示的な実施例による認証方法を示すフローチャートである。図１に示すように、認証方法は、認証情報を含む接続要求を受信するステップＳ１０１と、接続要求から認証情報を抽出するステップＳ１０２と、抽出された認証情報に基づいて接続認証結果を判定するステップＳ１０３と、接続認証結果が認証成功を示すことに応答して、少なくとも接続認証結果と抽出された認証情報とに基づいて認証記憶データを判定するステップＳ１０４と、接続認証結果が認証成功を示すことに応答して、少なくとも１つのサービス要求を受信するステップＳ１０５と、認証記憶データに基づいて、少なくとも１つのサービス要求の各々に対して認証を実行するステップＳ１０６と、を含む。これにより、接続認証通過後、各サービス要求をローカルの認証記憶データで認証することができるので、クラウドサーバーの処理効率を確保しつつ、ユーザデータのセキュリティを向上させることができる。

【0020】

ユーザがクラウドサーバーへのアクセス権限を要求すると、ゲートウェイ２０３は、ユーザ信頼環境でユーザに対して独立したアクセスエントリー２０２を生成することができる。ここで、クラウドコンピューティングのシナリオでは、ユーザ信頼環境２０１は、ユーザの仮想マシン、コンテナ、仮想ネットワークなどを含むことができるが、ここでは限定されない。ユーザは、このアクセスエントリー２０２を介してクラウドサーバー２０５にアクセスする。ここで、このクラウドサーバー２０５は、図２に示すように、１つ又は複数のサーバーを含んでいてもよい。

【0021】

ネットワーク層の接続確立過程で、ユーザ側はアクセスエントリーを介してゲートウェイに接続要求を送信し、ゲートウェイは接続要求を受信した後、その接続要求をクラウドサーバーに転送することにより、ユーザ側とクラウドサーバーとのネットワーク層接続が確立され得る。

【0022】

いくつかの実施例によれば、アクセスエントリーに対応する認証情報は、第三者認証サーバーに記憶されてもよく、ゲートウェイに記憶されてもよく、ここでは限定されない。例示的な実施例では、ゲートウェイは、アクセスエントリーからの接続要求を受信すると、ローカル又は第三者認証サーバーから対応する認証情報を取得し、取得した認証情報を接続要求に注入することができる。これにより、接続要求に認証情報を注入する過程がユーザに対して透明であり、ユーザが認証過程を改ざんすることができず、それにより、認証情報の伝達のセキュリティが確保される。

【0023】

図２は例示的な実施例による認証情報の注入を示す模式図である。図２に示す例では、ゲートウェイ２０３は、認証サーバー２０４から認証情報を取得し、認証情報を接続要求に注入し、接続要求に認証情報を含ませてもよい。これにより、第三者による認証情報の独立した記憶が可能となり、クラウドコンピューティングシステムの記憶負担を軽減することができる。

【0024】

いくつかの例示的な実施例では、ゲートウェイ２０３は、認証情報に基づいて接続要求を修正して、接続要求に認証情報を注入することができる。具体的には、ゲートウェイ２０３は、接続要求中のハンドシェイクパケットを修正することによって認証情報を接続要求に注入することができる。クラウドサーバー２０５は、認証情報を含む接続要求を受信した後、接続要求から認証情報を抽出し、ハンドシェイクパケットを元のデータに修正して、以降の処理を行う。

【0025】

別の例示的な実施例では、ゲートウェイ２０３は、データ挿入の方式によって認証情報を接続要求に注入することができる。具体的には、ゲートウェイ２０３は、接続要求中のデータを修正せずに、認証情報をハンドシェイクパケットの前に挿入することができる。クラウドサーバー２０５は、認証情報を含む接続要求を受信した後、挿入位置から認証情報を抽出し、元の接続要求を取得して、以降の処理を行う。

【0026】

いくつかの実施例によれば、ゲートウェイが認証情報をローカルから取得する場合、接続要求は、アクセスエントリー（たとえば、ＩＰアドレス）を含み、認証情報は、認証ＩＰアドレスを含むことができる。認証方法は、アクセスエントリーのための一意の認証ＩＰアドレスを設定するステップと、接続要求に対応する認証ＩＰアドレスをゲートウェイ２０３に記憶するステップと、ゲートウェイは、認証ＩＰアドレスを接続要求に注入し、接続要求に認証ＩＰアドレスを含ませるステップと、をさらに含んでもよい。これにより、ゲートウェイ２０３は認証サーバー２０４にアクセスする必要がなくなり、認証速度がより向上する。一例では、ゲートウェイ２０３は、接続要求中のアクセスＩＰアドレスを対応する認証ＩＰアドレスに置き換えることによって、接続要求に認証情報を含ませることができるが、これに限定されるものではない。

【0027】

認証ＩＰアドレスは、ゲートウェイによって設定されてもよいし、他の装置によって設定されてもよい。

【0028】

上記技術案では、ゲートウェイが認証情報を接続要求に注入することにより、認証情報がユーザ側に対して透明であることを確保することができ、すなわち注入された認証情報がユーザに対して可視化されていないことを確保することができ、さらにユーザは認証過程全体を改ざんすることができず、認証過程の信頼性が確保され、システムのセキュリティが向上する。

【0029】

ゲートウェイは、認証情報を含む接続要求をクラウドサーバーに転送し、クラウドサーバーは認証情報を含む接続要求を受信した後、接続要求から認証情報を抽出し、抽出した認証情報に基づいて接続認証結果を判定する。

【0030】

いくつかの実施例によれば、接続認証結果を判定するステップは、認証情報を認証サーバーに送信し、認証サーバーから返信された接続認証結果を受信するステップを含むことができる。これにより、クラウドサーバーは、接続要求に運ばれる認証情報に基づいて認証サーバーとの対話により接続要求を認証するので、接続認証結果の信頼性を確保することができ、ネットワーク層接続のセキュリティを向上させることができる。

【0031】

接続認証結果は、接続認証が成功したか否かだけでなく、クラウドサーバーにおけるユーザのアクセス権限も示すことができる。

【0032】

接続認証結果が認証成功を示すことに応答して、ユーザ側とクラウドサーバーとの間でネットワーク層接続の確立に成功する。次いで、接続認証結果と抽出された認証情報とに基づいて認証記憶データを判定し、それによって、ローカルの認証記憶データに基づいて、その後にこの接続に基づいて受信されるサービス要求の各々に対して認証を実行することができる。

【0033】

いくつかの実施例によれば、認証記憶データは認証状態を含むことができる。この場合、認証方法は、クラウドサーバーに認証コンテキストメモリを作成するステップと、認証状態を認証コンテキストメモリに記憶するステップと、をさらに含んでもよい。したがって、接続認証結果が認証成功を示すことに応答して、少なくとも接続認証結果と抽出された認証情報とに基づいて認証記憶データを判定するステップは、接続認証結果が認証成功を示すことに応答して、認証コンテキストメモリ内の認証状態を成功に設定するステップを含むことができる。

【0034】

一例では、接続認証結果が認証失敗を示すことに応答して、認証コンテキストメモリ内の認証状態を失敗に設定することができる。

【0035】

一実施形態では、認証記憶データが認証状態を含む場合、認証記憶データに基づいて、少なくとも１つのサービス要求の各々に対して認証を実行するステップは、サービス要求の受信に応答して、認証コンテキストメモリに記憶された認証状態が成功であるか否かを判定するステップと、認証状態が不成功であると判定したことに応答して、サービス要求のサービス認証結果が不通過であると判定するステップと、を含むことができ、それにより、読み書き可能な認証状態の設定に基づいて現在のアクセス権限の変更を反映させ、それをサービス認証の根拠とすることができる。

【0036】

別の実施形態では、認証記憶データは、認証コンテキストメモリアドレスを含むことができる。この場合、認証方法は、接続認証結果が認証成功を示すことに応答して、読み取り専用メモリを作成するステップと、認証コンテキストメモリアドレスを読み取り専用メモリに記憶するステップと、をさらに含んでもよい。したがって、少なくとも設定された認証記憶データに基づいて、少なくとも１つのサービス要求の各々に対して認証を実行するステップは、認証コンテキストメモリの実際アドレスと、読み取り専用メモリに記憶された認証コンテキストメモリのアドレスとが一致するか否かを判定するステップと、認証コンテキストメモリの実際アドレスと読み取り専用メモリに記憶された認証コンテキストメモリアドレスとが一致しないと判定したことに応答して、サービス要求のサービス認証結果が不通過であると判定するステップと、を含むことができる。読み取り専用メモリに記憶された認証コンテキストメモリアドレスが改ざんされないため、認証コンテキストメモリの実際アドレスと読み取り専用メモリに記憶された認証コンテキストメモリのアドレスとを比較することにより、システムが誤った認証コンテキストメモリ及び認証状態を読み取ることを回避し、アクセス権限に対するシステムの誤判断を回避することができる。

【0037】

別の実施形態では、認証記憶データは、認証情報及び接続認証結果を含むことができる。この場合、認証方法は、抽出された認証情報及び接続認証結果を読み書き可能メモリに記憶するステップと、接続認証結果が認証成功を示すことに応答して、読み取り専用メモリを作成するステップと、認証情報及び接続認証結果を読み取り専用メモリに記憶するステップと、をさらに含んでもよい。したがって、少なくとも設定された認証記憶データに基づいて、少なくとも１つのサービス要求の各々に対して認証を実行するステップは、読み取り専用メモリ及び読み書き可能メモリの両方に記憶された認証情報が接続認証結果と一致するか否かを判定するステップと、読み取り専用メモリ及び読み書き可能メモリの両方に記憶された認証情報が接続認証結果の少なくとも一方の接続認証結果と一致しないと判定したことに応答して、サービス要求のサービス認証結果が不通過であると判定するステップと、をさらに含んでもよい。読み取り専用メモリに記憶された認証情報や認証結果が改ざんされないため、読み取り専用メモリに記憶された認証情報及び認証結果と、読み書き可能メモリに記憶された認証情報及び認証状態とを比較してサービス認証を行うことにより、認証情報及び認証結果が改ざんされた場合のアクセス権限に対するシステムの誤判断を回避することができる。

【0038】

上記実施形態では、クラウドサーバーに読み書き可能な認証コンテキストメモリ及び読み取り専用メモリを作成することによって認証記憶データを記憶し、この認証コンテキストメモリと読み取り専用メモリに記憶された認証記憶データを比較することによってサービス認証を行う。なお、ローカルに記憶された認証記憶データに基づいてサービス認証がどのように行われるかを例示するだけであり、ローカルに記憶された認証記憶データに基づいてサービス認証が上記方法によってのみ実現されることを限定していない。

【0039】

１つの好適な実施例として、認証記憶データは、認証状態、認証コンテキストメモリアドレス、及び認証パラメータ（認証情報及び接続認証結果）のうちの少なくとも２つの組み合わせを含むことができる。サービス要求のサービス認証結果は、組み合わせのいずれかが通過条件を満たさないことに応答して、不通過であると判定されてもよい（詳細は上記を参照）。逆に、サービス要求のサービス認証結果は、組み合わせの全てが通過条件を満たしたことに応答して通過であると判定されてもよい。これにより、複数の認証記憶データを設定することにより、認証の信頼性をさらに向上させ、ユーザデータのセキュリティをさらに向上させることができる。

【0040】

図３は例示的な実施例による認証記憶データの記憶を示す模式図である。図３に示すように、認証記憶データの記憶プロセスは、次のようになり得る。

【0041】

ステップ１、クラウドサーバーは、メモリ内に読み取り専用メモリアドレス３０１及び認証状態３０２を記憶する認証コンテキストメモリ３００を作成する。ここで、読み取り専用メモリアドレス３０１の初期値はＮＵＬＬである、
ステップ２、接続認証結果が認証失敗を示す場合には、認証コンテキストメモリ内の認証状態を失敗に設定し、認証処理を終了する。接続認証結果が認証成功を示す場合、ステップ３に進む。

【0042】

ステップ３、クラウドサーバーは、接続認証結果が認証成功を示すことに応答して、メモリ内に独立したメモリ４００を作成し、認証情報４０１、接続認証結果４０２、認証コンテキストメモリアドレス４０３をこのメモリ４００に記憶する。次に、メモリを読み取り専用に設定する。読み取り専用は、読み取り専用の状態が解除されるまでに、記憶されている内容を読み取るしかことができず、変更することはできない。

【0043】

ステップ４、認証コンテキストメモリ３００に保存されている読み取り専用メモリアドレス３０１を、ステップ３で読み取り専用メモリ４００に割り当てられたメモリアドレスに設定し、認証状態３０２を「成功」に設定する。

【0044】

ステップ５、クラウドサーバーは、読み取り専用メモリ４００に記憶された認証情報４０１、接続認証結果４０２、及び認証コンテキストメモリアドレス４０３を、確立されたネットワーク層接続に結合する。

【0045】

これにより、認証記憶データの判定及び記憶が完了する。

【0046】

１つの好適な実施例として、認証記憶データは、認証状態、認証コンテキストメモリアドレス、認証情報及び接続認証結果を含むことができる。サービス要求の受信に応答して、クラウドサーバーは、認証コンテキストメモリ３００及び読み取り専用メモリ４００に記憶された認証記憶データに基づいて、サービス要求に対する認証を実現する。この場合、サービス要求認証が通過すると判定するには、以下の条件を満たす必要がある。

【0047】

１．認証コンテキストメモリ３００内の認証状態３０２が「成功」であること
２．認証コンテキストメモリ３００の実際メモリアドレスが、読み取り専用メモリ４００に記憶された認証コンテキストメモリアドレス４０３と一致すること、
３．読み取り専用メモリ４００に記憶された認証情報４０１、接続認証結果４０２が、クラウドサーバーの読み書き可能メモリに記憶された認証情報、接続認証結果と一致すること。

【0048】

以上の３つの条件が同時に満たされた場合にのみ、受信したサービス要求の認証結果が通過であると判定する。いずれかの条件が満たされない場合には、受信したサービス要求の認証結果が不通過であると判定する。

【0049】

本開示の技術案では、サービス要求に対するクラウドサーバーの認証は、クラウドサーバー内で行われる。この認証過程は、認証情報に依存せず、認証サーバーとの通信による認証を必要としないので、認証速度が速く、クラウドサーバーのコンピューティングオーバーヘッドを節約し、システムの運用効率を向上させることができる。一方、クラウドサーバーは、認証記憶データを記憶するための読み書き可能な認証コンテキストメモリ及び読み取り専用メモリをメモリに追加している。サービス要求を受信すると、認証記憶データに基づいて複数の条件で認証を行い、それにより、クラウドサーバーにおけるデータのセキュリティが確保される。

【0050】

いくつかの実施例によれば、確立されたネットワーク層接続が切断されると、認証コンテキストメモリ内の認証状態はエラーに設定される。同時に、読み取り専用メモリの読み取り専用状態が解除され、読み取り専用メモリに記憶されたデータが削除され得るので、読み取り専用メモリに記憶されたデータが解放後に漏洩することを回避することができる。

【0051】

実際の応用では、ネットワーク層接続を確立するための認証情報が、接続確立後に失効になる場合がある。たとえば、ユーザのアクセス権限が変更されたり、取り消されたりする。クラウドサーバーが、認証情報が失効になったことを適時に把握できない場合、ユーザ側が既に確立されているネットワーク層接続に基づいて、元のサービス権限に従ってクラウドサーバーにアクセスし続けることになり、クラウドサーバーへの越境アクセスやデータ漏洩を引き起こす可能性がある。

【0052】

上記技術的課題を解決するために、認証方法は、認証情報が失効したか否かを判定するステップと、認証情報が失効していると判定したことに応答して、認証コンテキストメモリ内の認証状態を失効に設定するステップと、をさらに含むことができる。これにより、読み書き可能な認証コンテキストメモリに記憶された認証状態により、認証情報が有効であるか否かをタイムリーに反映することができる。認証情報が失効した後に受信したサービス要求に対しては、クラウドサーバーは認証状態が「失効」であるため認証を実行する際に認証が不通過となり、それにより、ユーザの越境アクセスを防止することができる。

【0053】

いくつかの実施例によれば、認証情報が失効した場合に、認証サーバーがクラウドサーバーに認証情報失効通知を直接送信することができる。この場合、認証情報が失効したか否かを判定するステップは、認証サーバーから送信された、認証情報が失効したか否かの通知を受信するステップを含むことができる。これにより、クラウドサーバーは、認証情報が失効したか否かをタイムリーに把握することができる。

【0054】

他の実施例によれば、クラウドサーバーは、認証情報が失効したか否かを確認する要求を所定の時間間隔で認証サーバーに送信し、認証情報が失効した場合、認証サーバーは認証情報が失効した旨の通知をクラウドサーバーにフィードバックするようにしてもよい。言い換えれば、認証情報が失効したか否かを判定するステップは、認証情報が失効したか否かの確認要求を所定の時間間隔で認証サーバーに送信するステップと、認証サーバーから送信された、認証情報が失効したか否かの通知を受信するステップと、を含むことができる。これにより、認証サーバーは、確認要求を送信したクラウドサーバーに対してのみ認証情報の失効を返信し、このように、対話データ量を削減し、システムの処理効率を向上させることができる。

【0055】

本開示の他の態様によれば、図４に示すように、認証情報を含む接続要求を受信するように構成される受信部１０１と、接続要求から認証情報を抽出するように構成される抽出部１０２と、抽出された認証情報に基づいて接続認証結果を判定するように構成される第１の判定部１０３と、接続認証結果が認証成功を示すことに応答して、少なくとも接続認証結果と抽出された認証情報とに基づいて認証記憶データを判定するように構成される第２の判定部１０４と、認証記憶データに基づいて、少なくとも１つのサービス要求の各々に対して認証を実行するように構成される認証部１０５と、を備え、ここで、受信部は、さらに、接続認証結果が認証成功を示すことに応答して、少なくとも１つのサービス要求を受信するように構成される。

【0056】

ここで、認証装置１００の上記各部１０１～１０５の動作は、上記したステップＳ１０１～Ｓ１０６の動作と同様であり、ここでは詳しく説明しない。

【0057】

いくつかの実施例によれば、第１の判定部は、認証情報を認証サーバーに送信するように構成されるサブ送信部と、認証サーバーから返信された接続認証結果を受信するように構成されるサブ受信部と、を備える。

【0058】

いくつかの実施例によれば、認証装置は、認証サーバーから認証情報を取得し、認証情報を接続要求に注入し、接続要求に認証情報を含ませるように構成されるゲートウェイをさらに備えてもよい。

【0059】

本開示の別の態様によれば、プロセッサ、及び、プロセッサによって実行されると、上記認証方法をプロセッサに実行させる命令を含むプログラムを記憶したメモリを備えるコンピューティング機器をさらに提供する。

【0060】

本開示の別の態様によれば、コンピューティング機器のプロセッサによって実行されると、上記認証方法をコンピューティング機器に実行させる命令を含むプログラムを記憶したコンピュータ読み取り可能な記憶媒体をさらに提供する。

【0061】

図５に示すように、本開示の様々な態様に適用され得るハードウェア装置の一例であるコンピューティング機器２０００について説明する。コンピューティング機器２０００は、処理及び／又は計算を実行するように構成される任意の機械であってもよく、ワークステーション、サーバー、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、携帯情報端末、ロボット、スマートフォン、車載コンピュータ、又はこれらの任意の組み合わせであってもよいが、これらに限定されない。上記生成方法は、コンピューティング機器２０００又はこれに類似する機器やシステムによって全体的に又は少なくとも部分的に実装することができる。

【0062】

ソフトウェア要素（プログラム）は、ワーキングメモリ２０１４中に存在してもよく、オペレーティングシステム２０１６、１つ又は複数のアプリケーション２０１８、ドライバ、及び／又は他のデータやコードを含むが、これらに限定されない。上記方法及びステップを実行するための命令は、１つ又は複数のアプリケーション２０１８に含まれてもよく、上記認証方法は、プロセッサ２００４によって１つ又は複数のアプリケーション２０１８の命令を読み出して実行することによって実現されてもよい。より具体的には、上記認証方法では、ステップＳ１０１～Ｓ１０６は、たとえば、プロセッサ２００４がステップＳ１０１～Ｓ１０６の命令を有するアプリケーション２０１８を実行することによって実現されてもよい。さらに、上記認証方法における他のステップは、たとえば、プロセッサ２００４が、対応するステップの命令を有するアプリケーション２０１８を実行することによって実現されてもよい。ソフトウェア要素（プログラム）の命令の実行可能コード又はソースコードは、非一時的なコンピュータ読み取り可能な記憶媒体（たとえば、上記記憶装置２０１０）に記憶されてもよく、実行時にワーキングメモリ２０１４に記憶されてもよい（コンパイル及び／又はインストール可能である）。ソフトウェア要素（プログラム）の命令の実行可能コード又はソースコードは遠隔地からダウンロードすることもできる。

【0063】

なお、特定の要件に応じて様々な変形が可能である。たとえば、カスタマイズされたハードウェアを使用することもでき、及び／又は、特定の要素をハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語、又はそれらの任意の組み合わせで実現することもできる。たとえば、開示された方法及び機器の一部又は全部は、ハードウェア（たとえば、フィールド・プログラマブル・ゲートアレイ（ＦＰＧＡ）及び／又はプログラマブル・論理・アレイ（ＰＬＡ）を含むプログラマブル論理回路）を、本開示に係る論理及びアルゴリズムを用いて、アセンブラ言語又はハードウェアプログラミング言語（たとえば、ＶＥＲＩＬＯＧ、ＶＨＤＬ、Ｃ＋＋）でプログラムすることによって実現することができる。なお、前述の方法は、サーバー－クライアントモードで実現されてもよい。たとえば、クライアントは、ユーザが入力したデータを受信し、そのデータをサーバーに送信することができる。クライアントは、ユーザが入力したデータを受信し、前述の方法の処理の一部を実行し、処理によって得られたデータをサーバーに送信することもできる。サーバーは、クライアントからデータを受信し、前述方法又は前述方法の他の部分を実行し、実行結果をクライアントに返信することができる。クライアントは、サーバーから方法の実行結果を受信し、たとえば出力機器を介してユーザに表示することができる。

【0064】

また、なお、コンピューティング機器２０００のコンポーネントは、ネットワーク上に分散してもよい。たとえば、ある処理は１つのプロセッサを用いて実行されてもよいが、同時に他の処理はこの１つのプロセッサから離れた別のプロセッサによって実行されてもよい。コンピューティングシステム２０００の他のコンポーネントも同様に分散することができる。このように、コンピューティング機器２０００は、複数の場所で処理を実行する分散コンピューティングシステムと解釈することができる。

【0065】

図面を参照して本開示の実施例又は例を説明したが、上記した方法、システム、及び機器は例示的な実施例又は例にすぎず、本開示の範囲はこれらの実施例又は例によって限定されるのではなく、授権された特許請求の範囲及びそれらの同等の範囲によってのみ限定されることが理解されるべきである。実施例又は例における様々な要素は、省略されてもよく、又はそれらの同等の要素によって置き換えられてもよい。さらに、各ステップは、本開示で説明されているものとは異なる順序で実行されてもよい。さらに、実施例又は例における様々な要素を様々な方法で組み合わせることができる。また、ここで記載された要素の多くは、技術の進化に伴って、本開示の後に現れる同等の要素によって置き換えられ得る。

【図1】

【図2】

【図3】

【図4】

【図5】