特許 7382753 セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点のシングルサインオンのための方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-11-09

(45)【発行日】2023-11-17

(54)【発明の名称】セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点のシングルサインオンのための方法及びプログラム

(51)【国際特許分類】

   G06F 21/41 20130101AFI20231110BHJP

   H04L 67/00 20220101ALI20231110BHJP

【ＦＩ】

G06F21/41

H04L67/00

【請求項の数】 20

【外国語出願】

(21)【出願番号】P 2019136341

(22)【出願日】2019-07-24

(65)【公開番号】P2020057363

(43)【公開日】2020-04-09

【審査請求日】2022-06-20

(31)【優先権主張番号】16/146,658

(32)【優先日】2018-09-28

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】507031918

【氏名又は名称】コニカ ミノルタ ラボラトリー ユー．エス．エー．，インコーポレイテッド

(74)【代理人】

【識別番号】110001254

【氏名又は名称】弁理士法人光陽国際特許事務所

(72)【発明者】

【氏名】スラパラジュ， ラウル

(72)【発明者】

【氏名】バーバー， ダニエル

【審査官】吉田 歩

(56)【参考文献】

【文献】特開２０１８－０１８１４３（ＪＰ，Ａ）

【文献】特開２０１８－０９２４４６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／４１

Ｇ０６Ｆ １３／００

(57)【特許請求の範囲】

【請求項1】

セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのための方法であって、前記方法は、
シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、
前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、
前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、
前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、
前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、
前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、
前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、
前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、
前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、
前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、
を含む方法。

【請求項2】

前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストを送信するためにクライアント装置上のウェブブラウザーを起動するステップをさらに含み、前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストは、前記クライアント装置上のアプリケーションによって生成され、前記リクエストはウェブブラウザーアドレスを有し、前記ウェブブラウザーアドレスは、前記認証サーバーの前記ドメイン及び前記統一資源位置指定子と前記一組のアクセストークンとを有する、
請求項１に記載の方法。

【請求項3】

前記認証サーバー上で前記一組のアクセストークンを解析し、前記一組のアクセストークンを有効にするステップをさらに含む、
請求項１又は２に記載の方法。

【請求項4】

前記ＳＡＭＬ－ＳＰサーバーが前記クライアントからリダイレクトされた前記リクエストを受信すると、前記認証されたユーザーにユーザー名を入力するよう要求するステップをさらに含む、
請求項１から３のいずれか一項に記載の方法。

【請求項5】

前記ＳＡＭＬ ＳＳＯリクエストから前記認証サーバー上で受信されたクッキーが有効であることを確認し、前記クッキー中のクレームを使用して前記認証されたユーザーの認可を判定するステップをさらに含む、
請求項１から４のいずれか一項に記載の方法。

【請求項6】

前記シングルサインオン（ＳＳＯ）法はバイオメトリックであり、前記バイオメトリックは、指紋、手のひら静脈、顔認識、ＤＮＡ、掌紋、掌形認証、虹彩認識、及び／又は網膜である、
請求項１から５のいずれか一項に記載の方法。

【請求項7】

前記一組のアクセストークンはジェイソンウェブトークン（ＪＷＴ）である、
請求項１から６のいずれか一項に記載の方法。

【請求項8】

前記ジェイソンウェブトークンは、ＨＭＡＣ ＳＨＡ２５６で符号化されている、
請求項７に記載の方法。

【請求項9】

前記ＳＡＭＬ－ＳＰサーバーに係るサービスプロバイダーは、電気通信サービスプロバイダー（ＴＳＰ）、アプリケーションサービスプロバイダー（ＡＳＰ）、ストレージサービスプロバイダー（ＳＳＰ）、及び／又はインターネットサービスプロバイダー（ＩＳＰ）である、
請求項１から８のいずれか一項に記載の方法。

【請求項10】

前記認証されたユーザーについてのクレームのリストを記述するステップをさらに含み、前記クレームのリストは、ユーザー名と、前記ＳＡＭＬ－ＳＰサーバー上のコンテンツにアクセスするための一つ以上のアクセス権限とを含む、
請求項１から９のいずれか一項に記載の方法。

【請求項11】

前記認証サーバーが、前記一組のアクセストークンが有効である場合に、前記一組のアクセストークンから前記クレームのリストを抽出するステップをさらに含む、
請求項１から１０のいずれか一項に記載の方法。

【請求項12】

前記認証サーバーは、ＳＡＭＬ ＩｄＰ（セキュリティーアサーションマークアップランゲージアイデンティティープロバイダー）である、
請求項１から１１のいずれか一項に記載の方法。

【請求項13】

前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップが一旦行われた後は、前記ＳＡＭＬ－ＳＰサーバー又は前記認証サーバーのいずれにおいても、さらなるログインは必要とされない、
請求項１から１２のいずれか一項に記載の方法。

【請求項14】

セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのためにプロセッサーによって実行されるコンピューター読取可能なプログラムであって、前記プロセッサーに、
シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、
前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、
前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、
前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、
前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、
前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、
前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、
前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、
前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、
前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、
を実行させるためのプログラム。

【請求項15】

前記プロセッサーに、前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストを送信するためにクライアント装置上のウェブブラウザーを起動するステップをさらに実行させ、前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストは、前記クライアント装置上のアプリケーションによって生成され、前記リクエストはウェブブラウザーアドレスを有し、前記ウェブブラウザーアドレスは、前記認証サーバーの前記ドメイン及び前記統一資源位置指定子と前記一組のアクセストークンとを有する、
請求項１４に記載のプログラム。

【請求項16】

前記プロセッサーに、前記認証サーバー上で前記一組のアクセストークンを解析し、前記一組のアクセストークンを有効にするステップをさらに実行させる、
請求項１４又は１５に記載のプログラム。

【請求項17】

前記プロセッサーに、前記ＳＡＭＬ－ＳＰサーバーが前記クライアントからリダイレクトされた前記リクエストを受信すると、前記認証されたユーザーにユーザー名を入力するよう要求するステップをさらに実行させる、
請求項１４から１６のいずれか一項に記載のプログラム。

【請求項18】

前記プロセッサーに、前記認証されたユーザーについてのクレームのリストを記述するステップをさらに実行させ、前記クレームのリストは、ユーザー名と、前記ＳＡＭＬ－ＳＰサーバー上のコンテンツにアクセスするための一つ以上のアクセス権限とを含む、
請求項１４から１７のいずれか一項に記載のプログラム。

【請求項19】

前記プロセッサーに、前記一組のアクセストークンが有効である場合に、前記一組のアクセストークンから前記クレームのリストを抽出するステップをさらに実行させる、
請求項１４から１８のいずれか一項に記載のプログラム。

【請求項20】

前記認証サーバーは、ＳＡＭＬ ＩｄＰ（セキュリティーアサーションマークアップランゲージアイデンティティープロバイダー）であり、
前記プロセッサーに、前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップを一旦実行させた後は、前記ＳＡＭＬ－ＳＰサーバー又は前記認証サーバーのいずれにおいても、さらなるログインは必要とされない、
請求項１４から１９のいずれか一項に記載のプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、概して、ユーザーの挿入された暗黙的なセキュア認証による真のシームレスなＳＡＭＬ（セキュリティーアサーションマークアップランゲージ）ＳＰ起点の（サービスプロバイダー起点の）ＳＳＯ（シングルサインオン）フローのためのコンピューターネットワーキングシステム及び方法に関し、特に、認証されたユーザーがＳＰ起点のＳＡＭＬフローを開始する際に引き起こされるＨＴＴＰ（ハイパーテキストトランスファープロトコル）リダイレクションを導入する、修正されたＳＡＭＬ ＳＰ起点のＳＳＯフローに関する。

【背景技術】

【0002】

セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）は、ユーザーアイデンティティーをアサートするＳＡＭＬ連携アイデンティティープロバイダー（ＳＡＭＬ－ＩｄＰ）と、ユーザーアイデンティティー情報を使用するＳＡＭＬ連携サービスプロバイダー（ＳＡＭＬ－ＳＰ）との間でシングルサインオン（ＳＳＯ）情報をやり取りするためのＸＭＬ規格である。シングルサインオンは、ユーザーが一組のログインクレデンシャルで複数のアプリケーションにアクセスすることを可能にする認証プロセスである。シングルサインオンは、例えば、ローカルエリアネットワーク（ＬＡＮ）に接続された複数のリソースにクライアントがアクセスする、企業における共通の手続きである。

【0003】

ＳＡＭＬｖ２．０（セキュリティーアサーションマークアップランゲージ・バージョン２）は、ＩｄＰ起点及びＳＰ起点のフローをサポートする。ＩｄＰ起点のＳＡＭＬ ＳＳＯフローでは、ＳＡＭＬ－ＩｄＰがユーザーアイデンティティーについてのＳＡＭＬシングルサインオンアサーションを作成し、当該ＳＡＭＬシングルサインオンアサーションをＳＰ（サービスプロバイダー）に未承諾の形式で送信する。ＳＰ起点のＳＡＭＬ ＳＳＯフローでは、ＳＰが連携プロセスの第１のステップとしてＳＡＭＬ－ＩｄＰに送信されるＳＡＭＬ２．０ＡｕｔｈｎＲｅｑｕｅｓｔ（すなわち認証リクエスト）を生成し、次いでＳＡＭＬ－ＩｄＰがＳＡＭＬレスポンスに応答する。これらのインタラクションは両方とも互いに非同期である。

【0004】

ＩｄＰ起点のＳＡＭＬ ＳＳＯは、ユーザーが既に認証されており、ＳＡＭＬ－ＩｄＰのポータルページを訪れる場合に、ユーザーフローにこのような簡略化をもたらし、ＳＡＭＬ－ＩｄＰは、ユーザーを認証するＳＡＭＬ２．０アサーションを構築することができ（すなわち、ユーザーは認証されており）、ユーザーは、ＳＡＭＬ－ＳＰにおいて他の場合には保護されているリソースにアクセスすることができ、ＳＡＭＬ－ＩｄＰは、ＳＡＭＬｖ２．０アサーションをＳＡＭＬ－ＳＰに未承諾の形式で送信する。

【0005】

現在のＳＡＭＬ２．０連携ＳＰ起点のインプリメンテーションは、フローセマンティクスの相違の結果としてＩｄＰ起点のＳＳＯフローによるこのような有用性を欠いている。

【0006】

ＳＰ起点よりもＩｄＰ起点を選択することは、ＳＡＭＬｖ２．０の下では現在は選択対象ではない。ＳＰ起点のＳＡＭＬ ＳＳＯフローは、ＩｄＰ起点のフローに対して著しい有利性をもたらすことができ、例えば、ディープリンクのサポート及びＣＳＲＦ（クロスサイトリクエストフォージェリ）攻撃に対する保護を挙げることができる。ディープリンクは、ウェブサイトのホームページ（例えば「ｈｔｔｐ：／／ｅｘａｍｐｌｅ．ｃｏｍ」）ではなく、ウェブサイト上の、ある特定の、一般に検索可能な又はインデックス付きのウェブコンテンツ（例えば「ｈｔｔｐ：／／ｅｘａｍｐｌｅ．ｃｏｍ／ｐａｔｈ／ｐａｇｅ」）にリンクするハイパーリンクの使用である。また、サービスプロバイダー（ＳＰ）の一部は、ＩｄＰ起点のＳＡＭＬフローを許可していない。

【0007】

ＳＡＭＬ２．０のＳＰ起点のＳＳＯフロー中に、ユーザーは、ＳＡＭＬ－ＩｄＰがそのような試みに気付いていない状態で、ＳＰ側の保護されたリソースに直接アクセスすることを試みる。ユーザーがモバイル／デスクトップアプリ上で（ＩｄＰを含むＳＡＭＬ任意の認証サービスで）既に認証されている多くの典型的な場合において、起こり得る問題は、モバイル装置（つまりユーザーによって操作されている）のモバイル／デスクトップクライアント及び（ＳＡＭＬ－ＩｄＰをホスティングしている）認証サービスがユーザーに再認証するよう強制し得ることを含む。したがって、ユーザーに再認証することを求めることにより、ＩｄＰ起点のＳＡＭＬ ＳＳＯフローによって別の方法でもたらされるＳＳＯプロセスのシームレス性が失われ得る。また、連携アイデンティティーの認証が必要であれば、サービスプロバイダー（ＳＰ）は、対応するＳＡＭＬ－ＩｄＰサーバーを識別する必要がある。ＳＰ起点のログインでは、ＳＰはユーザーのアイデンティティーについて当初は何も知らず、ユーザーの干渉が求められるため、ＳＰは、ＩｄＰ起点のＳＡＭＬ ＳＳＯフローと比較して、使用性及びパフォーマンス／レイテンシ問題を抱える可能性がある。

【発明の概要】

【発明が解決しようとする課題】

【0008】

上記の問題を考慮して、認証されたユーザーがＳＰ起点のＳＡＭＬフローを開始する際に開始され得る（引き起こされ得る）ＨＴＴＰリダイレクションを導入することにより、修正されたＳＡＭＬ ＳＰ起点のＳＳＯフローのための方法及びプログラムを有することが望ましく、このような修正されたＳＡＭＬ２．０ ＳＰ起点のフローは、ＳＡＭＬ２．０仕様に十分に適合することになる。

【課題を解決するための手段】

【0009】

セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのための方法が開示される。前記方法は、シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、を含む。

【0010】

セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのためにプロセッサーによって実行されるコンピューター読取可能なプログラムが開示される。前記プログラムは、前記プロセッサーに、シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、を実行させる。

【0011】

上述の総括的な記載及び以下の詳細な記載は、両方とも例示及び説明のためのものであり、請求される発明のさらなる説明を提供することが意図されていると解釈されるべきである。

【0012】

添付の図面は、発明のさらなる理解をもたらすために含まれ、本明細書に組み込まれるか、又は本明細書の一部を構成する。図面は発明の実施形態を例示し、明細書とともに発明の原理を説明する役割を有する。

【図面の簡単な説明】

【0013】

【図1】例示的な実施形態に係る、ユーザーの挿入された暗黙的なセキュア認証によるＳＡＭＬ ＳＰ起点のＳＳＯフローを有するシステムの例示である。

【図2】例示的な実施形態に係るコンピューター又はサーバーである。

【図3】ＳＡＭＬ２仕様に係るＳＡＭＬ ＳＰ起点のＳＳＯフローの一例である。

【図4】例示的な実施形態に係るＳＡＭＬ ＳＰ起点のＳＳＯフローの一例である。

【発明を実施するための形態】

【0014】

本発明の好ましい実施形態に詳細に言及し、その例が添付の図面に例示される。可能な限り、同じか又は同様の部分に言及するために同じ参照符号が図面及び説明において使用される。

【0015】

図１は、例示的な実施形態に係る、ユーザーの挿入された暗黙的なセキュア認証による真のシームレスなＳＡＭＬ ＳＰ起点のＳＳＯフローが可能なシステム１００の例示である。図１に示すように、システム１００は、コンピューター又はクライアント装置１１０と、少なくとも一つのモバイルコンピューター１１２と、複数のＳＡＭＬ－ＳＰサーバー１２０と、認証サーバー１３０とを含むことができる。例示的な実施形態によれば、コンピューター又はクライアント装置１１０、少なくとも一つのモバイルコンピューター１１２、複数のＳＡＭＬ－ＳＰサーバー１２０、及び認証サーバー１３０は、通信ネットワーク１５０を介して接続されることができる。また、例えば、アクセスポイント１４０は、通信ネットワーク１５０と通信して、モバイルコンピューター（例えばスマートフォン）１１２と通信ネットワーク１５０との間に無線又はセルラーデータ通信を提供することができる。例示的な実施形態によれば、アクセスポイント１４０は、Ｗｉ－Ｆｉ装置が有線ネットワークに接続することを可能にする任意のネットワーキングハードウェア装置、又は、例えばスマートフォン等のセルラー装置が有線ネットワーク１５０に接続することを可能にするハードウェア装置とすることができる。

【0016】

図２は、コンピューティング装置２００の例示であり、コンピューター１１０、モバイルコンピューター１１２、ＳＡＭＬ－ＳＰサーバー１２０、又は認証サーバー１３０とすることができる。図２に示すように、例示的なコンピューティング装置２００は、プロセッサー又は中央処理装置（ＣＰＵ）２０２と、ソフトウェアプログラム及び（プリントされるファイル等の）データを保存するための一つ以上のメモリー２０４とを含むことができる。プロセッサー又はＣＰＵ２０２は、コンピューティング装置２００の機能の少なくとも一部分を動作させ、かつ／又は制御するコンピュータープログラムの指示を実行する。コンピューティング装置２００は、入力部２０６と、表示部又はグラフィカルユーザーインタフェース（ＧＵＩ）２０８と、通信ネットワーク（又はネットワーク）１５０に接続されるネットワークインタフェース（Ｉ／Ｆ）２１０とを含むこともできる。バス２１２は、コンピューティング装置２００内の様々な部材２０２，２０４，２０６，２０８，２１０を接続することができる。

【0017】

例示的な実施形態によれば、一つ以上のコンピューティング装置２００の各々は、例えば、コンピューティング装置２００のメモリー２０４内のウェブブラウザー（図示せず）にアクセスすることができる表示部又はグラフィカルユーザーインタフェース（ＧＵＩ）２０８を含むことができる。コンピューティング装置２００は、コンピューターハードウェアを管理し、様々なソフトウェアプログラムの効率的な実行のための共通のサービスを提供するオペレーティングシステム（ＯＳ）を含むこともできる。例示的な実施形態によれば、ＣＰＵ２０２のＯＳは、Ｌｉｎｕｘ又はＷｉｎｄｏｗｓ（登録商標）ベースのオペレーティングシステムである。ソフトウェアプログラムは、例えば、アプリケーションソフトウェア及びプリンタードライバーソフトウェアを含むことができる。例えば、プリンタードライバーソフトウェアは、例えばコンピューティング装置２００と接続されたマルチファンクションプリンター又はプリンター（図示せず）を制御し、プリンタードライバーソフトウェアは、通信ネットワーク１５０を介してインストールされる。ある実施形態では、プリンタードライバーソフトウェアは、画像及び／又はドキュメントデータに基づくプリントジョブ及び／又はドキュメントを生成することができる。

【0018】

例示的な実施形態によれば、複数のＳＡＭＬ－ＳＰサーバー１２０は、セキュリティーアサーションマークアップランゲージのシングルサインオン（ＳＳＯ）プロファイルとともに認証アサーションを受信し受け付けるように構成される。ＳＡＭＬドメインモデルにおいて、ＳＡＭＬリライングパーティーは、他のシステムエンティティーから情報を受信し受け付ける任意のシステムエンティティーである。特に興味深いのは、ＳＡＭＬオーソリティーによって発行されるＳＡＭＬアサーションを受信し受け付けるＳＡＭＬリライングパーティーである。重要な種類のＳＡＭＬオーソリティーは、ＳＡＭＬアイデンティティープロバイダー、ＳＡＭＬのＳＳＯプロファイルとともに認証アサーションを発行するシステムエンティティーである。そのようなアサーションを使用するリライングパーティーは、ＳＡＭＬサービスプロバイダー（又は、ドメインが分かれば単にサービスプロバイダー）と呼ばれる。したがって、ＳＡＭＬサービスプロバイダー（ＳＡＭＬ－ＳＰ）は、ＳＡＭＬアイデンティティープロバイダー（ＳＡＭＬ－ＩｄＰ）によって発行される認証アサーションを受信し受け付けるシステムエンティティーである。

【0019】

例示的な実施形態によれば、ＳＡＭＬ ＳＰは、企業サーバー、例えばコンサルティング、法律、不動産、通信、ストレージ、処理を組織に提供する任意のエンティティーとすることができる。例えば、ＳＡＭＬ ＳＰは、サードパーティー又はアウトソーシングサプライヤー、例えば、電気通信サービスプロバイダー（ＴＳＰ）、アプリケーションサービスプロバイダー（ＡＳＰ）、ストレージサービスプロバイダー（ＳＳＰ）、及びインターネットサービスプロバイダー（ＩＳＰ）とすることができる。

【0020】

例えば、ＴＳＰは、従来から電話及び同様のサービスを提供してきた通信サービスプロバイダーの一種であり、既存の地域通信事業者、競合する地域通信事業者、及びモバイル無線通信会社を含むことができる。ＡＳＰは、コンピューターベースのサービスをネットワーク上で顧客に提供する事業である。例えば、ＡＳＰは、例えばＨＴＴＰ等の標準プロトコルを用いて（顧客関係管理等の）特定のソフトウェアアプリケーションへのアクセスを提供することができる。ＳＳＰは、コンピューターストレージスペース及び関連するマネジメントサービス、定期的なバックアップ、及びアーカイブを提供する任意の企業である。

【0021】

例示的な実施形態によれば、ＳＡＭＬ－ＩｄＰは、セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）のシングルサインオン（ＳＳＯ）プロファイルとともに認証アサーションを発行するシステムエンティティーである。ＳＡＭＬドメインモデルにおいて、ＳＡＭＬオーソリティーは、ＳＡＭＬアサーションを発行する任意のシステムエンティティーである。ＳＡＭＬオーソリティーの二つの重要な例は、認証オーソリティー及び属性オーソリティーである。

【0022】

例示的な実施形態によれば、コンピューター（又はクライアント装置）１１０及びモバイル装置１１２は、好ましくは、例えば指紋認識若しくは認証、又はモバイル装置上で現在実施されているか若しくは実施予定の他の認証プロトコルによってユーザーを認証する認証モジュールを含むこともできる。例えば、ユーザー名及びパスワード等のクレデンシャルを使用するパスワード認証プロトコルを使用することができる。

【0023】

例示的な実施形態によれば、通信ネットワーク又はネットワーク１５０は、公衆電気通信回線及び／又はネットワーク（例えば、ＬＡＮ又はＷＡＮ）とすることができる。通信ネットワーク１５０の例として、開示の実施形態と一致する任意の電気通信回線及び／又はネットワークを挙げることができる。開示の実施形態は、電気通信若しくは電話回線、インターネット、イントラネット、図示のローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）及び／又は無線周波数（ＲＦ）及び／又は赤外線（ＩＲ）通信を使用した無線接続を含むが、これらに限定されない。

【0024】

図３は、ＳＡＭＬｖ２仕様に係るＳＡＭＬ ＳＰ起点のＳＳＯフロー３００の一例である。図３に示すように、ステップ１において、モバイル装置（例えばスマートフォン）１１２を有するユーザーが、ＳＡＭＬ－ＳＰサーバー１２０によってホスティングされているリソース、サービス、又はアプリケーションをリクエストする。当該リクエスト（すなわちアクセスリソース）は、モバイル装置１１２から通信ネットワーク１５０を介してＳＡＭＬ－ＳＰサーバー１２０に送信される。ステップ２において、ＳＡＭＬ－ＳＰサーバー１２０は、リクエストを認証サーバー１３０にリダイレクトし、認証サーバー１３０は、受信し次第、「クレデンシャルの要求」、すなわちユーザー名及びパスワードについて、モバイル装置１１２にリクエストを送信する。ステップ４において、モバイル装置１１２のユーザーがユーザー名及びパスワードを入力し、認証サーバー１３０に送信される。検証後のユーザー名及びパスワードの受信に応じて、ステップ５において、認証サーバー（すなわちＳＡＭＬ－ＩｄＰ）１３０は、署名付き「レスポンス」をＨＴＭＬ形式でモバイル装置１１２に送信する。ステップ６において、モバイル装置１１２は、ＰＯＳＴ署名付き「レスポンス」をＳＡＭＬ－ＳＰサーバー１２０に転送する。ＰＯＳＴは、ワールドワイドウェブによって使用されるＨＴＴＰによって使用されるＨＴＴＰによってサポートされるリクエスト法である。意図的に、ＰＯＳＴリクエスト法は、ウェブサーバーがリクエストメッセージの本文に含まれているデータを受け付けることをリクエストする。ステップ７において、ＳＡＭＬ－ＳＰサーバーは、リクエストされたリソース１２２をモバイル装置１１２に提供又は供給する。

【0025】

図４は、例示的な実施形態に係るＳＡＭＬ ＳＰ起点のＳＳＯフロー４００の一例である。図４に示すように、例示的な実施形態によれば、モバイル装置１１２のユーザーは、有効な認証シングルサインオン（ＳＳＯ）法、例えば、指紋、ユーザー名及びパスワード、又はピンを使用して、認証サーバー１３０上でホスティングされているシングルサインオン（ＳＳＯ）サービス１３２にログインする。例えば、シングルサインオン（ＳＳＯ）法は、バイオメトリック、例えば、指紋、手のひら静脈、顔認識、ＤＮＡ、掌紋、掌形認証、虹彩認識、及び／又は網膜とすることができる。例示的な実施形態によれば、認証サーバー１３０は、図４に示すように認証サーバー１３０上でホスティングされているシングルサインオン（ＳＳＯ）サービス１３２を含むことができる。

【0026】

例えばシングルサインオン（ＳＳＯ）サービスにより認証サーバー１３０にログインすると、クライアント（すなわちモバイル装置１１２）に一組のトークンが発行される。例えば、例示的な実施形態によれば、一組のトークンは、認証サーバー１３０によるジェイソンウェブトークン（ＪＷＴ）及び認証サーバー１３０の対応するシングルサインオン（ＳＳＯ）サービス１３２に基づく。例えば、例示的な実施形態によれば、一組のトークンは、符号化されたＨＭＡＣ（鍵付きハッシュメッセージ認証コード又はハッシュベースのメッセージ認証コード）ＳＨＡ２５６（セキュアハッシュアルゴリズム）とすることができる。また、一組のトークン中のキーはクレームのリストを含み、当該クレームのリストは、ログインしているユーザーを表す。当該クレームのリストは、例えば、ユーザー名、アクセス権限（パーミッション）等を含むことができる。また、ＪＷＴトークンは、期限が切れるように設定することができ、リフレッシュすることができる。

【0027】

例示的な実施形態によれば、図４に示すように、モバイル装置１１２は、好ましくはクライアントアプリケーション１１４を有し、クライアントアプリケーション１１４は、例えばクライアント又はモバイルアプリケーション１１４（すなわちシンククライアント／モバイルアプリケーション）によって管理される外部のウェブブラウザー１１６等のサービスプロバイダー（ＳＰ）上でホスティングされているリソース又はサービスへのアクセスをモバイル装置１１２のユーザーに提供するように設定される。例示的な実施形態によれば、モバイル装置１１２のユーザーは、ＳＡＭＬ－ＳＰ１２０を選択することができる。（例えば、大部分のＳＰはウェブベースであることから）モバイル装置１１２上のクライアントアプリケーションは、好ましくはウェブブラウザーを起動する。ウェブブラウザー１１６は、ワールドワイドウェブ上の情報にアクセスするためのソフトウェアアプリケーションである。

【0028】

例示的な実施形態によれば、ウェブブラウザーアドレスは、認証サーバー１３０のドメイン名／統一資源位置指定子（ドメイン／ｕｒｌ）へのものであり、ＪＷＴトークンがアドレスの一部である。ステップ１において、認証サーバー１３０がリクエストを受信して、サービスプロバイダー（ＳＡＭＬ－ＳＰ１２０）のウェブページをレンダリングする。認証サーバー１３０はＪＷＴトークンを解析し、ＪＷＴトークンの署名、満了等のうち一つ以上を（データベースにヒットすることなく）有効にする。ステップ２において、認証サーバー１３０は次いで、ＪＷＴトークンが有効であれば、ＪＷＴトークンからクレームを抽出する。例示的な実施形態によれば、認証サーバー１３０は、クレームを使用してクレームプリンシパルを構築することができ、クレームプリンシパルは、ＳＡＭＬ－ＳＰサーバー１２０のドメインに関連付けられたログインクッキーに挿入される。ログインクッキーは、例えば、ユーザー名、アクセス権限等を含むユーザーについての情報を含む、認証サーバー１３０から送信される小さなデータである。

【0029】

認証サーバー１３０は、ページをレンダリングし、モバイル装置１１２のウェブブラウザーにログインクッキーを渡す。例示的な実施形態によれば、ステップ３において、認証サーバー１３０から受信されたページ（すなわちリクエスト）は、ブラウザーをＳＡＭＬ－ＳＰ１２０に（例えば、ｇｍａｉｌ．ｃｏｍに）リダイレクトするＪａｖａＳｃｒｉｐｔコードを含む。ＳＡＭＬ－ＳＰ１２０はリクエストを受信し、ウェブページをレンダリングする。例示的な実施形態によれば、ＳＡＭＬ－ＳＰ１２０がモバイル装置１１２のウェブブラウザーからリクエストを受信した後でユーザーがユーザー名及び／又はパスワードを入力する必要があってもよいし、なくてもよい。

【0030】

ステップ４において、ＳＡＭＬ－ＳＰサーバー１２０は、次いで認証サーバー１３０（すなわちセキュリティーアサーションマークアップランゲージアイデンティティープロバイダー（ＳＡＭＬ－ＩｄＰ）１３４（例えば、ｉｄｐ．ｅｎｔｅｒｐｒｉｓｅ１．ｃｏｍ））にリダイレクトされ、シングルサインオンセキュリティーアサーションマークアップランゲージ（ＳＳＯ／ＳＡＭＬ）を使用してユーザーのアイデンティティーを取得する。認証サーバー１３０（すなわちＳＡＭＬ－ＩｄＰ１３４）は、ＳＡＭＬ－ＳＰサーバー１２０からＳＳＯ／ＳＡＭＬリクエストを受信する。認証サーバー１３０（すなわちＳＡＭＬ－ＩｄＰ１３４）は、認証サーバー１３０からのクッキーも有する（例えば、ドメインが同じ際にはクッキーを自動的に使用することができる）。利用可能なクッキーに加え、クレームをクッキーに含ませることもできる。

【0031】

例示的な実施形態によれば、ＳＡＭＬ－ＩｄＰ１３４は、クッキーが有効であることを確認し、クレームを使用して（データベース、すなわちシングルサインオンサーバー１３２にヒットすることなく）ユーザーの認可を判定する。ステップ５において、認証サーバー１３０（すなわちＳＡＭＬ－ＩｄＰ１３４）は、ＳＳＯ／ＳＡＭＬレスポンスをＳＡＭＬ－ＳＰ１２０に発行し、ユーザーをＳＡＭＬ－ＳＰアドレスにリダイレクトする。

【0032】

ステップ６において、ＳＡＭＬ－ＳＰ１２０は、ユーザーについてのアサーション（クレーム）を含むＳＳＯ／ＳＡＭＬレスポンスを受信する。ステップ７において、ＳＡＭＬ－ＳＰ１２０は、リソースへのアクセスを許諾し（例えば、リソース１２２を認証ユーザー及びモバイル装置／クライアント１１２に供給し）、ユーザーは、ＳＡＭＬ－ＳＰサーバー１２０及び／又は認証サーバー１３０のいずれにもログインする必要なしに通常通り進むことができる。

【0033】

例示的な実施形態によれば、サービスプロバイダーは、例えば、ｍｉｃｒｏｓｏｆｔｏｎｌｉｎｅ．ｃｏｍとすることができる。対応するユーザーＩＤ、ＳＡＭＬサブジェクト名、及び属性は以下の通りであり得る。

【表1】

【0034】

例示的な実施形態によれば、ＳＡＭＬ－ＩｄＰ１３４は、追加のリダイレクションに対処しつつ、認証されたユーザーのための所要の情報、例えばドメイン名及び／又はｅメールアドレスを抽出して、例えばＳＡＭＬ－ＳＰ１２０におけるリソースへのアクセスを自動化するためのＵＲＬを生成する。したがって、開示されているシステム及び方法は、ユーザーの発明によって別の方法で利用可能なレイテンシがあるにもかかわらず、当該方法及びシステムに高速の真のシームレスな効果をもたらす比較的シームレスなシングルサインオン（ＳＳＯ）を提供することができる。

【0035】

例示的な実施形態によれば、開示されている方法及びプロセスは、非一時的なコンピューター読取可能な媒体上で実施されることができる。非一時的なコンピューター読取可能な媒体は、磁気記録媒体、光磁気記録媒体、又は将来開発されることになる任意の他の記録媒体であってもよく、全て同じやり方で本発明に適用可能であると考えることができる。主要な複製製品及び二次的な複製製品等を含むそのような媒体の複製は、もちろん上記の媒体と同等であると考えられる。さらに、本発明の実施形態がソフトウェア及びハードウェアの組合せであっても、発明の概念からは全く逸脱しない。本発明は、そのソフトウェア部分が予め記録媒体に書き込まれており、動作において必要に応じて読み込まれることになるように実施されてもよい。

【0036】

ここで使用される限りにおいて、単数で記載され「ａ」又は「ａｎ」という語が前に付けられた要素又はステップは、明示的に記載されない限り、複数の要素又はステップを除外していないと理解されるべきである。さらに、本開示の「例示的な実施形態」又は「一実施形態」という言及は、記載されている特徴を同じく組み込んだ追加的な例の存在を除外すると解釈されることを意図していない。

【0037】

本書類の末尾にある特許請求項は、従来のミーンズプラスファンクション文言が明確に記載されていない限り、例えば「ための手段」又は「ためのステップ」という文言が請求項に明確に記載されていない限り、米国特許法第１１２条（ｆ）に基づいて解釈されることを意図していない。

【0038】

発明の範囲又は精神から逸脱することなく本発明の構造に様々な修正及び変更を行うことができることは、当業者にとっては明らかであろう。以上に鑑み、本発明は、下記の請求項及びそれらの等価物の範囲に入るならばこの発明の修正及び変更を対象とすることが意図される。

【図1】

【図2】

【図3】

【図4】