特許 7382818 ネイティブモバイルアプリケーション起点のＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）フロー及びセキュリティアサーションマークアップ言語（ＳＡＭＬ）フローのためのシームレスなシングルサインオン（ＳＳＯ）のための方法及びシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-11-09

(45)【発行日】2023-11-17

(54)【発明の名称】ネイティブモバイルアプリケーション起点のＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）フロー及びセキュリティアサーションマークアップ言語（ＳＡＭＬ）フローのためのシームレスなシングルサインオン（ＳＳＯ）のための方法及びシステム

(51)【国際特許分類】

   G06F 21/33 20130101AFI20231110BHJP

   G06F 21/41 20130101ALI20231110BHJP

   H04L 67/02 20220101ALI20231110BHJP

【ＦＩ】

G06F21/33

G06F21/41

H04L67/02

【請求項の数】 19

【外国語出願】

(21)【出願番号】P 2019228885

(22)【出願日】2019-12-19

(65)【公開番号】P2020126602

(43)【公開日】2020-08-20

【審査請求日】2022-06-17

(31)【優先権主張番号】16/233,998

(32)【優先日】2018-12-27

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】519448326

【氏名又は名称】コニカ ミノルタ ビジネス ソリューションズ ユー．エス．エー．， インコーポレイテッド

(74)【代理人】

【識別番号】110001254

【氏名又は名称】弁理士法人光陽国際特許事務所

(72)【発明者】

【氏名】スラパラジュ， ラウル

【審査官】小林 秀和

(56)【参考文献】

【文献】特開２０１５－１７０３１９（ＪＰ，Ａ）

【文献】米国特許第０９７２９５３９（ＵＳ，Ｂ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／３３

Ｇ０６Ｆ ２１／４１

Ｈ０４Ｌ ６７／０２

(57)【特許請求の範囲】

【請求項1】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法であって、前記方法は、
前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記方法はさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証データを作成するステップと、
前記認証データを前記モバイル装置に送信するステップと、
前記リライングパーティサーバーによって前記認証データが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップと、
前記事前認証されたユーザーを前記モバイル装置上でシングルサインオン（ＳＳＯ）法によって認証するステップと、
前記事前認証されたユーザーが認証されると、前記モバイル装置のオペレーティングシステム（ＯＳ）で前記事前認証されたユーザーについて呼び出されるインテントを登録するステップとを含み、
前記呼び出されるインテントは、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから受信すると、前記認証サーバーからの前記リダイレクションリクエストに応答するように構成される、方法。

【請求項2】

前記認証サーバーは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）プロバイダー又はセキュリティアサーションマークアップ言語（ＳＡＭＬ）アイデンティティプロバイダーであり、前記リライングパーティサーバーは、ＯＩＤＣリライングパーティ又はＳＡＭＬサービスプロバイダーである、請求項１に記載の方法。

【請求項3】

前記認証トークンは、ＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）である、請求項１又は２に記載の方法。

【請求項4】

前記モバイル装置のオペレーティングシステムは、前記モバイル装置の前記ユーザーエージェントからの前記事前認証されたユーザーのための前記認証トークンとともに前記認証サーバーからの前記リダイレクションリクエストを継続的に待機して、前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストのフローの損失を回避する、請求項１～３のいずれか一項に記載の方法。

【請求項5】

前記リライングパーティサーバー上でホスティングされている前記リソースについて、前記モバイル装置から前記リライングパーティサーバーにリクエストを送信するステップと、
前記リライングパーティサーバーからの前記リソースについてリダイレクションリクエストを前記モバイル装置上で前記リライングパーティサーバーから受信するステップと、
前記事前認証されたユーザーの詳細を含まない前記モバイル装置からのリクエストを前記認証サーバーに送信するステップと、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンについて前記リダイレクションリクエストを前記認証サーバーから前記モバイル装置に送信するステップとをさらに含む、請求項１～４のいずれか一項に記載の方法。

【請求項6】

前記モバイル装置上で前記ネイティブアプリケーションをホスティングするステップをさらに含み、前記ネイティブアプリケーションは、前記リライングパーティサーバーによってホスティングされている前記リソースについて前記ユーザーを認証するように構成され、前記リライングパーティサーバーによってホスティングされている前記リソースは、オンプレミスサービス又はクラウドサービスである、請求項１～５のいずれか一項に記載の方法。

【請求項7】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法であって、前記方法は、
前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記方法はさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証データを作成するステップと、
前記認証データを前記モバイル装置に送信するステップと、
前記リライングパーティサーバーによって前記認証データが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップとを含み、
前記事前認証されたユーザーのための前記認証トークンについての前記認証サーバーからの前記リダイレクションリクエストは、前記ユーザーエージェントを発見し、前記事前認証されたユーザーの前記認証トークンを取得するように前記認証サーバーによって構築される、方法。

【請求項8】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法であって、前記方法は、
前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記方法はさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証データを作成するステップと、
前記認証データを前記モバイル装置に送信するステップと、
前記リライングパーティサーバーによって前記認証データが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップと、
前記ユーザーエージェントがサポートされているモバイルユーザーエージェントのものであることを前記認証サーバーが検出した場合にのみ、前記ユーザーエージェントに問合せるステップとを含む、方法。

【請求項9】

前記サポートされているモバイルユーザーエージェントは、ＡｐｐｌｅＷｅｂＫｉｔ、Ｍｏｂｉｌｅ Ｓａｆａｒｉ、又は５３７．３６ Ｃｈｒｏｍｅのうちの一つ以上である、請求項８に記載の方法。

【請求項10】

前記リライングパーティサーバーは、電気通信サービスプロバイダー（ＴＳＰ）、アプリケーションサービスプロバイダー（ＡＳＰ）、ストレージサービスプロバイダー（ＳＳＰ）、及び／又はインターネットサービスプロバイダー（ＩＳＰ）である、請求項１～９のいずれか一項に記載の方法。

【請求項11】

前記事前認証されたユーザーが前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可されると、さらなるログインは必要とされない、請求項１～１０のいずれか一項に記載の方法。

【請求項12】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムであって、前記プロセスは、
前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記プロセスはさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信するステップと、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証データを作成するステップと、
前記認証データを前記モバイル装置に送信するステップと、
前記リライングパーティサーバーによって前記認証データが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップと、
前記事前認証されたユーザーを前記モバイル装置上でシングルサインオン（ＳＳＯ）法によって認証するステップと、
前記事前認証されたユーザーが認証されると、前記モバイル装置のオペレーティングシステム（ＯＳ）で前記事前認証されたユーザーのために呼び出されるインテントを登録するステップとを含み、
前記呼び出されるインテントは、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから受信すると、前記認証サーバーからの前記リダイレクションリクエストに応答するように構成される、プログラム。

【請求項13】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムであって、前記プロセスは、
前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記プロセスはさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信するステップと、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証データを作成するステップと、
前記認証データを前記モバイル装置に送信するステップと、
前記リライングパーティサーバーによって前記認証データが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップとを含み、
前記事前認証されたユーザーのための前記認証トークンについての前記認証サーバーからの前記リダイレクションリクエストは、前記ユーザーエージェントを発見し、前記事前認証されたユーザーの前記認証トークンを取得するように前記認証サーバーによって構築される、プログラム。

【請求項14】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムであって、前記プロセスは、
前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記プロセスはさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信するステップと、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証データを作成するステップと、
前記認証データを前記モバイル装置に送信するステップと、
前記リライングパーティサーバーによって前記認証データが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップと、
前記ユーザーエージェントがサポートされているモバイルユーザーエージェントのものであることを前記認証サーバーが検出した場合にのみ、前記ユーザーエージェントに問合せるステップとを含む、プログラム。

【請求項15】

前記認証サーバーは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）プロバイダー又はセキュリティアサーションマークアップ言語（ＳＡＭＬ）アイデンティティプロバイダーであり、前記リライングパーティサーバーは、ＯＩＤＣリライングパーティ又はＳＡＭＬサービスプロバイダーであり、
前記認証トークンは、ＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）である、請求項１２～１４のいずれか一項に記載のプログラム。

【請求項16】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするためのネイティブアプリケーションを有するモバイル装置であって、前記モバイル装置は、
プロセッサーと、
ユーザーインターフェースと、
オペレーティングシステム、及び事前認証されたユーザーのための認証トークンを有するユーザーエージェントを有するメモリーとを備え、前記オペレーティングシステム及び前記ユーザーエージェントは、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信し、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信し、
前記ユーザーエージェントからの前記認証トークンの前記認証サーバー上での認証から作成された認証データを受信するように構成され、前記認証データは、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスすることを許可するように構成され、前記オペレーティングシステム及び前記ユーザーエージェントはさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースに前記認証データによりアクセスするように構成され、
前記事前認証されたユーザーは、シングルサインオン（ＳＳＯ）法によって前記モバイル装置上で認証され、前記事前認証されたユーザーが認証されると、前記ユーザーエージェントは、前記モバイル装置の前記オペレーティングシステムで前記事前認証されたユーザーのために呼び出されるインテントを登録するように構成され、
前記呼び出されるインテントは、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから受信すると、前記認証サーバーからの前記リダイレクションリクエストに応答するように構成される、モバイル装置。

【請求項17】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするためのネイティブアプリケーションを有するモバイル装置であって、前記モバイル装置は、
プロセッサーと、
ユーザーインターフェースと、
オペレーティングシステム、及び事前認証されたユーザーのための認証トークンを有するユーザーエージェントを有するメモリーとを備え、前記オペレーティングシステム及び前記ユーザーエージェントは、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信し、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信し、
前記ユーザーエージェントからの前記認証トークンの前記認証サーバー上での認証から作成された認証データを受信するように構成され、前記認証データは、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスすることを許可するように構成され、前記オペレーティングシステム及び前記ユーザーエージェントはさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースに前記認証データによりアクセスするように構成され、
前記事前認証されたユーザーのための前記認証トークンについての前記認証サーバーからの前記リダイレクションリクエストは、前記ユーザーエージェントを発見し、前記事前認証されたユーザーの前記認証トークンを取得するように前記認証サーバーによって構築される、モバイル装置。

【請求項18】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするためのネイティブアプリケーションを有するモバイル装置であって、前記モバイル装置は、
プロセッサーと、
ユーザーインターフェースと、
オペレーティングシステム、及び事前認証されたユーザーのための認証トークンを有するユーザーエージェントを有するメモリーとを備え、前記オペレーティングシステム及び前記ユーザーエージェントは、
前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信し、
前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信し、
前記ユーザーエージェントからの前記認証トークンの前記認証サーバー上での認証から作成された認証データを受信するように構成され、前記認証データは、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスすることを許可するように構成され、前記オペレーティングシステム及び前記ユーザーエージェントはさらに、
前記リライングパーティサーバー上でホスティングされている前記リソースに前記認証データによりアクセスするように構成され、
前記ユーザーエージェントがサポートされているモバイルユーザーエージェントのものであることを前記認証サーバーが検出した場合にのみ、前記ユーザーエージェントへの問合せが行われる、モバイル装置。

【請求項19】

前記認証サーバーは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）プロバイダー又はセキュリティアサーションマークアップ言語（ＳＡＭＬ）アイデンティティプロバイダーであり、前記リライングパーティサーバーは、ＯＩＤＣリライングパーティ又はＳＡＭＬサービスプロバイダーであり、前記認証トークンは、ＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）である、請求項１６～１８のいずれか一項に記載のモバイル装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、概して、ネイティブモバイルアプリケーション起点のＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）フロー及びセキュリティアサーションマークアップ言語（ＳＡＭＬ）フローのためのシームレスなシングルサインオン（ＳＳＯ）のためのコンピューターネットワーキングシステム及び方法に関する。

【背景技術】

【0002】

ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）１．０は、ＯＡｕｔｈ２．０プロトコル上のシンプルなアイデンティティレイヤーであり、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔにより、クライアントは、認可サーバーによって行われる認証に基づいてエンドユーザーのアイデンティティを確認することと、相互運用可能かつＲＥＳＴのようなやり方（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒのようなやり方）でエンドユーザーについてのベーシックプロファイル情報を取得することとが可能となる。

【0003】

セキュリティアサーションマークアップ言語（ＳＡＭＬ）は、ユーザーアイデンティティをアサートするＳＡＭＬ連携アイデンティティプロバイダー（ＩｄＰ）とユーザーアイデンティティ情報を消費するＳＡＭＬ連携サービスプロバイダー（ＳＰ）との間でシングルサインオン情報をやり取りするためのＸＭＬ規格である。

【0004】

これらの技術は両方ともシングルサインオン（ＳＳＯ）ソリューションとして使用されるが、ＯＩＤＣ及びＳＡＭＬは、ユーザーがどのように認証されるかのプロセスの判断を認証プロバイダーに完全に委ねる。これらのＳＳＯのためのオープンスタンダードをサポートするいくつかの認証プロバイダーは、「ユーザーを認証する」ための独自の方法又はプロセスを有しており、その出力／結果は、すべてのＯＩＤＣフロー及びＳＡＭＬフロー中における重要な一つのステップである。なぜなら、ＯＩＤＣフローのこの段階では、認証コード（「Ａｕｔｈ Ｃｏｄｅ」）が認証プロバイダーによって生成され、ＯＩＤＣリライングパーティに提供され、ＳＡＭＬフローの場合はＳＡＭＬアサーションが構築され、ＳＡＭＬリライングパーティ（ＳＰ）に送信されるからである。

【0005】

シングルサインオン（ＳＳＯ）は、一組のログインクレデンシャルで複数のアプリケーションにユーザーがアクセスすることを可能にする認証プロセスである。シングルサインオンは、例えば、企業における共通の手続きであり、クライアントは、ローカルエリアネットワーク（ＬＡＮ）に接続された複数のリソースにアクセスする。

【発明の概要】

【発明が解決しようとする課題】

【0006】

上記の問題点を考慮して、モバイル装置上のモバイルアプリケーション（例えば、ネイティブアプリケーション）からのシングルサインオン（ＳＳＯ）によるログインアクションの結果として開始されるＯＩＤＣフロー及びＳＡＭＬフローを可能にする方法であって、ユーザーがすでに認証されているため、認証のためのシステムによってユーザーが干渉されない方法を有することが望ましい。

【課題を解決するための手段】

【0007】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法が開示され、当該方法は、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該方法はさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証データを作成するステップと、認証データをモバイル装置に送信するステップと、リライングパーティサーバーによって認証データが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップと、事前認証されたユーザーをモバイル装置上でシングルサインオン（ＳＳＯ）法によって認証するステップと、事前認証されたユーザーが認証されると、モバイル装置のオペレーティングシステム（ＯＳ）で事前認証されたユーザーについて呼び出されるインテントを登録するステップとを含み、呼び出されるインテントは、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから受信すると、認証サーバーからの前記リダイレクションリクエストに応答するように構成される。
また、リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法が開示され、当該方法は、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該方法はさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証データを作成するステップと、認証データをモバイル装置に送信するステップと、リライングパーティサーバーによって認証データが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップとを含み、事前認証されたユーザーのための認証トークンについての認証サーバーからのリダイレクションリクエストは、ユーザーエージェントを発見し、事前認証されたユーザーの認証トークンを取得するように認証サーバーによって構築される。
また、リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法が開示され、当該方法は、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該方法はさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証データを作成するステップと、認証データをモバイル装置に送信するステップと、リライングパーティサーバーによって認証データが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップと、ユーザーエージェントがサポートされているモバイルユーザーエージェントのものであることを認証サーバーが検出した場合にのみ、ユーザーエージェントに問合せるステップとを含む。

【0008】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムが開示され、当該プロセスは、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該方法はさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証データを作成するステップと、認証データをモバイル装置に送信するステップと、リライングパーティサーバーによって認証データが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップと、事前認証されたユーザーをモバイル装置上でシングルサインオン（ＳＳＯ）法によって認証するステップと、事前認証されたユーザーが認証されると、モバイル装置のオペレーティングシステム（ＯＳ）で事前認証されたユーザーのために呼び出されるインテントを登録するステップとを含み、呼び出されるインテントは、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから受信すると、認証サーバーからのリダイレクションリクエストに応答するように構成される。
また、リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムが開示され、当該プロセスは、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該プロセスはさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証データを作成するステップと、認証データをモバイル装置に送信するステップと、リライングパーティサーバーによって認証データが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップとを含み、事前認証されたユーザーのための認証トークンについての認証サーバーからのリダイレクションリクエストは、ユーザーエージェントを発見し、事前認証されたユーザーの認証トークンを取得するように認証サーバーによって構築される。
また、リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムが開示され、当該プロセスは、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該プロセスはさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証データを作成するステップと、認証データをモバイル装置に送信するステップと、リライングパーティサーバーによって認証データが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップと、ユーザーエージェントがサポートされているモバイルユーザーエージェントのものであることを認証サーバーが検出した場合にのみ、ユーザーエージェントに問合せるステップとを含む。

【0009】

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするためのネイティブアプリケーションを有するモバイル装置が開示され、当該モバイル装置は、プロセッサーと、ユーザーインターフェースと、オペレーティングシステム、及び事前認証されたユーザーのための認証トークンを有するユーザーエージェントを有するメモリーとを備え、オペレーティングシステム及びユーザーエージェントは、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからのリダイレクションリクエストを受信し、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信し、ユーザーエージェントからの認証トークンの認証サーバー上での認証から作成された認証データを受信するように構成され、認証データは、認証されたユーザーに、リライングパーティサーバー上のリソースにアクセスすることを許可するように構成され、オペレーティングシステム及びユーザーエージェントはさらに、リライングパーティサーバー上でホスティングされているリソースに認証データによりアクセスするように構成され、事前認証されたユーザーは、シングルサインオン（ＳＳＯ）法によってモバイル装置上で認証され、事前認証されたユーザーが認証されると、ユーザーエージェントは、モバイル装置のオペレーティングシステムで事前認証されたユーザーのために呼び出されるインテントを登録するように構成され、呼び出されるインテントは、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから受信すると、認証サーバーからのリダイレクションリクエストに応答するように構成される。
また、リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするためのネイティブアプリケーションを有するモバイル装置が開示され、当該モバイル装置は、プロセッサーと、ユーザーインターフェースと、オペレーティングシステム、及び事前認証されたユーザーのための認証トークンを有するユーザーエージェントを有するメモリーとを備え、オペレーティングシステム及びユーザーエージェントは、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信し、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信し、ユーザーエージェントからの認証トークンの認証サーバー上での認証から作成された認証データを受信するように構成され、認証データは、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスすることを許可するように構成され、オペレーティングシステム及びユーザーエージェントはさらに、リライングパーティサーバー上でホスティングされているリソースに認証データによりアクセスするように構成され、事前認証されたユーザーのための認証トークンについての認証サーバーからのリダイレクションリクエストは、ユーザーエージェントを発見し、事前認証されたユーザーの認証トークンを取得するように認証サーバーによって構築される。
また、リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするためのネイティブアプリケーションを有するモバイル装置が開示され、当該モバイル装置は、プロセッサーと、ユーザーインターフェースと、オペレーティングシステム、及び事前認証されたユーザーのための認証トークンを有するユーザーエージェントを有するメモリーとを備え、オペレーティングシステム及びユーザーエージェントは、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信し、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信し、ユーザーエージェントからの認証トークンの認証サーバー上での認証から作成された認証データを受信するように構成され、認証データは、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスすることを許可するように構成され、オペレーティングシステム及びユーザーエージェントはさらに、リライングパーティサーバー上でホスティングされているリソースに認証データによりアクセスするように構成され、ユーザーエージェントがサポートされているモバイルユーザーエージェントのものであることを認証サーバーが検出した場合にのみ、ユーザーエージェントへの問合せが行われる。

【0010】

上述の総括的な記載及び以下の詳細な記載は、両方とも例示及び説明のためのものであり、請求項に記載の発明のさらなる説明を提供することが意図されていると解釈されるべきである。

【図面の簡単な説明】

【0011】

添付の図面は、発明のさらなる理解をもたらすために含まれ、本明細書に組み込まれるか、又は本明細書の一部を構成する。図面は発明の実施形態を例示し、明細書とともに発明の原理を説明するのに役立つ。

【0012】

【図1】ネイティブモバイルアプリケーションによってトリガされるＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）フロー及びセキュリティアサーションマークアップ言語（ＳＡＭＬ）フローのためのシームレスなシングルサインオン（ＳＳＯ）を有するシステムの例示である。

【図2】例示的な実施形態に係るコンピューター又はサーバーの例示である。

【図3A】例示的な実施形態に係るモバイル装置の例示である。

【図3B】例示的な実施形態に係るモバイル装置の表示部又はユーザーインターフェースの例示である。

【図4A】図３Ｂに示すモバイル装置の表示部又はユーザーインターフェースの例示である。

【図4B】図３Ｂに示すモバイル装置の表示部又はユーザーインターフェースの例示である。

【図5A】ＯＩＤＣによるＳＳＯログインをサポートするネイティブモバイルアプリケーションのためのフローを例示するフローチャートである。

【図5B】ＯＩＤＣによるＳＳＯログインをサポートするネイティブモバイルアプリケーションのためのフローを例示するフローチャートである。

【図6A】ＳＡＭＬによるＳＳＯログインをサポートするネイティブモバイルアプリケーションのためのフローを例示するフローチャートである。

【図6B】ＳＡＭＬによるＳＳＯログインをサポートするネイティブモバイルアプリケーションのためのフローを例示するフローチャートである。

【発明を実施するための形態】

【0013】

発明の本好ましい実施形態に詳細に言及し、その例が添付の図面に例示される。可能な限り、同じか又は同様の部分に言及するために同じ参照符号が図面及び説明において使用される。

【0014】

図１は、ネイティブモバイルアプリケーションによってトリガされるＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）フロー及びセキュリティアサーションマークアップ言語（ＳＡＭＬ）フローのためのシームレスなシングルサインオン（ＳＳＯ）を有するシステム１００の例示である。図１に示すように、システム１００は、コンピューター又はクライアント装置１１０と、少なくとも一つのモバイルコンピューター１１２と、一つ以上のＳＡＭＬ－ＳＰリライングサーバー（ＳＡＭＬ－ＳＰ Ａ、ＳＡＭＬ－ＳＰ Ｂ、ＳＡＭＬ－ＳＰ Ｃ）１２０と、一つ以上のＯＩＤＣリライングパーティサーバー（ＯＩＤＣリライングパーティＡ、ＯＩＤＣリライングパーティＢ）１２１と、一つ以上のＳＡＭＬ－ＩｄＰサーバー１３０と、一つ以上のＯＩＤＣプロバイダーサーバー１３１とを含むことができる。例示的な実施形態によれば、コンピューター又はクライアント装置１１０、少なくとも一つのモバイルコンピューター１１２、一つ以上のＳＡＭＬ－ＳＰリライングサーバー１２０、一つ以上のＯＩＤＣリライングパーティサーバー１２１、一つ以上のＳＡＭＬ－ＩｄＰサーバー１３０、及び一つ以上のＯＩＤＣプロバイダーサーバー１３１は、通信ネットワーク１５０を介して接続されることができる。例示的な実施形態によれば、通信ネットワーク又はネットワーク１５０は、公衆電気通信回線及び／又はネットワーク（例えば、ＬＡＮ又はＷＡＮ）とすることができる。通信ネットワーク１５０としては、例えば、本開示の実施形態に従ういずれかの電気通信回線及び／又はネットワークを挙げることができ、限定はしないが、電気通信又は電話回線、インターネット、イントラネット、図示のローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、及び／又は無線周波数（ＲＦ）及び／又は赤外線（ＩＲ）送信を用いた無線接続を含む。

【0015】

また、例えば、アクセスポイント１４０は、通信ネットワーク１５０と通信して、モバイルコンピューター（例えばスマートフォン）１１２と通信ネットワーク１５０との間に無線又はセルラーデータ通信を提供することができる。例示的な実施形態によれば、アクセスポイント１４０は、Ｗｉ－Ｆｉ装置が有線ネットワークに接続することを可能にするいずれかのネットワーキングハードウェア装置、又は、セルラー装置、例えばモバイルコンピューター（又はスマートフォン）１１２が有線ネットワーク１５０に接続することを可能にすることができるハードウェア装置とすることができる。

【0016】

ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）は、ＯＡｕｔｈ２．０プロトコル上のアイデンティティレイヤーであり、コンピューティングクライアントが、認可サーバーによって行われる認証に基づいてエンドユーザーのアイデンティティを確認することと、相互運用可能かつＲＥＳＴのようなやり方でエンドユーザーについてのベーシックプロファイル情報を取得することとが可能となる。専門用語では、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔは、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔ Ｏｂｊｅｃｔｉｏｎ Ｎｏｔａｔｉｏｎ）をデータフォーマットとして用いてＲＥＳＴｆｕｌ（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ）、ＨＴＴＰ（ハイパーテキストトランスファプロトコル）、及びＡＰＩ（アプリケーションプログラムインターフェース）を特定する。ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔは、例えば、Ｗｅｂベースの移動可能なＪａｖａＳｃｒｉｐｔクライアントを含む様々なクライアントが、認証されたセッション及びエンドユーザーについての情報をリクエストし、受信することを可能にする。仕様スイートは、アイデンティティデータの暗号化、ＯｐｅｎＩＤプロバイダーの発見、及びセッション管理といった任意の機能をサポートすることもできる。

【0017】

図１に示すように、例えば、認証コードは一つ以上のＯＩＤＣプロバイダー１３１（例えば認証プロバイダー）によって生成されることができ、認証コードは次いで、一つ以上のＯＩＤＣリライングパーティサーバー１２１に提供される。例示的な実施形態によれば、一つ以上のＯＩＤＣリライングパーティサーバー１２１は、例えば、ここに開示される一つ以上のセキュアなソフトウェアアプリケーションへのクライアントアクセスを提供するように構成されたサーバーとすることができる。

【0018】

セキュリティアサーションマークアップ言語（ＳＡＭＬ）は、ユーザーアイデンティティをアサートするＳＡＭＬ連携アイデンティティプロバイダー（ＳＡＭＬ－ＩｄＰ）とユーザーアイデンティティ情報を消費するＳＡＭＬ連携サービスプロバイダー（ＳＡＭＬ－ＳＰ）との間でシングルサインオン（ＳＳＯ）情報をやり取りするためのＸＭＬ規格である。ＳＡＭＬｖ２．０（セキュリティアサーションマークアップ言語・バージョン２）は、ＩＤＰ起点のフロー及びＳＰ起点のフローをサポートする。ＩｄＰ起点のＳＡＭＬＳＳＯフローでは、ＳＡＭＬ－ＩｄＰがユーザーアイデンティティについてのＳＡＭＬシングルサインオンアサーションを作成し、当該ＳＡＭＬシングルサインオンアサーションをＳＰ（サービスプロバイダー）１２０に未承諾の形式で送信する。ＳＰ起点のＳＡＭＬＳＳＯフローでは、ＳＰが連携プロセスの第１のステップとしてＳＡＭＬ－ＩｄＰ１３０に送信されるＳＡＭＬ２．０ＡｕｔｈｎＲｅｑｕｅｓｔ（例えば認証リクエスト）を作成し、次いでＳＡＭＬ－ＩｄＰがＳＡＭＬレスポンスに応答する。これらのインタラクションは両方とも互いに非同期である。

【0019】

例示的な実施形態によれば、ＳＡＭＬ－ＩｄＰは、セキュリティアサーションマークアップ言語（ＳＡＭＬ）のシングルサインオン（ＳＳＯ）プロファイルと共に認証アサーションを発行するシステムエンティティである。ＳＡＭＬドメインモデルにおいて、ＳＡＭＬオーソリティは、ＳＡＭＬアサーションを発行するいずれかのシステムエンティティである。ＳＡＭＬオーソリティの２つの重要な例は、認証オーソリティ及び属性オーソリティである。

【0020】

例示的な実施形態によれば、複数のＳＡＭＬ－ＳＰサーバー１２０は、セキュリティアサーションマークアップ言語のシングルサインオン（ＳＳＯ）プロファイルと共に認証アサーションを受信し受け付けるように構成される。ＳＡＭＬドメインモデルにおいて、ＳＡＭＬ－ＳＰサーバー１２０（例えばＳＡＭＬリライングパーティ）は、他のシステムエンティティから情報を受信し受け付けるいずれかのシステムエンティティである。特に興味深いのは、ＳＡＭＬオーソリティによって発行されるＳＡＭＬアサーションを受信し受け付けるＳＡＭＬリライングパーティである。重要な種類のＳＡＭＬオーソリティは、ＳＡＭＬアイデンティティプロバイダー、ＳＡＭＬのＳＳＯプロファイルと共に認証アサーションを発行するシステムエンティティである。そのようなアサーションを消費するリライングパーティは、ＳＡＭＬサービスプロバイダー（又は、ドメインが分かれば単にサービスプロバイダー）と呼ばれる。したがって、ＳＡＭＬサービスプロバイダー（ＳＡＭＬ－ＳＰ）は、ＳＡＭＬアイデンティティプロバイダー（ＳＡＭＬ－ＩｄＰ）によって発行される認証アサーションを受信し受け付けるシステムエンティティである。

【0021】

例示的な実施形態によれば、一つ以上のＳＡＭＬ－ＳＰリライングサーバー１２０及び／又は一つ以上のＯＩＤＣリライングパーティサーバー１２１は、企業サーバー、例えばコンサルティング、法律、不動産、通信、ストレージ、処理を組織に提供するいずれかのエンティティとすることができる。例えば、一つ以上のＳＡＭＬ－ＳＰリライングサーバー１２０及び／又は一つ以上のＯＩＤＣリライングパーティサーバー１２１は、サードパーティ又はアウトソーシングサプライヤ、例えば、電気通信サービスプロバイダー（ＴＳＰ）、アプリケーションサービスプロバイダー（ＡＳＰ）、ストレージサービスプロバイダー（ＳＳＰ）、及びインターネットサービスプロバイダー（ＩＳＰ）とすることができる。

【0022】

例えば、ＴＳＰは、従来から電話及び同様のサービスを提供してきた通信サービスプロバイダーの一種であり、既存の地域通信事業者、競合する地域通信事業者、及びモバイル無線通信会社を含むことができる。ＡＳＰは、コンピューターベースのサービスをネットワークを通じて顧客に提供する事業である。例えば、ＡＳＰは、例えばＨＴＴＰなどの標準プロトコルを用いて（顧客関係管理などの）特定のソフトウェアアプリケーションへのアクセスを提供することができる。ＳＳＰは、コンピューターストレージスペース及び関連するマネジメントサービス、定期バックアップ、ならびにアーカイブを提供するいずれかの企業である。

【0023】

図２は、コンピューター１１０、モバイルコンピューター１１２、ＳＡＭＬ－ＳＰサーバー（又はＳＡＭＬ－ＳＰリライングサーバー）１２０、ＯＤＩＣリライングパーティサーバー１２１、ＳＡＭＬ－ＩｄＰサーバー１３０、又はＯＩＤＣプロバイダーサーバー１３１とすることができるコンピューティング装置２００の例示である。図２に示すように、例示的なコンピューティング装置２００は、プロセッサー又は中央処理装置（ＣＰＵ）２０２と、ソフトウェアプログラム及びデータを保存するための一つ以上のメモリー２０４とを含むことができる。プロセッサー又はＣＰＵ２０２は、コンピューティング装置２００の機能の少なくとも一部分を作動させ、かつ／又は制御するコンピュータープログラムの指示を実行する。コンピューティング装置２００は、入力部２０６と、表示部又はグラフィカルユーザーインターフェース（ＧＵＩ）２０８と、通信ネットワーク（又はネットワーク）１５０に接続されるネットワークインターフェース（Ｉ／Ｆ）２１０とを含むこともできる。バス２１２は、コンピューティング装置２００内の様々な部材２０２，２０４，２０６，２０８，２１０を接続することができる。

【0024】

例示的な実施形態によれば、コンピューティング装置２００は、例えば、コンピューティング装置２００のメモリー２０４内のＷｅｂブラウザー（図示せず）にアクセスすることができる表示部又はグラフィカルユーザーインターフェース（ＧＵＩ）２０８を含むことができる。コンピューティング装置２００は、コンピューターハードウェアを管理し、様々なソフトウェアプログラムの効率的な実行のための共通のサービスを提供するオペレーティングシステム（ＯＳ）も含む。例示的な実施形態によれば、ＣＰＵ２０２のＯＳは、Ｌｉｎｕｘ（登録商標）又はＷｉｎｄｏｗｓ（登録商標）ベースのオペレーティングシステムである。ソフトウェアプログラムは、例えば、アプリケーションソフトウェア及びプリンタードライバーソフトウェアを含むことができる。例えば、プリンタードライバーソフトウェアは、例えばコンピューティング装置２００と接続されたマルチファンクションプリンター又はプリンター（図示せず）を制御し、プリンタードライバーソフトウェアは、通信ネットワーク１５０を介してインストールされる。ある実施形態では、プリンタードライバーソフトウェアは、画像及び／又はドキュメントデータに基づいてプリントジョブ及び／又はドキュメントを生成することができる。

【0025】

図３Ａは、例示的な実施形態に係るモバイル装置３００の例示である。図３Ａに示すように、例示的なモバイル装置３００は、プロセッサー又は中央処理装置（ＣＰＵ）３０２と、ソフトウェアプログラム及びデータを保存するための一つ以上のメモリー３０４と、オペレーティングシステム３２０と、ＳＰＳ－ＳＳＯエージェント３２２とを含むことができる。例示的な実施形態によれば、メモリー３０４はＳＰＳ－ＳＳＯエージェント３２２を含み、ＳＰＳ－ＳＳＩエージェント３３２は、シングルサインオン（ＳＳＯ）プロトコルによるモバイル装置３００上のモバイルアプリケーションにおけるＯＩＤＣフロー及びＳＡＭＬフローを可能にするための一つ以上のプロセスを行うように構成される。プロセッサー又はＣＰＵ３０２は、コンピュータープログラムの指示を実行し、モバイル装置３００の機能の少なくとも一部分を作動させ、かつ／又は制御する。モバイル装置３００は、入力部３０６と、表示部又はグラフィカルユーザーインターフェース（ＧＵＩ）３０８と、通信ネットワーク（又はネットワーク）１５０に接続されるネットワークインターフェース（Ｉ／Ｆ）３１０とを含むこともできる。バス３１２は、モバイル装置３００内の様々な部材３０２，３０４，３０６，３０８，３１０を接続することができる。

【0026】

例示的な実施形態によれば、モバイル装置３００は、例えば、モバイル装置３００のメモリー３０４内のＷｅｂブラウザー（図示せず）にアクセスすることができる表示部又はグラフィカルユーザーインターフェース（ＧＵＩ）３０８を含むことができる。モバイル装置３００は、コンピューターハードウェアを管理し、様々なソフトウェアプログラムの効率的な実行のための共通のサービスを提供するオペレーティングシステム（ＯＳ）３２０も含む。例示的な実施形態によれば、モバイル装置３００のＯＳ３２０は、Ｌｉｎｕｘ又はＷｉｎｄｏｗｓ（登録商標）ベースのオペレーティングシステムである。ソフトウェアプログラムは、例えば、アプリケーションソフトウェア及びプリンタードライバーソフトウェアを含むことができる。例えば、プリンタードライバーソフトウェアは、例えばモバイル装置３００と接続されたマルチファンクションプリンター又はプリンター（図示せず）を制御し、プリンタードライバーソフトウェアは、通信ネットワーク１５０を介してインストールされる。ある実施形態では、プリンタードライバーソフトウェアは、画像及び／又はドキュメントデータに基づいてプリントジョブ及び／又はドキュメントを生成することができる。

【0027】

例示的な実施形態によれば、モバイル装置３００は、例えば指紋認識もしくは認証、又はモバイル装置上で現在実施されているかもしくは実施されることになる他の認証プロトコルによってユーザーを認証する認証モジュールも含むことができることが好ましい。例えば、ユーザー名及びパスワードなどのクレデンシャルを使用するパスワード認証プロトコルを使用することができる。例示的な実施形態によれば、認証モジュールは、モバイル装置３００へのアクセスのためのものであり、かつ／又はここに開示されるシングルサインオン（ＳＳＯ）プロセスに関連して使用することができる。

【0028】

図３Ｂは、例示的な実施形態に係るモバイル装置３００の表示部又はユーザーインターフェース（グラフィカルユーザーインターフェース（ＧＵＩ）としても知られている）３０６の例示である。図３Ｂに示すように、表示部又はユーザーインターフェース３０６は、頻繁に使用されるアプリケーション、例えば、電話モジュール、電子メールクライアントモジュール、ブラウザーモジュール、ビデオ・ミュージックプレイヤーモジュール、メッセージモジュール、カレンダー、カメラモジュール、地図、天気、ならびにモバイル装置３００及び様々なアプリケーションのための設定へのアクセスを提供するアプリケーション又はモジュールのための複数のアイコン３３０を有するタッチスクリーン（又はタッチパッド）３０７とすることができる。例示的な実施形態によれば、表示部又はユーザーインターフェース３０６は、例えば、ＯＩＤＣによるＳＳＯログイン用アプリケーションのためのアイコン３３２（「アプリＡ」）、及びＳＡＭＬによるＳＳＯログイン用アプリケーションのためのアイコン３３４（「アプリＢ」）も含む。

【0029】

図４Ａは、図３Ｂに示すモバイル装置３００の表示部又はユーザーインターフェース４００の例示である。図４Ａに示すように、モバイル装置３００のユーザーインターフェース４００上でタッチ又は他の既知の方法によってアイコン３３２（「アプリＡ」）が選択されると、ユーザーインターフェース４００は、例えば、「ユーザー名又は電子メール」４１０及び「パスワード」４１２」のリクエストをユーザーに表示する。また、表示部又はユーザーインターフェース４００は、「サインイン」４２０を規定するアイコン、あるいは「ＳＳＯ使用」４３０のアイコンをユーザーに提示し、図４Ｂに示すユーザーインターフェース４５０でユーザーに入力を促す。

【0030】

図４Ｂは、ＳＳＯサインインのための図３Ｂに示すモバイル装置３００の表示部又はユーザーインターフェース４５０の例示である。図４Ｂに示すように、ＳＳＯページは、例えば「電子メール又はドメイン」４６０をリクエストし、「サインイン」アイコン４７０を含む。

【0031】

例示的な実施形態によれば、ユーザーのモバイル装置１１２上でのＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）フロー及びセキュリティアサーションマークアップ言語（ＳＡＭＬ）フローのためのネイティブモバイルアプリケーション起点のシングルサインオン（ＳＳＯ）のための方法及びシステムが開示される。ここに開示される方法及びシステムは、ユーザー（例えば、クライアント装置又はモバイル装置１１２）と認証プロバイダー（例えば、ＳＡＭＬ－ＩＤＰサーバー１３０又はＯＩＤＣプロバイダーサーバー１３１）との間で事前認証の目的でエージェント／プロキシとして機能するアプリケーション（例えば、モバイルアプリケーション（又はソフトウェアコンポーネント）を導入する。例示的な実施形態によれば、モバイルアプリケーション（又はソフトウェアコンポーネント）はモバイル装置１１２上のインターフェース３３２，３３４であり、例えば、オンプレミスソフトウェア（例えば、オンプレミスレガシー）及び／又はオフプレミスソフトウェア（例えば、クラウドサービス）からのいずれかのサービスをユーザーが利用する（又はアクセスする）ことができる前にユーザーが認証される。例示的な実施形態によれば、シングルサインオン（ＳＳＯ）法（又はプロトコル）によるユーザーの認証は、例えば、指紋、顔識別もしくは顔認識、虹彩検出などの生体認証、及び／又はユーザー名及びＰＩＮ（個人識別番号）によって行われることができる。ここに開示されるモバイルアプリケーションは、例えば、成功した認証の終わりにユーザーの代理でＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）を含むことができる。

【0032】

例示的な実施形態によれば、モバイル装置１１２は、例えば、認証プロバイダー（例えば、ＯＩＤＣプロバイダー（又はＯＩＤＣ－ＯＰ）１３１又はＳＡＭＬ－ＩｄＰサーバー１３０）からのリダイレクションリクエストを継続的に待機し、処理されたリダイレクションリクエストへのレスポンスによって事前認証されたユーザーに対応する現在のアクティブなＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）を提示する（すなわち、ユーザーを一意的に識別する）エージェントコードソフトウェアコンポーネントの形態のアプリケーションを含むことができる。

【0033】

例示的な実施形態によれば、ＯＩＤＣ－ＯＰ１３１又はＳＡＭＬ－ＩｄＰ１３０から、対応する認証ソリューションモバイルアプリケーション３２２上で動作しているエージェントへのリダイレクションは、規則的なＯＩＤＣ／ＳＡＭＬフローに追加することができる。例示的な実施形態によれば、例えば、指定され登録されたモバイルアプリケーションへの追加的なリダイレクションビジットは、当初のフロー（例えば、ネイティブモバイルアプリケーションによって開始されたフロー）を盗用することができるため、コンテクストは失われない。例示的な実施形態によれば、事前認証されたユーザーについてのいずれのコンテクストも有していないモバイルアプリケーションからフローが開始するため、フローの目的は、いずれかの認証詳細を提示するよう問い合わせることをユーザーに促すことを回避することとすることができる。

【0034】

例示的な実施形態によれば、フローが発生したユーザーエージェント（ＵＡ）を認証プロバイダー（ＳＡＭＬ－ＩｄＰ１３０又はＯＩＤＣ－ＯＰ１３１）が検出した場合にのみ、認証プロバイダー（ＳＡＭＬ－ＩｄＰ１３０又はＯＩＤＣ－ＯＰ１３１）はフローを盗用してモバイルアプリケーションカウンターパート上のエージェントに問合せる。例えば、サポートされるモバイルユーザーエージェントは、アップル（登録商標）ＷｅｂＫｉｔ、Ｍｏｂｉｌｅ Ｓａｆａｒｉ、及び５３７．３６（ＧｅｃｋｏのようなＫＨＴＭＬ）Ｃｈｒｏｍｅ（登録商標）を含むことができる。また、モバイルブラウザーによるユーザーエージェントは、ブラウザーのバージョン、装置モデル、オペレーティングシステム（ＯＳ）、及び他の要因に応じて異なる可能性がある。

【0035】

例示的な実施形態によれば、認証プロバイダー（ＳＡＭＬ－ＩｄＰ１３０又はＯＩＤＣプロバイダー１３１）において、「Ａｕｔｈ」エンドポイントにヒットするＯＩＤＣ「Ａｕｔｈ」フロー又はＳＡＭＬの「認証リクエスト」フローは、上記で開示した変更を取り込み、追加的なリダイレクションが生じるため、当該フローは一時的な係属状態を継続して、ユーザーのために認証プロバイダーによって先に作成されたＪＷＴトークンを取得することができる。

【0036】

認証プロバイダーのクエリリダイレクトへのレスポンスによってＪＷＴトークンを認証プロバイダーが受信した後、認証プロバイダーはトークンを検証し、ドメインクッキーを作成し、中断していたＯＩＤＣ又はＳＡＭＬフローを再開し、認証レスポンスが送り返されると、作成したクッキー（すなわちＳｅｔ－Ｃｏｏｋｉｅ ＨＴＴＰレスポンスヘッダー）を設定する。例示的な実施形態によれば、さらなる通信には、（当初のＯＩＤＣフロー及びＳＡＭＬフローが発生した）ネイティブモバイルアプリケーション・ユーザーエージェント上に設定されているドメインクッキーを使用する。

【0037】

例示的な実施形態によれば、アプリケーションログインフローのためにＵＩレンダリング技術が用いる、モバイル装置のための様々なネイティブアプリケーションが存在する。例えば、外部のブラウザーを起動するアプリケーションもあれば、ＷｅｂＶｉｅｗなどのアプリ内ブラウザーを使用するアプリケーションもあれば、ＳＦＳａｆａｒｉＶｉｅｗＣｏｎｔｒｏｌｌｅｒ及びＣｈｒｏｍｅＴａｂなどの最新のトレンドを使用するアプリケーションもある。例示的な実施形態によれば、本開示において再び提示されるエージェントコードはエージェントの動作に基づいてユーザーエージェントに依存しない（すなわち、多くの種類のプラットフォーム又はオペレーティングシステムと互換性がある）ことを伝え、シングルサインオン（ＳＳＯ）ベースのログインフローと、エージェント上の対応するリダイレクト動作とをサポートするネイティブモバイルアプリケーション、例えばＧｏｏｇｌｅ（登録商標） Ｄｒｉｖｅ ａｎｄ ＢｏｘにおいてＯＩＤＣ及びＳＡＭＬのためのＳＳＯフローにシームレス性を提供するという最終目標を実現するために３つの例が開示される。

【0038】

例示的な実施形態によれば、例えば、アプリケーションはＳａｆａｒｉ（登録商標）又はＣｈｒｏｍｅなどのシステムブラウザーを使用し、システムブラウザーは独自のユーザーエージェントを有する異なるアプリケーションとして機能する。例示的な実施形態によれば、エージェントはリダイレクトリクエストを受信し、暗号化されたＵＲＩパラメータを復号して、暗号化されたＵＲＩが真正の認証プロバイダーのものであることを確認する。この確認は、悪意のあるアプリケーションを回避するためのものであり、サーバーは、エージェントに問合せてユーザーのＪＷＴ（すなわちトークン）を取得することを試みる。成功した場合、サーバーは認証サーバーに到達するようユーザーエージェントをリダイレクトし、ＪＷＴを提供する。成功しなかった場合、リクエストは取り下げられ、メッセージが記録されることを記録し、警告メッセージ、例えばポップアップを用いて、問題を管理者に報告するようアプリケーションユーザーに警告することができる。

【0039】

例示的な実施形態によれば、例えば、ＷＫＷｅｂＶｉｅｗなどのＷｅｂ Ｖｉｅｗ Ｃｏｍｐｏｎｅｎｔを用いるアプリケーションでは、各ＷｅｂＶｉｅｗがサンドボックスされ、アプリケーションコンテンツ内にブラウザーが出現する（ユーザーがアプリケーションから離れることはない）。例示的な実施形態によれば、エージェントがリダイレクトリクエストを受信し、暗号化されたＵＲＩパラメータを復号して、本当に真正の認証プロバイダーのものであるか確認する。この確認は、悪意のあるアプリケーションを回避するためのものであり、サーバーは、エージェントに問合せてユーザーのＪＷＴ（すなわちトークン）を取得することを試みる。成功した場合、認証サーバーに到達するようユーザーエージェントをリダイレクトし、ＪＷＴを提供する。成功しなかった場合、リクエストは取り下げられ、メッセージが記録され、警告メッセージ、例えばポップアップを用いて、問題を管理者に報告するようアプリケーションユーザーに警告することができる。

【0040】

例示的な実施形態によれば、例えば、ＳＦＳａｆａｒｉＶｉｅｗＣｏｎｔｒｏｌｌｅｒ（ＩＯＳ）又はＣｈｒｏｍｅＴａｂを用いるアプリケーションについては、アプリケーションコンテンツ内にブラウザーが出現する（すなわち、ユーザーがアプリケーションから離れることはない）。例示的な実施形態によれば、エージェントがリダイレクトリクエストを受信し、暗号化されたＵＲＩパラメータを復号して、暗号化されたＵＲＩパラメータが真正の認証プロバイダーのものであるか確認する。この確認は、悪意のあるアプリケーションを回避するためのものであり、サーバーは、エージェントに問合せてユーザーのＪＷＴ（すなわちトークン）を取得することを試みる。成功した場合、認証サーバーに到達するようユーザーエージェントをリダイレクトし、ＪＷＴを提供する。成功しなかった場合、リクエストは取り下げられ、メッセージが記録され、警告メッセージ、例えばポップアップを用いて、問題を管理者に報告するようアプリケーションユーザーに警告することができる。

【0041】

図５Ａ及び図５Ｂは、ＯＩＤＣによるＳＳＯログインをサポートするネイティブモバイルアプリケーションのためのフローを例示するフローチャート５００である。図５Ａ及び図５Ｂに示すように、ステップ５０１において、モバイル装置（例えば、スマートフォン）１１２を有するユーザーがユーザーインターフェース（又はグラフィカルユーザーインターフェース（ＧＵＩ）上のモバイルアプリケーションアイコン「アプリＡ」３３２をクリックする。アイコン「アプリＡ」３３２が開かれると、ユーザーは、図４Ｂに示すようにグラフィカルユーザーインターフェース上の「ＳＳＯ使用」アイコンを選択する。図４Ｂに示すように、次いでユーザーは、電子メール又はドメインを入力し、「ＳＰＳでログイン」でログインする。ステップ５０２において、（ＳＰＳクライアント上で動作している）ＳＰＳモバイルＳＳＯエージェントは、モバイル装置１１２のオペレーティングシステム（ＯＳ）で呼び出されるインテント（例えば、ｈａｎｄｌｅｒ：ＳｐｓＭｏｂｉｌｅ ＳｓｏＡｕｔｈＡｇｅｎｔ；／ｃａｌｌ＿ｂａｃｋ）を登録する。

【0042】

ステップ５０３において、モバイルアプリケーションは、ログインリクエスト（例えば、“ＧＥＴ：Ｌｏｇｉｎ”）をサービスプロバイダーＷｅｂサーバー（ＯＩＤＣ－ＲＰ）１２１に送信する。ステップ５０４において、サービスプロバイダーＷｅｂサーバー（ＯＩＤＣ－ＲＰ）１２１は、ＵＲＬリダイレクトレスポンス（例えば、３０２ Ｒｅｄｉｒｅｃｔ（例えば、ＵＲＬリダイレクション））をモバイルアプリケーション３３２に送信する。ステップ５０５において、モバイルアプリケーション３３２は、認証リクエスト（例えば、“ＧＥＴ：ＯＡｕｔｈ２ Ａｕｔｈ ＥｎｄＰｏｉｎｔ、Ｆｌｏｗ：Ａｕｔｈ Ｃｏｄｅ Ｆｌｏｗ，ｒｅｓｐ＿ｔｙｐｅ＝ｃｏｄｅ”）をアイデンティティプロバイダー、例えばＳＰＳ－Ａｕｔｈサービス（ＯＩＤＣ－ＯＰ）１３１に送信する。例示的な実施形態によれば、ステップ５０５において、認証リクエストは、ログインしたユーザーについての詳細（例えば、ユーザー名／ドメイン名）は何も含まない。ステップ５０６において、ＯＩＤＣ－ＯＰは、ステップ５０５におけるモバイルアプリケーションからの認証リクエストをチェックして、クッキー認証が存在する（例えば、クッキー認証が有効である）かどうか判定する。クッキー認証が有効である（すなわちクッキー認証が存在する）場合、処理はステップ５１５に続く。しかし、ステップ５０６においてクッキー認証が有効でない（すなわち認証クッキーが存在しない）場合、処理はステップ５０７に続き、ＯＩＤＣ－ＯＰ１３１はユーザーエージェントを発見し、対象のモバイル装置上のＳＰＳクライアント上のマッピングされた「登録されたモバイルＳＳＯ認証インテントハンドラー」コールバックを取得する。

【0043】

ステップ５０８において、ＯＩＤＣ－ＯＰ１３１は、「登録されたモバイルＳＳＯ認証インテントハンドラー」を訪問するようユーザーエージェントをリダイレクトするＵＲＬリダイレクションリクエスト（例えば、ＨＴＴＰ３０２）を構築する。ステップ５０９において、ＯＩＤＣ－ＯＰ１３１は、ＵＲＬリダイレクションレスポンス（例えば、３０２：ＳＰＳ Ｃｕｓｔｏｍ Ｍｏｂｉｌｅ Ａｐｐｌｉｃａｔｉｏｎ Ｒｅｄｉｒｅｃｔｉｏｎ，Ｒｅｄｉｒｅｃｔｉｏｎ Ｓｃｈｅｍｅ：“ＳｐｓＭｏｂｉｌｅＳｓｏＡｕｔｈＡｇｅｎｔ”，ｉｎｓｔｅａｄ ｏｆ ａ ｒｅｇｕｌａｒ “ｈｔｔｐｓ”）をモバイルアプリケーション３３２に送信する。ステップ５１０において、ＵＲＬリダイレクションレスポンス（例えば、ＨＴＴＰ ３０２ ｒｅｑｕｅｓｔ ｔｒｉｇｇｅｒｓ ＳｐｓＭｏｂｉｌｅＳｓｏＡｕｔｈＡｇｅｎｔ：／ｃａｌｌ＿ｂａｃｋ）がＳＰＳ－ＳＳＯエージェント（例えば、（ＳＰＳクライアント内で動作している）ＳＰＳモバイルＳｓｏエージェント）３２２に送信される。ステップ５１１において、ＳＰＳ－ＳＳＯエージェントは、現在のアクティブなＪＷＴ（すなわちトークン）（例えば、３０２：／ｍｏｂｉｌｅｉｄ／ｖ１／ｊｗｔ／（ＪＷＴ Ｖａｌｕｅ））をモバイルアプリケーション３３２に送信する。ステップ５１２において、ＳＰＳ－ＳＳＯエージェントから受信された現在のアクティブなＪＷＴがリクエスト（例えば、ＧＥＴ：／ｍｏｂｉｌｅｄｉ／ｖ１／ｊｗｔ／（ＪＷＴ Ｖａｌｕｅ））とともにＯＩＤＣ－ＯＰ１３１に送信される。

【0044】

ステップ５１３において、ＯＩＤＣ－ＯＰ１３１は、例えばＪＷＴ（すなわちトークン）を検証して、ＳＰＳエージェントに成りすましている「不正モバイルアプリ／エージェント」を排除する。ステップ５１４において、ＯＩＤＣ－ＯＰ１３１がＪＷＴ（すなわちトークン）を検証した場合、クッキーが作成される。ステップ５１５において、ＯＩＤＣ－ＯＰ１３１は、レスポンス（例えば、３０２ Ｒｅｄｉｒｅｃｔ ｗｉｔｈ ａ ｇｅｎｅｒａｔｅｄ ｓｅｓｓｉｏｎ Ｃｏｏｋｉｅ ｗｉｔｈ “ＯＩＤＣ Ｒｅｇｉｓｔｅｒｅｄ ＣａｌｌＢａｃｋ Ｐｌｅａｓｅ”）を送信し、作成されたクッキーは、認証コード（例えば、クッキー）がＵＲＬクエリストリングにおいて利用可能であることを示す。モバイルアプリケーション３３２は認証コードを受信し、ステップ５１６においてサービスのリクエスト（例えば、ＧＥＴ：ＯＤＩＣ Ｒｅｇｉｓｔｅｒｅｄ Ｃａｌｌｂａｃｋ，ｃｏｄｅ＝ＸＸＸＸＸ）をＯＩＤＣ－ＲＰ１２１に送信する。ステップ５１７において、ＯＩＤＣ－ＲＰはモバイルアプリケーション３３２からのリクエストを受信し、ユーザーを認証するようリクエストをＯＩＤＣ－ＯＰ１３１に送信する（例えば、ＰＯＳＴ：ＩＤ Ｔｏｋｅｎ Ｒｅｑｕｅｓｔ（Ｅｘｃｈａｎｇｅ），Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ ＝ ＸＸＸＸＸ）。ステップ５１８において、ＯＩＤＣ－ＯＰ１３１はリクエストを受信し、（ＪＷＴ（すなわちトークン）及び対応するクッキーによって）ユーザーが認証されたことを確認し、ＯＫサクセスステータスレスポンス（例えば、ＨＴＴＰ ２００ ＯＫ：ＩＤ Ｔｏｋｅｎ －－－－＞ ＪＷＴ ｗｈｉｃｈ Ｂａｓｅ－６４ Ｅｎｃｏｄｅｄ ＩＤ Ｔｏｋｅｎ，Ｓｉｇｎｅｄ ｂｙ ＳＰＳ）をＯＩＤＣ－ＲＰ１２１に送信する。ステップ５１９において、ＯＩＤＣ－ＲＰ１２１は、ＪＷＴ（すなわちトークン）が確認され、リクエストが成功したことを示すレスポンス（例えば、２００ ＯＫ：ＩＤ Ｔｏｋｅｎ ａｓ ＪＷＴ）をモバイルアプリケーションに送信する。ステップ５２０において、モバイルアプリケーションはサクセスレスポンスを受信し、アプリケーション又はサービスのリクエスト、例えば、“ＧＥＴ：Ｅｉｔｈｅｒ Ｈｏｍｅ Ｐａｇｅ ｏｒ ａｎｙ ｐａｇｅ ｒｅｆｅｒｒｉｎｇ ｔｏ Ｃｏｎｆｉｇｕｒｅｄ ‘ＳｔａｒｔＵＲＬ’ ＰａｒａｍをＯＩＤＣ－ＲＰ１２１に送信する。ステップ５２１において、ＯＩＤＣ－ＲＰはＩＤトークンを検証し、ＩＤトークンが有効であれば、ユーザーは認証されるものと見なされ、セッション識別子（ＩＤ）が作成される。ステップ５２２において、サクセスレスポンス（例えば、２００ ＯＫレスポンス）がモバイルアプリケーション３３２に送信される。

【0045】

図６Ａ及び図６Ｂは、ＳＡＭＬによるＳＳＯログインをサポートするネイティブモバイルアプリケーションのためのフローを例示するフローチャート６００である。図６Ａ及び図６Ｂに示すように、ステップ６０１において、モバイル装置（例えばスマートフォン）１１２を有するユーザーが、ユーザーインターフェース（又はグラフィカルユーザーインターフェース（ＧＵＩ）上のモバイルアプリケーションアイコン「アプリＢ」３３４をクリックする。アイコン「アプリＢ」３３４が開かれると、図４Ｂに示すように、ユーザーはグラフィカルユーザーインターフェース上で電子メールＩＤ及び／又はドメイン名を入力する。ステップ６０２において、（ＳＰＳクライアント上で動作している）ＳＰＳモバイルＳＳＯエージェント３２０は、モバイル装置１１２のＩＯＳ又はアンドロイド（登録商標）（ＯＳ）上にｈｔｔｐ：／／ｌｏｃａｌｈｏｓｔｅ／ｓｐｓ－ｓｓｏ－ｒｅｄｉｒｅｃｔ／”を登録する（すなわちホワイトリストされる）。

【0046】

ステップ６０３において、モバイルアプリケーション３３４は、リクエスト（例えば、“ＧＥＴ：Ｌｏｇｉｎ”）をサービスプロバイダーＷｅｂサーバー（ＳＡＭＬ－ＳＰ）１２０に送信する。ステップ６０４において、モバイルアプリケーション３３４からのリクエストに応答して、サービスプロバイダーＷｅｂサーバー（ＳＡＭＬ－ＳＰ）１２０は、認証リクエスト、例えば、ＳＰ起点のＳＡＭＬ２認証リクエストをＳＰＳ認証サービス（ＳＡＭＬ－ＩｄＰ）１３０に送信する。ＳＰＳ認証サービス（ＳＡＭＬ－ＩＤＰ）１３０への認証リクエスト（例えば、ＳＰ起点のＳＡＭＬ２認証リクエスト）は、ログインしたユーザーについての詳細（例えば、ユーザー名／ドメイン名）を何も含まない。ステップ６０５において、認証リクエスト（例えば、ＳＰ起点のＳＡＭＬ２認証リクエスト）がＳＰＳ認証サービス（ＳＡＭＬ－ＩＤＰ）１３０によって受信され、クッキー認証が有効かどうか判断する。クッキー認証が有効であれば、処理はステップ６１５に続く。しかし、クッキー認証が有効でなければ、処理はステップ６０６に続き、ＳＡＭＬ－ＩＤＰ１３０がユーザーエージェントを突き止め（又は発見し）、対象のモバイル装置のＳＰＳクライアント上に「登録されたモバイルＳＳＯ認証インテントハンドラー」コールバックをマッピングする。ステップ６０７において、ＳＡＭＬ－ＩｄＰ１３０は、ＵＲＬリダイレクションリクエストを構築する（例えば、「登録されたモバイルＳＳＯ認証インテントハンドラー」を訪問するようユーザーエージェントをリダイレクトする“Ｃｏｎｓｔｒｕｃｔ ａ ＨＴＴＰ３０２）。ステップ６０８において、ＳＡＭＬ－ＩｄＰ１３０は、ステップ６０９で作成された暗号化メッセージを含むＵＲＬリダイレクションリクエスト（例えば、“３０２：ＳＰＳ Ｃｕｓｔｏｍ Ｍｏｂｉｌｅ Ａｐｐ Ｒｅｄｉｒｅｃｔｉｏｎ，Ｒｅｄｉｒｅｃｔｉｏｎ Ｓｃｈｅｍｅ：ｈｔｔｐ：／／ｌｏｃａｌｈｏｓｔ／ｓｐｓ－ｓｓｏ－ｒｅｄｉｒｅｃｔ／ｃｈａｌｌｅｎｇｅ＝８９７１９８２ｊｈｊｈｓｂｊｈｓ）をモバイルアプリケーション３３４に送信する。図６Ｂに示すように、ステップ６０９において、ＳＡＭＬ－ＩｄＰ１３０は、「（このサーバー及びエージェントにのみ知られている）事前共有シークレットを復号化し、モバイル装置１１２上のエージェントをリダイレクトするためのレスポンスを送信する。

【0047】

ステップ６１０において、モバイルアプリケーション３３４は、ＳＡＭＬ－ＩｄＰ１３０によって提供される秘密鍵をステップ６１１において検証するために、リクエスト（例えば、“Ｔｒｉｇｇｅｒｓ ｈｔｔｐ：／／ｌｏｃａｌｈｏｓｔ／ｓｐｓ－ｓｓｏ－ｒｅｄｉｒｅｃｔ／ｃｈａｌｌｅｎｇｅ＝８９７１９８ｊｈｊｈｓｂｊｈｓ”）をＳＰＳ－ＳＳＯエージェント３２２に送信する（例えば、「暗号化されたチャレンジを認証サーバー公開鍵で検証し、成功した（サーバーのみが有するサーバーの秘密鍵によってチャレンジが暗号化された）場合、ＪＷＴを提供することによってさらに前進する。そうでなければリクエストを取り下げる（例えばレスポンスなし）。Ｅｎｄ ＳＳＯフローは、ｈｔｔｐがタイムアウトするまで、ユーザー側でハングアップする）。

【0048】

ステップ６１２において、ＳＰＳ－ＳＳＯエージェント３２２は、ＵＲＬリダイレクションレスポンスをモバイルアプリケーション３３４にＪＷＴ（トークン）（例えば、“３０２／ｍｏｂｉｌｅｉｄ ／ｖ１／ｊｗｔ（ＪＷＴ Ｖａｌｕｅ）／”）とともに送信する。ステップ６１３において、モバイルアプリケーション３３４は、ＪＷＴ（トークン）の検証を要請するリクエスト（例えば、“ＧＥＴ：／ｍｏｂｉｌｅｉｄ／ｖ１／ｊｗｔ／（ＪＷＴ ｖａｌｕｅ）／）をＳＡＭＬ－ＩｄＰ１３０に送信する。ステップ６１４において、ＳＡＭＬ－ＩｄＰ１３０は、モバイルアプリケーションからリクエストを受信し、ＪＷＴ（トークン）を検証する（例えば、「ＪＷＴを検証し、ＳＰＳエージェントに成りすましている不正なモバイルアプリ／エージェントを排除する」）。ステップ６１５において、ＪＷＴ（トークン）が有効であれば、ＳＡＭＬ－ＩＤＰ１３０は、ＳＡＭＬアサーション及びＳＡＭＬレスポンスを構築する。ステップ６１６において、ＳＡＭＬ－ＩＤＰ１３０は、ＵＲＬリダイレクションレスポンスをモバイルアプリケーション３３４に送信する（例えば、“３０２ Ｒｅｄｉｒｅｃｔ，ｗｉｔｈ ＳＡＭＬＲｅｓｐｏｎｓｅ ａｎｄ Ｇｅｎｅｒａｔｅｄ Ｓｅｓｓｉｏｎ Ｃｏｏｋｉｅ”）。ステップ６１７において、モバイルアプリケーションはＳＡＭＬレスポンスを受信し、ログインしたユーザーについてＳＡＭＬレスポンスをサービスプロバイダー（ＳＡＭＬ－ＳＰ）１２０に送信する。ステップ６１８において、ＳＡＭＬ－ＳＰ１２０は、ログインしたユーザーが認証されたことを示すサクセスレスポンスをモバイルアプリケーション３３４に送信する（例えば、“２００ ＯＫ：ＳＡＭＬ Ｒｅｓｐｏｎｓｅ Ｖｅｒｉｆｉｅｄ， Ｕｓｅｒ ｉｓ Ａｕｔｈｅｎｔｉｃａｔｅｄ， ＳＰ’ｓ Ｏａｕｔｈ２ ａｃｃｅｓｓ ｔｏｋｅ ｔｈｅ ｎａｔｉｖｅ Ｍｏｂｉｌｅ Ａｐｐｌｉｃａｔｉｏｎ ｃａｎ ｕｓｅ ｔｏｗａｒｄｓ ｔｈｅ ｕｓｅｒ）。ステップ６１９において、モバイルアプリケーション（すなわちＢｏｘネイティブアプリケーション）のユーザーは、「ｂｏｘ認証された」ユーザーとして扱われ、ＳＡＭＬ－ＳＰ１２０上のサービスへのアクセスはすべてＯａｕｔｈ２アクセストークンを伴う。

【0049】

例示的な実施形態によれば、開示されている方法及びプロセスは、非一時的なコンピューター読み取り可能媒体上で実施されることができる。非一時的なコンピューター読み取り可能媒体は、磁気記録媒体、光磁気記録媒体、又は将来開発されることになるいずれかの他の記録媒体であってもよく、すべて同じやり方で本発明に適用可能であると考えることができる。主要な複製製品及び二次的な複製製品等を含むそのような媒体の複製は、もちろん上記の媒体と同等であると考えられる。さらに、本発明の実施形態がソフトウェア及びハードウェアの組合せであっても、発明の概念からは全く逸脱しない。本開示は、そのソフトウェア部分が予め記録媒体に書き込まれており、動作において必要に応じて読み込まれることになるように実施されても良い。

【0050】

ここで使用される限りにおいて、単数で記載され「ａ」又は「ａｎ」という語が前に付けられた要素又はステップは、明示的に記載されない限り、複数の要素又はステップを除外していないと理解されるべきである。さらに、本開示の「例示的な実施形態」又は「一実施形態」という言及は、記載されている特徴を同じく組み込んだ追加的な例の存在を除外すると解釈されることを意図していない。

【0051】

本書類の末尾にある特許請求項は、従来のミーンズプラスファンクション文言が明確に記載されていない限り、例えば「ための手段」又は「ためのステップ」という文言が請求項に明確に記載されていない限り、３５Ｕ．Ｓ．Ｃ．§１１２（ｆ）に基づいて解釈されることを意図していない。

【0052】

発明の範囲又は精神から逸脱することなく本発明の構造に様々な変形及び変更を行うことができることは、当業者にとっては明らかであろう。以上に鑑み、本発明は、下記の請求項及びそれらの等価物の範囲に入るならば本発明の変形及び変更を対象とすることが意図される。

【図1】

【図2】

【図3A】

【図3B】

【図4A】

【図4B】

【図5A】

【図5B】

【図6A】

【図6B】