2022-517548 リモートアクセスの容易化 （関連出願の相互参照） 本出願は、その内容および教示全体が参照により本明細書に組み込まれる、２０１８年１２月３１日に出願された米国仮出願第６２／７８６，８１３号の利益を主張する。

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2022-03-09

(54)【発明の名称】リモートアクセスの容易化 （関連出願の相互参照） 本出願は、その内容および教示全体が参照により本明細書に組み込まれる、２０１８年１２月３１日に出願された米国仮出願第６２／７８６，８１３号の利益を主張する。

(51)【国際特許分類】

   H04W 48/04 20090101AFI20220302BHJP

   H04W 64/00 20090101ALI20220302BHJP

   H04W 84/10 20090101ALI20220302BHJP

   H04W 88/04 20090101ALI20220302BHJP

   H04W 92/18 20090101ALI20220302BHJP

   H04W 12/08 20210101ALI20220302BHJP

   H04W 12/63 20210101ALI20220302BHJP

【ＦＩ】

H04W48/04

H04W64/00 120

H04W84/10

H04W88/04

H04W92/18

H04W12/08

H04W12/63

【審査請求】有

【予備審査請求】有

(21)【出願番号】P 2021538364

(86)(22)【出願日】2019-12-30

(85)【翻訳文提出日】2021-06-29

(86)【国際出願番号】 US2019068974

(87)【国際公開番号】W WO2020142446

(87)【国際公開日】2020-07-09

(31)【優先権主張番号】62/786,813

(32)【優先日】2018-12-31

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】508045099

【氏名又は名称】シトリックス・システムズ・インコーポレイテッド

【氏名又は名称原語表記】Ｃｉｔｒｉｘ Ｓｙｓｔｅｍｓ，Ｉｎｃ．

(74)【代理人】

【識別番号】100118913

【弁理士】

【氏名又は名称】上田 邦生

(74)【代理人】

【識別番号】100142789

【弁理士】

【氏名又は名称】柳 順一郎

(74)【代理人】

【識別番号】100201466

【弁理士】

【氏名又は名称】竹内 邦彦

(72)【発明者】

【氏名】ニヴェーディター オージャ

(72)【発明者】

【氏名】ステファン ウィルソン

(72)【発明者】

【氏名】デレク ソルスランド

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067AA21

5K067DD17

5K067DD20

5K067DD23

5K067DD24

5K067EE02

5K067EE16

5K067EE25

5K067JJ56

(57)【要約】

一態様では、認証を実施するための技法は、第１のデバイスが、ネットワーク接続を第１のデバイスと共有する第２のデバイスからセキュリティデータを受信することを含む。第１のデバイスは、ネットワーク上のセキュアなリソースへの認証を要求するとき、第２のデバイスから受信されたセキュリティデータを適用する。
別の態様では、コンピュータ化アクセスを管理するための技法は、ネットワーク接続を第１のコンピューティングデバイスと共有する第２のコンピューティングデバイスからロケーション情報を受信する第１のコンピューティングデバイスを含む。第１のコンピューティングデバイスは、ネットワーク上のリソースへのアクセスを要求するとき、第２のコンピューティングデバイスから受信されたロケーション情報を適用する。したがって、第１のコンピューティングデバイスは、認証強度を増加させるために、および／またはアクセス権の監督を容易にするために、第２のコンピューティングデバイスのプレゼンスと、第２のコンピューティングデバイスのロケーション情報とを活用する。
また別の態様では、技法は、団体による管理制御をコンピューティングデバイスのローカル環境におけるＩｏＴ（モノのインターネット）デバイスに拡張するために、管理されているコンピューティングデバイスを使用する。コンピューティングデバイスは、ローカルＩｏＴデバイスを発見し、これらのＩｏＴデバイスのうちの１つまたは複数を管理制御下に置くためにサーバとの通信に参加する。いくつかの例では、管理制御を拡張することは、選択されたＩｏＴデバイスを団体の管理フレームワークにエンロールすることと、管理されているデバイスを通してサーバとそれぞれのＩｏＴデバイスとの間の通信をダイレクトすることとを伴い、これは、ローカル環境における選択されたＩｏＴデバイスの管理を監督するためのポイントオブプレゼンスを提供する。
【選択図】図１１

【特許請求の範囲】

【請求項1】

コンピュータネットワークへの第１の接続を有する第１のデバイスによって、前記コンピュータネットワークへの第２の接続を有し、該第２の接続を前記第１のデバイスと共有する、第２のデバイスからセキュリティデータを受信することであって、前記セキュリティデータが、前記第２のデバイスとサーバとの間に前に確立された信用できる関係を示すことと、
前記第１のデバイスによって、前記コンピュータネットワーク上のセキュアなリソースにアクセスするための要求を前記サーバに送ることであって、前記要求が、前記第２のデバイスからの前記受信されたセキュリティデータに基づくインジケータを含み、該インジケータに少なくとも部分的に基づいて認証を実施するように前記サーバに指示することと、
前記第２のデバイスから受信された前記セキュリティデータに少なくとも部分的に基づく前記要求の認証に応答して、前記第１のデバイスによって、前記セキュアなリソースにアクセスすることと、
を含む方法。

【請求項2】

認証を実施するように前記サーバに指示することが、前記インジケータを認証ファクタとして提供することを含む請求項１に記載の方法。

【請求項3】

前記コンピュータネットワークへの前記第１の接続をＷｉ－Ｆｉ接続として確立することと、前記コンピュータネットワークへの前記第２の接続をセルラーデータ接続として確立することと、を含む請求項１に記載の方法。

【請求項4】

前記第２の接続をセルラーデータ接続として確立することが、前記第２の接続をＬＴＥ（ロングタームエボリューション）接続として提供することを含む請求項２に記載の方法。

【請求項5】

前記第２の接続を前記第１のデバイスと共有することが、（ｉ）Ｂｌｕｅｔｏｏｔｈ、（ｉｉ）Ｗｉ－Ｆｉ、または（ｉｉｉ）ケーブルのうちの１つを介して前記第１のデバイスを前記第２のデバイスと通信可能に結合することを含む請求項１に記載の方法。

【請求項6】

前記セキュアなリソースにアクセスすることが、前記第２の接続を介して前記セキュアなリソースと通信している前記第１のデバイスを含む請求項１に記載の方法。

【請求項7】

前記インジケータが前記第２のデバイスの識別情報の表現を含む請求項１に記載の方法。

【請求項8】

前記インジケータが、前記第２のデバイスによって作り出されたまたは獲得されたセキュアトークンを含み、認証を実施するように前記サーバに指示することが、前記セキュアトークンを認証ファクタとして前記サーバに提供することを含む請求項１に記載の方法。

【請求項9】

前記セキュアなリソースにアクセスすることが、
前記第１のデバイスが前記第１の接続を介して前記セキュアなリソースと通信することと、
前記第１の接続を通した信号強度の低減に応答して、前記第１のデバイスが前記第２の接続を介して前記セキュアなリソースと通信することと、
を含む請求項１に記載の方法。

【請求項10】

前記第２のデバイスから前記セキュリティデータを受信することが、前記第１のデバイスが前記第２のデバイスに通信可能に結合されたことに応答して実施される請求項１に記載の方法。

【請求項11】

コンピュータネットワークへの第１の接続と制御回路とを備えるコンピュータ化デバイスであって、前記制御回路が、
前記コンピュータネットワークへの第２の接続を有し、該第２の接続をコンピュータ化デバイスと共有する、第２のデバイスからセキュリティデータを受信することであって、前記セキュリティデータが、前記第２のデバイスとサーバとの間に前に確立された信用できる関係を示すことと、
前記コンピュータネットワーク上のセキュアなリソースにアクセスするための要求を前記サーバに送ることであって、前記要求が、前記第２のデバイスからの前記受信されたセキュリティデータに基づくインジケータを含み、該インジケータに少なくとも部分的に基づいて認証を実施するように前記サーバに指示することと、
前記第２のデバイスから受信された前記セキュリティデータに少なくとも部分的に基づく前記要求の認証に応答して、前記セキュアなリソースにアクセスすることと、
を行うように構築および構成されたコンピュータ化デバイス。

【請求項12】

前記コンピュータネットワークへの前記第１の接続がＷｉ－Ｆｉ接続であり、前記コンピュータネットワークへの前記第２の接続がセルラーデータ接続であり、前記コンピュータ化デバイスが、（ｉ）Ｂｌｕｅｔｏｏｔｈ、（ｉｉ）Ｗｉ－Ｆｉ、または（ｉｉｉ）ケーブルのうちの１つを介して前記第２の接続を前記第２のデバイスと共有する請求項１１に記載のコンピュータ化デバイス。

【請求項13】

前記インジケータが前記第２のデバイスの識別情報の表現を含む請求項１１に記載のコンピュータ化デバイス。

【請求項14】

前記インジケータが、前記第２のデバイスによって作り出されたまたは獲得されたセキュアトークンを含む請求項１１に記載のコンピュータ化デバイス。

【請求項15】

セキュアなリソースにアクセスするための認証要求を第１のデバイスから受信することであって、前記認証要求が、ネットワーク接続を提供するための、前記第１のデバイスが結合された第２のデバイスから前記第１のデバイスによって取得されるセキュリティデータに基づくインジケータを含むことと、
前記認証要求を受信したことに応答して、前記インジケータに少なくとも部分的に基づいて認証を実施することと、
前記要求の認証に応答して、前記第１のデバイスに前記セキュアなリソースへのアクセスを提供することと、
を含む方法。

【請求項16】

前記認証を実施することが、前記インジケータを認証ファクタとして提供することを含む請求項１５に記載の方法。

【請求項17】

前記インジケータを提供することが、前記第２のデバイスの識別情報の表現を提供することを含む請求項１５に記載の方法。

【請求項18】

認証を実施することが、（ｉ）前記第２のデバイスの前記識別情報を検査することと、（ｉｉ）前記第１のデバイスが前記第２のデバイスに通信可能に結合されたことを確認することと、を含む請求項１７に記載の方法。

【請求項19】

前記インジケータが、前記第２のデバイスによって作り出されたまたは獲得されたセキュアトークンを含み、認証を実施することが、前記セキュアトークンを認証ファクタとして使用することを含む請求項１５に記載の方法。

【請求項20】

サーバ内の、またはサーバを介してアクセス可能なリソースにアクセスするための認証要求を第１のデバイスから受信することであって、前記認証要求が、ネットワーク接続を提供するための、前記第１のデバイスが結合された第２のデバイスから前記第１のデバイスによって取得されるセキュリティデータに基づくインジケータを含むことと、
前記認証要求の受信に応答して、前記インジケータに少なくとも部分的に基づいて前記第１のデバイスからの前記要求の認証を実施することと、
前記要求の認証に応答して、前記第１のデバイスに前記リソースへのアクセスを提供することと、
を行うように構築および構成された制御回路を備えるサーバ。

【請求項21】

認証を実施することが、（ｉ）前記第２のデバイスの識別情報を検査することと、（ｉｉ）前記第１のデバイスが前記第２のデバイスに通信可能に結合されたことを確認することと、を含む請求項２０に記載のサーバ装置。

【請求項22】

前記インジケータが、前記第２のデバイスによって作り出されたまたは獲得されたセキュアトークンを含み、認証を実施することが、前記セキュアトークンを認証ファクタとして使用することを含む請求項２０に記載のサーバ装置。

【請求項23】

認証を実施することが、前記インジケータならびに前記第１のデバイスから受信された追加の認証ファクタのセットを検証することを含む請求項２０に記載のサーバ装置。

【請求項24】

第１のコンピューティングデバイスによって、第２のコンピューティングデバイスからデータを受信することであって、前記データが前記第２のコンピューティングデバイスのロケーションを示し、前記第２のコンピューティングデバイスがコンピュータネットワークへの接続を有することと、
前記第１のコンピューティングデバイスによって、前記第２のコンピューティングデバイスからの前記受信されたデータに少なくとも部分的に基づいてロケーションインジケータを決定することと、
前記第１のコンピューティングデバイスによって、前記コンピュータネットワークのリソースにアクセスするための要求を送ることであって、前記要求が、前記決定されたロケーションインジケータを含むことと、
前記第１のコンピューティングデバイスによって、前記リソースにアクセスするための許可に応答して前記コンピュータネットワークの前記リソースにアクセスすることであって、前記許可が、前記要求に応答して、および前記決定されたロケーションインジケータに少なくとも部分的に基づいて許諾され、前記第２のコンピューティングデバイスから受信された前記ロケーションインジケータが、ロケーションに少なくとも部分的に基づいて前記リソースへの前記第１のコンピューティングデバイスによるアクセスを可能にするために、前記第１のコンピューティングデバイスのロケーションのインジケーションを提供することと、
を含む方法。

【請求項25】

前記第２のコンピューティングデバイスが、前記コンピュータネットワークへの前記接続を前記第１のコンピューティングデバイスと共有し、ロケーション情報を受信することが、前記第１のコンピューティングデバイスと前記第２のコンピューティングデバイスとの間のローカル接続上で、前記第２のコンピューティングデバイスから前記ロケーション情報を取得することを含む請求項２４に記載の方法。

【請求項26】

前記第２のコンピューティングデバイスが、（ｉ）モバイルデバイスまたは（ｉｉ）セルラードングルのうちの１つであり、前記ローカル接続上で前記ロケーション情報を取得するとき、前記第１のコンピューティングデバイスが、（ｉ）Ｂｌｕｅｔｏｏｔｈ、（ｉｉ）Ｗｉ－Ｆｉ、または（ｉｉｉ）ケーブルのうちの１つを使用して前記ローカル接続上で前記第２のコンピューティングデバイスにテザリングされる請求項２５に記載の方法。

【請求項27】

前記要求を送ることが、前記第２のコンピューティングデバイスによって前記第１のコンピューティングデバイスと共有される共有接続上で前記要求を送信することを含む請求項２５に記載の方法。

【請求項28】

前記第１のコンピューティングデバイスが、前記共有接続とは別個の、前記コンピュータネットワークへの第２の接続を有し、前記アクセス要求を送ることが、前記第２の接続上で前記アクセス要求を送信することを含む請求項２５に記載の方法。

【請求項29】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記ロケーション情報が第２のロケーション情報であり、
前記方法が、前記第１のコンピューティングデバイスによって、前記第１のコンピューティングデバイスの第１のロケーション情報を取得することを含み、
前記ロケーションインジケータを形成することが、前記第１のロケーション情報および前記第２のロケーション情報に少なくとも部分的に基づく請求項２５に記載の方法。

【請求項30】

前記第１のコンピューティングデバイスの前記第１のロケーション情報を取得することが、前記第１のコンピューティングデバイスが属するＷｉ－Ｆｉネットワークを識別することを含む請求項２９に記載の方法。

【請求項31】

前記第２のコンピューティングデバイスの前記第２のロケーション情報を取得することが、前記第２のコンピューティングデバイスのＧＰＳ（全地球測位システム）座標を受信することを含む請求項２９に記載の方法。

【請求項32】

前記第２のコンピューティングデバイスの前記第２のロケーション情報を取得することが、前記第２のコンピューティングデバイスのＩＰ（インターネットプロトコル）アドレスを識別することを含む請求項２９に記載の方法。

【請求項33】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記ロケーション情報が第２のロケーション情報であり、前記方法が、
前記ローカル接続上で前記第１のコンピューティングデバイスによって、前記第２のコンピューティングデバイスの前記ロケーションを示す第３のロケーション情報を取得することであって、前記第３のロケーション情報が前記第２のロケーション情報のソースとは別個のソースから導出されることを含み、
前記ロケーションインジケータを形成することが、前記第１のロケーション情報、前記第２のロケーション情報および前記第３のロケーション情報に少なくとも部分的に基づく請求項２５に記載の方法。

【請求項34】

サーバによって、コンピュータネットワーク上で第１のコンピューティングデバイスから要求を受信することであって、前記要求が、前記コンピュータネットワーク上のリソースにアクセスするためのものであり、ロケーションインジケータを含み、前記ロケーションインジケータが、第２のコンピューティングデバイスのロケーションを示すデータに少なくとも部分的に基づくことと、
前記サーバによって、前記受信された要求の前記ロケーションインジケータに少なくとも部分的に基づいて、前記ロケーションインジケータによって示されたロケーションが、前記コンピュータネットワークの前記リソースにアクセスするための許可されたロケーションに一致することを検証することと、
前記ロケーションの前記検証に応答して、前記サーバによって、前記コンピュータネットワーク上の前記リソースへのアクセスを前記第１のコンピューティングデバイスに許諾することと、
を含む方法。

【請求項35】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記データが第２のロケーション情報であり、前記ロケーションインジケータが、前記第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、
前記方法が、前記第１のコンピューティングデバイスの前記第１のロケーション情報および前記第２のコンピューティングデバイスの前記第２のロケーション情報に少なくとも部分的に基づいて代表的ロケーションを確立することを含み、
前記ロケーションインジケータが前記許可されたロケーションに一致することを検証することが、前記代表的ロケーションが前記許可されたロケーションと整合することを確認することを含む請求項３４に記載の方法。

【請求項36】

前記ロケーションインジケータが、前記第２のコンピューティングデバイスの第３のロケーション情報に少なくとも部分的に基づき、前記第３のロケーション情報が、前記第２のロケーション情報のソースとは別個のソースから導出され、
代表的ロケーション情報を生成することが、少なくとも前記第１のロケーション情報、前記第２のロケーション情報、および前記第３のロケーション情報に基づいて地理的ロケーションを組み合わせることを含み、
前記代表的ロケーション情報が許可されたロケーションと整合することを確認することが、前記第１のロケーション情報、前記第２のロケーション情報および前記第３のロケーション情報に少なくとも部分的に基づく請求項３５に記載の方法。

【請求項37】

前記代表的ロケーションを生成することが、前記第１のロケーション情報および前記第２のロケーション情報に少なくとも部分的に基づいて重心を作り出すことを含み、前記重心が、前記第１のロケーション情報および前記第２のロケーション情報に少なくとも部分的に基づく地理的中心を示す請求項３５に記載の方法。

【請求項38】

前記第１のロケーション情報および前記第２のロケーション情報に信頼性スコアを割り当てることと、前記重心を作り出すときに前記信頼性スコアを重みとして適用することと、を含む請求項３７に記載の方法。

【請求項39】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記データが第２のロケーション情報であり、前記ロケーションインジケータが、前記第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、前記第１のロケーション情報が、前記第１のコンピューティングデバイスが接続されたワイヤレスネットワークのＷｉ－Ｆｉ識別子を含み、前記方法が、前記Ｗｉ－Ｆｉ識別子を前記第１のコンピューティングデバイスの地理的ロケーションに変換することを含む請求項３４に記載の方法。

【請求項40】

前記第２のロケーション情報が前記第２のコンピューティングデバイスのＩＰ（インターネットプロトコル）アドレスを含み、前記方法が、前記ＩＰアドレスを前記第２のコンピューティングデバイスの地理的ロケーションに変換することを含む請求項３９に記載の方法。

【請求項41】

前記第２のコンピューティングデバイスのロケーション情報が、前記第２のコンピューティングデバイスのＧＰＳ（全地球測位システム）座標を含み、前記ロケーションインジケータによって示された前記ロケーションが許可されたロケーションに一致することを検証することが、前記第２のコンピューティングデバイスの前記ＧＰＳ座標が、所定の距離しきい値内まで、許可されたロケーションのＧＰＳ座標と整合することを確認することを含む請求項３４に記載の方法。

【請求項42】

コンピュータネットワーク上で第１のコンピューティングデバイスから要求を受信することであって、前記要求が、前記コンピュータネットワーク上のリソースにアクセスするためのものであり、ロケーションインジケータを含み、前記ロケーションインジケータが、第２のコンピューティングデバイスのロケーションを示すデータに少なくとも部分的に基づくことと、
前記受信された要求の前記ロケーションインジケータに少なくとも部分的に基づいて、前記ロケーションインジケータによって示されたロケーションが、前記コンピュータネットワークの前記リソースにアクセスするための許可されたロケーションと整合することを検証することと、
前記ロケーションの前記検証に応答して、前記コンピュータネットワーク上の前記リソースにアクセスすることを前記第１のコンピューティングデバイスに許諾することと、
を行うように構成される制御回路を備えるサーバ。

【請求項43】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記データが第２のロケーション情報であり、
前記ロケーションインジケータが、前記第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、
前記制御回路が、少なくともロケーション情報の第１のセットおよびロケーション情報の第２のセットに基づいて地理的ロケーションを組み合わせて、ロケーション情報の前記第１のセットおよびロケーション情報の前記第２のセットに少なくとも部分的に基づいて代表的ロケーションを生成するように構成され、前記ロケーションを検証するように構成された前記制御回路が、前記代表的ロケーションが許可されたロケーションと整合することを確認するように構成される請求項４２に記載のサーバ。

【請求項44】

前記制御回路が、前記代表的ロケーションを重心として作り出すように構成され、前記重心が、少なくとも前記第１のロケーション情報および前記第２のロケーション情報によって形成される地理的中心を示す請求項４３に記載のサーバ。

【請求項45】

コンピューティングデバイスによって、該コンピューティングデバイスの周りの環境におけるＩｏＴ（モノのインターネット）デバイスを走査するための要求を処理することであって、前記コンピューティングデバイスが、エンティティによって管理され、コンピュータネットワーク上で前記エンティティのサーバに通信可能に結合されることと、
前記コンピューティングデバイスによって、前記環境におけるＩｏＴデバイスのセットを発見することであって、ＩｏＴデバイスの前記セットが前記エンティティによって管理されていないことと、
前記コンピューティングデバイスによって、前記エンティティによる管理制御をＩｏＴデバイスの前記セットに拡張するために前記サーバとの通信に参加することであって、前記管理制御は、ＩｏＴデバイスの前記セットが前記エンティティの１つまたは複数のポリシーに従って動作することを可能にすることと、
を含む方法。

【請求項46】

前記コンピューティングデバイスが、前記サーバからのデータイングレスをＩｏＴデバイスの前記セットにルーティングすることと、ＩｏＴデバイスの前記セットからのデータエグレスを前記サーバにルーティングすることとを含む請求項４５に記載の方法。

【請求項47】

前記コンピューティングデバイスがハブであり、ＩｏＴデバイスの前記セットがそれぞれのスポークを介して前記ハブに動作可能に接続する論理ネットワークを形成することと、
前記論理ネットワークの前記ハブとして働く前記コンピューティングデバイスを通してＩｏＴデバイスの前記セットと前記サーバとの間の通信をダイレクトすることと、
を含む請求項４６に記載の方法。

【請求項48】

ＩｏＴデバイスの前記セットのための管理ポリシーを展開することであって、前記管理ポリシーが前記エンティティによって定義されることを含む請求項４７に記載の方法。

【請求項49】

前記管理ポリシーを展開することが、ＩｏＴデバイスの前記セットのうちの少なくとも１つについて、悪意のあるコードについてそれぞれのＩｏＴデバイスを走査することを含む請求項４８に記載の方法。

【請求項50】

前記管理ポリシーを展開することが、ＩｏＴデバイスの前記セットのうちの少なくとも１つについて、前記それぞれのＩｏＴデバイス上のソフトウェアおよび／またはファームウェアを更新することを含む請求項４８に記載の方法。

【請求項51】

前記管理ポリシーを展開することが、ＩｏＴデバイスの前記セットのうちの少なくとも１つについて、前記それぞれのＩｏＴデバイス上にスキルのセットをインストールすることであって、前記スキルが前記エンティティのために開発されることを含む請求項４８に記載の方法。

【請求項52】

前記コンピューティングデバイス上のソフトウェア構成要素を稼働することと、
前記ソフトウェア構成要素の入力のためのソースおよび／または出力のための宛先になるようにＩｏＴデバイスの前記セットのうちの少なくとも１つに指示することと、
を含む請求項４８に記載の方法。

【請求項53】

前記ソフトウェア構成要素が該ソフトウェア構成要素の入力および／または出力のためにＩｏＴデバイスの前記セットのうちの前記少なくとも１つを使用することを可能にするように、ユーザに促すことを含む請求項５２に記載の方法。

【請求項54】

前記ソフトウェア構成要素の入力および／または出力を提供するための、ＩｏＴデバイスの前記セットのうちの複数のＩｏＴデバイスの間のアクティビティを調整することを含む、請求項５２に記載の方法。

【請求項55】

ＩｏＴデバイスの前記セットのうちのＩｏＴデバイスとの通信を確立した後に、前記コンピューティングデバイスが、ＩｏＴデバイスとの通信を前記サーバにハンドオフすることと、次いで、前記ＩｏＴデバイスが、前記コンピューティングデバイスを通してデータをルーティングすることなしに前記サーバと通信することと、を含む請求項４８に記載の方法。

【請求項56】

スキルの前記セットが、前記サーバから団体のリソースにアクセスするためのボイスアシスタントとしてＩｏＴデバイスを動作させるスキルを含む請求項５１に記載の方法。

【請求項57】

スキルの前記セットが、前記コンピューティングデバイスの機能を制御するためのボイスアシスタントとしてＩｏＴデバイスを動作させるスキルを含み、前記方法が、前記コンピューティングデバイスがボイスコマンドに基づいて前記ＩｏＴデバイスからの制御入力に応答することを含む請求項５１に記載の方法。

【請求項58】

前記コンピューティングデバイスが、前記サーバとの特定用途向けＶＰＮ（仮想プライベートネットワーク）を確立することと、前記特定用途向けＶＰＮを通して前記サーバとＩｏＴデバイスの前記セットとの間でネットワークトラフィックを伝達することと、を含む請求項４７に記載の方法。

【請求項59】

コンピューティングデバイスの周りの環境におけるＩｏＴ（モノのインターネット）デバイスを走査するための要求を処理することであって、前記コンピューティングデバイスがエンティティによって管理されることと、
前記環境におけるＩｏＴデバイスのセットを発見することであって、ＩｏＴデバイスの前記セットが前記エンティティによって管理されていないことと、
前記エンティティによる管理制御をＩｏＴデバイスの前記セットに拡張するために前記エンティティのサーバとの通信に参加することであって、前記管理制御は、ＩｏＴデバイスの前記セットが前記エンティティの１つまたは複数のポリシーに従って動作することを可能にすることと、
を行うように構成される制御回路を備えるコンピューティングデバイス。

【請求項60】

前記制御回路が、
前記コンピューティングデバイスがハブであり、ＩｏＴデバイスの前記セットが前記ハブのそれぞれのスポークである、論理ネットワークを形成することと、
前記論理ネットワークの前記ハブとして働く前記コンピューティングデバイスを通してＩｏＴデバイスの前記セットと前記サーバとの間の通信をダイレクトすることと、
を行うように構成される請求項５９に記載のデバイス。

【請求項61】

前記制御回路が、
前記コンピューティングデバイス上のソフトウェア構成要素を稼働することと、
前記ソフトウェア構成要素の入力のためのソースおよび／または出力のための宛先になるようにＩｏＴデバイスの前記セットのうちの少なくとも１つに指示することと、
を行うように構成される請求項６０に記載のデバイス。

【請求項62】

サーバによって、コンピューティングデバイスから、該コンピューティングデバイスがすでにエンロールされた団体にＩｏＴデバイスをエンロールするための要求を受信することであって、前記ＩｏＴデバイスが、管理されているデバイスの周りの環境において配設されることと、
前記要求を受信したことに応答して、前記ＩｏＴデバイスが前記団体の１つまたは複数のポリシーに従うことになるように前記ＩｏＴデバイスを前記団体にエンロールするために、前記サーバによって、前記コンピューティングデバイスとの通信に参加することと、
前記サーバによって、前記コンピューティングデバイスを介して前記エンロールされたＩｏＴデバイスと通信することと、
を含む方法。

【請求項63】

悪意のあるコードについて前記ＩｏＴデバイスを走査するように前記コンピューティングデバイスに指示することを含む請求項６２に記載の方法。

【請求項64】

前記エンロールされたＩｏＴデバイスと通信することが、前記サーバと前記コンピューティングデバイス上で稼働しているソフトウェア構成要素との間に確立された特定用途向けＶＰＮ（仮想プライベートネットワーク）上で行われる請求項６２に記載の方法。

【請求項65】

前記ＩｏＴデバイスに関するデータを前記コンピューティングデバイスのユーザのユーザプロファイルに追加することと、
ソフトウェア特徴を動作させるための要求を前記コンピューティングデバイスから受信することと、
前記ソフトウェア特徴を動作させるための前記要求を受信したことに応答して、（ｉ）前記ユーザプロファイルから前記ＩｏＴデバイスを識別することと、（ｉｉ）前記ソフトウェア構成要素の入力および／または出力を提供するために前記ＩｏＴデバイスを使用するように前記ユーザに促すように、前記コンピューティングデバイス上の前記ソフトウェア構成要素に指示することと、
を含む請求項６２に記載の方法。

【発明の詳細な説明】

【背景技術】

【0001】

現代のコンピューティングデバイスは、複数のネットワーク接続をサポートすることが一般的である。たとえば、ラップトップコンピュータは、イーサネット（登録商標）、Ｗｉ－Ｆｉ（ＩＥＥＥ８０２．１１ｘ）、および／またはセルラーネットワーク接続をサポートし得る。あるネットワーク接続が失敗した場合、ユーザは、たとえば、ラップトップ上のネットワーク設定にアクセスし、異なるネットワークを選択することによって、ネットワークを変更するオプションを有する。

【0002】

いくつかのデバイスは、ネットワーク接続を自動的に変更する。たとえば、スマートフォンのユーザは、スマートフォンがＷｉ－Ｆｉに接続された自宅でポッドキャストを聴き始め得るが、次いで、外で聴き続けることにすることがある。ユーザがＷｉ－Ｆｉ範囲から出たとき、スマートフォンは、Ｗｉ－Ｆｉの喪失を検出し、セルラーサービスに切り替える。十分なバッファリングがある場合、遷移はシームレスであるように見えることがあり、ユーザは、接続失敗があり、次いでＷｉ－Ｆｉからセルラーサービスへのフェイルオーバがあったことに決して気づかないことがある。

【発明の概要】

【0003】

残念ながら、いくつかのアプリケーションは、アプリケーションが稼働するデバイスがネットワークを切り替えたとき、シームレスな遷移をサポートしない。たとえば、リアルタイム対話性を伴うウェブ会議のようなアプリケーションは、ネットワーク接続が変化したとき、一時的にフリーズし得る。いくつかの場合には、新しい接続を確立することは、ハンドシェイキングまたは他の通信を必要とし得、これは、アウテージの持続時間を延長することがある。アウテージがほんの一瞬であったとしても、アウテージは依然としてフラストレーションおよび不快感を引き起こし、ユーザエクスペリエンスを低下させることがある。

【0004】

第１の態様によれば、本明細書で開示される技法は、同時に複数のネットワーク経路を維持し、ネットワーク経路を通して冗長的に同じデータを交換し、受信機が、データのソースとしてネットワーク経路のうちの１つを選択することを可能にする。第１の、現在選択されているネットワーク経路が弱くなった場合、たとえば、受信機は、データのソースを第２のネットワーク経路に自動的におよびシームレスに切り替えることができるが、第１のネットワーク経路は動作可能のままである。第２のネットワーク経路がすでにオンであり、データを伝達しているとすれば、遷移はほぼ瞬時である。ネットワークデッドゾーンまたは干渉を有する環境中で稼働している高度対話型アプリケーションでさえ、概してダウンタイムなしで、完全に機能的なままであり得る。

【0005】

いくつかの構成では、第１のデバイスが、第２のデバイスに動作可能に結合することによってネットワークへの追加の接続を確立し得る。たとえば、第１のデバイスは、Ｗｉ－Ｆｉに接続し得、たとえば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、Ｗｉ－Ｆｉ、またはケーブルを介して第２のデバイスにも接続し得、第２のデバイスは、第２のデバイスのネットワーク接続を第１のデバイスと共有するように構成される。その場合、第１のデバイスは、第１のデバイス自体のＷｉ－Ｆｉ接続と、第２のデバイスからの共有接続の両方を使用することが可能である。

【0006】

したがって、第１のデバイスは、追加のネットワーク経路を有することの信頼性から利益を得ることができる。この第１の態様が、認証を実施するときのセキュリティおよび／またはユーザ利便性の向上にも役立つことがわかった。

【0007】

これらの傾向に沿って、および第２の態様によれば、改善された認証技法は、ネットワーク接続を第１のデバイスと共有する第２のデバイスからセキュリティデータを受信する第１のデバイスを含む。第１のデバイスは、ネットワーク上のセキュアな（ｓｅｃｕｒｅｄ）リソースへの認証を要求するとき、第２のデバイスから受信されたセキュリティデータを適用する。たとえば、セキュリティデータは、トークンコード、または第２のデバイスに関する識別情報など、トークンとして使用され得る他のデータを含み得る。改善された技法を使用して、第１のデバイスは、認証強度および／または利便性を増加させるために第２のデバイスのプレゼンス（ｐｒｅｓｅｎｃｅ）を効果的に活用する。ユーザが関与する場合、いくつかの実施形態は、自動的におよびユーザにとって透過的に進行し、ユーザエクスペリエンスならびにセキュリティを促進し得る。

【0008】

以下の段落（Ｍ１－１）～（Ｍ１－９）は、本開示に従って実装され得る方法の例について説明する。
（Ｍ１－１） 方法は、コンピュータネットワークへの第１の接続を有する第１のデバイスによって、コンピュータネットワークへの第２の接続を有し、第２の接続を第１のデバイスと共有する、第２のデバイスからセキュリティデータを受信することであって、セキュリティデータが、第２のデバイスとサーバとの間に前に確立された信用できる関係を示すことを含む。本方法は、第１のデバイスによって、コンピュータネットワーク上のセキュアなリソースにアクセスするための要求をサーバに送ることであって、要求が、第２のデバイスからの受信されたセキュリティデータに基づくインジケータを含み、インジケータに少なくとも部分的に基づいて認証を実施するようにサーバに指示することをさらに含む。第２のデバイスから受信されたセキュリティデータに少なくとも部分的に基づく要求の認証に応答して、本方法は、第１のデバイスによって、セキュアなリソースにアクセスすることをさらに含む。
（Ｍ１－２） 方法は、段落（Ｍ１－１）において説明されたように実施され得、インジケータを認証ファクタとして提供することをさらに伴い得る。
（Ｍ１－３） 別の方法は、段落（Ｍ１－１）～（Ｍ１－２）のいずれか１つにおいて説明されたように実施され得、コンピュータネットワークへの第１の接続をＷｉ－Ｆｉ接続として確立することと、コンピュータネットワークへの第２の接続をセルラーデータ接続として確立することとをさらに伴う。いくつかの変形態によれば、セルラーデータ接続はＬＴＥ（ロングタームエボリューション）接続として確立される。
（Ｍ１－４） 別の方法は、段落（Ｍ１－１）～（Ｍ１－３）のいずれか１つにおいて説明されたように実施され得、第１のデバイスが、（ｉ）Ｂｌｕｅｔｏｏｔｈ、（ｉｉ）Ｗｉ－Ｆｉ、または（ｉｉｉ）ケーブルのうちの１つを介して第２の接続を第２のデバイスと共有することをさらに伴い得る。
（Ｍ１－５） 別の方法は、段落（Ｍ１－１）～（Ｍ１－４）のいずれか１つにおいて説明されたように実施され得、セキュアなリソースにアクセスすることは、第１のデバイスが、第２の接続を介してセキュアなリソースと通信することを含む。
（Ｍ１－６） 別の方法は、段落（Ｍ１－１）～（Ｍ１－５）のいずれか１つにおいて説明されたように実施され得、インジケータが第２のデバイスの識別情報の表現を含むことをさらに伴い得る。
（Ｍ１－７） 別の方法は、段落（Ｍ１－１）～（Ｍ１－６）のいずれか１つにおいて説明されたように実施され得、インジケータが、第２のデバイスによって作り出されたまたは獲得されたセキュア（ｓｅｃｕｒｅ）トークンを含むことをさらに伴い得、認証を実施するようにサーバに指示することが、セキュアトークンを認証ファクタとしてサーバに提供することを含む。
（Ｍ１－８） 別の方法は、段落（Ｍ１－１）～（Ｍ１－７）のいずれか１つにおいて説明されたように実施され得、セキュアなリソースにアクセスすることは、第１のデバイスが、第１の接続を介してセキュアなリソースと通信することと、第１の接続を通した信号強度の低減に応答して、第１のデバイスが、第２の接続を介してセキュアなリソースと通信することとをさらに伴い得る。
（Ｍ１－９） 別の方法は、段落（Ｍ１－１）～（Ｍ１－８）のいずれか１つにおいて説明されたように実施され得、第１のデバイスが第２のデバイスに通信可能に結合されたことに応答して、第２のデバイスからセキュリティデータを受信することをさらに伴い得る。

【0009】

以下の段落（Ｄ１－１）～（Ｄ１－４）は、本開示に従って実装され得るデバイスの例について説明する。
（Ｄ１－１） コンピュータ化デバイスは、コンピュータネットワークへの第１の接続と制御回路とを備え得、制御回路は、コンピュータネットワークへの第２の接続を有し、第２の接続を本コンピュータ化デバイスと共有する、第２のデバイスからセキュリティデータを受信することであって、セキュリティデータが、第２のデバイスとサーバとの間に前に確立された信用できる関係を示すことと、コンピュータネットワーク上のセキュアなリソースにアクセスするための要求をサーバに送ることであって、要求が、第２のデバイスからの受信されたセキュリティデータに基づくインジケータを含み、インジケータに少なくとも部分的に基づいて認証を実施するようにサーバに指示することと、第２のデバイスから受信されたセキュリティデータに少なくとも部分的に基づく要求の認証に応答して、セキュアなリソースにアクセスすることとを行うように構築および構成される。
（Ｄ１－２） 別のコンピュータ化デバイスは、段落（Ｄ１－１）において説明されたように提供され得、コンピュータネットワークへの第１の接続がＷｉ－Ｆｉ接続であり、コンピュータネットワークへの第２の接続がセルラーデータ接続であり、本コンピュータ化デバイスが、（ｉ）Ｂｌｕｅｔｏｏｔｈ、（ｉｉ）Ｗｉ－Ｆｉ、または（ｉｉｉ）ケーブルのうちの１つを介して第２の接続を第２のデバイスと共有することをさらに伴い得る。
（Ｄ１－３） 別のコンピュータ化システムは、段落（Ｄ１－１）～（Ｄ１－２）のいずれか１つにおいて説明されたように提供され得、インジケータが第２のデバイスの識別情報の表現を含むことをさらに伴い得る。
（Ｄ１－４） 別のコンピュータ化システムは、段落（Ｄ１－１）～（Ｄ１－３）のいずれか１つにおいて説明されたように提供され得、インジケータが、第２のデバイスによって作り出されたまたは獲得されたセキュアトークンを含むことをさらに伴い得る。

【0010】

さらに、以下の段落（Ｍ２－１）～（Ｍ２－５）は、本開示に従って実装され得る方法の例について説明する。
（Ｍ２－１） 方法は、セキュアなリソースにアクセスするための認証要求を第１のデバイスから受信することであって、認証要求が、ネットワーク接続を提供するための、第１のデバイスが結合された第２のデバイスから第１のデバイスによって取得されるセキュリティデータに基づくインジケータを含むことを含み得る。認証要求を受信したことに応答して、本方法は、インジケータに少なくとも部分的に基づいて認証を実施することをさらに含み得る。要求の認証に応答して、本方法は、第１のデバイスにセキュアなリソースへのアクセスを提供することをまたさらに含み得る。
（Ｍ２－２） 別の方法は、段落（Ｍ２－１）において説明されたように提供され得、認証を実施するとき、インジケータを認証ファクタとして提供することをさらに伴い得る。
（Ｍ２－３） 別の方法は、段落（Ｍ２－１）～（Ｍ２－２）のいずれか１つにおいて説明されたように提供され得、インジケータを第２のデバイスの識別情報の表現として提供することをさらに伴い得る。
（Ｍ２－４） 別の方法は、段落（Ｍ２－１）～（Ｍ２－３）のいずれか１つにおいて説明されたように提供され得、（ｉ）第２のデバイスの識別情報を検査することと、（ｉｉ）第１のデバイスが第２のデバイスに通信可能に結合されたことを確認することとをさらに伴い得る。
（Ｍ２－５） 別の方法は、段落（Ｍ２－１）～（Ｍ２－４）のいずれか１つにおいて説明されたように提供され得、インジケータが、第２のデバイスによって作り出されたまたは獲得されたセキュアトークンを含むことをさらに伴い得、認証を実施することが、セキュアトークンを認証ファクタとして使用することを含む。

【0011】

さらに、以下の段落（Ｄ２－１）～（Ｄ２－４）は、本開示に従って実装され得るデバイスの例について説明する。
（Ｄ２－１） サーバ装置は、制御回路を備え得、制御回路は、セキュアなリソースにアクセスするための認証要求を第１のデバイスから受信することであって、認証要求が、ネットワーク接続を提供するための、第１のデバイスが結合された第２のデバイスから第１のデバイスによって取得されるセキュリティデータに基づくインジケータを含むことと、認証要求の受信に応答して、インジケータに少なくとも部分的に基づいて認証を実施することと、要求の認証に応答して、第１のデバイスにセキュアなリソースへのアクセスを提供することと、を行うように構築および構成される。
（Ｄ２－２） 別のサーバ装置は、段落（Ｄ２－１）において説明されたように提供され得、認証を実施することは、（ｉ）第２のデバイスの識別情報を検査することと、（ｉｉ）第１のデバイスが第２のデバイスに通信可能に結合されたことを確認することとを含む。
（Ｄ２－３） 別のサーバ装置は、段落（Ｄ２－１）～（Ｄ２－２）のいずれか１つにおいて説明されたように提供され得、インジケータが、第２のデバイスによって作り出されたまたは獲得されたセキュアトークンを含むことをさらに伴い得、認証を実施することが、セキュアトークンを認証ファクタとして使用することを含む。
（Ｄ２－４） 別のサーバ装置は、段落（Ｄ２－１）～（Ｄ２－３）のいずれか１つにおいて説明されたように提供され得、認証を実施することが、インジケータならびに第１のデバイスから受信された追加の認証ファクタのセットを検証することを含む。

【0012】

第１の態様が、ロケーションに基づくアクセス制御の向上に役立つことがさらにわかった。これらの傾向に沿って、および第３の態様によれば、改善された技法は、ネットワーク接続を第１のデバイスと共有する第２のデバイスからロケーション情報を受信する第１のデバイスを含む。第１のデバイスは、ネットワークのリソースへのアクセスを要求するとき、第２のデバイスから受信されたロケーション情報を適用する。改善された技法を使用して、第１のデバイスは、認証強度を増加させるために、および／またはアクセス権の監督を容易にするために、第２のデバイスのプレゼンスと、第２のデバイスのロケーション情報とを活用する。

【0013】

以下の段落（Ｍ３－１）～（Ｍ３－１０）は、本開示に従って実装され得る方法の例について説明する。
（Ｍ３－１） 方法は、第１のコンピューティングデバイスによって、第２のコンピューティングデバイスからデータを受信することであって、データが第２のコンピューティングデバイスのロケーションを示し、第２のコンピューティングデバイスがコンピュータネットワークへの接続を有することと、第１のコンピューティングデバイスによって、第２のコンピューティングデバイスからの受信されたデータに少なくとも部分的に基づいてロケーションインジケータを決定することとを含む。本方法は、第１のコンピューティングデバイスによって、コンピュータネットワークのリソースにアクセスするための要求を送ることであって、要求が、決定されたロケーションインジケータを含むことと、第１のコンピューティングデバイスによって、リソースにアクセスするための許可に応答してコンピュータネットワークのリソースにアクセスすることであって、許可が、要求に応答して、および決定されたロケーションインジケータに少なくとも部分的に基づいて許諾され、第２のコンピューティングデバイスから受信されたロケーションインジケータが、ロケーションに少なくとも部分的に基づいてリソースへの第１のコンピューティングデバイスによるアクセスを可能にするために、第１のコンピューティングデバイスのロケーションのインジケーションを提供することと、をさらに含む。
（Ｍ３－２） 別の方法は、段落（Ｍ３－１）において説明されたように実施され得、第２のコンピューティングデバイスが、コンピュータネットワークへの接続を第１のコンピューティングデバイスと共有し、ロケーション情報を受信することが、第１のコンピューティングデバイスと第２のコンピューティングデバイスとの間のローカル接続上で、第２のコンピューティングデバイスからロケーション情報を取得することを含む。
（Ｍ３－３） 別の方法は、段落（Ｍ３－２）において説明されたように実施され得、第２のコンピューティングデバイスが、（ｉ）モバイルデバイスまたは（ｉｉ）セルラードングルのうちの１つであることをさらに伴い、ローカル接続上でロケーション情報を取得するとき、第１のコンピューティングデバイスが、（ｉ）Ｂｌｕｅｔｏｏｔｈ、（ｉｉ）Ｗｉ－Ｆｉ、または（ｉｉｉ）ケーブルのうちの１つを使用してローカル接続上で第２のコンピューティングデバイスにテザリングされる。
（Ｍ３－４） 別の方法は、段落（Ｍ３－１）～（Ｍ３－３）のいずれか１つにおいて説明されたように実施され得、要求を送ることが、第２のコンピューティングデバイスによって第１のコンピューティングデバイスと共有される共有接続上で要求を送信することを含む。
（Ｍ３－５） 別の方法は、段落（Ｍ３－１）～（Ｍ３－４）のいずれか１つにおいて説明されたように実施され得、第１のコンピューティングデバイスが、共有接続とは別個の、コンピュータネットワークへの第２の接続を有し、アクセス要求を送ることが、第２の接続上でアクセス要求を送信することを含む。
（Ｍ３－６） 別の方法は、段落（Ｍ３－１）～（Ｍ３－５）のいずれか１つにおいて説明されたように実施され得、第２のコンピューティングデバイスのロケーションを示すロケーション情報が第２のロケーション情報であり、本方法は、第１のコンピューティングデバイスによって、第１のコンピューティングデバイスの第１のロケーション情報を取得することをさらに伴い得、ロケーションインジケータを形成することが、第１のロケーション情報および第２のロケーション情報に少なくとも部分的に基づく。
（Ｍ３－７） 別の方法は、段落（Ｍ３－１）～（Ｍ３－６）のいずれか１つにおいて説明されたように実施され得、第１のコンピューティングデバイスの第１のロケーション情報を取得することが、第１のコンピューティングデバイスが属するＷｉ－Ｆｉネットワークを識別することを含む。
（Ｍ３－８） 別の方法は、段落（Ｍ３－１）～（Ｍ３－７）のいずれか１つにおいて説明されたように実施され得、第２のコンピューティングデバイスの第２のロケーション情報を取得することが、第２のコンピューティングデバイスのＧＰＳ（全地球測位システム）座標を受信することを含む。
（Ｍ３－９） 別の方法は、段落（Ｍ３－１）～（Ｍ３－７）のいずれか１つにおいて説明されたように実施され得、第２のコンピューティングデバイスの第２のロケーション情報を取得することが、第２のコンピューティングデバイスのＩＰ（インターネットプロトコル）アドレスを識別することを含む。
（Ｍ３－１０） 別の方法は、段落（Ｍ３－１）～（Ｍ３－９）のいずれか１つにおいて説明されたように実施され得、第２のコンピューティングデバイスのロケーションを示すロケーション情報が第２のロケーション情報であり、本方法は、ローカル接続上で第１のコンピューティングデバイスによって、第２のコンピューティングデバイスのロケーションを示す第３のロケーション情報を取得することであって、第３のロケーション情報が第２のロケーション情報のソースとは別個のソースから導出されることをさらに伴い得、ロケーションインジケータを形成することが、第１のロケーション情報、第２のロケーション情報、および第３のロケーション情報に少なくとも部分的に基づく。

【0014】

以下の段落（Ｍ４－１）～（Ｍ４－８）は、本開示に従って実装され得る方法のさらなる例について説明する。
（Ｍ４－１） 方法は、サーバによって、コンピュータネットワーク上で第１のコンピューティングデバイスから要求を受信することであって、要求が、コンピュータネットワーク上のリソースにアクセスするためのものであり、ロケーションインジケータを含み、ロケーションインジケータが、第２のコンピューティングデバイスのロケーションを示すデータに少なくとも部分的に基づくことを含む。本方法は、サーバによって、受信された要求のロケーションインジケータに少なくとも部分的に基づいて、ロケーションインジケータによって示されたロケーションが、コンピュータネットワークのリソースにアクセスするための許可されたロケーションに一致することを検証することと、ロケーションの検証に応答して、サーバによって、コンピュータネットワーク上のリソースへのアクセスを第１のコンピューティングデバイスに許諾することとをさらに含む。
（Ｍ４－２） 別の方法は、段落（Ｍ４－１）において説明されたように実施され得、第２のデバイスのロケーションを示すデータが第２のロケーション情報であり、ロケーションインジケータが、さらに、第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、本方法は、第１のコンピューティングデバイスの第１のロケーション情報および第２のコンピューティングデバイスの第２のロケーション情報に少なくとも部分的に基づいて代表的ロケーション（ｒｅｐｒｅｓｅｎｔａｔｉｖｅ ｌｏｃａｔｉｏｎ）を確立することをさらに伴い、ロケーションインジケータが許可されたロケーションに一致することを検証することは、代表的ロケーションが許可されたロケーションと整合することを確認することを含む。
（Ｍ４－３） 別の方法は、段落（Ｍ４－１）～（Ｍ４－２）のいずれか１つにおいて説明されたように実施され得、ロケーションインジケータが、さらに、第２のコンピューティングデバイスの第３のロケーション情報に少なくとも部分的に基づき、第３のロケーション情報が、第２のロケーション情報のソースとは別個のソースから導出され、代表的ロケーションを生成することが、少なくとも第１のロケーション情報、第２のロケーション情報、および第３のロケーション情報に基づいて地理的ロケーションを組み合わせることを含み、代表的ロケーションが許可されたロケーションと整合することを確認することが、第１のロケーション情報、第２のロケーション情報、および第３のロケーション情報に少なくとも部分的に基づく。
（Ｍ４－４） 別の方法は、段落（Ｍ４－１）～（Ｍ４－３）のいずれか１つにおいて説明されたように実施され得、代表的ロケーションを生成することが、第１のロケーション情報および第２のロケーション情報に少なくとも部分的に基づいて重心（ｃｅｎｔｒｏｉｄ）を作り出すことを含み、重心が、第１のロケーション情報および第２のロケーション情報に少なくとも部分的に基づく地理的中心を示す。
（Ｍ４－５） 別の方法は、段落（Ｍ４－１）において説明されたように実施され得、第１のロケーション情報および第２のロケーション情報に信頼性スコアを割り当てることと、重心を作り出すときに信頼性スコアを重みとして適用することとをさらに伴い得る。
（Ｍ４－６） 別の方法は、段落（Ｍ４－１）～（Ｍ４－５）のいずれか１つにおいて説明されたように実施され得、第２のコンピューティングデバイスのロケーションを示すデータが第２のロケーション情報であり、ロケーションインジケータが、さらに、第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、第１のロケーション情報は、第１のコンピューティングデバイスが接続されたワイヤレスネットワークのＷｉ－Ｆｉ識別子を含み、本方法は、Ｗｉ－Ｆｉ識別子を第１のコンピューティングデバイスの地理的ロケーションに変換することをさらに含む。
（Ｍ４－７） 別の方法は、段落（Ｍ４－１）～（Ｍ４－６）のいずれか１つにおいて説明されたように実施され得、第２のロケーション情報が第２のコンピューティングデバイスのＩＰ（インターネットプロトコル）アドレスを含み、本方法は、ＩＰアドレスを第２のコンピューティングデバイスの地理的ロケーションに変換することをさらに含む。
（Ｍ４－８） 別の方法は、段落（Ｍ４－１）～（Ｍ４－７）のいずれか１つにおいて説明されたように実施され得、第２のコンピューティングデバイスのロケーション情報が、第２のコンピューティングデバイスのＧＰＳ（全地球測位システム）座標を含み、ロケーションインジケータによって示されたロケーションが許可されたロケーションに一致することを検証することは、第２のコンピューティングデバイスのＧＰＳ座標が、所定の距離しきい値内まで、許可されたロケーションのＧＰＳ座標と整合することを確認することを含む。

【0015】

さらに、以下の段落（Ｓ１－１）～（Ｓ１－３）は、本開示に従って実装され得るサーバの例について説明する。
（Ｓ１－１） サーバは、制御回路を備え得、制御回路は、コンピュータネットワーク上で第１のコンピューティングデバイスから要求を受信することであって、要求が、コンピュータネットワーク上のリソースにアクセスするためのものであり、ロケーションインジケータを含み、ロケーションインジケータが、第２のコンピューティングデバイスのロケーションを示すデータに少なくとも部分的に基づくことと、受信された要求のロケーションインジケータに少なくとも部分的に基づいて、ロケーションインジケータによって示されたロケーションが、コンピュータネットワークのリソースにアクセスするための許可されたロケーションと整合することを検証することと、ロケーションの検証に応答して、コンピュータネットワーク上のリソースにアクセスすることを第１のコンピューティングデバイスに許諾することと、を行うように構成される。
（Ｓ１－２） 別のサーバは、段落（Ｓ１－１）において説明されたように提供され得、第２のコンピューティングデバイスのロケーションを示すデータが第２のロケーション情報であり、ロケーションインジケータが、さらに、第１のデバイスの第１のロケーション情報に少なくとも部分的に基づき、制御回路が、少なくともロケーション情報の第１のセットおよびロケーション情報の第２のセットに基づいて地理的ロケーションを組み合わせて、ロケーション情報の第１のセットおよびロケーション情報の第２のセットに少なくとも部分的に基づいて代表的ロケーションを生成することと、代表的ロケーションが許可されたロケーションと整合することを検証することとを行うようにさらに構成される。
（Ｓ１－３） 別のサーバは、段落（Ｓ１－１）または（Ｓ１－２）のいずれか１つにおいて説明されたように提供され得、制御回路が、代表的ロケーションを重心として作り出すようにさらに構成され、重心が、少なくとも第１のロケーション情報および第２のロケーション情報によって形成される地理的中心を示す。

【0016】

さらに、以下の段落（Ｄ３－１）は、本開示に従って実装され得るデバイスの一例について説明する。
（Ｄ３－１） デバイスは、制御回路を備え、制御回路は、第２のデバイスのロケーションを示すロケーション情報を取得することであって、第２のデバイスが、（ｉ）クライアントデバイスに動作可能に結合され、（ｉｉ）コンピュータネットワークへの接続を有し、（ｉｉｉ）接続をクライアントデバイスと共有することと、第２のデバイスから受信されたロケーション情報に少なくとも部分的に基づくロケーションインジケータを形成することと、コンピュータネットワークのリソースにアクセスするための、ロケーションインジケータを含むアクセス要求をサーバに送ることと、ロケーションインジケータが、リソースにアクセスするための許可されたロケーションに一致するという決定に少なくとも部分的に基づいて、リソースにアクセスすることとを行うように構成される。

【0017】

さらに、ユーザデバイスは、会社、学校、政府機関、または他のエンティティなど、団体によって、全体的にまたは部分的に管理され得る。ユーザデバイスは、団体が制御するセキュリティ要件、アップグレード、ならびに／または他のアクティビティおよびポリシーに従い得る。管理制御は、デバイス全体に拡張し得るか、あるいは、デバイス上で稼働している指定されたアプリケーションおよび／または特徴にのみ拡張し得る。本明細書で使用される「管理されているデバイス」という用語は、団体によって完全に制御されるデバイスと、たとえば、制御が１つまたは複数のアプリケーションまたは他の特徴にのみ拡張する、部分的に制御されるデバイスの両方を指す。

【0018】

管理されているデバイスのユーザは、しばしば、自宅で、あるいは団体によって所有または制御されていない他のロケーションにおいてなど、団体からオフサイトで（ｏｆｆ－ｓｉｔｅ）働く。そのようなロケーションには、スマートスピーカー（たとえば、Ａｍａｚｏｎ Ｅｃｈｏおよび／またはＧｏｏｇｌｅ Ｈｏｍｅ）、スマートＴＶ、カメラ、ライト、セキュリティシステム、サーモスタットなど、多数のＩｏＴ（モノのインターネット）デバイスがあり得る。本明細書で使用される「ＩｏＴデバイス」は、１つまたは複数の機能を実施し、コンピュータネットワーク上で通信することが可能である、任意のデバイス、マシン、器具、システム、衣類などを指す。

【0019】

通常オフサイトで動作する管理されているデバイスは、管理されているデバイスの周りの、すなわち、管理されているデバイスのローカル環境における、ＩｏＴデバイスに接続する能力を有する。たとえば、管理されているデバイスは、スマートスピーカーを通してオーディオを再生するか、または同じ部屋にあるスマートＴＶを通してビデオを再生し得る。残念ながら、そのようなＩｏＴデバイスは、管理されているデバイスと同じ管理制御に従わない。そのようなＩｏＴデバイスは、古いソフトウェアを稼働し、悪意のあるコードを稼働し、より一般的には、管理されているデバイスを危険にさらし得る。これは特に、多くのＩｏＴデバイスがセキュリティを念頭に置いて設計されていない場合である。ユーザは、管理されているデバイスをローカルＩｏＴデバイスに接続したくなることがあるが、そうすることは、団体を危険にさらし得る。

【0020】

これらの傾向に沿って、および第４の態様によれば、改善された技法は、団体による管理制御を、管理されているデバイスのローカル環境におけるＩｏＴ（モノのインターネット）デバイスに拡張する、管理されているデバイスを採用する。管理されているデバイスは、ローカルＩｏＴデバイスを発見し、これらのデバイスのうちの１つまたは複数を管理制御下に置くためにサーバとの通信に参加する。いくつかの例では、管理制御を拡張することは、選択されたＩｏＴデバイスを団体の管理フレームワークにエンロールする（ｅｎｒｏｌｌ）ことと、管理されているデバイスを通してサーバとそれぞれのＩｏＴデバイスとの間の通信をダイレクトすることとを伴い、これは、ローカル環境における選択されたＩｏＴデバイスの管理を監督するためのポイントオブプレゼンスを提供する。

【0021】

以下の段落（Ｍ５－１）～（Ｍ５－１４）は、本開示に従って実装され得る方法の例について説明する。
（Ｍ５－１） 方法は、コンピューティングデバイスによって、コンピューティングデバイスの周りの環境におけるＩｏＴ（モノのインターネット）デバイスを走査するための要求を処理することであって、コンピューティングデバイスが、エンティティによって管理され、コンピュータネットワーク上でエンティティのサーバに通信可能に結合されることを伴う。本方法は、コンピューティングデバイスによって、環境におけるＩｏＴデバイスのセットを発見することであって、ＩｏＴデバイスのセットがエンティティによって管理されていないことと、コンピューティングデバイスによって、エンティティによる管理制御をＩｏＴデバイスのセットに拡張するためにサーバとの通信に参加することであって、管理制御は、ＩｏＴデバイスのセットがエンティティの１つまたは複数のポリシーに従って動作することを可能にすることとをさらに伴う。
（Ｍ５－２） 別の方法は、段落（Ｍ５－１）において説明されたように実施され得、コンピューティングデバイスが、サーバからのデータイングレス（ｉｎｇｒｅｓｓ）をＩｏＴデバイスのセットにルーティングすることと、ＩｏＴデバイスのセットからのデータエグレス（ｅｇｒｅｓｓ）をサーバにルーティングすることとをさらに伴い得る。
（Ｍ５－３） 別の方法は、段落（Ｍ５－１）～（Ｍ５－２）のいずれか１つにおいて説明されたように実施され得、コンピューティングデバイスがハブであり、ＩｏＴデバイスのセットがそれぞれのスポークを介してハブに動作可能に接続する、論理ネットワークを形成することと、論理ネットワークのハブとして働くコンピューティングデバイスを通してＩｏＴデバイスのセットとサーバとの間の通信をダイレクトすることとをさらに伴い得る。
（Ｍ５－４） 別の方法は、段落（Ｍ５－１）～（Ｍ５－３）のいずれか１つにおいて説明されたように実施され得、ＩｏＴデバイスのセットのための管理ポリシーを展開することであって、管理ポリシーがエンティティによって定義されることをさらに伴い得る。
（Ｍ５－５） 別の方法は、段落（Ｍ５－１）～（Ｍ５－４）のいずれか１つにおいて説明されたように実施され得、管理ポリシーを展開することが、ＩｏＴデバイスのセットのうちの少なくとも１つについて、悪意のあるコードについてそれぞれのＩｏＴデバイスを走査することを含む。
（Ｍ５－６） 別の方法は、段落（Ｍ５－１）～（Ｍ５－５）のいずれか１つにおいて説明されたように実施され得、管理ポリシーを展開することが、ＩｏＴデバイスのセットのうちの少なくとも１つについて、それぞれのＩｏＴデバイス上のソフトウェアおよび／またはファームウェアを更新することを含む。
（Ｍ５－７） 別の方法は、段落（Ｍ５－１）～（Ｍ５－６）のいずれか１つにおいて説明されたように実施され得、管理ポリシーを展開することが、ＩｏＴデバイスのセットのうちの少なくとも１つについて、それぞれのＩｏＴデバイス上にスキルのセットをインストールすることであって、スキルがエンティティのために開発されることを含む。
（Ｍ５－８） 別の方法は、段落（Ｍ１）～（Ｍ７）のいずれか１つにおいて説明されたように実施され得、コンピューティングデバイス上のソフトウェア構成要素を稼働することと、ソフトウェア構成要素の入力のためのソースおよび／または出力のための宛先になるようにＩｏＴデバイスのセットのうちの少なくとも１つに指示することとをさらに伴い得る。
（Ｍ５－９） 別の方法は、段落（Ｍ５－８）において説明されたように実施され得、ソフトウェア構成要素がソフトウェア構成要素の入力および／または出力のためにＩｏＴデバイスのセットのうちの前記少なくとも１つを使用することを可能にするように、ユーザに促すことをさらに伴い得る。
（Ｍ５－１０） 別の方法は、段落（Ｍ５－８）～（Ｍ５－９）のいずれか１つにおいて説明されたように実施され得、ソフトウェア構成要素の入力および／または出力を提供するための、ＩｏＴデバイスのセットのうちの複数のＩｏＴデバイスの間のアクティビティを調整することをさらに伴い得る。
（Ｍ５－１１） 別の方法は、段落（Ｍ５－８）～（Ｍ５－１０）のいずれか１つにおいて説明されたように実施され得、ＩｏＴデバイスのセットのうちのＩｏＴデバイスとの通信を確立した後に、コンピューティングデバイスが、ＩｏＴデバイスとの通信をサーバにハンドオフすることと、次いで、ＩｏＴデバイスが、コンピューティングデバイスを通してデータをルーティングすることなしにサーバと通信することとをさらに伴い得る。
（Ｍ５－１２） 別の方法は、段落（Ｍ５－７）において説明されたように実施され得、スキルのセットが、サーバからエンティティのリソースにアクセスするためのボイスアシスタントとしてＩｏＴデバイスを動作させるスキルを含む。
（Ｍ５－１３） 別の方法は、段落（Ｍ５－７）において説明されたように実施され得、スキルのセットが、コンピューティングデバイスの機能を制御するためのボイスアシスタントとしてＩｏＴデバイスを動作させるスキルを含み、本方法は、コンピューティングデバイスが、ボイスコマンドに基づいてＩｏＴデバイスからの制御入力に応答することをさらに含む。
（Ｍ５－１４） 別の方法は、段落（Ｍ５－１）～（Ｍ５－３）のいずれか１つにおいて説明されたように実施され得、コンピューティングデバイスが、サーバとの特定用途向けＶＰＮ（仮想プライベートネットワーク）を確立することと、特定用途向けＶＰＮを通してサーバとＩｏＴデバイスのセットとの間でネットワークトラフィックを伝達することとをさらに伴い得る。

【0022】

さらに、以下の段落（Ｄ３－１）～（Ｄ３ー３）は、本開示に従って実装され得るデバイスの一例について説明する。
（Ｄ３－１） デバイスは、制御回路を備え、制御回路は、コンピューティングデバイスの周りの環境におけるＩｏＴ（モノのインターネット）デバイスを走査するための要求を処理することであって、コンピューティングデバイスがエンティティによって管理されることと、環境におけるＩｏＴデバイスのセットを発見することであって、ＩｏＴデバイスのセットがエンティティによって管理されていないことと、エンティティによる管理制御をＩｏＴデバイスのセットに拡張するためにエンティティのサーバとの通信に参加することであって、管理制御は、ＩｏＴデバイスのセットがエンティティの１つまたは複数のポリシーに従って動作することを可能にすることと、を行うように構成される。
（Ｄ３－２） 別のデバイスは、段落（Ｄ３－１）において説明されたように提供され得、制御回路は、コンピューティングデバイスがハブであり、ＩｏＴデバイスのセットがハブのそれぞれのスポークである、論理ネットワークを形成することと、論理ネットワークのハブとして働くコンピューティングデバイスを通してＩｏＴデバイスのセットとサーバとの間の通信をダイレクトすることとを行うようにさらに構成される。
（Ｄ３－３） 別のデバイスは、段落（Ｄ３－１）～（Ｄ３－２）のいずれか１つにおいて説明されたように提供され得、制御回路が、コンピューティングデバイス上のソフトウェア構成要素を稼働することと、ソフトウェア構成要素の入力のためのソースおよび／または出力のための宛先になるようにＩｏＴデバイスのセットのうちの少なくとも１つに指示することとを行うようにさらに構成される。

【0023】

以下の段落（Ｍ６－１）～（Ｍ６－４）は、本開示に従って実装され得る方法のさらなる例について説明する。
（Ｍ６－１） 方法は、サーバによって、コンピューティングデバイスから、コンピューティングデバイスがすでにエンロールされた団体にＩｏＴデバイスをエンロールするための要求を受信することであって、ＩｏＴデバイスが、管理されているデバイスの周りの環境において配設されることを含む。本方法は、要求を受信したことに応答して、ＩｏＴデバイスが団体の１つまたは複数のポリシーに従うことになるようにＩｏＴデバイスを団体にエンロールするために、サーバによって、コンピューティングデバイスとの通信に参加することと、サーバによって、コンピューティングデバイスを介してエンロールされたＩｏＴデバイスと通信することとをさらに含む。
（Ｍ６－２） 別の方法は、段落（Ｍ６－１）において説明されたように実施され得、悪意のあるコードについてＩｏＴデバイスを走査するようにコンピューティングデバイスに指示することをさらに伴い得る。
（Ｍ６－３） 別の方法は、段落（Ｍ６－１）～（Ｍ６－２）のいずれか１つにおいて説明されたように実施され得、エンロールされたＩｏＴデバイスと通信することが、サーバとコンピューティングデバイス上で稼働しているソフトウェア構成要素との間に確立された特定用途向けＶＰＮ（仮想プライベートネットワーク）上で行われる。
（Ｍ６－４） 別の方法は、段落（Ｍ６－１）～（Ｍ６－３）のいずれか１つにおいて説明されたように実施され得、ＩｏＴデバイスに関するデータをコンピューティングデバイスのユーザのユーザプロファイルに追加することと、ソフトウェア特徴を動作させるための要求をコンピューティングデバイスから受信することと、ソフトウェア特徴を動作させるための要求を受信したことに応答して、（ｉ）ユーザプロファイルからＩｏＴデバイスを識別することと、（ｉｉ）ソフトウェア構成要素の入力および／または出力を提供するためにＩｏＴデバイスを使用するようにユーザに促すように、コンピューティングデバイス上のソフトウェア構成要素に指示することと、をさらに伴い得る。

【0024】

上記の概要は、本明細書で提示される例示的な特徴を読者が容易に把握するのを支援するために説明の目的で提示されるが、本発明の概要は、必要とされる要素を記載するものではなく、またはいかなる形でも本出願の実施形態を限定するものではない。上記で説明された特徴は、技術的に意味をなす何らかの様式で組み合わせられ得、すべてのそのような組合せは、そのような組合せが明示的に識別されるか否かにかかわらず、本明細書で開示されるものとすることを諒解されたい。

【0025】

上記および他の特徴および利点は、添付の図面に示されているような、特定の実施形態の以下の説明から明らかになろう。添付の図面において、異なる図全体にわたって同様の参照符号が同じまたは同様の部分を指す。

【図面の簡単な説明】

【0026】

【図1】開示される技法の実施形態が実践され得る例示的な環境のブロック図である。

【図2】サーバからクライアントにＳａａＳ（サービスとしてのソフトウェア：Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）アプリケーションをダウンロードするための例示的な構成を示すブロック図である。

【図3】図１の環境中でクライアントおよび／またはサーバを動作させるための例示的な方法を示すフローチャートである。

【図4a】クライアントアプリケーション構成要素のグラフィカルユーザインターフェース（ＧＵＩ）のシミュレートされたスクリーンショットである。

【図4b】クライアントアプリケーション構成要素のグラフィカルユーザインターフェース（ＧＵＩ）のシミュレートされたスクリーンショットである。

【図4c】クライアントアプリケーション構成要素のグラフィカルユーザインターフェース（ＧＵＩ）のシミュレートされたスクリーンショットである。

【図4d】クライアントアプリケーション構成要素のグラフィカルユーザインターフェース（ＧＵＩ）のシミュレートされたスクリーンショットである。

【図5】ＳａａＳワークスペースアプリケーションのＧＵＩのシミュレートされたスクリーンショットである。

【図6】クライアントデバイスによって行われる例示的な方法を示すフローチャートである。

【図7】サーバによって行われる例示的な方法を示すフローチャートである。

【図8】クライアントデバイスとサーバの両方を備えるシステムによって行われる例示的な方法を示すフローチャートである。

【図9】本開示の様々な態様が実装され得る例示的なネットワーク環境を示すブロック図である。

【図10】クライアントデバイス、器具および／またはサーバの一実施形態を実践するために有用なコンピューティングデバイスを示すブロック図である。

【図11】認証を実施するための実施形態が実践され得る例示的なシステムのブロック図である。

【図12】第２のデバイスから受信されたセキュリティデータに少なくとも部分的に基づいて第１のデバイスによって認証を実施するための例示的なプロシージャを示すシーケンス図である。

【図13】第２のデバイスから受信されたセキュリティデータに少なくとも部分的に基づいて第１のデバイスによって認証を実施するための別の例示的なプロシージャを示すシーケンス図である。

【図14】認証に参加するための、クライアントデバイスによって行われる例示的な方法を示すフローチャートである。

【図15】認証に参加するための、サーバによって行われる例示的な方法を示すフローチャートである。

【図16】ロケーション情報を活用するための実施形態が実践され得る例示的なシステムのブロック図である。

【図17】第１のデバイスによるアクセス要求を行うときに第２のデバイスのロケーション情報を使用するための例示的なプロシージャを示すシーケンス図である。

【図18】第２のデバイスの位置特定情報を使用してリソースにアクセスするための、クライアントデバイスによって行われる例示的な方法を示すフローチャートである。

【図19】第２のデバイスのロケーション情報を使用して第１のデバイスにリソースへのアクセスを提供するための、サーバによって行われる例示的な方法を示すフローチャートである。

【図20】団体による管理制御をローカル環境におけるＩｏＴデバイスに拡張するための実施形態が実践され得る例示的なシステムのブロック図である。

【図21】管理されているデバイスと、図１１のローカル環境における複数のＩｏＴデバイスとの間に形成された例示的な論理ネットワークを示すブロック図である。

【図22】管理制御をＩｏＴデバイスに拡張することに関与する例示的な通信を示すシーケンス図である。

【図23】管理制御をＩｏＴデバイスに拡張するための、管理されているデバイスによって行われる例示的な方法を示すフローチャートである。

【図24】団体の管理下にＩｏＴデバイスをエンロールするための要求に応答するための、サーバによって行われる例示的な方法を示すフローチャートである。

【発明を実施するための形態】

【0027】

次に、開示される技法の実施形態が説明される。そのような実施形態は、いくつかの特徴および原理を示すために例として提供されるが、限定するものではないことを諒解されたい。

【0028】

この文書は、読者を支援するために以下のセクションにおいて提供される。
・セクションＩは、複数の、同時ネットワーク経路の使用によってネットワーク信頼性を改善するための例示的な環境および技法を提示する。
・セクションＩＩは、第２のデバイスを使用して、第２のデバイスにテザリングされた第１のデバイスによって行われる認証要求の認証強度および／または利便性を改善するための例示的な技法を提示する。
・セクションＩＩＩは、第１のデバイスによってリソースへのアクセスを要求するときに第２のデバイスのロケーション情報を活用するための例示的な技法を提示する。
・セクションＩＶは、管理制御をＩｏＴデバイスに拡張するための例示的な技法を提示する。
セクションＩ、ＩＩ、ＩＩＩ、およびＩＶにおいて開示される技法は、一緒に、または独立して使用され得る。各技法は他の技法の特徴から利益を得ることがあるが、いずれの技法も、他の技法とともに使用されることを必要とされない。
セクションＩ：複数の、同時ネットワーク経路を維持するための例示的な環境および技法

【0029】

アプリケーションを動作させるための技法は、複数の、同時ネットワーク経路を維持し、ネットワーク経路を通して冗長的に同じデータを交換し、受信機が、データのソースとしてネットワーク経路のうちの１つを選択することを可能にする。

【0030】

図１は、開示される技法の実施形態が実践され得る例示的な環境１００を示す。ここで、クライアントデバイス１１０（「クライアント」）は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、インターネット、および／または何らかの他のタイプのネットワークもしくはネットワークの組合せなど、ネットワーク１７０上で、サーバ装置１２０（「サーバ」）に動作可能に接続される。クライアント１１０は、ラップトップコンピュータ、デスクトップコンピュータ、タブレットコンピュータ、スマートフォン、個人情報端末（ｐｅｒｓｏｎａｌ ｄａｔａ ａｓｓｉｓｔａｎｔ）、セットトップボックス、ゲーミングシステムなど、任意のユーザ操作可能コンピュータまたはデバイスとして提供され得る。サーバ１２０は、同様の形態で提供され得るが、一般に、データセンターにおいて稼働し、インターネット上で、を意味する「クラウドにおいて」利用可能である、サーバグレード（ｓｅｒｖｅｒ－ｇｒａｄｅ）コンピュータである。いくつかの例では、サーバ１２０は、分散型サーバまたはサーバクラスタの一部として、複数のコンピュータを使用して実装される。

【0031】

クライアント１１０は、複数の経路１８０を介してネットワーク１７０に接続され、複数の経路１８０は、たとえば、イーサネット経路１８０ａ、Ｗｉ－Ｆｉ経路１８０ｂ、およびセルラーデータ経路１８０ｃを含み得る。より多数またはより少数の経路１８０が提供され得、本開示は、（１つまたは複数の）特定のタイプの経路に限定されない。一例では、セルラーデータ経路１８０ｃは、ＬＴＥ（ロングタームエボリューション）データ経路である。クライアント１１０は、モニタ、タッチスクリーンなどのディスプレイ１１６を有し、ディスプレイ１１６は、グラフィカルユーザインターフェース（ＧＵＩ）１１８をレンダリングするように構成され、これはユーザ１０２によって動作され得る。

【0032】

図示のように、クライアント１１０は、イーサネットポート、Ｗｉ－Ｆｉアンテナ、セルラーアンテナなど、１つまたは複数の通信インターフェース１１２ｃを備える。クライアント１１０は、１つまたは複数の処理チップおよび／またはアセンブリなどのプロセッサ１１４ｃのセットと、メモリ１３０ｃとをも備え、メモリ１３０ｃは、揮発性メモリ、たとえば、ＲＡＭ（ランダムアクセスメモリ）と、１つまたは複数のＲＯＭ（読取り専用メモリ）、ディスクドライブ、ソリッドステートドライブなどの不揮発性メモリの両方を備え得る。プロセッサ１１４ｃのセットとメモリ１３０ｃとは、クライアント制御回路を一緒に形成し、クライアント制御回路は、本明細書で説明される様々なクライアント方法および機能を行うように構築および構成される。また、メモリ１３０ｃは、実行可能な命令の形態で実現される様々なソフトウェア構成体を含む。実行可能な命令がプロセッサ１１４ｃのセットによって稼働されたとき、（１つまたは複数の）プロセッサは、ソフトウェア構成体の動作を行う。いくつかのソフトウェア構成体が詳細に図示および説明されているが、メモリ１３０ｃが一般に、オペレーティングシステム、様々なアプリケーション、プロセス、およびデーモンなど、図示されていない多くの他のソフトウェア構成要素を含むことを理解されたい。

【0033】

サーバ１２０の構成は、クライアント１１０の構成と同様であり得、（１つまたは複数の）通信インターフェース１１２ｓと、（１つまたは複数の）プロセッサ１１４ｓと、メモリ１３０ｓとをもつ。（１つまたは複数の）プロセッサ１１４ｓとメモリ１３０ｓとは、サーバ制御回路を形成し、サーバ制御回路は、本明細書で説明される様々なサーバ方法および機能を行うように構築および構成される。サーバ１２０上の実行可能な命令が（１つまたは複数の）プロセッサ１１４ｓによって稼働されたとき、（１つまたは複数の）プロセッサは、ソフトウェア構成体の動作を行う。

【0034】

図１にさらに示されているように、クライアント１１０のメモリ１３０ｃは、ソフトウェアアプリケーション１３２のクライアント構成要素１３２ｃと、マイクロＶＰＮ（仮想プライベートネットワーク）クライアント１３４ｃと、リンクボンディング（ｌｉｎｋ ｂｏｎｄｉｎｇ）クライアント１４０ｃとを「含む」、すなわち、ソフトウェア命令の実行によって実現する。メモリ１３０ｃは、ＴＣＰ／ＩＰ（伝送制御プロトコル／インターネットプロトコル）ドライバ１５０ｃ、ならびに、イーサネットドライバ１６０ａ、Ｗｉ－Ｆｉドライバ１６０ｂ、およびセルラーデータドライバ１６０ｃなどの追加のドライバ１６０をさらに備える。

【0035】

次にサーバ１２０を参照すると、メモリ１３０ｓは、ソフトウェアアプリケーション１３２のサーバ構成要素１３２ｓと、マイクロＶＰＮサーバ１３４ｓと、リンクボンディングサービス１４０ｓとを備える。メモリ１３０ｓは、ＴＣＰ／ＩＰドライバ１５０ｓ、ならびに、１つまたは複数の接続経路１８０のための１つまたは複数のドライバ１６０をさらに備える。特定の例では、サーバ１２０は、イーサネットドライバ１６０ｄを介してアクセスされる、イーサネットなどの単一の接続経路のみを使用する。

【0036】

一例では、マイクロＶＰＮクライアント１３４ｃとリンクボンディングクライアント１４０ｃとは、それぞれのソフトウェアライブラリとして提供され、各ライブラリは、そのそれぞれの機能を公開するための、それ自体のＡＰＩ（アプリケーションプログラムインターフェース）を有する。さらに、マイクロＶＰＮクライアント１３４ｃとリンクボンディングクライアント１４０ｃとは、各々、アプリケーションプログラム１３２のクライアント構成要素１３２ｃに「スコープ（ｓｃｏｐｅ）」され得、これは、マイクロＶＰＮクライアント１３４ｃおよびリンクボンディングクライアント１４０ｃの機能が、アプリケーションプログラム１３２を伴う通信に限定され、概して、クライアントデバイス１１０上で稼働している他のプログラムに拡張しないことを意味する。たとえば、マイクロＶＰＮクライアント１３４ｃは、ネットワークトンネル１３４などの暗号化されたチャネルを確立するためにマイクロＶＰＮサーバ１３４ｓと協調し、これは、クライアント構成要素１３２ｃとサーバ構成要素１３２ｓとの間のネットワーク１７０上での通信に限定される。トンネル１３４がクライアントデバイス１１０全体に適用される（従来のＶＰＮのための一般的な構成である）のではなく、トンネル１３４は、代わりに、クライアント１１０とサーバ１２０との間を通る、アプリケーションプログラム１３２のネットワークトラフィックに制限され得る。この構成では、クライアントデバイス１１０上で稼働している他のプログラムによって行われる他のネットワークアクティビティは、トンネル１３４の外側にあり得、そのようなアクティビティはトンネル１３４によってセキュアにされない。したがって、マイクロＶＰＮは、全体としてクライアントマシン１１０のためのものではなく、特定のアプリケーションのためのネットワークトンネル１３４を提供する。特に、この特徴は、リンクボンディングクライアント１４０ｃおよびクライアントアプリケーションコード１３２ｃとともに、マイクロＶＰＮが、クライアントデバイス１１０上にインストールされ得る単一のダウンロード可能パッケージ（図２参照）中で提供されることを可能にし、これは、複数のインストールプロシージャの必要を回避し、すべての関係する部分を一緒に保持する。一例では、マイクロＶＰＮクライアント１３４ｃとマイクロＶＰＮサーバ１３４ｓとは、トンネル１３４を通して渡されるデータの暗号化および解読を実施することによって、暗号化されたチャネルを確立するように構成される。マイクロＶＰＮクライアント１３４ｃとマイクロＶＰＮサーバ１３４ｓとはまた、たとえば、許可されたサイトのホワイトリストおよび／またはブロックされたサイトのブラックリストを適用することによって、ネットワーク１７０上の指定されたリソースへの接続を制限するように構成され得る。本明細書で使用される「チャネル」という用語は、任意の１つのネットワーク経路に限定されず、むしろ、ネットワーク経路１８０のすべての上でのすべての通信を包含することを諒解されたい。リンクボンディングクライアント１４０ｃは、複数のネットワーク経路１８０上で（クライアント構成要素１３２ｃからの）発信データをダイレクトし、ネットワーク経路１８０上で到着した着信データを受信し、クライアント構成要素１３２ｃに提供されるべきデータのソースとしてネットワーク経路のうちの１つを選択するように構成される。同様にして、リンクボンディングサーバ１４０ｓは、ネットワーク経路１８０上で（サーバ構成要素１３２ｓからの）発信データをダイレクトし、同じネットワーク経路１８０上で到着した着信ネットワークデータを受信し、サーバ構成要素１３２ｓに提供されるべきデータのソースとしてネットワーク経路１８０のうちの１つを選択するように構成される。いくつかの例では、リンクボンディングクライアント１４０ｃとリンクボンディングサービス１４０ｓとは、ＯＳＩ（開放型システム間相互接続）モデルのデータリンクレイヤ（レイヤ２）において動作するが、これは必要とされない。マイクロＶＰＮクライアント構成要素１３２ｃとリンクボンディングクライアント構成要素１４０ｃとは、本明細書ではソフトウェアライブラリとして示されているが、マイクロＶＰＮクライアント構成要素１３２ｃとリンクボンディングクライアント構成要素１４０ｃとは、代替的に、少なくとも部分的にハードウェアおよび／またはファームウェアを使用して実装され得る。また、マイクロＶＰＮクライアントおよびサーバと、リンクボンディングクライアントおよびサービスとは、例示にすぎず、限定するものではないことを諒解されたい。

【0037】

一例では、アプリケーションプログラム１３２は、ＳａａＳアプリケーションである。クライアント構成要素１３２ｃは、ウェブページおよび／またはサーバ構成要素１３２ｓからダウンロードされた他のコンテンツを稼働するウェブブラウザまたは他のクライアント側プログラムであり得る。一例では、アプリケーションプログラム１３２は、ワークスペースフレームワーク、すなわち、単一のインターフェースからの複数のサブアプリケーションへのユーザアクセスを提供するソフトウェア環境である。そのようなサブアプリケーションは、ワークスペースフレームワーク内で稼働し、これらのサブアプリケーションの着信および発信データは、リンクボンディング構成要素１４０ｃを介してトンネル１３４を通過する。いくつかの例によれば、トンネル１３４は、アプリケーションフレームワークへのおよびそこからのすべてのアプリケーショントラフィックに適用される。

【0038】

例示的な動作では、クライアントデバイス１１０のユーザ１０２は、たとえば、ショートカットをクリックもしくはタップすることによって、またはブラウザ中でナビゲートすることによって、クライアント構成要素１３２ｃをローンチする。前に確立された関連付け１１４に基づいて、クライアント構成要素１３２ｃは、サーバ構成要素１３２ｓにネットワーク１７０上で接続し、トンネル１３４は、マイクロＶＰＮクライアント１３４ｃおよびマイクロＶＰＮサーバ１３４ｓのアクションによって確立される。リンクボンディングクライアント１４０ｃとリンクボンディングサービス１４０ｓとは、次いで、トンネル１３４を通してメッセージ１４８を交換し得る。リンクボンディングクライアント１４０ｃは、経路１８０上でネットワーク性能を測定するための基礎としてメッセージ１４８を使用する。たとえば、センサー１４４が、たとえばラウンドトリップ遅延（ピングユーティリティ（ｐｉｎｇ ｕｔｉｌｉｔｙ）を使用）としてのネットワーク速度、帯域幅などを測定する。一例では、センサー１４４は、経路１８０の各々上でネットワーク速度または帯域幅を別々に測定し、ネットワーク速度または帯域幅の測定を、ほぼ連続的に、または、５０ｍｓ（ミリ秒）ごとに１回などの一定の間隔で、繰り返し得る。メッセージ１４８は、リンクボンディングクライアント１４０ｃとリンクボンディングサーバ１４０ｓとを直接接続する点線として示されているが、そのようなメッセージは、実際には、たとえば、クライアント側およびサーバ側ドライバ１６０を介して、および各経路１８０のための任意のサポートインフラストラクチャ（たとえば、セルフォンタワー、ルータ、インターネットサービスプロバイダなど）を通して、ネットワーク１７０を通過する。このようにして、センサー１４４は、各経路１８０のリアルタイム測定値を取得する。いくつかの例では、センサー１４４は、選択された経路１４４ａ、すなわち、最高の速度、帯域幅、一貫性、経済性などを提供する、経路１８０のうちの１つを識別し、選択された経路１４４ａを識別する、選択された経路１４４ａの識別情報を、たとえば、ネットワーク１７０上で送られるインジケータ中で、サーバ１２０上のリンクボンディングサービス１４０ｓにアラートする。

【0039】

ユーザ１０２がＧＵＩ１１８を動作させてアプリケーション１３２を制御するとき、クライアント１１０は、実質的に同じ時間に、および並行して、すべての経路１８０上でアプリケーションデータ１６２をネットワーク１７０に送る。たとえば、リンクボンディングクライアント１４０ｃは、発信アプリケーションデータ１６２をＴＣＰ／ＩＰドライバ１５０ｃに渡す。ＴＣＰ／ＩＰドライバ１５０ｃは、マルチパスルーティングを使用して、アプリケーションデータを、イーサネットドライバ１６０ａとＷｉ－Ｆｉドライバ１６０ｂとセルラーデータドライバ１６０ｃとにフォワーディングする。クライアントデバイス１１０は、次いで、イーサネットポートとＷｉ－Ｆｉアンテナとセルフォンアンテナとを介してパケット１６２ａ、１６２ｂ、および１６２ｃを送出する。パケット１６２ａ、１６２ｂ、および１６２ｃはすべて、同じデータ１６２を伝達し、ネットワーク１７０を並行しておよび同時に通過するか、または概ねそのように行われ、これらの間の何らかの差が、経路１８０に沿った異なる遅延から派生する。一例では、すべての経路を通して送られるすべてのアプリケーションデータ１６２がトンネル１３４を通過する。

【0040】

サーバ１２０において、パケット１６２ａ、１６２ｂ、および１６２ｃは、ドライバ１６０ａに到着し、ＴＣＰ／ＩＰドライバ１５０ｓに渡り、次いでリンクボンディングサービス１４０ｓに渡る。リンクボンディングサービス１４０ｓは、クライアントデバイス１１０から送られたインジケータに基づいて、選択された経路１４４ａの識別情報を取得しており、続いて、他の経路のすべて上で到着したすべてのパケットを廃棄する。たとえば、イーサネット経路１８０ａが、選択された経路１４４ａとして確立された場合、リンクボンディングサービス１４０ｓは、すべてのパケット１６２ｂおよび１６２ｃを廃棄し、パケット１６２ａのみがサーバ構成要素１３２ｓに渡ることを可能にする。パケット１６２が異なるソースから発生し、サーバ１２０へ向かう途中で異なる経路１８０中を進むので、サーバ１２０がイーサネット接続のみを含む場合でも、サーバ１２０がすべての経路１８０を介してパケット１６２を受信することを諒解されたい。

【0041】

図１の下部に示されているように、すべてのパケットを表すものであるパケット１６４は、シーケンス識別子１６４ａとペイロード１６４ｂとを含む。シーケンス識別子１６４ａは各パケットに固有であるが、同じシーケンス識別子１６４ａを有する同じパケットの複製が異なる経路１８０上で送られ得る。一例では、リンクボンディングサービス１４０ｓは、シーケンス識別子１６４ａの整合に基づいて到着パケットを廃棄する。たとえば、リンクボンディングサービス１４０ｓは、すべての最近受信されたパケットのシーケンス識別子１６４ａのリストを維持し、同じシーケンス識別子１６４ａを有する冗長パケットを、すでにリスト上にあるものとして廃棄する。リンクボンディングサービス１４０ｓは、パケットを区別するための他の手法を使用し得る。たとえば、パケット中の特定のポート指定または他の指定子が、パケットが送信された経路１８０を識別し得る。そのような場合、リンクボンディングサービス１４０ｓは、そのポート指定または他の指定子が選択された経路１４４ａのポート指定または他の指定子と整合しない、パケットを廃棄し得る。

【0042】

サーバ１２０がアプリケーションデータ１６２をクライアントデバイス１１０に送るとき、リンクボンディングサービス１４０ｓは、アプリケーションデータをＴＣＰ／ＩＰドライバ１５０ｓに渡し、イーサネットドライバ１６０ｄを通してネットワーク１７０に渡す。サーバ１２０は、同じパケットが経路１８０のすべてを介して並行してクライアントデバイス１１０に到着するように、すべての経路１８０にダイレクトされるパケット中で同じアプリケーションデータを冗長的に送る。したがって、サーバ１２０はイーサネットのみを使用してネットワーク１７０に接続し得るにもかかわらず、サーバ１２０はすべての経路１８０を介してパケットを送る。

【0043】

クライアントデバイス１１０上のドライバ１６０ａ、１６０ｂ、および１６０ｃは、パケット１６２を受信し、パケット１６２をＴＣＰ／ＩＰドライバ１５０ｃに渡し、ＴＣＰ／ＩＰドライバ１５０ｃは、パケット１６２をリンクボンディングクライアント１４０ｃに渡す。リンクボンディングクライアント１４０ｃ中のセレクタ１４２が、サーバ構成要素１３２ｓからのパケットのソースとして、選択された経路１４４ａを割り当てる。セレクタは、選択された経路１４４ａとして指定されていないすべての経路からのパケット１６２ｄを廃棄し、選択された経路１４４ａからのパケットをクライアント構成要素１３２ｃに渡す。一例では、セレクタ１４２は、サーバに関して上記で説明された同じ技法を使用して、選択された経路１４４ａ上で到着したパケットを識別する。

【0044】

一例では、センサー１４４は、経路１８０上でネットワーク速度を連続的にまたは繰り返し監視する。別の経路が、たとえば、速度、経済性などに関して、現在の選択された経路１４４ａよりも良く機能する場合、リンクボンディングクライアント１４０ｃは、より良く機能する経路を新しい選択された経路１４４ａとして選択し、新しい選択された経路１４４ａをリンクボンディングサービス１４０ｓに通信し得る。特定の例では、Ｗｉ－ＦｉおよびＬＴＥ経路のみが利用可能である。その場合、リンクボンディングサービス１４０ｓは、デフォルトでＷｉ－Ｆｉを選択し得る。Ｗｉ－Ｆｉ速度が、指定されたしきい値１４６を下回る場合、リンクボンディングクライアント１４０ｃは、新しい選択された経路１４４ａとしてＬＴＥを選定し得る。いくつかの例では、リンクボンディングクライアント１４０ｃは、現在のＷｉ－Ｆｉ速度が現在のＬＴＥ速度を下回るときにのみ、ＬＴＥに切り替える。Ｗｉ－Ｆｉ速度が後で回復した場合、リンクボンディングクライアント１４０ｃは、選択された経路１４４ａをＷｉ－Ｆｉに再割り当てし得る。選択された経路１４４ａの割当ては、これにより、どのパケットがクライアント構成要素１３２ｃに渡され、どのパケットが廃棄されるかが決定されるという点で、重要（ｃｏｎｓｅｑｕｅｎｔｉａｌ）である。また、これにより、サーバ１２０上のリンクボンディングサービス１４０ｓがどのパケットをサーバ構成要素１３２ｓに渡し、どのパケットを廃棄するかが決定され得る。一例では、しかしながら、選択された経路１４４ａの割当ては、クライアント１１０またはサーバ１２０によって送信される発信データに影響を及ぼさず、なぜなら、現在の選択された経路１４４ａにかかわらず、送信がすべての経路１８０上で並行して行われるからである。

【0045】

説明された構成の場合、クライアントデバイス１１０は、経路１８０の速度を監視し、所与の時間に、選択された経路１４４ａを選択する。たとえば、ユーザ１０２がＷｉ－Ｆｉデッドスポットに移動したので、Ｗｉ－Ｆｉが突然弱くなった場合、動作は、ＬＴＥに（または何らかの他の経路に）シームレスにおよび透過的に切り替わる。ユーザ１０２がアクティブＷｉ－Ｆｉエリアに戻ったとき、動作は、Ｗｉ－Ｆｉにシームレスにおよび透過的に切り替わる。ユーザ１０２は、切替えが生じたことを決して知る必要はなく、一般に、サービスの中断を経験しない。

【0046】

いくつかの例では、クライアント１１０は、セルラーデータ接続を一時的に停止することによって、電力および／またはコストを節約し得る。たとえば、センサー１４４によって測定されるＷｉ－Ｆｉ信号強度および／または速度が一貫して高い場合、クライアント１１０は、ＬＴＥ接続を一時的に閉じ、Ｗｉ－Ｆｉのみの通信を進め得る。しかしながら、センサー１４４による速度テストは続き得、Ｗｉ－Ｆｉ速度または信号強度が減衰し始めた場合、クライアント１１０はＬＴＥ接続を再確立し得る。好ましくは、クライアント１１０は、Ｗｉ－Ｆｉ信号の完全な喪失より前にＷｉ－ＦｉからＬＴＥへの切替えがシームレスに進むことができるように、Ｗｉ－Ｆｉ信号が使用不可能になる前にＬＴＥを介して再接続する。いくつかの例では、ＧＵＩ１１８は、ユーザ１０２が不要な経路をオフにすることを可能にする制御を含む。たとえば、ユーザ１０２が、強いＷｉ－Ｆｉ信号をもつエリア中にいて、セッションの進行中に移動するつもりがない場合、ユーザ１０２は、ＧＵＩ１１８を動作させてＬＴＥをオフにし、それにより、ＬＴＥ処理に関連付けられた電力消費を低減し、場合によってはコストを低減し得、これは、使用される分（ｍｉｎｕｔｅｓ）に基づき得る。

【0047】

選択された経路１４４ａの選定が様々なファクタに基づき得ることを諒解されたい。これらは、たとえば、速度、帯域幅、ラウンドトリップ時間、ネットワーク強度の変動性、（たとえば、ドロップされたパケットの数に基づいて測定された）干渉、およびコストを含み得る。そのようなファクタは、組合せ論理、加重和、ファジー論理、機械学習、ニューラルネットなどを使用することなど、任意の好適なやり方で組み合わせられ得る。選択された経路１４４ａは、多くの場合、最も速い経路であり得るが、これは必要とされない。たとえば、良好なユーザエクスペリエンスを提供するのに依然として十分速い、より遅い経路が、使用するのに安価であり、および／または他の利点を有する場合、選択された経路１４４ａとして選定され得る。

【0048】

本出願の実施形態のメイン動作モードは、複数のネットワーク経路を同時にアクティブに保つためのものであるが、そのような実施形態は、常にこのように働くことを必要とされるとは限らない。たとえば、Ｗｉ－Ｆｉなどのネットワーク経路が、一貫して強い信号を提供することがわかり、自由に使用することができる場合、選択された経路１４４ａとしてＷｉ－Ｆｉが選定され得、他のネットワーク経路上の動作が停止され得る。同様に、高電力消費を必要とするネットワーク経路が、クライアントデバイス１１０のバッテリー寿命を温存するために一時的に停止され得る。センサー１４４が、選択された経路１４４ａの性能の低下を検出した場合、停止された経路１８０は復活し得る。

【0049】

さらに、単一の選択された経路１４４ａが説明されたが、いくつかの実施形態は、クライアントデバイス１１０へのダウンロードのためのある経路、およびサーバ１２０へのダウンロードのための別の経路など、複数の選択された経路を可能にする。したがって、クライアントデバイス１１０中のセレクタ１４２はクライアントデバイスのための選択された経路を選定し、サーバ１２０中の同様のセレクタ（図示せず）はサーバ１２０のための選択された経路を選定する。選択された経路がクライアントおよびサーバについて異なることを可能にすることは、アップロード対ダウンロード性能の差を反映し、これは、多くのタイプのネットワーク経路に共通である。これらの状況では、選択された経路を選定するための基礎として使用される測定値は、ラウンドトリップ遅延ではなく単方向遅延に基づき得る。いくつかの変形態によれば、別個のコンピュータまたは他の設備が、クライアントデバイス１１０および／またはサーバ１２０に代わってネットワーク速度または帯域幅を監視し得る。

【0050】

図２は、クライアントデバイス１１０上にアプリケーションプログラムをインストールするための例示的な構成を示す。ここで、サーバ１２０はダウンロード可能アプリケーションパッケージ２１０を記憶し、ダウンロード可能アプリケーションパッケージ２１０は、たとえば、圧縮されたアーカイブとして提供され得、クライアント構成要素１３２ｃと、マイクロＶＰＮクライアント１３４ｃと、リンクボンディングクライアント１４０ｃとを実装するためのコードを含む。アプリケーションプログラム１３２をインストールするために、クライアントデバイス１１０は、たとえば、ウェブサイトを介してサーバ１２０に接触し、ネットワーク１７０上でアプリケーションパッケージ２１０をクライアントデバイス１１０にダウンロードする。クライアントデバイス１１０は、次いで、アプリケーションパッケージ２１０を開き、任意の圧縮されたコンテンツを解凍し、構成要素をインストールする。すべての３つの構成要素１３２ｃ、１３４ｃ、および１４０ｃは単一のパッケージ２１０中で一緒に提供されるので、クライアントデバイス１１０は、単一のダウンロードを介して、アプリケーションプログラム１３２の暗号化されたマルチパス動作をサポートするためのすべての必要な構成要素をインストールすることが可能である。

【0051】

図３は、品質属性に基づいてＷｉ－ＦｉおよびＬＴＥなどの２つの接続経路間でシームレスにおよび透過的に切り替えるための例示的な方法３００を示し、品質属性は、それ自体が、速度、帯域幅、ネットワーク一貫性、および／またはコスト、すなわち、選択された経路１４４ａを選定するための上記で説明されたファクタのいずれかに基づき得る。方法３００は２つの接続経路１８０に焦点を当てるが、方法３００は、任意の数のそのような経路に拡張され得る。また、図示された行為は特定の順序で示されているが、この順序は変動し得、いくつかの行為は同時に実施され得る。

【0052】

３１０において、たとえば、ユーザ１０２がクライアント構成要素１３２ｃをローンチした結果として、アプリケーションクライアント１３２ｃとアプリケーションサーバ１３２ｓとの間に通信セッションが確立される。一例では、通信セッションは、マイクロＶＰＮクライアント１３４ｃとマイクロＶＰＮサーバ１３４ｓとの間に確立されたトンネル１３４を介して行われる。それぞれのネットワーク接続は各接続経路１８０を介して構成され、クライアント構成要素１３２ｃとサーバ構成要素１３２ｓとの間のすべての通信は、すべての経路１８０について、トンネル１３４を通過する。リンクボンディングクライアント１４０ｃは、現在選択されている経路１４４ａを識別し、続いて、この選択された経路１４４ａを介して到着したデータ（たとえば、パケット）をクライアント構成要素１３２ｃに渡す。したがって、リンクボンディングクライアント１４０ｃは、選択された経路１４４ａを、すべての着信アプリケーションデータ１６２のための唯一のソースとして使用し、他の経路を介して到着したデータ１６２を廃棄する。一例では、センサー１４４が何らかのネットワーク測定を行う前に、リンクボンディングサービス１４０ｃは、最初の選択された経路１４４ａとしてのＷｉ－Ｆｉにデフォルト設定され、Ｗｉ－Ｆｉ信号が検出されなかった場合のみ別の経路に切り替える。

【0053】

３２０において、リンクボンディングクライアント１４０ｃ中のセンサー１４４は、たとえば、ピングコマンド（ｐｉｎｇ ｃｏｍｍａｎｄ）、帯域幅測定、および／または他の手法を使用することによって、すべての経路１８０上の接続を測定し、各接続経路１８０についての品質属性（ＱＡ：ｑｕａｌｉｔｙ ａｔｔｒｉｂｕｔｅ）を生成する。いくつかの例では、品質属性は、それぞれの経路の速度のみに基づく。他の例では、品質属性は、たとえば、速度、帯域幅、コスト、および／または一貫性を含み得る、ファクタの任意の組合せに基づく。

【0054】

３３０において、リンクボンディングクライアント１４０ｃは、Ｗｉ－Ｆｉ経路（接続１）の品質属性がしきい値１４６（しきい値１）を下回ったかどうかを決定する。しきい値は、たとえば、あらかじめ決定されるかまたは動的に確立され得る。リンクボンディングクライアント１４０ｃは、Ｗｉ－Ｆｉの品質属性がＬＴＥ（接続２）の品質属性よりも小さいかどうかをも決定し得る。リンクボンディングクライアント１４０ｃは、代替として、または任意の組合せで、これらの決定を適用し得る。

【0055】

Ｗｉ－Ｆｉの品質属性がしきい値１を下回り、および／またはＬＴＥの品質属性を下回った場合、動作は３４０に進み、その後、リンクボンディングクライアント１４０ｃは、続いて、ＬＴＥを介して到着したデータを処理し、Ｗｉ－Ｆｉを介して到着したデータを廃棄する。リンクボンディングクライアント１４０ｃは、リンクボンディングサービス１４０ｓに送られる、属性のこの変化を通信し得、リンクボンディングサービス１４０ｓも、ＬＴＥ経路を介した到着データを処理し、Ｗｉ－Ｆｉを介して到着したデータを廃棄し得る。次いで、動作は３２０に戻り、その後、品質属性の生成と決定とが繰り返される。

【0056】

３３０において、Ｗｉ－Ｆｉについての品質属性がしきい値１を下回らず、および／またはＬＴＥの品質属性を下回らなかった場合、動作は代わりに３５０に進み、その後、リンクボンディングクライアント１４０ｃは、Ｗｉ－Ｆｉ経路（接続１）の品質属性が第２のしきい値（好ましくはしきい値１よりもわずかに高いしきい値２）を超え、および／またはＬＴＥの品質属性を超えるかどうかを決定する。上記を超えない場合、動作は３２０に戻り、他の場合、動作は３６０に進み、その後、リンクボンディングクライアント１４０ｃは、続いて、Ｗｉ－Ｆｉを介して到着したデータを処理し、ＬＴＥを介して到着したデータを廃棄する。前述のように、リンクボンディングクライアント１４０ｃは、リンクボンディングサーバ１４０ｓにこの変化を通信し得、リンクボンディングサーバ１４０ｓも、Ｗｉ－Ｆｉ経路を介して到着したデータを処理し、ＬＴＥを介して到着したデータを廃棄し得る。次いで、動作は３２０に戻り、上記で説明された行為が繰り返される。しきい値２は、たとえば、あらかじめ決定されるかまたは動的に確立され得る。

【0057】

動作は、アプリケーションプログラム１３２が稼働し続ける限り、無期限にこのようにして進み得る。しきい値２をしきい値１よりもわずかに高くすることについての論拠は、品質属性がしきい値１に近いとき、動作がソース間でチャタリングする（ｃｈａｔｔｅｒ）のを防ぐことである。これが問題にならない場合、しきい値２は、単にしきい値１に設定され得る（すなわち、両方について同じしきい値が使用され得る）。しきい値１としきい値２とが任意の好適なやり方で確立され得ることを諒解されたい。たとえば、しきい値１としきい値２とは、ユーザアクティビティおよび／またはアプリケーション１３２の性質に基づいて動的に確立され得る。たとえば、しきい値は、より低いレベルのネットワーク性能がユーザエクスペリエンスを損なわないように、アプリケーション１３２が比較的小さいデータを交換する場合、より低い値に設定され得る。逆に、しきい値は、より帯域幅集約なアプリケーションが稼働されている場合、より高い値に設定され得る。

【0058】

図４ａ～図４ｄは、アプリケーションプログラム１３２のクライアント構成要素１３２ｓによってレンダリングされるような、およびクライアントデバイス１１０のディスプレイ１１６上で閲覧されるような、ＧＵＩ１１８の部分を表す様々なスクリーンショット１１８ａ～１１８ｄを示す。図示されたＧＵＩのレイアウトを一般的なスマートフォンアプリのレイアウトとして認識するかもしれないが、ＧＵＩ１１８ａ～１１８ｄは、スマートフォンアプリケーションに限定されない。たとえば、スクリーンショット１１８ａ～１１８ｄは、ラップトップコンピュータ上にまたは任意の他のコンピューティングデバイス上に表示され得る。ラップトップは、Ｗｉ－Ｆｉ接続を有し得、Ｂｌｕｅｔｏｏｔｈを介して、ＬＴＥ接続を有するスマートフォンにテザリングされ得る（テザリングは、ＰＡＮ－ パーソナルエリアネットワークを介してデータを共有する、多くのスマートフォンの能力である）。

【0059】

図４ａに示されているように、ＧＵＩ１１８ａは、現在アクティブな接続経路１８０のためのアイコン４１０を表示する。Ｗｉ－ＦｉおよびＢｌｕｅｔｏｏｔｈ ＰＡＮのためのアイコン４１０が詳細に図示されており、これは、クライアントデバイス１１０がＷｉ－ＦｉとＬＴＥの両方を介してインターネットに接続されることを示す（ＬＴＥ接続はＢｌｕｅｔｏｏｔｈテザリング（Ｂｌｕｅｔｏｏｔｈ－ｔｅｔｈｅｒｅｄ）スマートフォンを介して達成される）。ＧＵＩ１１８は、たとえば、リンクボンディングクライアント１４０ｃ中のセンサー１４４によって測定される、両方の経路についてのネットワーク速度（メガビット毎秒単位）（Ｗｉ－Ｆｉについての０．６ＭｂｐｓおよびＬＴＥについての０．１Ｍｂｐｓ）を示す速度インジケータ４２０を表示する。

【0060】

図４ｂ～図４ｄは、図４ｂでは、回復されたパケットについての統計値４３０（５．９ＭＢ、経路を切り替えることによって回復されたパケットの数）および守られた接続についての統計値４３０（２、接続喪失が経路を切り替えることによって回避された回数）を含む、追加情報を示す。図４ｃは、使用内訳４４０（各経路からどのくらいのデータが使用されたか）を示し、図４ｄは、レイテンシと喪失の両方に関して、接続品質４５０を示す。いくつかの実施形態では、図４ａ～図４ｄは、より大きいＧＵＩ１１８の部分を表す。

【0061】

図５は、全体的ＧＵＩ１１８が上記で説明されたＧＵＩ部分１１８ａ～１１８ｄを含む、このような実施形態の一例を示す。たとえば、ユーザ１０２は、全体的ＧＵＩ１１８上の矢印５１０をクリックすることによって、ＧＵＩ部分１１８ａ～１１８ｄを呼び出し得る。全体的ＧＵＩ１１８は、この例ではワークスペースフレームワークアプリケーションである、アプリケーションプログラム１３２のためのユーザインターフェースを提供する。ワークスペースフレームワークアプリケーションは、たとえば、ウェブブラウザまたは他のコンテナにおいて、ＳａａＳアプリケーションとして稼働し、ユーザ１０２が、ユーザ１０２の登録されたサブアプリケーションのいずれかを選択し、稼働することを可能にする。登録されたサブアプリケーションはすべて、マイクロＶＰＮクライアント１３４ｃおよびリンクボンディングクライアント１４０ｃを介してすべてが通信するように、アプリケーションプログラム１３２のコンテキスト内で稼働する。したがって、図示された構成は、複数の経路１８０を使用するマイクロＶＰＮ上でのＳａａＳアプリケーションの動作を一意にサポートし、複数の経路１８０は、デッドスポットの存在下でさえ、高品質接続を維持するために、シームレスに切り替えられる。

【0062】

図６～図８は、環境１００に関して行われ得る例示的な方法６００、７００、および８００を示す。方法６００は、たとえば、クライアントデバイス１１０のメモリ１３０ｃ中に常駐し、プロセッサ１１４ｃのセットによって稼働される、図１に関して説明されたソフトウェア構成体によって実施され得る。方法７００は、たとえば、サーバ１２０のメモリ１３０ｓ中に常駐し、プロセッサ１１４ｓのセットによって稼働される、ソフトウェア構成体によって実施され得る。方法８００は、クライアントデバイス１１０とサーバ１２０の両方中に常駐するソフトウェア構成体によって実施され得る。方法６００、７００、および８００の様々な行為は、任意の好適なやり方で順序付けられ得る。したがって、図示された順序とは異なる順序で行為が実施される実施形態が構築され得、これは、いくつかの行為を同時に実施することを含み得る。

【0063】

図６では、方法６００は、クライアントデバイス１１０によって実施され得る。行為６１０において、クライアントデバイス１１０は、単一のアプリケーション１３２のためにクライアントデバイス１１０とサーバ１２０との間で情報を伝達するように構成された暗号化されたチャネル１３４によって使用される複数のネットワーク経路１８０を監視する。

【0064】

６２０において、クライアントデバイス１１０は、複数のネットワーク経路１８０の各々を介してサーバ１２０から単一のアプリケーション１３２のデータ１６２を受信する。複数のネットワーク経路の各々から受信されたデータ１６２は、同じデータである。

【0065】

６３０において、クライアントデバイス１１０は、クライアントデバイス１１０上のクライアント構成要素１３２ｃのためのデータ１６２のソースとして、複数のネットワーク経路１８０のうちの第１のネットワーク経路１４４ａを選択する。たとえば、リンクボンディングクライアント１４０ｃ中のセレクタ１４２は、選択された経路１４４ａ上で到着したパケットを渡し、他の経路上で到着したパケットを廃棄する。

【0066】

６４０において、クライアントデバイス１１０は、第１のネットワーク経路のネットワーク連続性の低減によって引き起こされるデータの受信の遅延を防ぐように、複数のネットワーク経路１８０を監視することに少なくとも部分的に基づいて、クライアント構成要素１３２ｃのためのデータのソースを、第１のネットワーク経路から複数のネットワーク経路のうちの第２のネットワーク経路に調節する。

【0067】

次に図７を参照すると、方法７００は、サーバ１２０によって実施され得る。７１０において、サーバ１２０は、単一のアプリケーション１３２のためにサーバ１２０とクライアントデバイス１１０との間に提供された暗号化されたチャネル１３４上で、クライアントデバイス１００からアプリケーションデータを受信する。アプリケーションデータ１６２は、複数のネットワーク経路１８０を介して並行して受信され、複数のネットワーク経路はすべて、同じアプリケーションデータを伝達する。

【0068】

７２０において、サーバは、サーバ１２０上で稼働しているサーバ構成要素１３２ｓのためのアプリケーションデータ１６２のソースとして、複数のネットワーク経路１８０のうちの第１のネットワーク経路を割り当てる。

【0069】

７３０において、サーバ１２０は、サーバ構成要素１３２ｓのためのアプリケーションデータ１６２のソースを、第１のネットワーク経路から複数のネットワーク経路のうちの第２のネットワーク経路に調節する。調節することは、クライアントデバイス１１０から受信されたインジケータに少なくとも部分的に基づき、第１のネットワーク経路のネットワーク連続性の低減によって引き起こされるデータの受信の遅延を防ぐように働く。

【0070】

次に図８を参照すると、方法８００は、クライアントデバイス１１０とサーバ１２０の両方によって実施され得る。８１０において、暗号化されたチャネル１３４が、クライアントデバイス１１０とサーバ１２０との間に確立される。暗号化されたチャネル１３４は、単一のアプリケーション１３２のための暗号化された通信を伝達するように構成される。暗号化されたチャネル１３４は、クライアントデバイス１１０の指示の下で、サーバ１２０の指示の下で、またはクライアントデバイス１１０とサーバ１２０との間の協調に基づいて、確立され得る。

【0071】

８２０において、クライアントデバイス１１０とサーバ１２０との間の暗号化されたチャネル１３４によって使用される複数のネットワーク経路１８０が監視される。たとえば、クライアント１１０、サーバ１２０、および／または何らかの別個のコンピュータもしくは設備が、複数のネットワーク経路１８０の各々に関係するネットワーク速度、帯域幅、および／または他のファクタを測定する。

【0072】

８３０において、サーバ１２０は、複数のネットワーク経路１８０の各々を介して、暗号化されたチャネル１３４上で、単一のアプリケーション１３２のアプリケーションデータ１６２のセットをクライアントデバイス１１０に送信する。複数のネットワーク経路１８０の各々は、アプリケーションデータ１６２の同じセットを伝達する。クライアントデバイス１１０が、データを送る側であるとき、クライアントデバイス１１０は、複数のネットワーク経路１８０の各々を介して、暗号化されたチャネル１３４上で、単一のアプリケーション１３２のアプリケーションデータ１６２のセットをサーバ１２０に送信し、複数のネットワーク経路１８０の各々がアプリケーションデータ１６２の同じセットを伝達する。

【0073】

８４０において、クライアントデバイス１１０は、クライアントデバイス１１０上で稼働しているクライアント構成要素１３２ｃのためのアプリケーションデータ１６２のソースとして、複数のネットワーク経路１８０のうちの第１のネットワーク経路を選択する。サーバ１２０が、データを受信する側であるとき、サーバ１２０は、サーバ１２０上で稼働しているサーバ構成要素１３２ｓのためのアプリケーションデータ１６２のソースとして、複数のネットワーク経路１８０のうちの第１のネットワーク経路を選択する。

【0074】

８４０において、クライアントデバイス１１０は、第１の経路のネットワーク連続性の低減によって引き起こされる、クライアントデバイスとサーバとの間でデータを通信することの遅延を防ぐように、複数のネットワーク経路を監視することに少なくとも部分的に基づいて、データのソースを、第１のネットワーク経路から複数のネットワーク経路のうちの第２のネットワーク経路に調節する。サーバ１２０がデータを受信しているとき、サーバ１２０は、第１の経路のネットワーク連続性の低減によって引き起こされる、サーバとクライアントデバイスとの間でデータを通信することの遅延を防ぐように、複数のネットワーク経路を監視することに少なくとも部分的に基づいて、データのソースを、第１のネットワーク経路から複数のネットワーク経路のうちの第２のネットワーク経路に調節する。

【0075】

次に図９を参照すると、本開示の様々な態様が実装され得る非限定的なネットワーク環境９０１が、コンピューティング環境９０１内に設置される、１つまたは複数のクライアントマシン９０２Ａ～９０２Ｎと、１つまたは複数のリモートマシン９０６Ａ～９０６Ｎと、１つまたは複数のネットワーク９０４、９０４’と、１つまたは複数の器具９０８とを含む。クライアントマシン９０２Ａ～９０２Ｎは、ネットワーク９０４、９０４’を介してリモートマシン９０６Ａ～９０６Ｎと通信する。

【0076】

いくつかの実施形態では、（クライアントデバイス１１０と同様であり得る）クライアントマシン９０２Ａ～９０２Ｎは、中間器具９０８を介して（サーバ１２０と同様であり得る）リモートマシン９０６Ａ～９０６Ｎと通信する。示されている器具９０８は、ネットワーク９０４とネットワーク９０４’との間に配置され、ネットワークインターフェースまたはゲートウェイと呼ばれることもある。いくつかの実施形態では、器具９０８はアプリケーション配信コントローラ（ＡＤＣ）として動作して、データセンターもしくはクラウドにおいて展開されるか、または様々なクライアントデバイスにわたってサービスとしてのソフトウェア（ＳａａＳ）として配信される、ビジネスアプリケーションおよび他のデータへのアクセスをクライアントに提供し、ならびに／あるいは、負荷分散などの他の機能を提供し得る。いくつかの実施形態では、複数の器具９０８が使用され得、（１つまたは複数の）器具９０８は、ネットワーク９０４および／または９０４’の一部として展開され得る。

【0077】

クライアントマシン９０２Ａ～９０２Ｎは、一般に、クライアントマシン９０２、ローカルマシン９０２、クライアント９０２、クライアントノード９０２、クライアントコンピュータ９０２、クライアントデバイス９０２、コンピューティングデバイス９０２、エンドポイント９０２、またはエンドポイントノード９０２と呼ばれることがある。リモートマシン９０６Ａ～９０６Ｎは、一般に、サーバ９０６またはサーバファーム９０６と呼ばれることがある。いくつかの実施形態では、クライアントデバイス９０２は、サーバ９０６によって提供されるリソースへのアクセスを求めるクライアントノードと、他のクライアントデバイス９０２Ａ～９０２Ｎのためのホストされたリソースへのアクセスを提供するサーバ９０６との両方として機能する能力を有し得る。ネットワーク９０４、９０４’は、一般に、ネットワーク９０４と呼ばれることがある。ネットワーク９０４は、ワイヤードネットワークとワイヤレスネットワークとの任意の組合せで構成され得る。

【0078】

サーバ９０６は、たとえば、ファイルサーバ、アプリケーションサーバ、ウェブサーバ、プロキシサーバ、器具、ネットワーク器具、ゲートウェイ、アプリケーションゲートウェイ、ゲートウェイサーバ、仮想化サーバ、展開サーバ、セキュアソケットレイヤ仮想プライベートネットワーク（ＳＳＬ ＶＰＮ）サーバ、ファイアウォール、ウェブサーバ、アクティブディレクトリを実行するサーバ、クラウドサーバ、または、ファイアウォール機能、アプリケーション機能、もしくは負荷分散機能を提供するアプリケーション加速プログラムを実行するサーバなど、任意のサーバタイプであり得る。

【0079】

サーバ９０６は、ソフトウェア、プログラム、実行可能な命令、仮想マシン、ハイパーバイザ、ウェブブラウザ、ウェブベースクライアント、クライアントサーバアプリケーション、シンクライアントコンピューティングクライアント、ＡｃｔｉｖｅＸコントロール、Ｊａｖａ（登録商標）アプレット、ソフトＩＰ電話のようなボイスオーバーインターネットプロトコル（ＶｏＩＰ）通信に関係するソフトウェア、ビデオおよび／もしくはオーディオをストリーミングするためのアプリケーション、リアルタイムデータ通信を容易にするためのアプリケーション、ＨＴＴＰクライアント、ＦＴＰクライアント、Ｏｓｃａｒクライアント、Ｔｅｌｎｅｔクライアント、または実行可能な命令の任意の他のセットのうちのいずれか１つであり得るアプリケーションを実行するか、動作させるか、またはさもなければ提供し得る。

【0080】

いくつかの実施形態では、サーバ９０６は、シンクライアントまたはリモートディスプレイプロトコルを使用して、サーバ９０６上で実行しているアプリケーションによって作り出されたディスプレイ出力をキャプチャし、アプリケーションディスプレイ出力をクライアントデバイス９０２に送信する、リモートプレゼンテーションサービスプログラムまたは他のプログラムを実行し得る。

【0081】

また他の実施形態では、サーバ９０６は、クライアントデバイス９０２のユーザにコンピューティング環境へのアクセスを提供する仮想マシンを実行し得る。クライアントデバイス９０２は仮想マシンであり得る。仮想マシンは、たとえば、ハイパーバイザ、仮想マシンマネージャ（ＶＭＭ）、またはサーバ９０６内の任意の他のハードウェア仮想化技術によって管理され得る。

【0082】

いくつかの実施形態では、ネットワーク９０４は、ローカルエリアネットワーク（ＬＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、１次パブリックネットワーク９０４、および１次プライベートネットワーク９０４であり得る。追加の実施形態は、様々なプロトコルを使用してモバイルデバイスの間で通信する携帯電話網のネットワーク９０４を含み得る。ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）内の短距離通信の場合、プロトコルは、８０２．１１、Ｂｌｕｅｔｏｏｔｈ、およびニアフィールド通信（ＮＦＣ）を含み得る。

【0083】

図１０は、クライアントデバイス９０２、器具９０８および／またはサーバ９０６の一実施形態を実践するために有用なコンピューティングデバイス９００のブロック図を示す。コンピューティングデバイス９００は、１つまたは複数のプロセッサ９０３と、揮発性メモリ９２２（たとえば、ランダムアクセスメモリ（ＲＡＭ））と、不揮発性メモリ９２８と、ユーザインターフェース（ＵＩ）９２３と、１つまたは複数の通信インターフェース９１８と、通信バス９５０とを備える。

【0084】

不揮発性メモリ９２８は、１つまたは複数のハードディスクドライブ（ＨＤＤ）または他の磁気もしくは光記憶媒体、フラッシュドライブもしくは他のソリッドステート記憶媒体などの１つまたは複数のソリッドステートドライブ（ＳＳＤ）、１つまたは複数のハイブリッド磁気およびソリッドステートドライブ、ならびに／あるいは、クラウドストレージなどの１つまたは複数の仮想ストレージボリューム、あるいはそのような物理ストレージボリュームおよび仮想ストレージボリュームの組合せ、あるいはこれらのアレイを含み得る。

【0085】

ユーザインターフェース９２３は、グラフィカルユーザインターフェース（ＧＵＩ）９２４（たとえば、タッチスクリーン、ディスプレイなど）と、１つまたは複数の入出力（Ｉ／Ｏ）デバイス９２６（たとえば、マウス、キーボード、マイクロフォン、１つまたは複数のスピーカー、１つまたは複数のカメラ、１つまたは複数の生体スキャナ、１つまたは複数の環境センサー、および１つまたは複数の加速度計など）とを備え得る。

【0086】

不揮発性メモリ９２８は、たとえば、オペレーティングシステム９１５および／またはアプリケーション９１６のコンピュータ命令が揮発性メモリ９２２の中から（１つまたは複数の）プロセッサ９０３によって実行されるように、オペレーティングシステム９１５と、１つまたは複数のアプリケーション９１６と、データ９１７とを記憶する。いくつかの実施形態では、揮発性メモリ９２２は、メインメモリよりも速い応答時間を与え得る１つまたは複数のタイプのＲＡＭおよび／またはキャッシュメモリを含み得る。データは、ＧＵＩ９２４の入力デバイスを使用して入力されるか、または（１つまたは複数の）Ｉ／Ｏデバイス９２６から受信され得る。コンピュータ９００の様々な要素は、通信バス９５０を介して通信し得る。

【0087】

示されているコンピューティングデバイス９００は、例示的なクライアントデバイスまたはサーバとして示されているにすぎず、本明細書で説明されるように動作することが可能な好適なハードウェアおよび／またはソフトウェアを有し得る任意のタイプのマシンまたはマシンのセットをもつ任意のコンピューティングまたは処理環境によって実装され得る。

【0088】

（１つまたは複数の）プロセッサ９０３は、システムの機能を実施するために、コンピュータプログラムなどの１つまたは複数の実行可能な命令を実行するために１つまたは複数のプログラマブルプロセッサによって実装され得る。本明細書で使用される「プロセッサ」という用語は、機能、動作、または動作のシーケンスを実施する回路を表す。機能、動作、または動作のシーケンスは、回路にハードコーディングされるか、または、メモリデバイス中に保持され、回路によって実行される命令としてソフトコーディングされ得る。プロセッサは、デジタル値を使用しておよび／またはアナログ信号を使用して、機能、動作、または動作のシーケンスを実施し得る。

【0089】

いくつかの実施形態では、プロセッサは、関連メモリとともに、１つまたは複数の特定用途向け集積回路（ＡＳＩＣ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、グラフィックス処理ユニット（ＧＰＵ）、マイクロコントローラ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブル論理アレイ（ＰＬＡ）、マルチコアプロセッサ、または汎用コンピュータにおいて具現され得る。

【0090】

プロセッサ９０３は、アナログ、デジタルまたは混合信号であり得る。いくつかの実施形態では、プロセッサ９０３は、１つまたは複数の物理プロセッサ、または１つまたは複数の仮想（たとえば、遠隔に位置するまたはクラウド）プロセッサであり得る。複数のプロセッサコアを含むプロセッサおよび／または複数のプロセッサが、命令の並列同時実行のための、または２つ以上のデータに対する１つの命令の並列同時実行のための、機能を提供し得る。

【0091】

通信インターフェース９１８は、コンピューティングデバイス１００が、セルラー接続を含む様々なワイヤードおよび／またはワイヤレス接続を通して、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、パーソナルエリアネットワーク（ＰＡＮ）、またはインターネットなどのコンピュータネットワークにアクセスすることを可能にするための、１つまたは複数のインターフェースを含み得る。

【0092】

説明される実施形態では、コンピューティングデバイス９００は、クライアントデバイスのユーザに代わってアプリケーションを実行し得る。たとえば、コンピューティングデバイス９００は、ハイパーバイザによって管理される１つまたは複数の仮想マシンを実行し得る。各仮想マシンは、ホストされたデスクトップセッションなど、アプリケーションがユーザまたはクライアントデバイスに代わって実行する実行セッションを提供し得る。コンピューティングデバイス９００は、ホストされたデスクトップ環境を提供するための端末サービスセッションをも実行し得る。コンピューティングデバイス９００は、１つまたは複数のアプリケーションと、１つまたは複数のデスクトップアプリケーションと、１つまたは複数のアプリケーションが実行し得る１つまたは複数のデスクトップセッションとを含む、リモートコンピューティング環境へのアクセスを提供し得る。

【0093】

ネットワーク１７０上での通信を管理するための技法が説明された。この技法は、複数のネットワーク経路１８０を同時に維持し、すべてのネットワーク経路１８０を通して同じデータ１６２を冗長的に交換し、受信機（たとえば、セレクタ１４２）がネットワーク経路１８０のうちの１つをデータのソースとして選択することを可能にする。Ｗｉ－Ｆｉなど、第１の、現在選択されているネットワーク経路が弱くなった場合、受信機１４２は、データのソースをＬＴＥなどの第２のネットワーク経路に自動的におよびシームレスに切り替えるが、第１のネットワーク経路は動作可能のままである。第２の（ＬＴＥ）ネットワーク経路がすでにオンであり、すでにデータを伝達しているとすれば、遷移はほぼ瞬時である。非一貫性ネットワークをもつ環境中で稼働している高度対話型アプリケーションでさえ、概してダウンタイムなしで完全に機能的なままであり得るので、ユーザエクスペリエンスは大幅に改善される。それにより、信頼性およびユーザエクスペリエンスが向上する。
セクションＩＩ：結合されたデバイスを介した、セキュアなリソースへの認証

【0094】

第１のデバイスによって認証を実施するための技法は、ネットワーク接続を第１のデバイスと共有する第２のデバイスから受信されたセキュリティデータに少なくとも部分的に基づいて認証強度および／または利便性を増加させる。このセクションにおいて説明される技法は、セクションＩの環境において、たとえば、デバイスが複数の同時ネットワーク接続を維持し、これらの間でシームレスに切り替える構成において、提供され得る。ただし、このセクションにおいて提示される技法はセクションＩにおいて提示された技法から独立して使用され得るので、セクションＩ構成は必要とされない。

【0095】

図１１は、開示される技法の実施形態が実践され得る例示的なシステム１１００を示す。ここで、第１の（クライアント）デバイス１１０と、第２の（結合）デバイス１１１０と、サーバ１２０とが、ネットワーク１７０に動作可能に接続する。第１のデバイス１１０とサーバ１２０とネットワーク１７０とは、図１に関して説明されたものと同様であり得るが、これは必要とされない。また、第１のデバイス１１０と第２のデバイス１１１０とは、同じ個人またはエンティティによって所有および動作され得るが、これも必要とされない。

【0096】

第１のデバイス１１０は第１のネットワーク経路１８０－１を介してネットワーク１７０に接続し、第２のデバイス１１１０は第２のネットワーク経路１８０－２を介してネットワーク１７０に接続する。たとえば、第１のネットワーク経路１８０－１はＷｉ－Ｆｉ（ＩＥＥＥ８０２．１１Ｘ）であり得、第２のネットワーク経路１８０－２は、ＬＴＥ（ロングタームエボリューション）、ＧＳＭ（モバイル用グローバルシステム）、ＣＤＭＡ（符号分割多元接続）、またはＷｉＭＡＸなど、セルラーデータであり得る。また、第２のネットワーク経路１８０－２は、５Ｇ、あるいは何らかの他の開発中のまたは将来のセルラー方式であり得る。第１のデバイス１１０は、ラップトップ、タブレット、または他のコンピュータであり得、第２のデバイス１１１０は、スマートフォン、タブレット、ドングル、パーソナルリーダー、またはセルラーデータインターフェースを有する他のデバイスであり得る。デバイス１１０および１１１０は、両方とも、ネットワーク１７０への単一の経路１８０－１または１８０－２を有するものとして示されているが、各デバイスがネットワーク１７０への複数の経路を有し得ることを諒解されたい。たとえば、第１のデバイス１１０は、Ｗｉ－Ｆｉに加えてイーサネットおよび／またはセルラーインターフェースを有し得、第２のデバイス１１１０は、セルラーに加えてイーサネットおよび／またはＷｉ－Ｆｉインターフェースを有し得る。ネットワーク１７０は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、イントラネット、インターネット、および／あるいは何らかの他のタイプのネットワークまたはネットワークの組合せとして提供され得る。特定の例では、ネットワーク１７０はインターネットを含み、サーバ１２０は、ＳａａＳ（サービスとしてのソフトウェア）アプリケーションおよび／またはファイルストレージなど、クラウドベースサービスおよび／または仮想サービスのプロバイダである。一例では、第１のデバイス１１０と第２のデバイス１１１０とは、両方とも、サーバ１２０に登録される。たとえば、これらのデバイスは、サーバ１２０に対してそれぞれのデバイスを一意に識別するコードまたは他のデータ要素を有する。

【0097】

示されている様式では、第１のデバイス１１０は、たとえば第１のデバイス１１０と第２のデバイス１１１０とをテザリングするかまたはさもなければ通信可能に結合することによって、第２のデバイス１１１０を介して第２のネットワーク経路１８０－２にアクセスするように構成される。「テザリング」は、モバイルデバイスのネットワーク接続を他のコンピュータと共有することを表す。第２のデバイス１１１０に通信可能に結合することによって、第１のデバイス１１０は、ネットワーク１７０への、したがってサーバ１２０への複数の同時接続経路を維持することが可能である。接続経路１８０－１が弱くなった場合、クライアントデバイス１１０は、ほとんどまたはまったく中断せずに、接続経路１８０－２にシームレスにおよび透過的に切り替え得、またはその逆も同様である。第２のデバイス１１１０による第１のデバイス１１０の結合は、Ｂｌｕｅｔｏｏｔｈ、Ｗｉ－Ｆｉ、ＵＳＢ（ユニバーサルシリアルバス）、あるいは何らかの他のプロトコルまたはタイプのケーブルなど、接続媒体１１１２上で達成され得る。

【0098】

例示的な動作では、ユーザ１０２は、第２のデバイス１１１０のネットワーク経路１８０－２を第１のデバイス１１０と共有（たとえば、テザリング）するように第２のデバイス１１１０を構成する。たとえば、第２のデバイス１１１０がＡｐｐｌｅ ｉＯＳ（登録商標）を稼働する場合、ユーザ１０２は、第２のデバイス１１１０上で設定に入り、セルラー設定を選択し、パーソナルホットスポットをセットアップするための制御を動作させ得る。第２のデバイス１１１０は、次いで、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、またはＵＳＢを使用して第１のコンピュータ１１０に接続するための選択肢をユーザに与え得る。同様のプロシージャが、Ａｎｄｒｏｉｄ（登録商標） ＯＳ、Ｃｈｒｏｍｅ ＯＳ（登録商標）、Ｗｉｎｄｏｗｓ Ｐｈｏｎｅ（登録商標）、および他のモバイルオペレーティングシステムを稼働しているデバイス上で利用可能である。

【0099】

第２のデバイス１１１０が第２のネットワーク経路１８０－２を共有するように構成された場合、第１のデバイス１１０は、第２のネットワーク経路１８０－２を発見し、第２のネットワーク経路１８０－２に接続し、その結果、第１のデバイス１１０は、第１のネットワーク経路１８０－１と第２のネットワーク経路１８０－２の両方を介してネットワーク１７０にアクセスすることができる。

【0100】

いくつかの例では、第２のネットワーク経路１８０－２を発見すると、第１のデバイス１１０は、第２のデバイス１１１０とのハンドシェイキングプロトコルを始動して、第２のデバイス１１１０上のセキュリティエージェント１１１８からセキュリティデータ１１１４を取得する。セキュリティデータ１１１４は、セキュリティトークン、第２のデバイス１１１０を識別する情報、または任意の他の形態など、様々な形態をとり得る。たとえば、最初のハンドシェイキング中に、第１のデバイス１１０は、セキュリティデータ１１１４を取得し、セキュリティデータ１１１４を将来の使用のために利用可能に保つ。ハンドシェイキングは、有利には、第２のネットワーク経路１８０－２を発見すると実施されるが、ハンドシェイキングは、ユーザ１０２による至急の要求に応答してなど、任意の時間に実施され得るので、これは一例にすぎない。

【0101】

ある時点において、ユーザ１０２は、セキュアにされたＳａａＳアプリケーション、セキュアなファイル、または認証を必要とするサーバ１２０上の何らかの他のリソースなど、サーバ１２０上のセキュアなリソース１１４０にアクセスするように、第１のデバイス１１０を動作させることを望み得る。セキュアなリソース１１４０はユーザ１０２によってのみアクセス可能であり得るか、または、セキュアなリソース１１４０は、たとえばそれぞれの許可設定に基づいて、複数の認証されたユーザにとってアクセス可能であり得る。リソースにアクセスするために、ユーザ１０２は、第１のデバイス１１０上のブラウザまたはクライアント側アプリケーションを開始し得る。ブラウザまたはクライアント側アプリケーションは、パスワード、トークン、生体入力など、認証ファクタをユーザ１０２に要求する、認証ページを表示する。ユーザは、認証ページに記入し、認証ページをサーバ１２０にサブミットする。

【0102】

本出願の特定の改善によれば、第２のデバイス１１１０から受信されたセキュリティデータ１１１４は、セキュアなリソース１１４０にアクセスするときの認証強度および／または利便性を改善するための基礎を提供する。たとえば、セキュリティデータ１１１４は、第２のデバイス１１１０の登録コード（たとえば、セキュリティエージェント１１１８によってサーバ１２０から前に取得されたもの）など、第２のデバイス１１１０に関する識別情報を含み得る。受信されたセキュリティデータに基づいて、第１のデバイス１１０上で稼働している認証エージェント１１１６が、インジケータ１１１４ａを作り出し、インジケータ１１１４ａを認証要求１１５０の一部として提供し、認証要求１１５０は、たとえば、パスワード、生体入力など、１つまたは複数の他の認証ファクタ１１１７とともに、サーバ１２０にサブミットされ得る。インジケータ１１１４ａは、セキュリティデータ１１１４と同じであり得るか、またはさもなければセキュリティデータ１１１４に基づき得る。いくつかの例では、インジケータ１１１４ａは非表示にされ、その結果、ユーザ１０２は、インジケータ１１１４ａを決して見ないか、または扱わない。むしろ、インジケータ１１１４ａは、たとえば、非表示にされた認証ファクタとして、認証要求１１５０に自動的に含まれ得る。

【0103】

第１のデバイス１１０が認証要求１１５０をサーバ１２０にサブミットしたとき、認証サーバ１１３０が、要求１１５０を受信し、受信された情報を検査することを試みる。たとえば、認証サーバ１１３０は、提供された認証ファクタ１１１４ａおよび１１１７を、これらのファクタについての予想される値と比較する認証動作を実施して、認証結果１１６０を生成する。結果１１６０は、実際の値と予想される値とが整合した場合は成功であり、これらの値が整合しない場合は不成功である。認証動作の一部として、認証サーバ１１３０は、インジケータ１１１４ａを、インジケータ１１１４ａの予想される値と比較し、認証結果１１６０を、インジケータ１１１４ａがインジケータ１１１４ａの予想される値と整合するかどうかに少なくとも部分的に基づかせる。認証が成功した場合、認証サーバ１１３０は、第１のデバイス１１０がセキュアなリソース１１４０にアクセスすることを可能にし得る。他の場合、認証サーバ１１３０は、そのようなアクセスを拒否するか、または、追加の認証ファクタを供給するようにユーザ１０２に要求し得る。

【0104】

認証サーバ１１３０はサーバ１２０の一部であると見なされるが、認証サーバ１１３０が同じ物理コンピュータ上に位置する必要はない。むしろ、セクションＩの場合のように、サーバ１２０は、本明細書ではまとめて「サーバ」と呼ばれる任意の数の物理コンピュータおよび／または仮想マシンを使用して実装され得る。

【0105】

いくつかの例では、セキュリティエージェント１１１８は、セキュリティデータ１１１４またはセキュリティデータ１１１４の一部分をトークンコードとして作り出し、トークンコードは、認証要求１１５０のための追加の認証ファクタを提供する。たとえば、第２のデバイス１１１０上のセキュリティエージェント１１１８は、Ｓｙｍａｎｔｅｃ ＶＩＰなど、サードパーティトークンプロバイダ１１２０ａと同期され得る。セキュリティエージェント１１１８とトークンプロバイダ１１２０ａとは、各々、共通シードからトークンコードを作り出し得、その結果、両方が同じ時間に同じトークンコードを作り出すことが可能である。認証サーバ１３０は、認証要求１１５０中で受信されたトークンコードを、サードパーティトークンプロバイダ１１２０ａから現在のコードを取得し、受信されたコードを現在のコードと比較することによって、検査し得る。いくつかの例では、認証サーバ１３０自体がローカルトークンプロバイダ１１２０ｂを稼働し、ローカルトークンプロバイダ１１２０ｂは、サードパーティトークンプロバイダ１１２０ａと同様の役割を実施するが、サーバ１２０上でローカルに稼働する。

【0106】

説明される様式では、第１のデバイス１１０は、セキュアなリソース１１４０への認証を支援するために第１のデバイス１１０が結合された第２のデバイス１１１０を活用する。したがって、第２のデバイス１１１０は、信頼性を向上させるために第２のデバイス１１１０のネットワーク経路１８０－２を共有するだけでなく、第２のデバイス１１１０はまた、認証を向上させるためにセキュリティデータ１１１４を供給する。

【0107】

図１２は、第１のデバイス１１０に通信可能に結合された第２のデバイス１１１０のプレゼンスが認証要求１１５０のための認証ファクタとして働く例示的な構成１２００を示す。示されているアクティビティは、第１のデバイス１１０と、第２のデバイス１１１０と、認証サーバ１１３０と、セキュアなリソース１１４０とに関与し得る。

【0108】

１２１０において、第１のデバイス１１０は、第２のデバイス１１１０に通信可能に結合されると、第２のネットワーク経路１８０－２を発見する。たとえば、ユーザ１０２は、第２のデバイス１１１０をパーソナルホットスポットとして構成し、たとえば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、またはＵＳＢを介して、第１のデバイス１１０と第２のデバイス１１１０との間の接続を確立する。第１のデバイス１１０は、第２のネットワーク経路１８０－２を発見し、第２の経路を通してネットワーク１７０への接続を確立する。

【0109】

１２２０において、第１のデバイス１１０は、第２のデバイス１１１０からセキュリティデータ１１１４を受信する。この例では、セキュリティデータ１１１４は、第２のデバイス１１１０の識別子、たとえば、他のデバイスの中から第２のデバイス１１１０を一意に識別するために作成されるかまたは割り振られる登録コードまたは他の共有秘密を含み得る。たとえば、サーバ１２０は、第２のデバイス１１１０をサーバ１２０に登録するための登録プロセスの一部として、特に第２のデバイス１１１０のための、登録コードを前に作成していることがある。登録コードは、第２のデバイス１１０を知られているデバイスとして識別し、サーバ１２０は、第２のデバイス１１０に、ある信用レベルを与え得る。

【0110】

１２３０において、第１のデバイス１１０は、セキュリティデータ１１１４からインジケータ１１１４ａを作り出す。インジケータ１１１４ａは、セキュリティデータ１１１４と同一であり得るか、または、さもなければ、セキュリティデータ１１１４に基づき得る。たとえば、インジケータ１１１４ａは、登録コードの暗号化されたバージョンとして、または登録コード上のアルゴリズムを稼働した結果として、提供され得る。いくつかの例では、インジケータ１１１４ａは、第１のデバイス１１０が現在第２のデバイス１１１０にテザリングされているかまたはさもなければ通信可能に結合されていることを指定するコードなど、追加情報を含む。

【0111】

１２４０において、第１のデバイスは、認証要求１１５０を認証サーバ１１３０に送る。認証要求１１５０はインジケータ１１１４ａを含み、インジケータ１１１４ａは、非表示にされた認証ファクタとして提供され得る。いくつかの例では、認証要求１１５０は、パスワード、サムプリントなど、１つまたは複数の追加の認証ファクタ１１１７をも含む。第１のデバイス１１０は、これらの追加の認証ファクタ１１１７を認証要求１１５０に追加し得る。

【0112】

１２５０において、認証サーバ１１３０は、認証要求１１５０を受信し、認証動作１２５２を実施する。一例では、認証動作１２５２は、受信された認証ファクタ（または受信された認証ファクタの何らかのサブセット）を検証し、成功の結果または不成功の結果を生成する。成功の結果を作り出したことに応答して、認証動作１２５２は、パスコード１２５４を作り出し得、パスコード１２５４は、セキュアなリソース１１４０をロック解除するための鍵として働く。認証要求１１５０が一般に複数の認証ファクタ（たとえば、１１１４ａおよび１１１７）を指定し、複数の認証ファクタのうち、サブセット１１１４ａのみが、通常、第２のデバイス１１１０によって提供されることを諒解されたい。したがって、悪意のあるユーザは認証が成功するために必要とされる他のファクタ１１１７を入力することができないので、悪意のあるユーザは、通常、許可されたユーザのフォン（または他のデバイス）を盗み、ログオンすることを試みることによって、成功裡に認証することができない。

【0113】

１２６０において、認証サーバ１１３０は、たとえば認証応答１１６０の一部として、パスコード１２５４を第１のデバイス１１０に返す。

【0114】

１２７０において、第１のデバイス１１０は、パスコード１２５４を使用して、セキュアなリソース１１４０にアクセスする、たとえば、セキュアなＳａａＳアプリケーションを稼働するかまたはセキュアなファイルにアクセスする。

【0115】

したがって、構成１２００は、第１のデバイス１１０によって行われる認証要求１１５０の認証強度および／または利便性を改善するために、第２のデバイス１１１０の、前に確立された知識を活用する。いくつかの状況では、インジケータ１１１４ａは、複数の無音認証ファクタのうちの１つであり得るか、または、認証の成功を生成するために単独で使用され得、その結果、ユーザ１０２は認証ファクタを手動で入力する必要がない。そのような場合、ユーザ１０２は、認証の目的で他に何もする必要なしに、単に、セキュアなリソース１１４０へのアクセスを要求することによって、セキュアなリソース１１４０にアクセスし得る。

【0116】

図１３は、第２のデバイス１１１０が、追加の認証ファクタを提供するためのセキュリティトークンを第１のデバイス１１０に自動的に提供する、例示的な構成１３００を示す。図１２の場合のように、示されている構成は、第１のデバイス１１０と、第２のデバイス１１１０と、認証サーバ１１３０と、セキュアなリソース１１４０とに関与し得る。

【0117】

図１３中のフローは、図１２の場合と同様に、１２１０において開始し得、第１のデバイス１１０が、第２のデバイス１１１０に通信可能に結合されると、第２のネットワーク経路１８０－２を発見する。

【0118】

しかしながら、動作は、１３１０において、第１のデバイス１１０が第２のデバイス１１１０にセキュリティデータ１１１４を要求するという点で、図１２の動作とは異なる。要求は、ユーザ１０２の指示で発行され得るか、または自動的に発行され得る。１３２０において、１３１０における要求に応答して、第２のデバイス１１１０は、たとえばセキュリティエージェント１１１８の動作によって、新しいセキュリティトークン１３２２を作り出す。新しいセキュリティトークン１３２２は、トークンプロバイダ１１２０ａもしくは１１２０ｂに知られているかまたはトークンプロバイダによって計算され得る、ワンタイムパスワードまたは他のタイプのトークンであり得る。１２２０において、第２のデバイス１１１０は、新しいトークン１３２２を第１のデバイス１１０に返す。

【0119】

その後のアクティビティは図１２に示されているものと同様であり得、同様の参照番号が同様の行為を示す。しかしながら、ここで、認証動作１２５２は、さらに、セキュリティトークン１３２２を検証するためにトークンプロバイダ１１２０ａまたは１１２０ｂに接触することを伴い得る。

【0120】

したがって、図１３の構成は、ユーザ１０２が第２のデバイス１１１０から第１のデバイス１１０にトークンコード１３２２を手動で転送することを必要とすることなしに、トークンコード１３２２が第１のデバイス１１０に自動的に伝達されることを可能にする。したがって、トークンコード１３２２は、ユーザ１０２の側の追加の手動アクティビティを必要とすることなしに、追加の認証ファクタを提供することができる。図１２の場合のように、認証プロセスはユーザ関与なしに自動的に実施され得るので、認証プロセス全体がユーザ１０２にとって透過的にされ得る。

【0121】

図１２のアクティビティおよび図１３のアクティビティは代替形態として示されているが、これらは代替的に、一緒に使用され得る。たとえば、セキュリティデータ１１１４を受信する行為１２２０は、図１３の場合のようなトークンコード１３２２と、図１２の場合のような第２のデバイス１１１０の登録コードまたは他の共有秘密との両方を返し得る。その場合、両方の要素がインジケータ１１１４ａ中に含まれ得、インジケータ１１１４ａは、認証要求１１５０の一部としてサーバ１２０に送られ得る。したがって、開示される構成は、自動的に２つの認証ファクタ、たとえば、知られている第２のデバイス１１１０のためのある認証ファクタおよびトークンコード１３２２のための別の認証ファクタを、シームレスに提供する。

【0122】

図１４および図１５は、環境１１００に関して行われ得る例示的な方法１４００および１５００を示す。方法１４００および１５００は、それぞれ、クライアントの観点およびサーバの観点から提示される。

【0123】

図１４では、動作は１４１０において始まり、第１のデバイス１１０が第２のデバイス１１１０からセキュリティデータ１１１４を受信する。第２のデバイス１１１０は、第１のデバイス１１０と共有される、セルラーデータ経路など、ネットワーク経路１８０－２を有する。第１のデバイス１１０は、Ｗｉ－Ｆｉなど、第１のデバイス１１０自体のネットワーク経路１８０－１を有し得る。セキュリティデータ１１１４は、登録コードまたは他の共有秘密など、第２のデバイス１１１０に関する識別情報を含み得、および／あるいは、ワンタイムパスワードなど、トークンコード１３２２を含み得る。

【0124】

１４２０において、第１のデバイス１１０は、セキュリティデータ１１１４に基づくインジケータ１１１４ａを使用して、セキュアなリソース１１４０にアクセスするための要求をサーバ１２０に送る。たとえば、セキュアなリソース１１４０は、セキュアなＳａａＳアプリケーション、セキュアなファイル、または何らかの他のリソースである。インジケータ１１１４ａは、受信されたセキュリティデータ１１１４と同一であり得るか、または、インジケータ１１１４ａは、そのようなセキュリティデータ１１１４に基づき得る。要求は、追加の認証ファクタ１１１７をも含み得る。

【0125】

１４３０において、第１のデバイス１１０は、識別子１１１４ａに少なくとも部分的に基づく認証の成功に応答して、セキュアなリソース１１４０にアクセスする。たとえば、認証の成功は、第２のデバイス１１１０が第１のデバイス１１０に結合され、サーバ１２０に知られている（たとえば、サーバ１２０に登録されているか、またはさもなければサーバ１２０によって信用されている）こと、および／または、認証要求１１５０中で提供されたトークンコード１３２２が予想されるトークンコードと整合することの検証から生じ得る。

【0126】

次に図１５を参照すると、動作は１５１０において始まり、サーバ１２０は、セキュアなリソース１１４０にアクセスするための認証要求１１５０を第１のデバイス１１０から受信する。受信された認証要求１１４０は、第１のデバイス１１０へのネットワーク接続を共有する第２のデバイス１１１０から取得されたセキュリティデータ１１１４に基づくインジケータ１１１４ａを含む。インジケータ１１１４ａは、たとえば、登録コードまたは他の共有秘密、および／あるいは第２のデバイス１１１０によって作り出されたワンタイムパスワードなど、第２のデバイス１１１０の識別子を含み得る。

【0127】

１５２０において、たとえば認証サーバ１１３０を通して働く、サーバ１２０は、受信されたインジケータ１１１４ａに少なくとも部分的に基づいて認証動作１２５２を実施する。たとえば、認証動作１２５２は、登録コードに基づいて、第２のデバイス１１１０がサーバ１２０に知られていることを検証し、および／またはトークンコード１３２２が予想される値と整合することを検証する。

【0128】

１５３０において、サーバ１２０は、第１のデバイス１１０が、認証動作１２５２が成功の結果を生成したことに応答して、セキュアなリソース１１４０にアクセスすることを可能にする。たとえば、サーバ１２０は、第１のデバイス１１０がセキュアなリソース１１４０にアクセスするための鍵として使用し得るパスコード１２５４を作り出し得る。

【0129】

認証を実施するための技法が説明された。この技法は、ネットワーク接続１８０－２を第１のデバイス１１０と共有する第２のデバイス１１００からセキュリティデータ１１１４を受信することによって、認証強度および／または利便性を増加させる。第１のデバイス１１０が第２のデバイス１１００のネットワーク接続１８０－２を使用して複数の同時ネットワーク接続１８０を維持する場合、第２のデバイス１１００は、ユーザの側の追加の労力をほとんどまたはまったく伴わずに、増加された認証強度を提供することができる。むしろ、いくつかの例では、第２のデバイス１１００は、ユーザ関与をほとんどまたはまったく伴わずに、第１のデバイス１１０によって行われる認証要求１１５２に認証強度を透過的に追加することができる。

【0130】

いくつかの実施形態について説明したが、多数の代替実施形態または変形形態が行われ得る。たとえば、第２のデバイス１１１０は、認証強度を向上させるために登録コードおよび／またはトークンコードを提供するものとして本明細書で説明されたが、実施形態は、これらの特定のタイプのセキュリティデータに限定されない。たとえば、第２のデバイス１１１０とサーバ１２０の両方に知られている共有秘密は、認証強度および／または利便性を改善するための基礎として働き得るので、そのような秘密は十分であり得る。

【0131】

さらに、第１のデバイス１１０がセキュアなリソース１１４０をロック解除するための鍵として使用し得るパスコード１２５４を認証サーバ１１３０が提供する、実施形態が説明されたが、これは一例にすぎない。たとえば、ＳＡＭＬ（セキュリティアサーションマークアップ言語）など、他の機構が、認証されたユーザにセキュアアクセスを提供するために使用され得る。

【0132】

さらにまた、第２のデバイス１１１０が、たとえば複数の冗長ネットワーク経路をサポートするために、コンピュータネットワークへの第２の接続を提供する、実施形態が説明されたが、これも一例にすぎない。代替的に、第２のデバイス１１１０は、認証を支援するために使用されるが、ネットワークへの第２の接続を必要としない。

【0133】

さらに、実施形態はユーザ１０２に関して説明されたが、実施形態は、ユーザに関与するものに限定されないことを諒解されたい。たとえば、認証は、いかなるユーザも伴わずに実施され得る。
セクションＩＩＩ：第１のデバイスによってリソースへのアクセスを要求するときに第２のデバイスのロケーション情報を活用すること

【0134】

コンピュータ化アクセスを管理するための改善された技法は、ネットワーク接続を第１のデバイスと共有する第２のデバイスからロケーション情報を受信する第１のデバイスを含む。第１のデバイスは、ネットワーク上のリソースへのアクセスを要求するとき、第２のデバイスから受信されたロケーション情報を適用する。改善された技法を使用して、第１のデバイスは、認証強度を増加させるために、および／またはアクセス権の監督を容易にするために、第２のデバイスのプレゼンスと、第２のデバイスのロケーション情報とを活用する。

【0135】

このセクションにおいて説明される技法は、セクションＩの環境において、たとえば、デバイスが複数の同時ネットワーク接続を維持し、これらの間でシームレスに切り替える構成において、提供され得る。さらに、このセクションにおいて説明される技法は、セクションＩＩにおいて説明された特定の特徴を伴って提供され得、たとえば、第１のデバイスが、認証を実施するときに第２のデバイスのプレゼンスを活用する。ただし、このセクションにおいて提示される技法は前のセクションにおいて提示された技法から独立して使用され得るので、セクションＩ構成もセクションＩＩ構成も必要とされない。

【0136】

図１６は、改善された技法の実施形態が実践され得る例示的なシステム１６００を示す。ここで、第１のコンピューティングデバイス１１０（クライアント）と、第２のコンピューティングデバイス１１１０（結合）と、サーバ１２０とが、ネットワーク１７０に動作可能に接続する。第１のコンピューティングデバイス１１０（または単に、「第１のデバイス」）とサーバ１２０とネットワーク１７０とは、図１および図１１に関して説明されたものと同様であり得るが、これは必要とされない。また、第１のデバイス１１０と第２のコンピューティングデバイス１１１０（「第２のデバイス」）とは、同じ個人またはエンティティによって所有および動作され得るが、これも必要とされない。図１６に示されているサーバ装置１２０は、許可／認証（Ａ／Ａ）サーバ１６３０を含むと見なされ、許可／認証（Ａ／Ａ）サーバ１６３０は、システムリソースへの認証とアクセス制御（たとえば、許可）の両方をサポートするように構成される。前述のように、サーバ１２０は、本明細書ではまとめて「サーバ」と呼ばれる任意の数の物理コンピュータおよび／または仮想マシンを使用して実装され得る。

【0137】

図１１中の参照番号と同じ参照番号を有する図１６の特徴が、同様に実現され得る。たとえば、第１のデバイス１１０は第１のネットワーク経路１８０－１を介してネットワーク１７０に接続し、第２のデバイス１１１０は第２のネットワーク経路１８０－２を介してネットワーク１７０に接続する。第１のネットワーク経路１８０－１はＷｉ－Ｆｉ（ＩＥＥＥ８０２．１１Ｘ）であり得、第２のネットワーク経路１８０－２は、ＬＴＥ（ロングタームエボリューション）、ＧＳＭ（モバイル用グローバルシステム）、ＣＤＭＡ（符号分割多元接続）、またはＷｉＭＡＸなど、セルラーデータであり得る。また、第２のネットワーク経路１８０－２は、５Ｇ、あるいは何らかの他の開発中のまたは将来のセルラー方式であり得る。第１のデバイス１１０は、ラップトップ、タブレット、または他のコンピュータであり得、第２のデバイス１１１０は、スマートフォン、タブレット、ドングル（たとえば、ＬＴＥドングル）、パーソナルリーダー、またはセルラーデータインターフェースを有する他のデバイスであり得る。デバイス１１０および１１１０は、両方とも、ネットワーク１７０への単一の経路１８０－１または１８０－２を有するものとして示されているが、各デバイスがネットワーク１７０への複数の経路を有し得ることを諒解されたい。ネットワーク１７０は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、イントラネット、インターネット、および／あるいは何らかの他のタイプのネットワークまたはネットワークの組合せとして提供され得る。特定の例では、ネットワーク１７０はインターネットを含み、サーバ１２０は、ＳａａＳ（サービスとしてのソフトウェア）アプリケーションおよび／またはファイルストレージなど、クラウドベースサービスおよび／または仮想サービスのプロバイダである。

【0138】

示されている様式では、第１のデバイス１１０は、たとえば第１のデバイス１１０と第２のデバイス１１１０とをテザリングするかまたはさもなければ通信可能に結合することによって、第２のデバイス１１１０を介して第２のネットワーク経路１８０－２にアクセスするように構成される。「テザリング」は、モバイルデバイスのネットワーク接続を他のコンピュータと共有することを表す。第２のデバイス１１１０に通信可能に結合することによって、第１のデバイス１１０は、ネットワーク１７０への、したがってサーバ１２０への複数の同時接続経路を維持することが可能である。接続経路１８０－１が弱くなった場合、たとえば、クライアントデバイス１１０は、ほとんどまたはまったく中断せずに、接続経路１８０－２にシームレスにおよび透過的に切り替え得、またはその逆も同様である。第２のデバイス１１１０による第１のデバイス１１０の結合は、Ｂｌｕｅｔｏｏｔｈ、Ｗｉ－Ｆｉ、ＵＳＢ（ユニバーサルシリアルバス）、あるいは何らかの他のワイヤレスプロトコルまたはタイプのケーブルとして提供され得る、接続媒体１１１２など、ローカル接続上で達成され得る。

【0139】

図１６にさらに示されているように、デバイス１１０および１１１０は、第１のデバイス１１０の第１のロケーション情報１６１０ａおよび第２のデバイス１１１０の第２のロケーション情報１６１０ｂなど、ロケーション情報１６１０を提供し得る。ロケーション情報１６１０は、ＧＰＳ（全地球測位システム）座標、Ｗｉ－Ｆｉ識別子、ＭＡＣ（メディアアクセス制御）アドレス、ＩＰ（インターネットプロトコル）アドレス、電話番号など、様々な形態をとり得る。

【0140】

このデータのすべてが、通常、ロケーションソースと見なされるとは限らないが、そのようなデータからロケーションを推論するための様々な技術が発展した。たとえば、Ｗｉ－Ｆｉマッピング技術は、Ｗｉ－Ｆｉホットスポットをそれぞれのロケーションに関連付け、それぞれのロケーションは、ＧＰＳ座標および／または他のロケーションソースとの相関によって取得され得る。Ｗｉ－Ｆｉ識別子は、ＭＡＣアドレスおよび／またはＳＳＩＤ（サービスセット識別子）を含み得、これらはホットスポットを一意に識別し、検出されたＭＡＣアドレスおよびＳＳＩＤに基づくロケーションの単純なルックアップを可能にする。ロケーションサービスはまた、ＩＳＰ（インターネットサービスプロバイダ）データ、電話番号、および／または特別にコンパイルされたマップに基づいて、ロケーションを追跡する。ＩＰアドレスは、ＩＳＰおよび関連するネットワーク構成要素がネットワーク配信および顧客データに基づいてロケーションを追跡するように、ロケーション情報の共通ソースを提供する。「私のＩＰアドレスは何ですか？」の単純なオンライン検索により、しばしば、驚くべき正確度まで、ロケーションが明らかになる。さらに、携帯電話番号は、セルフォンタワーに対する三角測量に基づくロケーションの正確な測度を可能にすることができる。したがって、ロケーション情報が様々な形態で入ってくることがあり、本開示がこの点について限定されないことを諒解されたい。

【0141】

例示的な動作では、ユーザ１０２は、たとえば、セクションＩＩにおいて説明された様式と同様の様式で、第２のデバイス１１１０のネットワーク経路１８０－２を第１のデバイス１１０と共有（たとえば、テザリング）するように第２のデバイス１１１０を構成する。ネットワーク接続１８０－２の共有は、ローカル接続１１１２上で確立され得、ローカル接続１１１２は、たとえば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、またはＵＳＢであり得る。第２のデバイス１１１０が第２のネットワーク経路１８０－２を共有するように構成された場合、第１のデバイス１１０は、第２のネットワーク経路１８０－２を発見し、第２のネットワーク経路１８０－２に接続し、その結果、第１のデバイス１１０は、第１のネットワーク経路１８０－１と第２のネットワーク経路１８０－２の両方を介してネットワーク１７０にアクセスすることができる。

【0142】

いくつかの例では、第２のネットワーク経路１８０－２を発見すると、第１のデバイス１１０は、第２のデバイス１１１０とのハンドシェイキングプロトコルを始動して、第２のデバイス１１１０のロケーション情報１６１０ｂを取得する。ただし、第１のデバイス１１０は、代わりに、要望に応じておよび／または必要に応じて、たとえば、ロケーション情報１６１０ｂを使用する特定の要求または動作に応答して、ロケーション情報１６１０ｂを要求し得るので、最初のハンドシェイキングは必要とされない。

【0143】

たとえば、ユーザ１０２および／または第１のデバイス１１０上で稼働しているアプリケーション（図示せず）は、セキュアなリソース１１４０など、ネットワーク１７０のリソースへのアクセスを要求する。セキュアなリソース１１４０は、ファイル、ファイルシステム、アプリケーション、仮想マシン、または要求側ロケーションに基づくアクセスが望まれる任意の他のリソースであり得る。第１のデバイス１１０上のアクセスマネージャ１６０８が、アクセス要求１６５０を準備し始める。リソース１１４０への認証および／またはアクセス権は、少なくとも部分的に要求側のロケーションに依存し得るので、第１のデバイス１１０は、ロケーション情報１６１０ｂを第２のデバイス１１１０に要求し得（１６０８ａ）、第２のデバイス１１１０は、ロケーション情報１６１０ｂを第１のデバイス１１０に返す（１６０８ｂ）。

【0144】

ロケーション情報１６１０ｂを取得すると、第１のデバイス１１０上で稼働しているロケーションプロセッサ１６２０が、ロケーションインジケータ１６２２を形成する。ロケーションインジケータ１６２２は、様々なやり方で形成され得る。一例では、ロケーションプロセッサ１６２０は、第１のデバイス１１０の第１のロケーション情報１６１０ａを取得し、第１のロケーション情報１６１０ａを第２のデバイス１１１０からの第２のロケーション情報１６１０ｂと組み合わせ、それにより、ロケーションインジケータ１６２２を形成し、ロケーションインジケータ１６２２は、第１のロケーション情報１６１０ａと第２のロケーション情報１６１０ｂの両方に基づく。代替的に、ロケーションプロセッサ１６２０は、第２のデバイス１１００の第２のロケーション情報１６１０ｂのみに基づくロケーションインジケータ１６２２を形成し、すなわち、ロケーション情報１６１０ａを無視し、ロケーション情報１６１０ａは、すべての実施形態において必要とされるとは限らず、存在する必要がない。また別の例では、ロケーションプロセッサ１６２０は、第１のロケーション情報１６１０ａ、第２のロケーション情報１６１０ｂ、および第３のロケーション情報１６１０ｃなど、ロケーション情報１６１０の３つまたはそれ以上のソースに基づくロケーションインジケータ１６２２を形成する。

【0145】

上記の一般性を制限することなく、第１のロケーション情報１６１０ａは、Ｗｉ－Ｆｉ識別子（たとえば、ＭＡＣアドレス、またはＭＡＣアドレス＋ＳＳＩＤ）またはＩＰアドレスであり得る。また、第２のロケーション情報１６１０ｂは、ＧＰＳ座標、ＩＰアドレス、電話番号などであり得る。好ましくは、第１のロケーション情報１６１０ａと第２のロケーション情報１６１０ｂと（提供される場合）第３のロケーション情報１６１０ｃとは、別個のソースから選択され、したがって、これらが提供する情報は冗長でない。たとえば、第１のロケーション情報はＷｉ－Ｆｉであり、第２のロケーション情報はＧＰＳであり、第３のロケーション情報はＩＰアドレスまたは電話番号である。これらは例にすぎない。

【0146】

いくつかの例によれば、ロケーションプロセッサ１６２０は、利用可能なロケーション情報１６１０を、別々に、すなわち、ほとんどまたはまったく処理することまたは組み合わせることなしに、含めることによって、ロケーションインジケータ１６２２を形成する。他の例では、ロケーションプロセッサ１６２０は、提供されたロケーション情報１６１０を処理して、組み合わせられたロケーション情報を生成する。ロケーション情報１６１０の複数のソースが利用可能である場合、組み合わせられたロケーション情報は、概して、個々のソースのいずれかが単独で利用可能であり得る場合よりも正確な、ロケーションの測度を提供する。

【0147】

ロケーションインジケータ１６２２がこのように形成された場合、アクセスマネージャ１６０８は、リソース１１４０にアクセスするためのアクセス要求１６５０を発行する。アクセス要求１６５０はロケーションインジケータ１６２２を含み、ロケーションインジケータ１６２２は利用可能なロケーション情報１６１０に基づく。いくつかの例では、第１のデバイス１１０は、アクセス要求１６５０をネットワーク経路１８０－１（たとえば、Ｗｉ－Ｆｉ）上でサーバ１２０に送る。他の例では、第１のデバイス１１０は、たとえば、Ｗｉ－Ｆｉが利用不可能であるか、機能していないか、またはさもなければ好ましくない場合、ローカル接続１１１２を介して、ネットワーク経路１８０－２（たとえば、ＬＴＥ）上でアクセス要求１６５０を送る。

【0148】

いくつかの例では、アクセス要求１６５０は、認証要求（たとえば、図１１の認証要求１１５０）の一部である。そのような例では、要求側のロケーションは、ユーザ１０２および／またはデバイス１１０を認証するために必要とされる明示的認証ファクタ（たとえば、認証ファクタ１１１７のうちの１つ）であり得る。他の例では、ユーザ１０２および／またはデバイス１１０はすでに認証されており（または認証が必要とされず）、その場合、サーバ１２０は、依然として、アクセス制御決定を行うためにロケーションインジケータ１６２２を使用し得る。たとえば、サーバ１２０は、発信ロケーションがユーザの自宅であるとき、リソースへのアクセスを可能にし得るが、発信ロケーションが近隣のコーヒーショップであるとき、アクセスを拒否し得る。

【0149】

いくつかの例では、サーバ１２０はロケーションマネージャ１６３６を含み、ロケーションマネージャ１６３６は、アクセス要求１６５０中で到着したロケーションインジケータ１６２２を受信および処理する。いくつかの例によれば、ロケーションマネージャ１６３６は、サードパーティロケーションサービス１６３２ａに接触して、および／またはローカルロケーションサービス１６３２ｂを使用して、ロケーション情報１６１０（たとえば、１６１０ａ、１６１０ｂ、１６１０ｃ）の要素を地理的ロケーションのそれぞれの地理座標または他のインジケータに変換する。たとえば、ロケーションサービス１６３２ａおよび／または１６３２ｂは、ＭＡＣアドレス（またはＭＡＣアドレス＋ＳＳＩＤ）、ＩＰアドレス、電話番号などのいずれかを、対応する地理的ロケーションに変換する。ロケーションマネージャ１６３６は、得られたロケーションを任意の好適なやり方で組み合わせて、ロケーション情報１６１０の受信された要素に基づいて代表的ロケーション１６３８を生成し得る。

【0150】

代表的ロケーション１６３８を作り出すためのプロセスは、ロケーション情報１６１０自体の要素に基づいて変動し得る。たとえば、ロケーション情報１６１０ｂまたは１６１０ｃが、時間とともに安定したままであるＧＰＳ座標（強いＧＰＳ信号を示唆する）を含む場合、ロケーションマネージャ１６３６は、単に、ＧＰＳ座標を代表的ロケーション１６３８として使用し、他のロケーション情報を事実上無視し得る。ＧＰＳ座標が雑音が多い（弱いＧＰＳ信号を示す）場合、ロケーションマネージャ１６３６は、代わりに、Ｗｉ－Ｆｉ、ＩＰアドレス、および／または電話番号を使用し得る。ロケーションマネージャ１６３６は、明らかに誤っているように見えるロケーション情報を廃棄し、明らかに誤っているように見えるロケーション情報が代表的ロケーション１６３８に寄与することを防ぎ得る。たとえば、ＩＰアドレスに基づくロケーションは、プロキシサーバから受信されたＩＰアドレスの場合、まったく信頼できないことがある。ロケーション情報１６１０の複数の要素が利用可能である場合、いくつかの要素は、これらが他の要素と食い違う場合、軽視され得る。

【0151】

いくつかの例では、ロケーション情報１６１０の複数の要素から代表的ロケーション１６３８を決定することは、要素の重心を計算すること（これは、明らかに誤っているとわかる要素を除外し得る）を伴い得る。たとえば、ロケーション情報１６１０ａおよび１６１０ｂの２つの正確であると考えられる要素が、緯度（ＬＡＴ）および経度（ＬＯＮ）を有するロケーションを暗示する場合、ロケーションマネージャ１６３６は、重心を平均緯度および平均経度として計算し得る。たとえば、

【数1】

ここで、下付き文字「ａ」および「ｂ」は、それぞれ、要素１６１０ａおよび１６１０ｂに対応する。より一般的には、ロケーション情報の「Ｎ」個の異なる要素について、ロケーションマネージャ１６３６は、以下のように重心を計算し得る。

【数2】

ここで、Ｗ_ｉは、それぞれのロケーション情報の信頼性スコアを表す重みである。したがって、より信頼性が高いロケーション情報は、より信頼性が低いロケーション情報よりも高い重みを与えられ得、その結果、より高く重み付けされたソースのほうへ重心をバイアスすることにつながる。ロケーションマネージャ１６３６は、次いで、代表的ロケーション１６３８を重心座標として設定し得る。信頼できるＧＰＳが利用可能でない場合、重心が主に使用され得ることを諒解されたい。

【0152】

代表的ロケーション１６３８が確立されると、ロケーションマネージャ１６３６は、代表的ロケーション１６３８がリソース１１４０にアクセスするための許可されたロケーションに一致することを検証する。たとえば、サーバ１２０は、許可されたロケーションのホワイトリスト１６３４を含み得るか、またはさもなければ、このホワイトリスト１６３４へのアクセスを有し得る。代表的ロケーション１６３８が許可されるかどうかを決定するために、ロケーションマネージャ１６３６は、代表的ロケーション１６３８をホワイトリスト１６３４上のロケーションと比較する。代表的ロケーション１６３８がホワイトリスト１６３４上のエントリと整合する場合、たとえば、これらのロケーションが指定された距離しきい値内まで同じである場合、ロケーション整合が確認される。この場合、サーバ装置１２０は、第１のデバイス１１０にアクセス応答１６６０を返し、それにより、リソース１１４０へのアクセスを許諾し得る。たとえば、アクセス応答１６６０は、セッション鍵、トークン、または第１のデバイス１１０がリソース１１４０にアクセスすることを可能にするための他のデータを含み得る。代替的に、アクセス応答１６６０は、リソース１１４０自体を含み得る。

【0153】

代表的ロケーション１６３８がホワイトリスト１６３４上のエントリと整合することに失敗した場合、ロケーション整合はない。この場合、サーバ１２０は、ロケーション整合が見つけられなかったことを示すアクセス応答１６６０を発行し得る。ロケーション整合失敗の結果として、リソース１１４０へのアクセスが拒否され得、および／または、アクセス特権が制限され得る。

【0154】

代表的ロケーション１６３８を確立するための上記で説明された方法が、ロケーション情報１６１０の複数の要素がどのように一緒に使用され得るかの例にすぎないことを諒解されたい。そのような例は、限定するものではなく例示的なものである。

【0155】

図１７は、第２のデバイス１１１０からのロケーション情報１６１０がセキュアなリソース１１４０のアクセス制御を容易にする例示的な構成１７００を示す。示されているアクティビティは、第１のデバイス１１０と、第２のデバイス１１１０と、認証サーバ１６３０と、セキュアなリソース１１４０とに関与する。

【0156】

１７１０において、第１のデバイス１１０は、第２のデバイス１１１０に通信可能に結合されると、第２のネットワーク経路１８０－２を発見する。たとえば、ユーザ１０２は、第２のデバイス１１１０をパーソナルホットスポットとして構成し、たとえば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、またはＵＳＢを介して、第１のデバイス１１０と第２のデバイス１１１０との間の接続１１１２を確立する。第１のデバイス１１０は、第２のネットワーク経路１８０－２を発見し、第２のネットワーク経路１８０－２を通してネットワーク１７０への接続を確立する。

【0157】

１７１２において、第１のデバイス１１０は、第２のデバイス１１１０のロケーション情報１６１０ｂについての要求１６０８ａを第２のデバイス１１１０に発行する。

【0158】

１７１４において、第２のデバイスは、ロケーション情報１６１０の利用可能なソース（たとえば、ＧＰＳ座標、ＩＰアドレス、電話番号など）を集める。

【0159】

１７１６において、第２のデバイス１１１０は、ロケーション情報１６１０ｂ（および場合によっては他のロケーション情報）を含む集められたロケーション情報を、第１のデバイス１１０に返す。

【0160】

１７２０において、第１のデバイス１１０は、１７１６において返された任意のロケーション情報１６１０、ならびに第１のデバイス１１０から取得された任意の第１のロケーション情報１６１０ａに基づき得る、ロケーションインジケータ１６２２を形成する。ロケーションインジケータ１６２２は、ロケーション情報１６１０の個々の要素を直接含み得るか、または、ロケーションインジケータ１６２２は、これらの何らかの組合せを提供し得る。

【0161】

１７３０において、第１のデバイスは、アクセス要求１６５０を認証／許可（Ａ／Ａ）サーバ１６３０に送る。アクセス要求１６５０は、ロケーションインジケータ１６２２を含む。いくつかの例では、たとえば、アクセス要求１６５０が認証要求１１５０でもある場合、アクセス要求１６５０は追加情報を含む。

【0162】

１７４０において、Ａ／Ａサーバ１６３０は、アクセス要求１６５０を受信し、続いて、ロケーションインジケータ１６２２に基づいて代表的ロケーション１６３８を確立する。いくつかの例では、上記で説明されたように、代表的ロケーション１６３８を確立することは、受信されたＧＰＳ座標が利用可能で信頼できる場合、これらのＧＰＳ座標を使用することを伴い得る。いくつかの例では、代表的ロケーション１６３８を確立することは、たとえば、ロケーションサービス１６３２ｂおよび／または１６３２ｃのアクションを介して、ロケーション情報１６１０のいくつかの受信された要素を、対応する地理的ロケーションに変換することを伴い得る。いくつかの例では、Ａ／Ａサーバ１６３０は、地理的ロケーションの重心を計算することによって代表的ロケーション１６３８を確立し得、重心は、信頼性に基づいて重み付けされ得る。

【0163】

１７５０において、Ａ／Ａサーバ１６３０は、ロケーションインジケータ１６２２中の情報が、セキュアなリソース１１４０にアクセスするための許可されたロケーションに一致するかどうかを決定する。たとえば、Ａ／Ａサーバ１６３０は、代表的ロケーション１６３８がホワイトリスト１６３４上の任意のエントリのロケーションと整合するかどうか、たとえば、２つのロケーションの差がしきい値距離未満であるかどうかをチェックする。

【0164】

１７６０において、２つのロケーションが整合する場合、Ａ／Ａサーバ１６３０はアクセス応答１６６０を返す。アクセス応答１６６０はパスコード１７６２を含み得、パスコード１７６２は、セキュアなリソース１１４０へのアクセスを許諾する。代替的に、アクセス応答１６６０は、トークン、他のデータ、および／または（たとえば、セキュアリソース１１４０がファイルまたは他の転送可能な要素である場合）セキュアリソース１１４０自体を含み得る。次いで、第１のデバイス１１０は、パスコード１７６２または他の要素を使用してセキュアリソース１１４０にアクセスし得る。

【0165】

しかしながら、ロケーション整合が見つけられない場合、１７７０において、アクセス要求１６５０が拒否され得る。いくつかの例では、アクセスは許諾され得るが、完全な制御ではなく、読取り専用特権など、制限された特権を伴う。

【0166】

図１８および図１９は、システム１７００に関して行われ得る例示的な方法１８００および１９００を示す。方法１８００および１９００は、それぞれ、クライアントの観点およびサーバの観点から提示される。

【0167】

図１８では、動作は１８１０において始まり、第１のデバイス１１０が第２のデバイス１１１０からロケーション情報１６１０ｂを取得する。ロケーション情報１６１０ｂは、たとえば、ＧＰＳ座標、ＩＰアドレス、Ｗｉ－Ｆｉ識別子、電話番号などを含み得る。図１８の構成では、第１のデバイス１１０は第２のデバイス１１１０に通信可能に結合され、第２のデバイスは、第２のデバイスのネットワーク接続を第１のデバイス１１０と共有する。たとえば、第２のデバイス１１１０はパーソナルホットスポットなどを確立し得、第１のデバイス１１０は第２のデバイス１１１０にテザリングされ得る。

【0168】

１８２０において、第１のデバイス１１０は、ロケーション情報１６１０に基づくロケーションインジケータ１６２２を形成する。いくつかの例では、そのようなロケーション情報１６１０は、第２のロケーション情報１６１０ｂのみを含み得る。他の例では、ロケーション情報１６１０は、第１のロケーション情報１６１０ａと第２のロケーション情報１６１０ｂとを含む。さらなる例では、ロケーション情報１６１０は、ロケーション情報の３つまたはそれ以上の要素を含む。第１のデバイス１１０は、ロケーション情報１６１０の要素を別々に提供することによって、またはこれらを任意の好適な様式で組み合わせることによって、ロケーションインジケータ１６２２を形成し得る。

【0169】

１８３０において、第１のデバイス１１０は、アクセス要求１６５０をサーバ１２０に送る。アクセス要求１６５０は、第１のデバイス１１０によって形成されたロケーション識別子１６２２を含み、セキュアなリソース１１４０など、リソースへのアクセスを要求する。

【0170】

１８４０において、第１のデバイス１１０は、ロケーションインジケータ１６２２がホワイトリスト１６３４上にリストされたロケーションなど、許可されたロケーションに一致することに基づいて、リソース１１４０にアクセスすることを可能にされる。ロケーションの一致性は、たとえば、代表的ロケーション１６３８など、ロケーションインジケータ１６２２から導出されたロケーションが、ホワイトリスト１６３４中のエントリのしきい値距離内に入ることに基づいて、確立され得る。

【0171】

次に図１９を参照すると、動作は１９１０において始まり、サーバ１２０は、セキュアなリソース１１４０にアクセスするためのアクセス要求１６５０を第１のデバイス１１０から受信する。受信されたアクセス要求１６５０は、第２のデバイス１１１０からのロケーション情報１６１０ｂに基づくロケーションインジケータ１６２２を含む。第２のデバイス１１１０は、第１のデバイス１１０に動作可能に接続され、第２のデバイス１１１０のネットワーク接続を第１のデバイス１１０と共有する。

【0172】

１９２０において、サーバ１２０は、随意に、ロケーションインジケータ１６２２によって提供されたロケーション情報１６１０のいくつかの要素を、対応する地理的ロケーションに変換する。この行為は、ＧＰＳ座標など、地理座標などをすでに含むロケーション情報１６１０の任意の要素について省略され得る。

【0173】

１９３０において、サーバ１２０は、ロケーション情報１６１０から代表的ロケーション１６３８を作り出す。いくつかの例では、行為１９３０は、地理的ロケーションの重心を作り出すことを含み、重心は、（信頼性スコアに基づいて）重み付けされ得るか、または重み付けされないことがある。いくつかの例では、行為１９３０は、任意の受信されたＧＰＳ座標を代表的ロケーション１６３８として提供することを含む。

【0174】

１９４０において、サーバ１２０は、ロケーションインジケータ１６２２によって示されたロケーション（たとえば、代表的ロケーション１６３８）が、ホワイトリスト１６３４中のエントリなど、リソース１１４０がアクセスされ得る許可されたロケーションに一致することを検証する。

【0175】

１９５０において、１９４０においてロケーション整合が見つけられたと仮定すると、第１のデバイス１１０は、たとえば、リソースを直接提供することによって、あるいは、パスコード、トークン、または第１のデバイス１１４０がリソースにアクセスすることを可能にする他のデータを提供することによって、リソース１１４０へのアクセスを許諾される。ロケーション整合が見つけられない場合、アクセス要求１６５０が拒否され得るか、または、アクセスが許諾され得るが、特権の低減を伴う。

【0176】

コンピュータ化アクセスを管理するための改善された技法が説明された。この技法は、ネットワーク接続１８０－２を第１のデバイス１１０と共有する第２のデバイス１１１０からロケーション情報１６１０ｂを受信する第１のデバイス１１０を含む。第１のデバイス１１０は、ネットワーク１７０のリソース１１４０へのアクセスを要求するとき、第２のデバイス１１１０から受信されたロケーション情報１６１０ｂを適用する。したがって、第１のデバイス１１０は、認証強度を増加させるために、および／またはアクセス権の監督を容易にするために、第２のデバイス１１１０のプレゼンスと、第２のデバイス１１１０のロケーション情報１６１０とを効果的に活用する。

【0177】

いくつかの実施形態について説明したが、多数の代替実施形態または変形形態が行われ得る。たとえば、第１のデバイス１１０がセキュアなリソース１１４０にアクセスするために使用し得るパスコード１７６２をＡ／Ａサーバ１６３０が提供する、実施形態が説明されたが、これは一例にすぎない。たとえば、ＳＡＭＬ（セキュリティアサーションマークアップ言語）など、他の機構が、認証されたユーザにセキュアアクセスを提供するために使用され得る。

【0178】

さらにまた、第２のデバイス１１１０が、たとえば複数の冗長ネットワーク経路をサポートするために、コンピュータネットワークへの第２の接続を第１のデバイスに提供する、実施形態が説明されたが、これも一例にすぎない。代替的に、第２のデバイス１１１０は、ロケーション情報を提供するために使用されるが、ネットワークへの第２の接続を第１のデバイスに提供しない。

【0179】

さらに、実施形態はユーザ１０２に関して説明されたが、実施形態は、ユーザに関与するものに限定されないことを諒解されたい。
セクションＩＶ：管理制御をＩｏＴデバイスに拡張すること

【0180】

改善された技法は、団体による管理制御を、管理されているデバイスのローカル環境におけるＩｏＴ（モノのインターネット）デバイスに拡張するために、管理されているデバイスを採用する。管理されているデバイスは、ローカルＩｏＴデバイスを発見し、これらのＩｏＴデバイスのうちの１つまたは複数を管理制御下に置くためにサーバとの通信に参加する。このセクションにおいて説明される技法は、セクションＩの環境において、たとえば、管理されているデバイスが複数の同時ネットワーク接続を維持し、これらの間でシームレスに切り替える構成において、提供され得る。さらに、このセクションにおいて説明される技法は、セクションＩＩおよびＩＩＩにおいて説明された特定の特徴を伴って提供され得る。ただし、このセクションにおいて提示される技法は前のセクションにおいて提示された技法から独立して使用され得るので、セクションＩ構成～セクションＩＩＩ構成のいずれも必要とされない。

【0181】

図２０は、改善された技法の実施形態が実践され得る例示的なシステム２０００を示す。ここで、管理されているデバイス１１０は、ユーザ１０２の自宅、または管理されているデバイス１１０の周りに配設された何らかの他の環境など、ローカルクライアント環境２０１０において、すなわち、Ｂｌｕｅｔｏｏｔｈおよび／またはＷｉ－Ｆｉ範囲内など、管理されているデバイス１１０の近傍において、動作する。管理されているデバイス１１０は、ラップトップコンピュータ、デスクトップコンピュータ、タブレット、または、セクションＩにおいてクライアントデバイス１１０に関して説明されたデバイスのタイプのいずれかなど、任意の他のスマートデバイスであり得る。管理されているデバイス１１０は、セクションＩにおいて説明されたように、複数の同時ネットワーク接続１８０を使用し得、たとえば、テザリングまたは直接接続を介して、管理されているデバイス１１０による使用のためのセルラーネットワーク経路を供給するために、モバイルデバイス２００２（たとえば、スマートフォンまたはセルラードングル）を使用し得る。ただし、これは、管理されているデバイス１１０が単一のネットワーク経路を有する必要があるにすぎないので、必要とされない。

【0182】

ローカルクライアント環境２０１０は、Ｗｉ－Ｆｉルータなどの基地局２０３０を含み、基地局２０３０は、コンピュータネットワーク１７０（図１）上でサーバ１２０に接続する。サーバ１２０およびネットワーク１７０は、セクションＩのサーバ１２０およびネットワーク１７０について説明されたやり方のいずれかにおいて提供され得る。図示の例では、サーバ１２０は、クラウドポイントオブプレゼンス（ＰｏＰ）２０２０の一部である。たとえば、クラウドＰｏＰ２０２０は、たとえば異なる地理的ロケーションにおいて、多数のクラウドＰｏＰを展開し得る、会社、学校、政府機関、または他のエンティティなどの団体によって動作される。「団体」は、本明細書では「エンティティ」と呼ばれることもある。図示されていないが、クラウドＰｏＰ２０２０は、セキュリティ、データ利用可能性、フェイルオーバ、負荷分散などを促進するための多数のサーバおよび他のインフラストラクチャを含み得る。サーバ１２０は単一のコンピュータとして示されているが、サーバ１２０が任意の数の物理コンピュータおよび／または仮想マシンを使用して実装され得ることを諒解されたい。

【0183】

ローカル環境２０１０は、防犯カメラ２０４０－１、スマートスピーカー２０４０－２、２０４０－３および２０４０－４、スマートＴＶ２０４０－５、ならびにウェブカム２０４０－６など、様々なＩｏＴデバイス２０４０をさらに含む。これらは、考えられるＩｏＴデバイスの例にすぎず、限定するものではない。ＩｏＴデバイス２０４０のうちのいくつかは、たとえば、ローカルＷｉ－Ｆｉネットワーク上で、基地局２０３０にワイヤレスに接続し得る。いくつかのＩｏＴデバイス２０４０は、イーサネットケーブルなどのケーブルを使用して基地局２０３０に接続し得る。他のＩｏＴデバイス２０４０は、Ｂｌｕｅｔｏｏｔｈをサポートし得、したがって、基地局２０３０への接続を必要としないことがあり、たとえば、他のＩｏＴデバイス２０４０は、代わりに、他のデバイスにポイントツーポイント接続し得る。

【0184】

セクションＩの場合のように、サーバ１２０は、ソフトウェア構成要素１３２ｓとマイクロＶＰＮサーバ構成要素１３４ｓ（図１）とを含み得る。すべての実施形態によって必要とされるとは限らないが、これらの構成要素は、セクションＩにおいて説明されたアクティビティと同様のアクティビティを実施し得る。たとえば、サーバ構成要素１３２ｓは、（図１に示されている）アプリケーション１３２のサーバ側構成要素であり、これは、指定された機能を提供するために、管理されているデバイス１１０上のブラウザまたは他のクライアント側構成要素と協調する。アプリケーション１３２は、ＳａａＳ（サービスとしてのソフトウェア）アプリケーションとしてまたはウェブアプリケーションとして配信され得る。さらに、アプリケーション１３２は、たとえば、仮想ワークスペース環境を提供することによって、複数の他のアプリケーションまたはアプリをローンチするためのアクセスポイントを提供し得る。マイクロＶＰＮサーバ構成要素１３４ｓは、サーバ構成要素１３２ｓとクライアント構成要素１３２ｃとの間で暗号化されたデータをセキュアに交換するための、本明細書ではマイクロＶＰＮまたは「トンネル」１３４（図１）とも呼ばれる、特定用途向けＶＰＮを確立するために、管理されているデバイス１１０上のマイクロＶＰＮクライアント構成要素１３４ｃと協調する。

【0185】

図２０にさらに示されているように、サーバ１２０は、ＩｏＴマネージャ２０５０と、分析マネージャ２０６０と、ユーザプロファイル２０７０とを含み得る。ＩｏＴマネージャ２０５０は、選択されたＩｏＴデバイスを団体の管理フレームワークにエンロールし、ＩｏＴデバイスがエンロールされると、これらのＩｏＴデバイスを管理するように構成される。ＩｏＴマネージャ２０５０のアクティビティは、たとえば、マルウェアについてＩｏＴデバイスを走査することと、ＩｏＴソフトウェアおよび／またはファームウェアを更新することと、ＩｏＴデバイスにスキルをダウンロードすることとを含み得る。本明細書で使用される「スキル」は、ＩｏＴデバイスのネイティブ機能を向上させるためにＩｏＴデバイス上にインストールされ得るソフトウェア特徴を指す。いくつかのベンダーは、同様の特徴を表すために「アクション」または「アプリ」という用語を使用し得、「スキル」は、すべてのそのような変形態をカバーするものとする。本明細書で使用されるスキルは、製造業者から入手可能なネイティブスキルと、団体のために開発されたカスタムスキルとを含む。たとえば、スマートスピーカーのためのカスタムスキルは、団体のプログラム、特徴、または他のリソースを始動することによってボイス制御に応答するためのものであり得る。いくつかの製造業者は、サードパーティがカスタムスキルを設計および展開することを可能にするためのＳＤＫ（ソフトウェア開発キット）を提供する。

【0186】

分析マネージャ２０６０は、たとえば、セキュリティを促進し、および／または動作の他の側面を向上させるための、ユーザ、（ＩｏＴデバイスを含む）デバイス、使用パターン、および他のファクタに関する情報を収集するように構成される。一例では、分析マネージャ２０６０は、潜在的脅威、機会、および／または状況を組織プロセスに知らせ、団体が履歴の傾向または識別された脅威に従ってアクションをとることを可能にする、予測および／または推論を行うために、ベイズ論理および／または機械学習を適用する。

【0187】

ユーザプロファイル２０７０は、たとえば、ユーザ固有アクティビティを実装するための、ユーザ１０２などのユーザに関する情報を記憶する。情報は、ユーザのオフサイト環境（たとえば、環境２０１０）、ユーザによって動作される管理されているデバイス（１１０）、およびユーザの環境における任意のエンロールされたＩｏＴデバイス（２０４０）を表すデータを含み得る。

【0188】

例示的な動作では、管理されているデバイス１１０は、ローカルクライアント環境２０１０において動作する。たとえば、ユーザ１０２は、自宅で仕事をし、管理されているデバイス１１０を使用して、サーバ１２０上のアプリケーション、ファイル、または団体の他のリソースにリモートでアクセスする。たとえば、管理されているデバイス１１０は、（たとえば、イーサネットケーブリングまたはＷｉ－Ｆｉを使用して）基地局２０３０に接続し、ネットワーク１７０上でクラウドＰｏＰ２０２０中のサーバ１２０と通信する。

【0189】

管理されているデバイス１１０は、団体による管理制御下で全体的にまたは部分的に動作するという点で、「管理されている」。管理されているデバイス１１０自体が、団体によって所有され、ユーザ１０２に発行され得るか、あるいは、管理されているデバイス１１０は、ユーザ１０２によってまたは何らかの他の個人もしくは団体によって所有され得る。管理されているデバイス１１０は、完全に管理され得、これは、団体が、デバイス１１０のプログラムおよびデータのすべてを含めて、デバイス１１０全体を制御することを意味し、あるいは、管理されているデバイス１１０は、部分的に管理され得、これは、団体が、指定されたアプリケーションおよび／または特徴のみを制御し、他のアプリケーションおよび／または特徴が団体の制御外にあることを意味する。

【0190】

ローカルクライアント環境２０１０において動作しながら、管理されているデバイス１１０は、ローカルクライアント環境２０１０におけるＩｏＴデバイス２０４０を発見するための発見動作を実施し得る。管理されているデバイス１１０は、たとえば、ログインシーケンスまたはスケジュールされたアクティビティの一部として、自動的に発見動作を始動し得るか、あるいは、管理されているデバイス１１０は、たとえば、ユーザ１０２が管理されているデバイス１１０のユーザインターフェースを動作させることによって、ユーザ１０２による特定の要求において発見動作を始動し得る。管理されているデバイス１１０は、たとえば、基地局２０３０へのワイヤード接続、基地局２０３０によって作成されるＷｉ－ＦｉネットワークへのＷｉ－Ｆｉ接続、および／または、直接ポイントツーポイント接続を含み得るＢｌｕｅｔｏｏｔｈ接続を走査することによって、ＩｏＴデバイス２０４０のプレゼンスについてチェックする。

【0191】

一例では、管理されているデバイス１１０は、発見されたＩｏＴデバイスのリストをユーザ１０２に表示し、団体による管理制御のために、リストされたＩｏＴデバイスのうちの１つまたは複数を選択するようにユーザ１０２に促す。いくつかの例では、ＩｏＴデバイスのリストはＩｏＴマネージャ２０５０がサポートするＩｏＴデバイスに限定され得るので、ＩｏＴデバイスのリストは、すべての発見されたＩｏＴデバイスよりも少ないＩｏＴデバイスを含む。次いで、ユーザ１０２はリストから（１つまたは複数の）所望のＩｏＴデバイスを選択し、管理されているデバイス１１０は（１つまたは複数の）ユーザ選択を受け付ける。次いで、管理されているデバイス１１０は、団体による管理制御を選択されたＩｏＴデバイスに拡張するために、サーバ１２０との通信に参加する。たとえば、管理されているデバイス１１０は、１つまたは複数の選択されたＩｏＴデバイスを指定する、エンロールメント要求２０１２をサーバ１２０に送る。エンロールメント要求２０１２に応答して、ＩｏＴマネージャ２０５０は、指定されたＩｏＴデバイスを団体の管理制御下に置くために様々な行為を実施する。これらの行為は、たとえば、たとえばＩｏＴデバイスの管理を容易にするために、マルウェアについて選択されたＩｏＴデバイスを走査し、選択されたＩｏＴデバイスが最も最近のソフトウェアおよび／またはファームウェアを有するかどうかをチェックし、ＩｏＴデバイスのうちの１つまたは複数上にスキルをインストールし、ＩｏＴデバイス上にＩｏＴエージェントをインストールするために、管理されているデバイス２０１０と協調することを含み得る。さらに、サーバ１２０は、新たに管理されるＩｏＴデバイスに関するデータを記録するためにユーザ１０２のユーザプロファイルを更新し得る。たとえば、データは、新たに管理されるＩｏＴデバイスの種類、モデル、およびＭＡＣ（メディアアクセス制御）アドレス（または他のアドレス）、新たに管理されるＩｏＴデバイスの現在のソフトウェアおよび／またはファームウェアバージョン、ならびに、新たに管理されるＩｏＴデバイス上にインストールされたスキルを含み得る。データは、いくつかの例では、部屋識別子（たとえば、ダイニングルーム、上階の浴室）またはロケーションの何らかの他のインジケータなど、環境２０１０内のロケーション情報をさらに含み得る。

【0192】

図２１は、図２０の構成の追加の例示的な態様を示す。ここで、図２０の構成要素は、例示的な論理ネットワーク２１００を示すように構成される。図示のように、論理ネットワーク２１００は、管理されているデバイス１１０によって形成されるハブ２１１０と、ハブ２１１０をそれぞれのＩｏＴデバイス２０４０に接続するスポーク２１２０とを有する。図示されたハブアンドスポーク構成は、データイングレス（入力）２１２２を管理されているデバイス１１０を通して任意のＩｏＴデバイス２０４０にダイレクトし、同様に、任意のＩｏＴデバイス２０４０からの任意のデータエグレス（出力）２１２４を管理されているデバイス１１０にダイレクトする。従来のシステムにおいて通常そうであるように、基地局２０３０がＩｏＴデバイスのためのハブを提供する代わりに、ハブの役割は、管理されているデバイス１１０に移される。したがって、管理されているデバイス１１０は、ＩｏＴデバイス２０４０へのデータイングレスまたはＩｏＴデバイス２０４０からのデータエグレスを監視し、団体の管理ポリシーを施行するポジションにある。たとえば、管理されているデバイス１１０は、許容された送信を通しながら、団体が禁止するいくつかの送信を阻止し得る。より一般的には、管理されているデバイス１１０を論理ネットワーク２１００のハブ２１１０に配置することは、管理されているデバイス１１０が、ローカル環境２０１０におけるＩｏＴデバイス２０４０の間で団体の管理ポリシーを実装するためのローカルＰｏＰ（ポイントオブプレゼンス）として働くことを可能にする。

【0193】

一例では、論理ネットワーク２１００は、管理されているデバイス１１０が環境２０１０における第１のＩｏＴデバイス２０４０をエンロールしたとき、確立および構成される。論理ネットワーク２１００は、ＩｏＴデバイスが追加または削除されたとき、あるいは他のネットワーク変更が行われたときはいつでも、更新され得る。管理されているデバイス１１０は、管理されているデバイス１１０、基地局２０３０、および／またはＩｏＴデバイス２０４０によって維持されるルーティングルールを有するオーバーレイネットワークとして、論理ネットワーク２１００を形成し得る。通常、論理ネットワーク２１００を構成するためにデバイスの任意の物理接続を変更することは必要でない。むしろ、論理ネットワーク２１００は、管理されているデバイス１１０を通してＩｏＴデバイス２０４０へのすべてのイングレスおよびＩｏＴデバイス２０４０からのすべてのエグレスをルーティングするソフトウェア定義ネットワークと見なされ得る。

【0194】

図示のように、論理ネットワーク２１００は、ネットワーク１７０上での通信を可能にするための、管理されているデバイス１１０を基地局２０３０に接続するスポークをさらに含む。随意に、別個のスポークが、たとえばテザリングされた接続を介して、管理されているデバイス１１０をモバイルデバイス２００２に論理的に接続し得る。次いで、モバイルデバイス２００２（またはワイヤレスドングル）は、ネットワーク１７０への別個のおよび冗長な接続を提供し得る。したがって、この例では、論理ネットワーク２１００は、複数のネットワーク経路１８０（図１）の間でシームレスに切り替える能力を含めて、複数のネットワーク経路１８０（図１）から利益を得、したがって、セクションＩにおいて説明された構成と同じ信頼性を達成する。

【0195】

管理されているデバイス１１０は、ＩｏＴイングレスおよびエグレスのためのゲートキーパーとして働くことによって管理ポリシーを施行するだけでなく、いくつかの例では、マイクロＶＰＮを介してセキュリティを促進することもできる。右側の拡大図に示されているように、管理されているデバイス１１０は、上記で説明されたマイクロＶＰＮクライアント構成要素１３４ｃを含み得、マイクロＶＰＮクライアント構成要素１３４ｃは、マイクロＶＰＮサーバ構成要素１３４ｓとの特定用途向けＶＰＮまたはトンネル１３４を確立する。したがって、（図１に示されている）トンネル１３４内で、管理されているデバイス１１０とサーバ１２０との間で交換されるデータは、団体のセキュリティプロトコルに従って暗号化され、そのような暗号化は、ＩｏＴデバイス２０４０とサーバ１２０との間の通信にも適用され、その結果、通信は、管理されているデバイス１１０を通し、トンネル１３４を通して行われる。したがって、ＩｏＴトラフィックは、管理されているデバイス１１０とサーバ１２０との間の他のアプリケーショントラフィックと同じＶＰＮ技術を使用して保護される。

【0196】

右側の拡大図にさらに示されているように、管理されているデバイス１１０は、ポリシーマネージャ２１３０と、上記で説明されたクライアント側アプリケーション構成要素１３２ｃと、ＩｏＴオーケストレータ２１４０とを含む。ポリシーマネージャ２１３０は、ローカル環境２０１０における団体の管理ポリシーを監督するように構成される。一例では、ポリシーマネージャ２１３０は、（悪意のあるコードについてＩｏＴデバイス２０４０を走査し、悪意のあるコードを隔離または除去するように構成された）ＩｏＴスキャナ２１３２と、（ＩｏＴデバイス２０４０上のソフトウェアおよび／またはファームウェアをアップグレードするように構成された）ＩｏＴアップグレーダ２１３４と、（ＩｏＴデバイス２０４０上にスキルをインストールするように構成された）ＩｏＴインストーラ２１３６とを含む。

【0197】

ＩｏＴオーケストレータ２１４０は、特定の使用事例に対処するための、ローカル環境２０１０におけるＩｏＴデバイス２０４０のアクティビティを協調させる。単純な例を挙げると、ユーザ１０２は、「ヘイ、スマートスピーカー（Ｈｅｙ Ｓｍａｒｔ Ｓｐｅａｋｅｒ）、会議を開始するようにＡＣＭＥに伝えて」と言って、ボイスコマンド２１５０をスマートスピーカー２０４０－４に発行し得る。ボイスコマンド２１５０に応答して、ＩｏＴオーケストレータ２１４０は、たとえば、利用可能なＩｏＴデバイス２０４０のプレゼンスを電子的に直接検出することによって、またはサーバ１２０上のユーザ１０２についてのユーザプロファイル２０７０を照会することによって、利用可能なＩｏＴデバイス２０４０についてチェックする。利用可能なＩｏＴデバイス２０４０を手に入れると、ＩｏＴオーケストレータ２１４０は、スピーカー２０４０－３および２０４０－４、スマートＴＶ２０４０－５、ならびにウェブカム２０４０－６など、オンライン会議のコンテキストにおいて有用であり得るＩｏＴデバイス２０４０のうちの特定のＩｏＴデバイス２０４０を識別する。ＩｏＴオーケストレータ２１４０は、次いで、識別されたデバイスが使用され得ることを確認するようにユーザ１０２に促す。ユーザ１０２が確認した場合、ＩｏＴオーケストレータ２１４０は、スピーカー２０４０－３および２０４０－４、スマートＴＶ２０４０－５、ならびにウェブカム２０４０－６を管理されているデバイス１１０に接続し、オンライン会議中のこれらの使用を可能にする。会議が開始したとき、ユーザ１０２は、ＩｏＴスピーカーおよびＩｏＴ ＴＶのビデオおよびオーディオ品質から利益を得ることができ、会議の他の参加者は、ＩｏＴウェブカムの品質から利益を得ることができる。

【0198】

市販のスマートスピーカーは、概して、「ヘイ、スマートスピーカー、会議を開始するようにＡＣＭＥに伝えて」のようなボイスコマンドを理解しないことを諒解されたい。この目的で、スマートスピーカー２０４０－４は、カスタムスキルを装備していることがある。スキルは、「ＡＣＭＥ」という単語を認識し、ＡＣＭＥサーバにコマンドをダイレクトし、ＡＣＭＥサーバはコマンドを解釈し、適切なアクションをとる。ＡＣＭＥが、管理されているデバイス１１０およびＩｏＴデバイス２０４０を管理する団体である場合、サーバ１２０はＡＣＭＥのサーバであり得、カスタムスキルは、サーバ１２０上でまたはサーバ１２０によって利用可能なリソースにアクセスするように構成され得る。たとえば、スキルは、ユーザ１０２の企業カレンダーにアクセスし、現在時間付近の会議についてチェックし、会議パラメータを取得し、会議アプリケーションにおいて指定されたパラメータで会議をローンチするように管理されているデバイス１１０に指示し得る。ユーザが承認した場合、会議は、スマートスピーカー、スマートＴＶ、およびスマートウェブカムを使用して進行し得る。このようにして、ＩｏＴオーケストレータ２１４０は、利用可能なＩｏＴデバイス２０４０を一緒にスティッチングし、ボイスコマンドに応答してこれらの使用を可能にすることができる。ＩｏＴオーケストレータ２１４０は、ボイスコマンドに限定されず、むしろ、任意のソースから到着したコマンドに応答し得、および／あるいは任意のイベントまたはスケジュールされたアクティビティに応答するものであり得る。

【0199】

スマートスピーカー２０４０－４は単独で音声を転写することが可能でないことがあり、むしろ、この目的でクラウドサービスを使用し得ることを諒解されたい。たとえば、Ａｍａｚｏｎ Ａｌｅｘａは、Ａｍａｚｏｎサーバを使用して音声を転写し得る。この構成でも、スマートスピーカー２０４０－４とＡｍａｚｏｎサーバとの間のネットワークトラフィックは、管理されているデバイス１１０を通過し、すなわち、論理ネットワーク２１００によって定義された経路に沿って通過する。

【0200】

多くの調整された使用事例が企図され、いくつかは、サーバ１２０上の分析マネージャ２０６０に関与し得る。たとえば、セキュリティアプリケーションが、ローカル環境２０１０における防犯カメラ２０４０－１をアクティブ化し得る。防犯カメラ２０４０－１は、ユーザ１０２のビデオを取得し、このビデオをサーバ１２０に提供し得る。サーバ１２０は、ビデオ画像に対して顔認識を実施し、分析された顔がユーザ１０２の顔であると決定し得る。ビデオが獲得されたほぼ同じ時間に、離れたロケーションからユーザの証明を用いてログイン試みが行われた場合、分析マネージャ２０６０は、不一致をフラグで知らせ、サーバ１２０がログイン要求を拒否すること、または強い認証を必要とすることを引き起こし得る。

【0201】

いくつかの例では、管理されているデバイス１１０は、あるネットワークトラフィックのセキュアハンドオフを実施し得る。たとえば、管理されているデバイス１１０が、スマートＴＶ２０４０－５が４Ｋビデオを受信するときにスマートＴＶ２０４０－５の直接経路中にとどまること、または、ウェブカム２０４０－６が同様のビデオを送信するときにウェブカム２０４０－６の直接経路中にとどまることは、非効率的であり、不要であり得る。したがって、いくつかの改善によれば、管理されているデバイス１１０は、直接経路中にあることなしにＩｏＴデバイス２０４０がネットワーク１７０上で直接通信することを可能にする。管理されているデバイス１１０は、ネットワーク１７０上のＩｏＴデバイスとエンドポイントとの間のセキュア接続を最初に確立することによって、この目的を達成し得る。その場合、矢印２１６０によって示されているように、ＩｏＴデバイスは、管理されているデバイス１１０の直接関与なしに、セキュア接続上でエンドポイントと直接通信し得る。

【0202】

団体の管理ポリシーはネットワーク１７０上での管理されているＩｏＴデバイスの通信を制約し得るが、団体は、概して、クライアント環境２０１０におけるＩｏＴデバイスまたは他の機器の所有者でないことを諒解されたい。ユーザ１０２は時々、団体の管理外で、個人使用のためにＩｏＴデバイス２０４０を動作させる必要があり得、ＩｏＴデバイス２０４０は、好ましくは適応するべきである。この目的で、いくつかの例は、ユーザが、ＩｏＴデバイス２０４０を団体の制御から解放することを可能にする。たとえば、ユーザは、ＩｏＴデバイスを解放し、このデバイスを管理されていない状態に戻すために、管理されているデバイス２０１０上の構成マネージャ（図示せず）を動作させ得る。ＩｏＴデバイス上にインストールされたカスタムスキルは、削除または非アクティブ化され得る。ＩｏＴデバイスは、もはや論理ネットワーク２１００の一部でないことがあり、ＩｏＴデバイスのトラフィックは、もはや、管理されているデバイス１１０およびサーバ１２０を通してルーティングされない。ユーザ１０２がＩｏＴデバイスを団体の管理下に再び置くことを後で望む場合、ユーザ１０２は、たとえば、利用可能なデバイスについて環境２０１０を走査し、管理のために前に解放されたＩｏＴデバイスを選択することによって、上記で説明されたようにＩｏＴデバイスを追加する必要があるにすぎない。

【0203】

いくつかの例では、クライアント環境２０１０は、バックアップデバイス１１０ａを含み得、バックアップデバイス１１０ａは、管理されているデバイス１１０が失われたかまたはオフにされたとき、管理されているデバイス１１０の役割を実施し得る。バックアップデバイス１１０ａは、別のコンピュータ、ＳＤ－ＷＡＮ器具、タブレット、スマートフォン、ネットワークデバイス、または、ＩｏＴデバイス２０４０に接続し、ソフトウェアを稼働することが可能な任意のデバイスであり得る。実際、管理されているデバイス１１０は、それ自体が、これらのやり方のいずれかで実装され得る。

【0204】

図２２は、ローカルクライアント環境２０１０におけるＩｏＴデバイスを含むように組織的管理を拡張するための例示的な構成２２００を示す。示されている構成は、ユーザ１０２、管理されているデバイス１１０、１つまたは複数のＩｏＴデバイス２０４０、およびサーバ１２０の間のアクティビティを伴い得る。

【0205】

動作は２２１０において始まり得、ユーザ１０２は、ＩｏＴデバイス２０４０についてローカル環境２０１０を走査するための要求を発行する。たとえば、ユーザ１０２は、この機能を始動するために、管理されているデバイス１１０のユーザインターフェースを動作させ得る。

【0206】

２２１２において、管理されているデバイス１１０は、要求を受信すると、利用可能なＩｏＴデバイス２０４０についてローカル環境２０１０を探索するための発見動作を実施する。発見は、たとえば、利用可能なデバイスについてＷｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、および／またはワイヤードネットワーク接続を走査することを含み得る。管理されているデバイス１１０は、任意の発見されたＩｏＴデバイスのリストを準備し得る。

【0207】

２２１４において、管理されているデバイス１１０は、ＩｏＴデバイスデータをサーバ１２０に送る。ＩｏＴデバイスデータは、発見されたＩｏＴデバイスの種類およびモデル、ソフトウェアバージョン、ファームウェアバージョン、ＭＡＣアドレス、および／またはローカル環境２０１０における物理的ロケーションなど、発見されたデバイスに関する情報とともに、発見されたＩｏＴデバイスのリストを含み得る。一例では、管理されているデバイス１１０は、たとえば、ワークスペースアプリケーションなどの特定のアプリケーションのコンテキスト内で、マイクロＶＰＮ１３４を通してＩｏＴデバイスデータを送る。

【0208】

２２１６において、サーバ１２０は、ＩｏＴデバイスデータを受信し、リストされたＩｏＴデバイスがサポートされるかどうかをチェックする。たとえば、サーバ１２０は、発見されたＩｏＴデバイスのリスト上の個々のＩｏＴデバイスについてＩｏＴマネージャ２０５０に照会し、団体がこれらのＩｏＴデバイスをサポートするかどうかを決定する。

【0209】

２２２０において、サーバ１２０は、サポートされるＩｏＴデバイスのリストを管理されているデバイス１１０に返す。一例では、サポートされるＩｏＴデバイスのリストは、団体がサポートする、発見されたＩｏＴデバイスのリスト上のすべてのＩｏＴデバイスを含む。

【0210】

２２２２において、管理されているデバイス１１０は、サポートされるデバイスのリスト上の個々のＩｏＴデバイスの組織的制御を許容または拒絶するように、ユーザ１０２に促す。たとえば、管理されているデバイス１１０は、ユーザ１０２が、デバイスごとに管理制御を許容または拒絶することを可能にし得る。代替的に、管理されているデバイス１１０は、ユーザ１０２が、サポートされるデバイスのすべてを選択するかまたはいずれも選択しないこと、あるいはサポートされるデバイスの任意の組合せを選択することを必要とし得る。

【0211】

２２２４において、管理されているデバイス１１０は、制御されるべきサポートされるＩｏＴデバイスのユーザ選択を受信する。管理されているデバイス１１０は、次いで、選択されたＩｏＴデバイスをエンロールするためにサーバ１２０との通信２２３０を始動する。通信２２３０は、必要に応じて、選択されたＩｏＴデバイスについて個々に繰り返され得る。代替的に、通信２２３０は、選択されたＩｏＴデバイスのすべてについて一緒に、一度実施され得る。単一の選択されたＩｏＴデバイスのエンロールメントが以下で説明されるが、説明されるアクティビティが、たとえば連続的にまたは並列に、複数の選択されたＩｏＴデバイスについて実施され得ることを諒解されたい。

【0212】

２２３２において、管理されているデバイス１１０は、選択されたＩｏＴデバイスをエンロールするためのエンロールメント要求２０１２をサーバ１２０に送る。

【0213】

２２３４において、サーバ１２０は、エンロールメント要求２０１２を受信し、たとえば、ＩｏＴマネージャ２０５０から、選択されたＩｏＴデバイスのための管理コードを取得する。管理コードは、管理されているデバイス１１０のためのコードと、選択されたＩｏＴデバイス上にインストールされるべきＩｏＴエージェントなど、ＩｏＴデバイスのためのコードとを含み得る。２２３６において、サーバ１２０は、管理コードを、管理されているデバイス１１０に返す。

【0214】

２２４０において、管理されているデバイス１１０は、選択されたＩｏＴデバイスを制御するための管理コードをインストールする。この行為は、ハンドラ、ドライバ、または他のソフトウェア構成体をインストールすることを伴い得る。いくつかの例では、行為２２４０は、選択されたＩｏＴデバイスと通信するためのネットワーク設定を確立することを伴い得る。２２４２において、管理されているデバイス１１０は、ＩｏＴエージェントを選択されたＩｏＴデバイスに送り、選択されたＩｏＴデバイスは、２２４４においてＩｏＴエージェントをインストールする。２２４６において、ＩｏＴデバイスは、ＩｏＴエージェントのインストールの成功を確認する。

【0215】

２２４８において、管理されているデバイス１１０は、ローカルネットワーク２１００を確立する。論理ネットワーク２１００がすでに配備されている場合、管理されているデバイス１１０は、選択されたＩｏＴデバイスを含むように論理ネットワーク２１００を更新し得る。

【0216】

２２５０において、管理されているデバイス１１０は、サーバ１２０に対してインストールの成功を確認する。２２５２において、サーバ１２０は、選択されたＩｏＴデバイスが現在、団体による管理制御下の管理されているＩｏＴデバイスであるということを記録するためにユーザ１０２のユーザプロファイル２０７０を更新する。

【0217】

次に進んで、２２６０ａにおいて、現在管理されているＩｏＴデバイスへのネットワークイングレスおよびそこからのネットワークエグレスが、管理されているデバイス１１０を通過し、管理されているデバイス１１０は、２２６０ｂにおいて、管理されているデバイス１１０とネットワーク１７０との間の媒介として働く。

【0218】

図２３および図２４は、環境２０００に関して行われ得る例示的な方法２３００および２４００を示す。方法２３００および２４００は、それぞれ、クライアントの観点およびサーバの観点から提示される。方法２３００および２４００の様々な行為は、任意の好適なやり方で順序付けられ得る。したがって、図示された順序とは異なる順序で行為が実施される実施形態が構築され得、これは、いくつかの行為を同時に実施することを含み得る。

【0219】

図２３では、アクティビティは２３１０において始まり、管理されているデバイス１１０は、ローカルクライアント環境２０１０において動作する。たとえば、ユーザ１０２は、たとえば、サーバ１２０によってホストされるアプリケーションを稼働するために、クラウドＰｏＰ２０２０に接続するために、管理されているデバイス１１０を採用し得る。ただし、これは、管理されているデバイス１１０が、単に電源投入され、アイドルであることによって動作し得るので、必要とされない。特定のアクティビティは必要とされない。

【0220】

２３２０において、管理されているデバイス１１０は、発見を実施し、ローカル環境２０１０における１つまたは複数のＩｏＴデバイスの位置を特定する。前に説明されたように、発見は、ＩｏＴデバイス２０４０についてワイヤード、Ｗｉ－Ｆｉ、およびＢｌｕｅｔｏｏｔｈネットワークを走査することを伴い得る。管理されているデバイス１１０は、発見されたＩｏＴデバイスのリストをサーバ１２０に送り、サポートされるＩｏＴデバイスのリストを受信し得、サポートされるＩｏＴデバイスのリストから、ユーザ１０２は、団体による管理のためにＩｏＴデバイスを選択し得る。

【0221】

２３３０において、管理されているデバイス１１０は、団体による管理制御を選択されたＩｏＴデバイスに拡張するために、サーバ１２０との通信２２３０に参加する。いくつかの例では、通信２２３０は、管理デバイス１１０上にソフトウェアをインストールすること、および／またはＩｏＴデバイスの各々上にエージェントをインストールすることを伴う。通信２２３０は、各選択されたＩｏＴデバイスのプレゼンスを記録するためにサーバ１２０上のユーザ１０２のプロファイルを更新することをさらに伴い得る。

【0222】

いくつかの例では、２３４０において、管理されているデバイス１１０は、悪意のあるコードについて、選択されたＩｏＴデバイスを走査し、悪意のあるコードを消去するかまたは悪意のあるコードを隔離することなどによって、検出された脅威を削除し得る。

【0223】

いくつかの例では、２３５０において、サーバ１２０と協調して動作する、管理されているデバイス１１０は、選択されたＩｏＴデバイス上の古いファームウェアおよび／またはソフトウェアをアップグレードする。いくつかの例では、管理されているデバイス１１０はまた、選択されたＩｏＴデバイス上への１つまたは複数の新しいスキルのインストールを指示し、この１つまたは複数の新しいスキルは、団体のために開発された１つまたは複数のカスタムスキルを含み得る。

【0224】

次に図２４を参照すると、アクティビティは２４１０において始まり得、サーバ１２０は、管理されているデバイス１１０から、団体の管理フレームワークにＩｏＴデバイス２０４０をエンロールするためのエンロールメント要求２０１２を受信する。説明されたように、管理フレームワークは、悪意のあるコードについての走査、ソフトウェアおよびファームウェアアップグレード、ならびに／またはカスタムスキルのインストールに従うことなど、管理されているＩｏＴデバイスの必要とされるポリシーおよび／または制約を含み得る。フレームワークはまた、ＩｏＴデバイスへのおよびそこからのネットワークトラフィックが、管理されているデバイス１１０を通してローカルに、およびローカル環境２０１０外で、サーバ１２０を通して、送信されることを必要とし得る。

【0225】

２４２０において、サーバ１２０は、管理制御を選択されたＩｏＴデバイスに拡張するために、管理されているデバイス１１０との通信２２３０に参加する。たとえば、通信２２３０は、図２２に関して説明されたように進行し得る。

【0226】

２４３０において、サーバは、たとえば論理ネットワーク２１００を介して、管理されているデバイス１１０を通してＩｏＴデバイスと通信する。

【0227】

改善された技法は、団体による管理制御を、管理されているデバイス１１０のローカル環境２０１０におけるＩｏＴ（モノのインターネット）デバイス２０４０に拡張するために、管理されているデバイス１１０を使用することについて、説明された。管理されているデバイス１１０は、ローカルＩｏＴデバイス２０４０を発見し、これらのデバイス２０４０のうちの１つまたは複数を管理制御下に置くためにサーバ１２０との通信２２３０に参加する。いくつかの例では、管理制御を拡張することは、各選択されたＩｏＴデバイス２０４０を団体の管理フレームワークにエンロールすることと、管理されているデバイス１１０を通してサーバ１２０とそれぞれのＩｏＴデバイス２０４０との間の通信をダイレクトすることとを伴い、これは、ローカル環境２０１０における選択されたＩｏＴデバイスの管理を監督するためのポイントオブプレゼンスを提供する。

【0228】

いくつかの実施形態について説明したが、多数の代替実施形態または変形形態が行われ得る。たとえば、ローカルクライアント環境２０１０はユーザ１０２の自宅として図示および説明されたが、ローカルクライアント環境２０１０は、自宅に限定されず、ネットワーク接続性を有し、１つまたは複数のＩｏＴデバイスを含む、任意の空間を含み得る。

【0229】

さらに、とはいえ、論理ネットワーク２１００は、単一のハブアンドスポーク構成として図示された。代替的に、論理ネットワーク２１００は、ハブアンドスポーク構成の階層から、または、管理されているデバイス１１０を通してＩｏＴデバイスのデータイングレスおよびエグレスを渡す任意の他のタイプのネットワーク構成から、形成され得る。

【0230】

本出願の特定の実施形態に関して特徴が図示および説明されたが、そのような特徴は、開示される実施形態およびそれらの変形態のいずれにも含まれ得、本明細書によって含まれる。したがって、任意の実施形態に関して開示される特徴が任意の他の実施形態に含まれることを理解されたい。

【0231】

さらにまた、改善、または改善の一部は、磁気ディスク、磁気テープ、コンパクトディスク、ＤＶＤ、光ディスク、フラッシュドライブ、ソリッドステートドライブ、ＳＤ（セキュアデジタル）チップまたはデバイス、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）など、１つまたは複数の非一時的コンピュータ可読記憶媒体を備えるコンピュータプログラム製品として具現され得る。任意の数のコンピュータ可読媒体が使用され得る。媒体は、１つまたは複数のコンピュータまたは他のプロセッサ上で実行されたとき、本明細書で説明される１つまたは複数のプロセスを実施する命令で符号化され得る。そのような媒体は、製造品またはマシンと見なされ得、あるマシンから別のマシンにトランスポート可能であり得る。

【0232】

本明細書全体にわたって使用される「備える、含む（ｃｏｍｐｒｉｓｉｎｇ）」、「含む、備える（ｉｎｃｌｕｄｉｎｇ）」、「含んでいる（ｃｏｎｔａｉｎｉｎｇ）」、および「有する（ｈａｖｉｎｇ）」という単語は、オープンエンド様式で、何かのいくつかの項目、ステップ、要素、または態様を記載するものである。また、本明細書で使用される「セット」という単語は、そうでないことが具体的に述べられていない限り、何かのうちの１つまたは複数を意味する。これは、「～のセット（ｓｅｔ ｏｆ）」という句に単数形の目的語が続くのか複数形の目的語が続くのかにかかわらず、および「～のセット」という句が単数形の動詞と結合されるのか複数形の動詞と結合されるのかにかかわらず、当てはまる。 また、要素「のセット」は、存在するすべての要素よりも少ない要素を表すことができる。したがって、セットの一部でない同じ種類の追加の要素があり得る。 さらに、「第１の」、「第２の」、「第３の」などの序数表現は、識別の目的で、本明細書では形容詞として使用され得る。特に示されていない限り、これらの序数表現は、何らかの順序付けまたはシーケンスを暗示するものではない。したがって、たとえば、「第２の」イベントは、「第１のイベント」の前に行われることも後に行われることもあり、あるいは、第１のイベントがこれまでに生じていない場合でも行われることがある。さらに、特定の要素、特徴、または行為を「第１の」そのような要素、特徴、または行為であるとして本明細書で識別することは、「第２の」または他のそのような要素、特徴または行為もなければならないことを必要とすると解釈されるべきでない。むしろ、「第１の」項目は唯一の項目であり得る。また、そうでないことが特に明記されていない限り、「に基づいて」は、非排他的であるものとする。したがって、「に基づいて」は、別段に特に示されていない限り、「に排他的に基づいて」を意味するものとして解釈されるべきではなく、むしろ、「に少なくとも部分的に基づいて」を意味するものとして解釈されるべきである。いくつかの実施形態が本明細書で開示されるが、これらは、例として提供されるにすぎず、限定するものと解釈されるべきでないことを理解されたい。

【0233】

したがって、当業者は、形態および詳細の様々な変更が、以下の特許請求の範囲から逸脱することなく、本明細書で開示される実施形態に対して行われ得ることを理解されよう。

【図1】

【図2】

【図3】

【図4a】

【図4b】

【図4c】

【図4d】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【手続補正書】

【提出日】2021-06-29

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

第１のコンピューティングデバイスによって、第２のコンピューティングデバイスからデータを受信することであって、前記データが前記第２のコンピューティングデバイスのロケーションを示し、前記第２のコンピューティングデバイスがコンピュータネットワークへの接続を有することと、
前記第１のコンピューティングデバイスによって、前記第２のコンピューティングデバイスからの前記受信されたデータに少なくとも部分的に基づいてロケーションインジケータを決定することと、
前記第１のコンピューティングデバイスによって、前記コンピュータネットワークのリソースにアクセスするための要求を送ることであって、前記要求が、前記決定されたロケーションインジケータを含むことと、
前記第１のコンピューティングデバイスによって、前記リソースにアクセスするための許可に応答して前記コンピュータネットワークの前記リソースにアクセスすることであって、前記許可が、前記要求に応答して、および前記決定されたロケーションインジケータに少なくとも部分的に基づいて許諾され、前記第２のコンピューティングデバイスから受信された前記ロケーションインジケータが、ロケーションに少なくとも部分的に基づいて前記リソースへの前記第１のコンピューティングデバイスによるアクセスを可能にするために、前記第１のコンピューティングデバイスのロケーションのインジケーションを提供することと、
を含む方法。

【請求項2】

前記第２のコンピューティングデバイスが、前記コンピュータネットワークへの前記接続を前記第１のコンピューティングデバイスと共有し、ロケーション情報を受信することが、前記第１のコンピューティングデバイスと前記第２のコンピューティングデバイスとの間のローカル接続上で、前記第２のコンピューティングデバイスから前記ロケーション情報を取得することを含む請求項１に記載の方法。

【請求項3】

前記第２のコンピューティングデバイスが、（ｉ）モバイルデバイスまたは（ｉｉ）セルラードングルのうちの１つであり、前記ローカル接続上で前記ロケーション情報を取得するとき、前記第１のコンピューティングデバイスが、（ｉ）Ｂｌｕｅｔｏｏｔｈ、（ｉｉ）Ｗｉ－Ｆｉ、または（ｉｉｉ）ケーブルのうちの１つを使用して前記ローカル接続上で前記第２のコンピューティングデバイスにテザリングされる請求項２に記載の方法。

【請求項4】

前記要求を送ることが、前記第２のコンピューティングデバイスによって前記第１のコンピューティングデバイスと共有される共有接続上で前記要求を送信することを含む請求項２に記載の方法。

【請求項5】

前記第１のコンピューティングデバイスが、前記共有接続とは別個の、前記コンピュータネットワークへの第２の接続を有し、前記アクセス要求を送ることが、前記第２の接続上で前記アクセス要求を送信することを含む請求項２に記載の方法。

【請求項6】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記ロケーション情報が第２のロケーション情報であり、
前記方法が、前記第１のコンピューティングデバイスによって、前記第１のコンピューティングデバイスの第１のロケーション情報を取得することを含み、
前記ロケーションインジケータを形成することが、前記第１のロケーション情報および前記第２のロケーション情報に少なくとも部分的に基づく請求項２に記載の方法。

【請求項7】

前記第１のコンピューティングデバイスの前記第１のロケーション情報を取得することが、前記第１のコンピューティングデバイスが属するＷｉ－Ｆｉネットワークを識別することを含む請求項６に記載の方法。

【請求項8】

前記第２のコンピューティングデバイスの前記第２のロケーション情報を取得することが、前記第２のコンピューティングデバイスのＧＰＳ（全地球測位システム）座標を受信することを含む請求項６に記載の方法。

【請求項9】

前記第２のコンピューティングデバイスの前記第２のロケーション情報を取得することが、前記第２のコンピューティングデバイスのＩＰ（インターネットプロトコル）アドレスを識別することを含む請求項６に記載の方法。

【請求項10】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記ロケーション情報が第２のロケーション情報であり、前記方法が、
前記ローカル接続上で前記第１のコンピューティングデバイスによって、前記第２のコンピューティングデバイスの前記ロケーションを示す第３のロケーション情報を取得することであって、前記第３のロケーション情報が前記第２のロケーション情報のソースとは別個のソースから導出されることを含み、
前記ロケーションインジケータを形成することが、前記第１のロケーション情報、前記第２のロケーション情報および前記第３のロケーション情報に少なくとも部分的に基づく請求項２に記載の方法。

【請求項11】

サーバによって、コンピュータネットワーク上で第１のコンピューティングデバイスから要求を受信することであって、前記要求が、前記コンピュータネットワーク上のリソースにアクセスするためのものであり、ロケーションインジケータを含み、前記ロケーションインジケータが、第２のコンピューティングデバイスのロケーションを示すデータに少なくとも部分的に基づくことと、
前記サーバによって、前記受信された要求の前記ロケーションインジケータに少なくとも部分的に基づいて、前記ロケーションインジケータによって示されたロケーションが、前記コンピュータネットワークの前記リソースにアクセスするための許可されたロケーションに一致することを検証することと、
前記ロケーションの前記検証に応答して、前記サーバによって、前記コンピュータネットワーク上の前記リソースへのアクセスを前記第１のコンピューティングデバイスに許諾することと、
を含む方法。

【請求項12】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記データが第２のロケーション情報であり、前記ロケーションインジケータが、前記第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、
前記方法が、前記第１のコンピューティングデバイスの前記第１のロケーション情報および前記第２のコンピューティングデバイスの前記第２のロケーション情報に少なくとも部分的に基づいて代表的ロケーションを確立することを含み、
前記ロケーションインジケータが前記許可されたロケーションに一致することを検証することが、前記代表的ロケーションが前記許可されたロケーションと整合することを確認することを含む請求項１１に記載の方法。

【請求項13】

前記ロケーションインジケータが、前記第２のコンピューティングデバイスの第３のロケーション情報に少なくとも部分的に基づき、前記第３のロケーション情報が、前記第２のロケーション情報のソースとは別個のソースから導出され、
代表的ロケーション情報を生成することが、少なくとも前記第１のロケーション情報、前記第２のロケーション情報、および前記第３のロケーション情報に基づいて地理的ロケーションを組み合わせることを含み、
前記代表的ロケーション情報が許可されたロケーションと整合することを確認することが、前記第１のロケーション情報、前記第２のロケーション情報および前記第３のロケーション情報に少なくとも部分的に基づく請求項１２に記載の方法。

【請求項14】

前記代表的ロケーションを生成することが、前記第１のロケーション情報および前記第２のロケーション情報に少なくとも部分的に基づいて重心を作り出すことを含み、前記重心が、前記第１のロケーション情報および前記第２のロケーション情報に少なくとも部分的に基づく地理的中心を示す請求項１２に記載の方法。

【請求項15】

前記第１のロケーション情報および前記第２のロケーション情報に信頼性スコアを割り当てることと、前記重心を作り出すときに前記信頼性スコアを重みとして適用することと、を含む請求項１４に記載の方法。

【請求項16】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記データが第２のロケーション情報であり、前記ロケーションインジケータが、前記第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、前記第１のロケーション情報が、前記第１のコンピューティングデバイスが接続されたワイヤレスネットワークのＷｉ－Ｆｉ識別子を含み、前記方法が、前記Ｗｉ－Ｆｉ識別子を前記第１のコンピューティングデバイスの地理的ロケーションに変換することを含む請求項１１に記載の方法。

【請求項17】

前記第２のロケーション情報が前記第２のコンピューティングデバイスのＩＰ（インターネットプロトコル）アドレスを含み、前記方法が、前記ＩＰアドレスを前記第２のコンピューティングデバイスの地理的ロケーションに変換することを含む請求項１６に記載の方法。

【請求項18】

前記第２のコンピューティングデバイスのロケーション情報が、前記第２のコンピューティングデバイスのＧＰＳ（全地球測位システム）座標を含み、前記ロケーションインジケータによって示された前記ロケーションが許可されたロケーションに一致することを検証することが、前記第２のコンピューティングデバイスの前記ＧＰＳ座標が、所定の距離しきい値内まで、許可されたロケーションのＧＰＳ座標と整合することを確認することを含む請求項１１に記載の方法。

【請求項19】

コンピュータネットワーク上で第１のコンピューティングデバイスから要求を受信することであって、前記要求が、前記コンピュータネットワーク上のリソースにアクセスするためのものであり、ロケーションインジケータを含み、前記ロケーションインジケータが、第２のコンピューティングデバイスのロケーションを示すデータに少なくとも部分的に基づくことと、
前記受信された要求の前記ロケーションインジケータに少なくとも部分的に基づいて、前記ロケーションインジケータによって示されたロケーションが、前記コンピュータネットワークの前記リソースにアクセスするための許可されたロケーションと整合することを検証することと、
前記ロケーションの前記検証に応答して、前記コンピュータネットワーク上の前記リソースにアクセスすることを前記第１のコンピューティングデバイスに許諾することと、
を行うように構成される制御回路を備えるサーバ。

【請求項20】

前記第２のコンピューティングデバイスの前記ロケーションを示す前記データが第２のロケーション情報であり、
前記ロケーションインジケータが、前記第１のコンピューティングデバイスの第１のロケーション情報に少なくとも部分的に基づき、
前記制御回路が、少なくともロケーション情報の第１のセットおよびロケーション情報の第２のセットに基づいて地理的ロケーションを組み合わせて、ロケーション情報の前記第１のセットおよびロケーション情報の前記第２のセットに少なくとも部分的に基づいて代表的ロケーションを生成するように構成され、前記ロケーションを検証するように構成された前記制御回路が、前記代表的ロケーションが許可されたロケーションと整合することを確認するように構成される請求項１９に記載のサーバ。

【請求項21】

前記制御回路が、前記代表的ロケーションを重心として作り出すように構成され、前記重心が、少なくとも前記第１のロケーション情報および前記第２のロケーション情報によって形成される地理的中心を示す請求項２０に記載のサーバ。

【国際調査報告】