知財求人 - 知財ポータルサイト「IP Force」
▶ シトリックス・システムズ・インコーポレイテッドの特許一覧
特表2022-533890異なる認証クレデンシャルを有する認証トークンに基づいてセッションアクセスを提供するコンピューティングシステムおよび方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2022-07-27
(54)【発明の名称】異なる認証クレデンシャルを有する認証トークンに基づいてセッションアクセスを提供するコンピューティングシステムおよび方法
(51)【国際特許分類】
G06F 21/33 20130101AFI20220720BHJP
H04L 9/32 20060101ALI20220720BHJP
【ＦＩ】
G06F21/33
H04L9/32 200B
H04L9/32 200F
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2021558670
(86)(22)【出願日】2020-04-23
(85)【翻訳文提出日】2021-11-25
(86)【国際出願番号】 US2020029444
(87)【国際公開番号】W WO2020236394
(87)【国際公開日】2020-11-26
(31)【優先権主張番号】62/850,156
(32)【優先日】2019-05-20
(33)【優先権主張国・地域又は機関】US
(31)【優先権主張番号】16/739,342
(32)【優先日】2020-01-10
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＪＡＶＡ
２．ＢＬＵＥＴＯＯＴＨ
３．Ｌｉｎｕｘ
４．ＡＮＤＲＯＩＤ
５．ＪＡＶＡＳＣＲＩＰＴ
(71)【出願人】
【識別番号】508045099
【氏名又は名称】シトリックス・システムズ・インコーポレイテッド
【氏名又は名称原語表記】Ｃｉｔｒｉｘ Ｓｙｓｔｅｍｓ，Ｉｎｃ．
(74)【代理人】
【識別番号】110001243
【氏名又は名称】弁理士法人谷・阿部特許事務所
(72)【発明者】
【氏名】ゲオルギー モンチロフ
(72)【発明者】
【氏名】ヒュバート ディヴォー
(72)【発明者】
【氏名】ロベルト バルデス
(57)【要約】
コンピューティングデバイスは、メモリと、それに関連付けられた第１及び第２の認証クレデンシャルを有する認証トークンを記憶するためにメモリと協働するように構成されたプロセッサとを含んでよい。第１および第２の認証クレデンシャルは、互いに異なってよい。プロセッサは、認証トークンに基づいてセッションにアクセスするためにサーバとさらに協働してよい。
【特許請求の範囲】
【請求項1】
コンピューティングデバイスであって、メモリと、
関連付けられた第１及び第２の認証クレデンシャルを有する認証トークンを記憶するために前記メモリと協働し、
前記第１および第２の認証クレデンシャルは、互いに異なっており、
前記認証トークンに基づいてセッションにアクセスするためにサーバと協働する、
ように構成されたプロセッサと、
を備える、コンピューティングデバイス。
【請求項2】
前記第１および第２の認証クレデンシャルのうちの１つは、ユーザクレデンシャルを備える、請求項１に記載のコンピューティングデバイス。
【請求項3】
前記ユーザクレデンシャルは、前記クライアントデバイスにおける前記メモリに記憶される、請求項２に記載のコンピューティングデバイス。
【請求項4】
前記ユーザクレデンシャルは、認証サービスを用いて仮想スマートカードに記憶される、請求項２に記載のコンピューティングデバイス。
【請求項5】
前記第１および第２の認証クレデンシャルのうちの１つは、前記クライアントデバイスに関連付けられた公開鍵を備える、請求項１に記載のコンピューティングデバイス。
【請求項6】
前記公開暗号化鍵は、ルートオブトラスト（ＲｏＴ）によって署名される、請求項５に記載のコンピューティングデバイス。
【請求項7】
前記プロセッサは、前記コンピューティングデバイスに割り当てられた接続リースにさらに基づいて前記セッションにアクセスするために前記サーバと協働する、請求項１に記載のコンピューティングデバイス。
【請求項8】
前記第１および第２の認証クレデンシャルは、異なるロケーションに記憶される、請求項１に記載のコンピューティングデバイス。
【請求項9】
前記認証トークンは、ポリモーフィック認証トークンを備える、請求項１に記載のコンピューティングデバイス。
【請求項10】
前記セッションは、ウェブアプリケーションセッション、ソフトウェアアズアサービス（ＳａａＳ）アプリケーションセッション、仮想アプリケーションセッション、および仮想デスクトップセッションのうちの少なくとも１つを備える、請求項１に記載のコンピューティングデバイス。
【請求項11】
方法であって、クライアントデバイスに対して、関連付けられた第１および第２の認証クレデンシャルを有する認証トークンを記憶することであって、前記第１および第２の認証クレデンシャルは互いに異なっていることと、
前記クライアントデバイスにおいて、前記認証トークンに基づいてセッションにアクセスするためのサーバと協働することと、
を備える方法。
【請求項12】
前記第１および第２の認証クレデンシャルのうちの１つは、ユーザクレデンシャルを備える、請求項１１に記載の方法。
【請求項13】
前記第１および第２の認証クレデンシャルのうちの１つは、前記クライアントデバイスに関連付けられた公開暗号化鍵を備える、請求項１１に記載の方法。
【請求項14】
前記クライアントデバイスは、前記コンピューティングデバイスに割り当てられた接続リースにさらに基づいて前記セッションにアクセスするために前記サーバと協働する、請求項１１に記載の方法。
【請求項15】
前記第１および第２の認証クレデンシャルは、異なるロケーションに記憶される、請求項１１に記載の方法。
【請求項16】
コンピューティングデバイスであって、メモリと、
関連付けられた第１及び第２の認証クレデンシャルを有する認証トークンを前記メモリに記憶するために前記メモリと協働し、前記第１および第２の認証クレデンシャルは、互いに異なっており、
前記コンピューティングデバイスに割り当てられた接続リースに基づいた前記認証に基づいてセッションにアクセスするためにサーバと協働する、
ように構成されたプロセッサと、
を備える、コンピューティングデバイス。
【請求項17】
前記第１および第２の認証クレデンシャルのうちの１つは、ユーザクレデンシャルを備える、請求項１６に記載のコンピューティングデバイス。
【請求項18】
前記第１および第２の認証クレデンシャルのうちの１つは、前記クライアントデバイスに関連付けられた公開暗号化鍵を備える、請求項１６に記載のコンピューティングデバイス。
【請求項19】
前記公開暗号化鍵は、ルートオブトラスト（ＲｏＴ）によって署名される、請求項１８に記載のコンピューティングデバイス。
【請求項20】
前記認証トークンは、ポリモーフィック認証トークンを備える、請求項１６に記載のコンピューティングデバイス。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、異なる認証クレデンシャルを有する認証トークンに基づいてセッションアクセスを提供するコンピューティングシステムおよび方法に関する。
【背景技術】
【0002】
多数の組織が今や、それぞれのユーザの変動するニーズに対処するためのより柔軟なオプションを提供するために、アプリケーションおよびデスクトップ仮想化を使用している。デスクトップ仮想化では、ユーザのアプリケーションがユーザの物理的なデスクトップコンピュータから分離され得る。クライアント－サーバ技術を使用して、「仮想化されたデスクトップ」がクライアントデバイスのローカルストレージ内ではなく、リモートサーバ内に記憶され、リモートサーバによって管理され得る。
【0003】
いくつかの異なるタイプのデスクトップ仮想化システムがある。一例として、仮想デスクトップインフラストラクチャ（ＶＤＩ）は、サーバ内に常駐する仮想マシン内でユーザデスクトップおよび／またはアプリケーションを動作させるプロセスを指す。また、仮想化システムは、デスクトップ仮想化サーバのプール、記憶ディスク、ネットワーキングハードウェア、および他の物理的リソースが仮想デスクトップをプロビジョニングするために、および共有アプリケーションへのアクセスを提供するために使用され得るクラウドコンピューティング環境内で実装され得る。たとえば、クライアントデバイスはまた、直接的に、または仮想化システムを通じて、のいずれかで、ウェブおよびソフトウェアアズアサービス（ＳａａＳ）アプリケーションにリモートにアクセスし得る。
【発明の概要】
【0004】
コンピューティングデバイスは、メモリと、それに関連付けられた第１の認証クレデンシャルおよび第２の認証クレデンシャルを有する認証トークンを記憶するためにメモリと協働するように構成されたプロセッサとを含んでよい。第１の認証クレデンシャルおよび第２の認証クレデンシャルは、互いに異なってよい。プロセッサは、認証トークンに基づいてセッションにアクセスするためにサーバとさらに協働してよい。
【0005】
例示的な構成では、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、ユーザクレデンシャルを含んでよい。例として、ユーザクレデンシャルは、クライアントデバイスにおいてメモリに記憶されてよい。別の例によれば、ユーザクレデンシャルは、認証サービスを用いて仮想スマートカードに記憶されてよい。
【0006】
例示的な別の実施形態では、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、クライアントデバイスに関連付けられた公開鍵を含んでよい。例として、公開暗号化鍵は、ルートオブトラスト（ＲｏＴ）によって署名されることがある。例示的な別の構成では、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、クラウドストレージに記憶された暗号化されたユーザクレデンシャルを指すチケットまたはトークンを含んでよい。
【0007】
プロセッサは、たとえば、コンピューティングデバイスに割り当てられた接続リースにさらに基づいてセッションにアクセスするためにサーバと協働してよい。そのうえ、例示的ないくつかの実装では、第１の認証クレデンシャルおよび第２の認証クレデンシャルは、異なるロケーションに記憶されてよい。例として、認証トークンは、ポリモーフィック認証トークンを含むことがある。さらに、セッションは、たとえば、ウェブアプリケーションセッション、ソフトウェアアズアサービス（ＳａａＳ）アプリケーションセッション、仮想アプリケーションセッション、および仮想デスクトップセッションのうちの少なくとも１つを含んでよい。
【0008】
関連方法は、それに関連付けられた第１の認証クレデンシャルと第２の認証クレデンシャルとを有するクライアントデバイスのための認証トークンを記憶することを含んでよく、この第１の認証クレデンシャルと第２の認証クレデンシャルは互いに異なる。方法は、クライアントデバイスにおいて、認証トークンに基づいてセッションにアクセスするためにサーバと協働することをさらに含んでよい。
【図面の簡単な説明】
【0009】
【図1】本開示の様々な態様が実装され得るコンピューティングデバイスのネットワーク環境の概略ブロック図である。
【図3】本開示の様々な態様が実装され得るクラウドコンピューティング環境の概略ブロック図である。
【図4】本開示の様々な態様が実装され得る、ワークスペースアプリを動作させるデスクトップデバイス、モバイルデバイス、およびウェブベースのデバイスの概略ブロック図である。
【図5】本開示の様々な態様が実装され得るコンピューティングデバイスのワークスペースネットワーク環境の概略ブロック図である。
【図6】例示的な実施形態による、それに関連付けられた異なる認証クレデンシャルを有する認証トークンに基づいてクライアントデバイスセッションアクセスを提供するコンピューティングシステムの概略ブロック図である。
【発明を実施するための形態】
【0010】
接続リース（ＣＬ）は、ネットワーク接続性および初期セッション確立に関するリソースロケーションへのクライアントデバイスまたはエンドポイントデバイスによるオフライン許可アクセスのための手法を提供する。しかしながら、ＣＬを用いても、依然として、リモートセッションへのユーザ認証の必要性があることがある。たとえば、仮想配信エージェントは、ユーザを仮想セッションにログインさせるためにユーザクレデンシャルを必要とすることがある。より具体的には、ユーザ名およびパスワードなどの明示的なクレデンシャルが、仮想配信アプライアンスにおいてクレデンシャルプロバイダまたはクレデンシャルプロバイダフィルタに提供される必要があることがあり、次いで、クレデンシャルプロバイダまたはクレデンシャルプロバイダフィルタは、ユーザを新しいＷｉｎｄｏｗｓセッションにログインさせるまたは既存のセッションにアタッチするためにＷｉｎｄｏｗｓログオンサブシステムにクレデンシャルを提供する。同様に、ゲートウェイアプライアンスは、同様に、ユーザ認証を必要とすることがある。
【0011】
ユーザ認証シングルサインオン（ＳＳＯｎ）を用いない場合、ユーザは、彼らがＣＬを介して接続するたびに彼らのクレデンシャルを入力することが必要とされることがあるが、これは、接続リーシングのユーザエクスペリエンス（ＵＸ）から減ずるであろう。ＳＳＯｎのための既存のシステムは、エンドポイントデバイス上にユーザクレデンシャルを記憶することに依拠することがあり、これは、それらを、たとえば、他のユーザによるおよび／または他のデバイスからの、盗難および再現攻撃を受けやすくする。他の手法は、たとえば、クレデンシャルをクラウド内に記憶し、それらをＣｉｔｒｉｘ Ｗｏｒｋｓｐａｃｅなどのクラウドインターフェースを介して検索可能または再使用可能にすることに依拠することがある。しかしながら、ユーザクレデンシャルを容易に復号可能な形でクラウドに記憶することは、セキュリティならびにプライバシ上の懸念を有することがある。したがって、いくつかの手法はクラウドに記憶されたクレデンシャルは寿命が短く、たとえば、数分または数時間であることを必要とすることがある。しかしながら、これは、寿命が長く、たとえば、再認証なしで２週間以上リソースアクセスを提供する、ＣＬの使用法とあまり合わない。
【0012】
そのうえ、クラウドに記憶されたクレデンシャルは、常に直接的に使用可能であるとは限らないことがある。これは、たとえば、クラウドサービスがダウンしているまたはそうでない場合はエンドポイントデバイスから到達可能でないときに発生することがある。
【0013】
追加の使用事例は、たとえば、ＳＳＯｎの目的でパブリッシュされたリソース列挙、エンドポイントデバイス鍵ブートスラッピング、ＣＬの生成の要求およびそれぞれＣＬのエンドポイントへの同期（ダウンロード）などを含む。これらの使用事例のいくつかは、必ずしも、明示的なユーザクレデンシャルを必要としないことがあるが、寿命の長い認証の使用を依然として必要とすることがある。本明細書において説明される手法は、有利には、複数の異なる認証クレデンシャルに基づいて認証トークンの使用を通じたＣＬのための比較的寿命の長い認証および他の認証動作も可能としながら、ＣＬアーキテクチャ内を含めてユーザ認証に関する上記で述べられた技術的課題に対処する助けとなる。
【0014】
最初に図１を参照すると、本開示の様々な態様が実装され得る非限定的なネットワーク環境１０は、１つまたは複数のクライアントマシン１２Ａ～１２Ｎと、１つまたは複数のリモートマシン１６Ａ～１６Ｎと、１つまたは複数のネットワーク１４、１４’と、コンピューティング環境１０内に設置された１つまたは複数のアプライアンス１８とを含む。クライアントマシン１２Ａ～１２Ｎは、ネットワーク１４、１４’を介してリモートマシン１６Ａ～１６Ｎと通信する。
【0015】
いくつかの実施形態では、クライアントマシン１２Ａ～１２Ｎは、中間アプライアンス１８を介してリモートマシン１６Ａ～１６Ｎと通信する。図のアプライアンス１８は、ネットワーク１４、１４’間に配置され、ネットワークインターフェースまたはゲートウェイと称されることもある。いくつかの実施形態では、アプライアンス１０８は、アプリケーション配信コントローラ（ＡＤＣ）として動作し得、クライアントにデータセンタ、クラウド内で展開される、またはクライアントデバイスの範囲にわたってソフトウェアアズアサービス（ＳａａＳ）として配信されるビジネスアプリケーションおよび他のデータへのアクセスを提供し、および／または負荷分散など他の機能性を提供する。いくつかの実施形態では、複数のアプライアンス１８が使用され得、アプライアンス１８は、ネットワーク１４および／または１４’の一部として展開され得る。
【0016】
クライアントマシン１２Ａ～１２Ｎは、全体的に、クライアントマシン１２、ローカルマシン１２、クライアント１２、クライアントノード１２、クライアントコンピュータ１２、クライアントデバイス１２、コンピューティングデバイス１２、エンドポイント１２、またはエンドポイントノード１２と称されることがある。リモートマシン１６Ａ～１６Ｎは、全体的に、サーバ１６またはサーバファーム１６と称されることがある。いくつかの実施形態では、クライアントデバイス１２は、サーバ１６によって提供されるリソースにアクセスしようとするクライアントノードとしても、他のクライアントデバイス１２Ａ～１２Ｎのためのホストされるリソースへのアクセスを提供するサーバ１６としても機能するための能力を有し得る。ネットワーク１４、１４’は、全体的に、ネットワーク１４と称されることがある。ネットワーク１４は、有線ネットワークおよびワイヤレスネットワークの任意の組合せで構成されてよい。
【0017】
サーバ１６は、たとえば、ファイルサーバ、アプリケーションサーバ、ウェブサーバ、プロキシサーバ、アプライアンス、ネットワークアプライアンス、ゲートウェイ、アプリケーションゲートウェイ、ゲートウェイサーバ、仮想化サーバ、デプロイメントサーバ、セキュアソケットレイヤ仮想プライベートネットワーク（ＳＳＬ ＶＰＮ）サーバ、ファイヤウォール、ウェブサーバ、アクティブディレクトリを実行するサーバ、クラウドサーバ、またはファイヤウォール機能性、アプリケーション機能性、もしくは負荷分散機能性を提供するアプリケーションアクセラレーションプログラムを実行するサーバなど、任意のサーバタイプであってよい。
【0018】
サーバ１６は、ソフトウェア、プログラム、実行可能命令、仮想マシン、ハイパーバイザ、ウェブブラウザ、ウェブベースのクライアント、クライアント－サーバアプリケーション、シンクライアントコンピューティングクライアント、ＡｃｔｉｖｅＸコントロール、Ｊａｖａアプレット、ソフトＩＰ電話のようなボイスオーバーインターネットプロトコル（ＶｏＩＰ）通信に関連するソフトウェア、ストリーミングビデオおよび／またはオーディオのためのアプリケーション、リアルタイムデータ通信を容易にするためのアプリケーション、ＨＴＴＰクライアント、ＦＴＰクライアント、Ｏｓｃａｒクライアント、Ｔｅｌｎｅｔクライアント、または実行可能命令の任意の他のセットのいずれか１つであってよいアプリケーションを実行し、動作させ、または他の方法で提供し得る。
【0019】
いくつかの実施形態では、サーバ１６は、シンクライアントまたはリモートディスプレイプロトコルを使用しサーバ１６上で実行されるアプリケーションによって生成されるディスプレイ出力を取り込むリモートプレゼンテーションサービスプログラムまたは他のプログラムを実行し、アプリケーションディスプレイ出力をクライアントデバイス１２に送信し得る。
【0020】
さらに他の実施形態では、サーバ１６は、クライアントデバイス１２のユーザにコンピューティング環境へのアクセスを提供する仮想マシンを実行し得る。クライアントデバイス１２は、仮想マシンであってよい。仮想マシンは、たとえばハイパーバイザ、仮想マシンマネージャ（ＶＭＭ）、またはサーバ１６内の任意の他のハードウェア仮想化技法によって管理され得る。
【0021】
いくつかの実施形態では、ネットワーク１４は、ローカルエリアネットワーク（ＬＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、プライマリパブリックネットワーク１４、およびプライマリプライベートネットワーク１４であってよい。追加の実施形態は、様々なプロトコルを使用しモバイルデバイスの間で通信するモバイル電話ネットワークのネットワーク１４を含み得る。ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）内の近距離通信については、プロトコルは、８０２．１１、Ｂｌｕｅｔｏｏｔｈ、および近距離無線通信（ＮＦＣ）を含み得る。
【0022】
図２は、クライアントデバイス１２、アプライアンス１８、および／またはサーバ１６の一実施形態を実施するために有用なコンピューティングデバイス２０のブロック図を示す。コンピューティングデバイス２０は、１つまたは複数のプロセッサ２２、揮発性メモリ２４（たとえば、ランダムアクセスメモリ（ＲＡＭ））、不揮発性メモリ３０、ユーザインターフェース（ＵＩ）３８、１つまたは複数の通信インターフェース２６、および通信バス４８を含む。
【0023】
不揮発性メモリ３０は、１つもしくは複数のハードディスクドライブ（ＨＤＤ）もしくは他の磁気記憶媒体もしくは光記憶媒体、フラッシュドライブもしくは他のソリッドステート記憶媒体など１つもしくは複数のソリッドステートドライブ（ＳＳＤ）、１つもしくは複数のハイブリッド磁気およびソリッドステートドライブ、ならびに／またはクラウドストレージなど１つもしくは複数の仮想ストレージボリューム、あるいはそのような物理的ストレージボリュームおよび仮想ストレージボリュームの組合せ、またはそのアレイを含み得る。
【0024】
ユーザインターフェース３８は、グラフィカルユーザインターフェース（ＧＵＩ）４０（たとえば、タッチスクリーン、ディスプレイなど）および１つまたは複数の入力／出力（Ｉ／Ｏ）デバイス４２（たとえば、マウス、キーボード、マイクロフォン、１つまたは複数のスピーカ、１つまたは複数のカメラ、１つまたは複数のバイオメトリックスキャナ、１つまたは複数の環境センサ、および１つまたは複数の加速度計など）を含み得る。
【0025】
不揮発性メモリ３０は、オペレーティングシステム３２、１つまたは複数のアプリケーション３４、およびデータ３６を記憶し、たとえばオペレーティングシステム３２および／またはアプリケーション３４のコンピュータ命令が揮発性メモリ２４から取り出されプロセッサ２２によって実行されるようにする。いくつかの実施形態では、揮発性メモリ２４は、メインメモリより速い応答時間を提供し得る１つまたは複数のタイプのＲＡＭおよび／またはキャッシュメモリを含み得る。データは、ＧＵＩ４０の入力デバイスを使用して入力されても、Ｉ／Ｏデバイス４２から受信されてもよい。コンピュータ２０の様々な要素は、通信バス４８を介して通信し得る。
【0026】
図のコンピューティングデバイス２０は、例示的なクライアントデバイスまたはサーバとして示されているにすぎず、本明細書に記載されているように動作することが可能な好適なハードウェアおよび／またはソフトウェアを有し得る任意のタイプのマシンまたはマシンのセットを有する任意のコンピューティングまたは処理環境によって実装されてよい。
【0027】
プロセッサ２２は、１つまたは複数のプログラム可能なプロセッサによって、コンピュータプログラムなど１つまたは複数の実行可能命令を実行し、システムの機能を実施するように実装され得る。本明細書で使用されるとき、「プロセッサ」という用語は、機能、動作、または動作のシーケンスを実施する回路を表す。機能、動作または動作のシーケンスは、回路にハードコード化されても、メモリデバイス内に保持された命令によりソフトコード化され、回路によって実行されてもよい。プロセッサは、デジタル値を使用して、および／またはアナログ信号を使用して機能、動作、または動作のシーケンスを実施し得る。
【0028】
いくつかの実施形態では、プロセッサは、１つもしくは複数の特定用途向け集積回路（ＡＳＩＣ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、グラフィック処理ユニット（ＧＰＵ）、マイクロコントローラ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブル論理アレイ（ＰＬＡ）、マルチコアプロセッサ、または関連のメモリを有する汎用コンピュータ内に埋め込むことができる。
【0029】
プロセッサ２２は、アナログ、デジタル、または混合信号であってよい。いくつかの実施形態では、プロセッサ２２は、１つもしくは複数の物理的プロセッサ、または１つもしくは複数の仮想（たとえば、リモートに位置する、またはクラウド）プロセッサであってよい。複数のプロセッサコアを含むプロセッサおよび／または複数のプロセッサは、命令の並列同時実行のための、または複数のデータ上の１つの命令の並列同時実行のための機能性を提供し得る。
【0030】
通信インターフェース２６は、コンピューティングデバイス２０が、セルラ接続を含む様々な有線および／またはワイヤレス接続を通じてローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、パーソナルエリアネットワーク（ＰＡＮ）、またはインターネットなどコンピュータネットワークにアクセスすることを可能にするための１つまたは複数のインターフェースを含み得る。
【0031】
記載の実施形態では、コンピューティングデバイス２０は、クライアントデバイスのユーザの代わりにアプリケーションを実行し得る。たとえばコンピューティングデバイス２０のハイパーバイザによって管理される１つまたは複数の仮想マシンを実行し得る。各仮想マシンは、ホストされるデスクトップセッションなど、ユーザまたはクライアントデバイスの代わりにアプリケーションが実行される実行セッションを提供し得る。また、コンピューティングデバイス２０は、ホストされるデスクトップ環境を提供するために端末サービスセッションを実行し得る。コンピューティングデバイス２０は、１つまたは複数のアプリケーション、１つまたは複数のデスクトップアプリケーション、および１つまたは複数のアプリケーションが実行され得る１つまたは複数のデスクトップセッションを含むリモートコンピューティング環境へのアクセスを提供し得る。
【0032】
例示的な仮想化サーバ１６は、フロリダ州フォートローダーデールのＣｉｔｒｉｘ Ｓｙｓｔｅｍｓ， Ｉｎｃ．（「Ｃｉｔｒｉｘ Ｓｙｓｔｅｍｓ」）によって提供されるＣｉｔｒｉｘ Ｈｙｐｅｒｖｉｓｏｒを使用して実装され得る。仮想アプリおよびデスクトップセッションは、やはりＣｉｔｒｉｘ ＳｙｓｔｅｍｓからのＣｉｔｒｉｘ Ｖｉｒｔｕａｌ Ａｐｐｓ ａｎｄ Ｄｅｓｋｔｏｐｓ（ＣＶＡＤ）によってさらに提供され得る。Ｃｉｔｒｉｘ Ｖｉｒｔｕａｌ Ａｐｐｓ ａｎｄ Ｄｅｓｋｔｏｐｓは、任意のデバイスからの仮想アプリ、デスクトップ、およびデータセッションを含む仮想セッションへの広範なアクセスとともに、スケーラブルなＶＤＩ解決策を実装するためのオプションを加えて、生産性を高めるアプリケーション仮想化解決策である。仮想セッションは、たとえばソフトウェアアズアサービス（ＳａａＳ）およびデスクトップアズアサービス（ＤａａＳ）セッションをさらに含み得る。
【0033】
図３を参照すると、クラウド環境、クラウドコンピューティング、またはクラウドネットワークとも称されることがあるクラウドコンピューティング環境５０が示されている。クラウドコンピューティング環境５０は、複数のユーザまたはテナントへの共有コンピューティングサービスおよび／またはリソースの配信を提供することができる。たとえば共有リソースおよびサービスは、それだけには限らないがネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、データベース、ソフトウェア、ハードウェア、アナリティクス、およびインテリジェンスを含むことができる。
【0034】
クラウドコンピューティング環境５０では、１つまたは複数のクライアント５２Ａ～５２Ｃ（上記のものなど）がクラウドネットワーク５４と通信する。クラウドネットワーク５４は、バックエンドプラットフォーム、たとえばサーバ、ストレージ、サーバファーム、またはデータセンタを含み得る。ユーザまたはクライアント５２Ａ～５２Ｃは、単一の組織／テナントまたは複数の組織／テナントに対応することができる。より具体的には、例示的な実装では、クラウドコンピューティング環境５０は、単一の組織（たとえば、エンタープライズクラウド）にサービスを提供するプライベートクラウドを提供し得る。別の例では、クラウドコンピューティング環境５０は、複数の組織／テナントにサービスを提供するコミュニティまたはパブリッククラウドを提供し得る。さらなる実施形態では、クラウドコンピューティング環境５０は、パブリッククラウドとプライベートクラウドの組合せであるハイブリッドクラウドを提供し得る。パブリッククラウドは、サードパーティによってクライアント５２Ａ～５２Ｃまたは企業体／テナントに対して維持されるパブリックサーバを含み得る。サーバは、遠隔の地理的ロケーションなどに現地から離れて位置してもよい。
【0035】
クラウドコンピューティング環境５０は、それぞれの環境内の異なる需要に応答して異なる物理的リソースおよび仮想リソースが動的に割り当てまたは再割り当てされるマルチテナント環境またはマルチテナントモデルを通じて、クライアント５２Ａ～５２Ｃを介して複数のユーザにサービスを提供するために、リソースプール化を提供することができる。マルチテナント環境は、複数のユーザにサービスを提供するためにソフトウェア、アプリケーション、またはソフトウェアアプリケーションの単一のインスタンスを提供することができるシステムまたはアーキテクチャを含むことができる。いくつかの実施形態では、クラウドコンピューティング環境５０は、複数のクライアント５２Ａ～５２Ｃのためにネットワークにわたってコンピューティング能力（たとえば、サーバ時間、ネットワークストレージ）を一方的にプロビジョニングするためのオンデマンドのセルフサービスを提供することができる。クラウドコンピューティング環境５０は、１つまたは複数のクライアント５２からの異なる需要に応答して動的にスケールアウトまたはスケールインするための弾力性を提供することができる。いくつかの実施形態では、コンピューティング環境５０は、提供された共有サービスおよびリソースに対応するレポートを監視、制御、および／または生成するための監視サービスを含む、または提供することができる。
【0036】
いくつかの実施形態では、クラウドコンピューティング環境５０は、たとえばソフトウェアアズアサービス（ＳａａＳ）５６、プラットフォームアズアサービス（ＰａａＳ）５８、インフラストラクチャアズアサービス（ＩａａＳ）６０、およびデスクトップアズアサービス（ＤａａＳ）６２など異なるタイプのクラウドコンピューティングサービスのクラウドベースの配信を提供し得る。ＩａａＳは、ユーザが指定された期間中、必要とされるインフラストラクチャリソースの使用を貸借することを指し得る。ＩａａＳは、大きなプールからストレージ、ネットワーキング、サーバ、または仮想化リソースを提供し、ユーザが必要に応じてより多くのリソースにアクセスすることによって迅速にスケールアップすることを可能にし得る。ＩａａＳの例は、ワシントン州シアトルのＡｍａｚｏｎ．ｃｏｍ， Ｉｎｃ．によって提供されているＡＭＡＺＯＮ ＷＥＢ ＳＥＲＶＩＣＥＳ、テキサス州サンアントニオのＲａｃｋｓｐａｃｅ ＵＳ， Ｉｎｃ．によって提供されているＲＡＣＫＳＰＡＣＥ ＣＬＯＵＤ、カリフォルニア州マウンテンビューのＧｏｏｇｌｅ Ｉｎｃ．によって提供されているＧｏｏｇｌｅ Ｃｏｍｐｕｔｅ Ｅｎｇｉｎｅ、またはカリフォルニア州サンタバーバラのＲｉｇｈｔＳｃａｌｅ， Ｉｎｃ．によって提供されているＲＩＧＨＴＳＣＡＬＥを含む。
【0037】
ＰａａＳプロバイダは、たとえばストレージ、ネットワーキング、サーバ、または仮想化を含むＩａａＳによって提供される機能性、ならびに、たとえばオペレーティングシステム、ミドルウェア、またはランタイムリソースなど追加のリソースを提供し得る。ＰａａＳの例は、ワシントン州レドモンドのＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎによって提供されているＷＩＮＤＯＷＳ ＡＺＵＲＥ、Ｇｏｏｇｌｅ Ｉｎｃ．によって提供されているＧｏｏｇｌｅ Ａｐｐ Ｅｎｇｉｎｅ、およびカリフォルニア州サンフランシスコのＨｅｒｏｋｕ， Ｉｎｃ．によって提供されているＨＥＲＯＫＵを含む。
【0038】
ＳａａＳプロバイダは、ストレージ、ネットワーキング、サーバ、仮想化、オペレーティングシステム、ミドルウェア、またはランタイムリソースを含めて、ＰａａＳが提供するリソースを提供し得る。いくつかの実施形態では、ＳａａＳプロバイダは、たとえば、データおよびアプリケーションリソースを含む追加のリソースを提供し得る。ＳａａＳの例は、Ｇｏｏｇｌｅ Ｉｎｃ．によって提供されているＧＯＯＧＬＥ ＡＰＰＳ、カリフォルニア州サンフランシスコのＳａｌｅｓｆｏｒｃｅ．ｃｏｍ Ｉｎｃ．によって提供されているＳＡＬＥＳＦＯＲＣＥ、またはＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎによって提供されているＯＦＦＩＣＥ ３６５を含む。また、ＳａａＳの例は、データストレージプロバイダ、たとえば、カリフォルニア州サンフランシスコのＤｒｏｐｂｏｘ， Ｉｎｃ．によって提供されているＤＲＯＰＢＯＸ、Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎによって提供されているＭｉｃｒｏｓｏｆｔ ＳＫＹＤＲＩＶＥ、Ｇｏｏｇｌｅ Ｉｎｃ．によって提供されているＧｏｏｇｌｅ Ｄｒｉｖｅ、またはカリフォルニア州クパチーノのＡｐｐｌｅ Ｉｎｃ．によって提供されているＡｐｐｌｅ ＩＣＬＯＵＤを含み得る。
【0039】
ＳａａＳ、ＤａａＳ（ホストされるデスクトップサービスとしても知られる）と同様のものは、仮想デスクトップセッションが仮想デスクトップ上で使用されるアプリとともにクラウドサービスとして配信されることが典型的である仮想デスクトップインフラストラクチャ（ＶＤＩ）の形態である。Ｃｉｔｒｉｘ Ｃｌｏｕｄは、ＤａａＳ配信プラットフォームの一例である。ＤａａＳ配信プラットフォームは、たとえばワシントン州レドモンドのＭｉｃｒｏｓｏｆｔ ＣｏｒｐｏｒａｔｉｏｎからのＡＺＵＲＥ ＣＬＯＵＤ（本明細書では「Ａｚｕｒｅ」）、またはワシントン州シアトルのＡｍａｚｏｎ．ｃｏｍ， Ｉｎｃ．によって提供されているＡＭＡＺＯＮ ＷＥＢ ＳＥＲＶＩＣＥＳ（本明細書では「ＡＷＳ」）など、パブリッククラウドコンピューティングインフラストラクチャ上でホストされ得る。Ｃｉｔｒｉｘ Ｃｌｏｕｄの場合、統一されたエクスペリエンスを届けるためにアプリ、ファイル、およびデスクトップを（オンプレミスまたはクラウド内にかかわらず）一緒にするための単一のエントリポイントとして、Ｃｉｔｒｉｘ Ｗｏｒｋｓｐａｃｅアプリが使用され得る。
【0040】
次に、Ｃｉｔｒｉｘ Ｗｏｒｋｓｐａｃｅアプリによって提供される統一されたエクスペリエンスについて、図４を参照してより詳細に論じられる。Ｃｉｔｒｉｘ Ｗｏｒｋｓｐａｃｅアプリは、本明細書では、全体的にワークスペースアプリ７０と称されることになる。ワークスペースアプリ７０は、その１つのカテゴリがアプリケーションである、ユーザがワークスペースリソースにアクセスする方法である。これらのアプリケーションは、ＳａａＳアプリ、ウェブアプリ、または仮想アプリとすることができる。また、ワークスペースアプリ７０は、ローカルデスクトップまたは仮想デスクトップであり得るデスクトップへユーザがアクセスできるようにする。さらに、ワークスペースアプリ７０は、多数のリポジトリに記憶され得るファイルおよびデータにユーザがアクセスできるようにする。ファイルおよびデータは、たとえばＣｉｔｒｉｘ ＳｈａｒｅＦｉｌｅ上でホストされても、オンプレミスネットワークファイルサーバ上でホストされても、Ｍｉｃｒｏｓｏｆｔ ＯｎｅＤｒｉｖｅまたはＧｏｏｇｌｅ Ｄｒｉｖｅ Ｂｏｘなど何らかの他のクラウドストレージプロバイダにおいてホストされてもよい。
【0041】
統一されたエクスペリエンスを提供するために、ユーザが必要とするリソースのすべてが、ワークスペースアプリ７０に位置しそこからアクセス可能であってよい。ワークスペースアプリ７０は、異なるバージョンで提供される。ワークスペースアプリ７０の１つのバージョンは、デスクトップ７２用のインストールされたアプリケーションであり、それはＷｉｎｄｏｗｓ、Ｍａｃ、またはＬｉｎｕｘプラットフォームに基づくものであってよい。ワークスペースアプリ７０の第２のバージョンは、モバイルデバイス７４用のインストールされたアプリケーションであり、それはｉＯＳまたはＡｎｄｒｏｉｄプラットフォームに基づくものであってよい。ワークスペースアプリ７０の第３のバージョンは、ハイパーテキストマークアップ言語（ＨＴＭＬ）ブラウザを使用し、ワークスペース環境へのユーザアクセスを提供する。ワークスペースアプリ７０のウェブバージョンは、公衆ブース７６を動作させるときなどユーザがワークスペースアプリをインストールしたくない、またはワークスペースアプリをインストールする権利を有していないときに使用される。
【0042】
ワークスペースアプリ７０のこれらの異なるバージョンのそれぞれは、同じユーザエクスペリエンスを提供することが有利であり得る。これは、異なるプラットフォームでクライアントデバイス７２からクライアントデバイス７４からクライアントデバイス７６へユーザが移動し、それらのワークスペースについて同じユーザエクスペリエンスを受けることを可能にすることが有利である。クライアントデバイス７２、７４、および７６は、エンドポイントと称される。
【0043】
上記のように、ワークスペースアプリ７０は、Ｗｉｎｄｏｗｓ、Ｍａｃ、Ｌｉｎｕｘ、ｉＯＳ、およびＡｎｄｒｏｉｄプラットフォーム、ならびにＨＴＭＬブラウザ（ＨＴＭＬ５）を用いたプラットフォームをサポートする。ワークスペースアプリ７０は、複数のエンジン８０～９０を組み込んでおり、ユーザが多数のタイプのアプリおよびデータリソースにアクセスすることを可能にする。各エンジン８０～９０は、特定のリソースについてユーザエクスペリエンスを最適化する。また、各エンジン８０～９０は、組織または企業体にユーザ活動および潜在的なセキュリティ脅威への洞察力を提供する。
【0044】
埋め込みブラウザエンジン８０は、ＳａａＳおよびウェブアプリを、ローカルでインストールされた管理されていないブラウザ上で起動する代わりに、ワークスペースアプリ７０内に含まれたまま保つ。埋め込みブラウザを用いて、ワークスペースアプリ７０は、ＳａａＳおよびウェブアプリ内でユーザによって選択されたハイパーリンクをインターセプトし、アクセスを承認、拒否、または隔離する前にリスク分析を要求することができる。
【0045】
ハイデフィニションエクスペリエンス（ＨＤＸ）エンジン８２は、ＷｉｎｄｏｗｓオペレーティングシステムまたはＬｉｎｕｘオペレーティングシステム上で動作する仮想ブラウザ、仮想アプリ、およびデスクトップセッションとの接続を確立する。ＨＤＸエンジン８２を用いて、ＷｉｎｄｏｗｓおよびＬｉｎｕｘリソースはリモートで動作し、一方、ディスプレイは、エンドポイント上でローカルのままとなる。可能な最良のユーザエクスペリエンスを提供するために、ＨＤＸエンジン８２は、異なる仮想チャネルを使用し、変化するネットワーク条件およびアプリケーション要件に適応する。高レイテンシまたは高パケット損失ネットワークを克服するために、ＨＤＸエンジン８２は、最適化されたトランスポートプロトコルおよびより大きな圧縮アルゴリズムを自動的に実装する。各アルゴリズムは、ビデオ画像またはテキストなど、あるタイプのディスプレイのために最適化される。ＨＤＸエンジン８２は、アプリケーション内でこれらのタイプのリソースを識別し、画面のそのセクションに最も適切なアルゴリズムを適用する。
【0046】
多数のユーザについて、ワークスペースはデータを中心とする。コンテンツコラボレーションエンジン８４は、そのデータがオンプレミスにあるかクラウド内にあるかにかかわらず、ユーザがすべてのデータをワークスペースに統合することを可能にする。コンテンツコラボレーションエンジン８４は、管理者およびユーザが、協働するためのコネクタのセット、およびユーザ特有のデータストレージロケーションを作成することを可能にする。これは、たとえばＯｎｅＤｒｉｖｅ、Ｄｒｏｐｂｏｘ、およびオンプレミスネットワークファイル共有を含むことができる。ユーザは、ファイルを複数のリポジトリ内で維持し、ワークスペースアプリ７０がそれらを単一の個人化されたライブラリにまとめることを可能にすることができる。
【0047】
ネットワーキングエンジン８６は、エンドポイントまたはエンドポイント上のアプリが安全なバックエンドリソースへのネットワークコネクティビティを必要とするか否かを識別する。ネットワーキングエンジン８６は、エンドポイントデバイス全体のために完全なＶＰＮトンネルを自動的に確立することができ、またはアプリ特有のμＶＰＮ接続を作成することができる。μＶＰＮは、どのバックエンドリソースにアプリケーションおよびエンドポイントデバイスがアクセスすることができるかを定義し、したがってバックエンドインフラストラクチャを保護する。多数の例において、いくつかのユーザ活動は、独特なネットワークベースの最適化から利益を得る。ユーザがファイルコピーを要求する場合、ワークスペースアプリ７０は、その活動をより速く完了するために、自動的に複数のネットワーク接続を同時に使用する。ユーザがＶｏＩＰ呼を開始する場合、ワークスペースアプリ７０は、その呼を複数のネットワーク接続にわたって複製することによってその品質を改善する。ネットワーキングエンジン８６は、最初に到着するパケットだけを使用する。
【0048】
アナリティクスエンジン８８は、ユーザのデバイス、ロケーション、および挙動についてレポートし、クラウドベースのサービスは、盗難にあったデバイス、ハッキングされた識別、または退職する準備をしているユーザの結果起こり得る潜在的な異常を識別する。アナリティクスエンジン８８によって集められる情報は、対策を自動的に実装することによって企業資産を保護する。
【0049】
管理エンジン９０は、ワークスペースアプリ７０を現在のまま保つ。これは、ユーザに最新の能力を提供するだけでなく、追加的なセキュリティ拡張をも含む。ワークスペースアプリ７０は、カスタマイズ可能なポリシに基づいて、規定通りにチェックし、自動的に更新を展開する自動更新サービスを含む。
【0050】
次に図５を参照して、ワークスペースアプリ７０に基づいて、統一されたエクスペリエンスをユーザに提供するワークスペースネットワーク環境１００について論じられる。ワークスペースアプリ７０のデスクトップバージョン、モバイルバージョン、およびウェブバージョンはすべて、クラウド１０４内で動作するワークスペースエクスペリエンスサービス１０２と通信する。次いで、ワークスペースエクスペリエンスサービス１０２は、リソースフィードマイクロサービス１０８を介して異なるリソースフィード１６をすべて引き込む。すなわち、クラウド１０４内で動作する他のサービスからの異なるリソースすべてが、リソースフィードマイクロサービス１０８によって引き込まれる。異なるサービスは、仮想アプリおよびデスクトップサービス１１０、安全なブラウザサービス１１２、エンドポイント管理サービス１１４、コンテンツコラボレーションサービス１１６、ならびにアクセス制御サービス１１８を含み得る。組織または企業体がサブスクライブするサービスは、自動的にワークスペースエクスペリエンスサービス１０２内に引き込まれ、ユーザのワークスペースアプリ７０に配信される。
【0051】
クラウドフィード１２０に加えて、リソースフィードマイクロサービス１０８は、オンプレミスフィード１２２を引き込むことができる。オンプレミスデータセンタ内で動作している仮想アプリおよびデスクトップ展開を提供するために、クラウドコネクタ１２４が使用される。デスクトップ仮想化は、たとえばＣｉｔｒｉｘ仮想アプリおよびデスクトップ１２６、Ｍｉｃｒｏｓｏｆｔ ＲＤＳ １２８、またはＶＭｗａｒｅ Ｈｏｒｉｚｏｎ １３０によって提供され得る。クラウドフィード１２０およびオンプレミスフィード１２２に加えて、たとえばモノのインターネット（ＩｏＴ）デバイス１３４からのデバイスフィード１３２がリソースフィードマイクロサービス１０８によって引き込まれてもよい。異なるリソースをユーザの全体的なワークスペースエクスペリエンスに結び付けるために、サイトアグリゲーションが使用される。
【0052】
クラウドフィード１２０、オンプレミスフィード１２２およびデバイスフィード１３２はそれぞれ、異なる独特のタイプのアプリケーションでユーザのワークスペースエクスペリエンスを提供する。ワークスペースエクスペリエンスは、ローカルアプリ、ＳａａＳアプリ、仮想アプリ、およびデスクトップブラウザアプリ、ならびにストレージアプリをサポートすることができる。フィードが増大および膨張し続けるにつれて、ワークスペースエクスペリエンスは、ユーザの全体的なワークスペース内に追加のリソースを含むことができる。これは、ユーザがアクセスすることを必要とするアプリケーションに１つずつ到達することができることを意味する。
【0053】
なおもワークスペースネットワーク環境２０を参照して、統一されたエクスペリエンスがどのようにユーザに提供されるかについて、一連のイベントが記載される。統一されたエクスペリエンスは、ユーザがワークスペースアプリ７０を使用し、クラウド１０４内で動作するワークスペースエクスペリエンスサービス１０２に接続し、その識別を提示することで始まる（イベント１）。識別は、たとえばユーザ名およびパスワードを含む。
【0054】
ワークスペースエクスペリエンスサービス１０２は、ユーザの識別をクラウド１０４内の識別マイクロサービス１４０に転送する（イベント２）。識別マイクロサービス１４０は、組織のワークスペース構成に基づいて、正しい識別プロバイダ１４２に対してユーザを認証する（イベント３）。認証は、クラウドコネクタ１４６の展開を必要とするオンプレミスアクティブディレクトリ１４４に基づくものであってよい。また、認証は、たとえば、Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ１４８、さらにはＣｉｔｒｉｘ ＡＤＣまたはＯｋｔａなどサードパーティ識別プロバイダ１５０に基づくものであってもよい。
【0055】
許可された後、ワークスペースエクスペリエンスサービス１０２は、リソースフィードマイクロサービス１０８に、許可されたリソースのリストを要求する（イベント４）。各構成されたリソースフィード１０６について、リソースフィードマイクロサービス１０８は、シングルサインマイクロサービス１５２に識別トークンを要求する（イベント５）。
【0056】
リソースフィード特有の識別トークンが、各リソースの認証ポイントに渡される（イベント６）。オンプレミスリソース１２２が、クラウドコネクタ１２４を通じて接触を受ける。各リソースフィード１０６は、それぞれの識別について許可されたリソースのリストで返信する（イベント７）。
【0057】
リソースフィードマイクロサービス１０８は、異なるリソースフィード１０６からすべてのアイテムを集約し、ワークスペースエクスペリエンスサービス１０２に転送する（イベント８）。ユーザは、ワークスペースエクスペリエンスサービス１０２からリソースを選択する（イベント９）。
【0058】
ワークスペースエクスペリエンスサービス１０２は、要求をリソースフィードマイクロサービス１０８に転送する（イベント１０）。リソースフィードマイクロサービス１０８は、シングルサインオンマイクロサービス１５２に識別トークンを要求する（イベント１１）。ユーザの識別トークンは、ワークスペースエクスペリエンスサービス１０２に送られ（イベント１２）、ここで起動チケットが生成され、ユーザに送られる。
【0059】
ユーザは、ゲートウェイサービス１６０に対する安全なセッションを開始し、起動チケットを提示する（イベント１３）。ゲートウェイサービス１６０は、適切なリソースフィード１０６に対する安全なセッションを開始し、ユーザをシームレスに認証するために識別トークンを提示する（イベント１４）。セッションが初期化した後、ユーザは、リソースを使用することができる（イベント１５）。ワークスペース全体が単一のアクセスポイントまたはアプリケーションを通じて配信されることは、生産性を改善し、ユーザにとって共通ワークフローを簡素化することが有利である。
【0060】
次に図６を参照すると、コンピューティングシステム２００は、例示的には、上記で論じられたもの（たとえば、クライアントマシン１２およびクライアント５２）などのクライアントデバイス２０１を含み、クライアントデバイス２０１は、それに関連付けられた第１の認証クレデンシャルと第２の認証クレデンシャルとを有する認証トークンに基づいてネットワーク２０２（たとえば、インターネット）を介してセッションにアクセスするように構成される。より具体的には、以下でさらに論じられるように、たとえば、ユーザクレデンシャルおよびデバイスクレデンシャルなどの第１の認証クレデンシャルと第２の認証クレデンシャルは互いに異なる。システム２００は、例示的には、サーバ２０３をさらに含み、サーバ２０３は、再び上記で説明されたそれらに類似してよく、認証トークンに応答してセッションへのアクセスをクライアントデバイス２０１に提供するように構成される。例として、セッションは、ウェブセッションまたはソフトウェアアズアサービス（ＳａａＳ）セッション、仮想デスクトップ／アプリセッションなどであってよく、いくつかの実施形態では、サーバ２０３によって提供されることがあるが、他の実施形態では、別のサーバまたはクラウドサービス（図示せず）によって提供またはホストされる。
【0061】
次に、前述の内容が、クライアントデバイス２５２（たとえば、クライアントマシン１２およびクライアント５２）が接続リース（ＣＬ）に基づいて仮想コンピューティングセッション２５４に接続する図７に図示されるコンピューティングシステム２５０の、例示的な実装の文脈で説明される。図の例では、上記で説明されたサーバ２０３および接続リース生成機能は、エンロールメント（enrollment）および接続リース生成のためにクライアントデバイス２５２とインターフェースするように構成されたクラウドインターフェース２５６を例示的に含むクラウドコンピューティングサービス２５５（たとえば、Ｃｉｔｒｉｘクラウド）内で実施される。図の例では、クラウドインターフェース２５６は、上記でさらに論じられたように、Ｃｉｔｒｉｘ Ｗｏｒｋｓｐａｃｅ（ＷＳ）とともに実装され、クライアントデバイス２５２は、Ｃｉｔｒｉｘ Ｗｏｒｋｓｐａｃｅアプリ（ＣＷＡ）２６２上で動作しているが、異なる実施形態では、他の適切なプラットフォームが使用されてよい。クラウドコンピューティングサービス２５５は、例示的には、以下でさらに説明されるように、ルートオブトラスト（ＲｏＴ）２５７（たとえば、Ａｚｕｒｅ鍵コンテナ）と、接続リース発行サービス（ＣＬＩＳ）２５８と、ゲートウェイサービス２５９と、ブローカ２６０と、データベース２６１とをさらに含む。
【0062】
バックグラウンドの例として、接続リースは、仮想配信アプライアンス２５３（たとえば、Ｃｉｔｒｉｘ ＶＤＡ）へのネットワーク接続を確立する寿命の長い許可、ならびにパブリッシュされたリソースエンタイトルメント（たとえば、ユーザがアクセスすることを許可された公開アプリケーションまたはデスクトップ）を提供する。図の例では、仮想配信アプライアンス２５３への接続は、ゲートウェイ２６３（たとえば、Ｃｉｔｒｉｘゲートウェイ）を通じてなされ、ゲートウェイおよび仮想配信アプライアンスは、クラウドコネクタ２６４を介してクラウドコンピューティングサービス２５５と通信する。ＣＬは、比較的寿命が長く（たとえば、ポリシーに基づいて数時間から数週間）、したがって、攻撃機会ウィンドウははるかに長いので、セキュリティ要件がより厳しくなることがある。したがって、ＣＬは、暗号化および署名されてよい。ＣＬは、盗難にあったデバイス、損なわれたユーザアカウント、閉鎖されたユーザアカウントなどのイベントに対応するために取り消されることがある。
【0063】
ＣＬ失効は、エンドポイントデバイスまたはホスト（たとえば、仮想配信アプライアンス２５３）がＣＬＩＳ２５８またはブローカ２６０に対してオンラインであるときに適用可能であるが、これは、ＣＬはオフラインモードで使用されることが意図されていないので、ＣＬの使用のための要件ではない。したがって、キャッシュされたＣＬ失効リストは、ゲートウェイ２６３および仮想配信アプライアンス２５３にもあってよい。本手法は、有利には、ＣＬが当初発行されたユーザの盗まれたクレデンシャルを供給することによって異なるクライアントデバイス２５２上での有効なＣＬの使用を防止すること；異なる有効なユーザのクレデンシャルを供給することによって異なるデバイス上で有効なＣＬの使用を防止すること；および、異なる認証ユーザによって、たとえばマルチユーザマシン上の別のユーザによって（セッション間脆弱性）、同じデバイス上でのＣＬの使用を防止することに役立つように、認証トークン内での異なる認証クレデンシャル（たとえば、ユーザ識別拇印およびデバイス識別拇印（エンドポイント公開鍵のハッシュなど）の埋め込みを可能にする。
【0064】
ＣＬは、ネットワーク接続性および初期セッション確立に関するリソースロケーションへのオフライン許可アクセスを提供するが、依然として、セッションリモートへのユーザ認証を必要とすることがある。たとえば、仮想配信アプライアンス２５３は、ユーザを仮想セッションにログインさせるためにユーザクレデンシャルを必要とすることがある。たとえば、ユーザ名およびパスワードなどの明示的なクレデンシャルが、仮想配信アプライアンス２５３においてクレデンシャルプロバイダまたはクレデンシャルプロバイダフィルタに提供されなければならないことがあり、次いで、クレデンシャルプロバイダまたはクレデンシャルプロバイダフィルタは、ユーザを新しいＷｉｎｄｏｗｓセッションにログインさせるまたは既存のセッションにアタッチするためにＷｉｎｄｏｗｓログオンサブシステムにクレデンシャルを提供する。同様に、ゲートウェイ２６３も、ユーザ認証を必要とすることがある。
【0065】
ＳＳＯｎを用いない場合、ユーザは、そうでなければ、彼らがＣＬを介して接続するたびに彼らのクレデンシャルを入力することが必要とされるであろうが、これは、ユーザエクスペリエンスから減ずるであろう。ユーザクレデンシャルは、クライアントデバイス２５２上に記憶されてよいが、さらなる保護がなければ、これは、それらを、たとえば、他のユーザによるおよび／または他のデバイスからの、盗難および再現攻撃を受けやすくする。一方、クレデンシャルをクラウドに記憶し、それらを、たとえば、チケッティングサービス（たとえば、Ｃｉｔｒｉｘクラウド（ＣＣ）チケッティング）に記憶されるクレデンシャルを指す認証トークンを介して、検索可能または再使用可能にすることは、比較的に安全である。しかしながら、容易に復号可能な形で、ユーザクレデンシャルをクラウドに記憶することは、セキュリティならびにプライバシ上の懸念も有することがある。したがって、クラウドに記憶されたクレデンシャルは典型的には、寿命が短く、たとえば、数分または数時間であることを必要とすることがある。それにもかかわらず、これは、寿命が長く、たとえば、再認証なしで２週間以上リソースアクセスを提供する、ＣＬの使用法とあまり合わない。そのうえ、クラウドに記憶されるクレデンシャルは、クラウドインターフェース２５６を介して直接的に使用可能でないことがある（たとえば、ＷｏｒｋｓｐａｃｅがダウンしているまたはＣＷＡから到達可能でないときのＣｉｔｒｉｘ Ｗｏｒｋｓｐａｃｅの場合）。
【0066】
本明細書において説明される認証手法は、有利には、たとえば、クライアントアプリ（たとえば、ＣＷＡ）からクラウドコンピューティングサービス２５５（たとえば、ＷＳ）へのＳＳＯｎ、ＣＬＩＳ２５８とＣＬＩＳファイルの同期、パブリッシュされたリソース列挙、エンドポイントデバイスキーブートストラッピング、ＣＬが生成されることの要求およびＣＬのクライアントデバイス２０１への同期（ダウンロード）を含む種々の使用事例において使用されてよい。これらの使用事例のうちのいくつかは、明示的なユーザクレデンシャルを必要としないことがあるが、それらは、寿命の長いトークンの使用を依然として必要とすることがあり、これは、本手法が、複数のタイプの認証クレデンシャル（たとえば、デバイスクレデンシャルおよびユーザクレデンシャル）に基づいて認証トークンを提供することによって可能にするものである。
【0067】
図８Ａ～図８Ｂのシーケンスフロー図２８０をさらに参照して、例示的な実装によるシステム２５０の動作が次に説明される。簡略化のため、以下のシーケンス図では、システム２５５の集合的な認証プラットフォームクラウド要素は、（Ｃｉｔｒｉｘレガシー）配信サービス（ＤＳ）認証を含む、Ｃｉｔｒｉｘ識別プラットフォーム（ＣＩＰ）２８２、別名Ｃｉｔｒｉｘ Ｆｅｄｅｒａｔｅｄ識別管理システムとして参照される。ＣＩＰ は、それ自体の識別プロバイダ（ＩＤＰ）を提供するが、サードパーティＩＤＰまたは他の識別システムを統合してもよい。ＣＩＰは、オープンＩＤ接続（ＯＩＤＣ）に基づく。ＣＩＰに認証するために、ＣＷＡは、ＣＩＰログインページまたはサードパーティＩＤＰログインページのウェブビューを表示する。ＤＳ認証は、ＯＩＤＣのリライングパーティ（ＲＰ：Relying Party）である。
【0068】
配信サービス認証トークン（ＤＳＡｕｔｈＴ）、ＣＬ、ポリモーフィックＡｕｔｈＴ（ポリモーフィック認証トークン）、ミニＣＬ（Ｒｅｄｉｒｅｃｔ－Ｔａｒｇｅｔステータスを有するｖａｌｉｄａｔｅＳｅｓｓｉｏｎＲｅｓｕｌｔ）、およびゲートウェイ２６３接続チケット（ＧＣＴ）は、ユーザ識別拇印とデバイス識別拇印とを、ユーザ識別－ユーザユニバーサルクレーム（ｕｓｅｒ ｕｎｉｖｅｒｓａｌ ｃｌａｉｍ）（オープン識別子（ＯＩＤ）、セキュリティ識別子（ＳＩＤ）、ＵＰＮ、電子メール）；顧客識別子（ＩＤ）；およびデバイス識別－デバイスＩＤ、クライアントデバイス（エンドポイント）公開鍵母拇印（ハッシュ）のような均一なフォーマットで含む。そのうえ、ＣＬ、ポリモーフィックＡｕｔｈＴ、ミニＣＬ、ＧＣＴは、マニフェスト（クリア）－ユーザデバイス識別を含む；ペイロード（タイプに応じて暗号化されてよい）；エンティティのために暗号化された対称鍵（ペイロードが暗号化されている場合）；およびマニフェスト上の署名＋ペイロード、という署名されたＪＳＯＮオブジェクトの形であってよい。ＤＳＡｕｔｈＴは、特定のサービスへの制約付きアクセスを提供するセカンダリトークンとして別段に規定されない限りプライマリトークン、たとえば、ＤＳＡｕｔｈＴ－ＷＳ－ＣＬＩＳである。一般に、ユーザユニバーサルクレームは、いくつかの異なるタイプの識別子を含む。使用されるメインのグローバル一意識別子はＯＩＤである。識別子の残りは、レガシーシステムとの互換性のため、または追加のチェック、たとえば電子メーアドレスのために提供される。
【0069】
リフレッシュトークンは、クラウドに記憶されたＤＳＡｕｔｈＴを指し、したがって、ユーザデバイスに結び付けられる。したがって、ユーザデバイス識別はまた、上記のオブジェクトを結び付け、アサーションの均一な適用ユーザアサーションおよびデバイスを可能にする。デバイスベアラトークンが、フロントエンド認証において使用され、ＲｏＴ２５７によって署名された｛デバイスＩＤ、エンドポイント公開鍵｝という形を有する。
【0070】
シーケンスフロー図２８０では、ユーザ識別とデバイス識別の両方が確かめられる。以下でさらに論じられるように、クライアントデバイス２５２が登録されていない場合、別個のフローが、署名されたデバイスベアラトークンを取得するためにデバイス登録サービス２８３とともに実行されることがある。ナンスを用いたチャレンジ－レスポンスも、クライアントデバイス２５２がベアラトークンの真の権利者であることを保証するために実施されることがある。いくつかの実施形態では、ナンスのサイズは、悪意のあるホストが必要に応じて電子メール、ドキュメントなどに署名するよう求めることを防止するために１６バイトに保たれてよいが、他のサイズも使用されてよい。デバイス登録サービス２８３は、クライアントデバイス２５２が依然として有効である（取り消されていない）ことを保証する助けとなるために接触されてよい。ユーザ認証後、クレデンシャルは、比較的短いチケット保持ポリシー、たとえば２４時間を用いて、ＣＣチケッティング２８４に記憶されてよい。クレデンシャルは暗号化されるが、クラウドコンピューティングサービス２５５によって容易に復号可能である。対称鍵およびＣＣチケットは、ＤＳＡｕｔｈＴの一部として記憶される。ＤＳＡｕｔｈＴは、ユーザの識別およびデバイスの識別を用いて作成される。この機能は、認証マネージャ（ＡＭ）２８１の支援を受けて実装される。
【0071】
加えて図９のシーケンスフロー図２９０を参照すると、ＣＷＡ２６２は、ＣＩＰ２８２によってデバイス登録サービス２８３にリダイレクトされ、デバイス登録サービス２８３は、オープンＩＤ接続（ＯＩＤＣ）のリライングパーティ（ＲＰ）である。デバイス登録サービス２８３は、サービス鍵（図示せず）を使用してルートオブトラスト（ＲｏＴ）２５７とともにブートストラップする。ＣＷＡ２６２は、たとえば、ハードウェアに裏打ちされた（hardware-backed）秘密鍵（ＴＰＭ）を用いて、秘密／公開鍵ペアを生成する。ユーザ認証は、クライアントデバイス２５２を登録するために必要とされる。デバイス登録サービス２８３は、デバイス情報をＣＷＡから取得し、デバイスＩＤを生成し、クラウドストレージ、ここではデータベース２６１内のクライアントデバイス２５２を登録する。デバイス登録サービス２８３は、ベアラトークンを作成し、それに、ＲｏＴによって署名された｛デバイスＩＤ、エンドポイント公開鍵｝のようにＲｏＴ２５７を用いて署名する。ベアラトークンはＣＷＡ２６２に返され、それは、クライアントデバイス２５２に記憶される。
【0072】
ベアラトークンは、レジリエンスの理由で、たとえば、デバイス登録サービス２８３が妥当性検証の要求中にダウンしている図の例では、クラウドコンピューティングサービス２５５に記憶されない。上記で述べられたように、ベアラトークンは寿命が長く、フロントエンド認証において、たとえば、ＤＳＡｕｔｈＴを取得するために使用される。ベアラトークンは、たとえば、クライアント２５２デバイスが盗まれたと報告されたまたはクライアントデバイスが再登録されたとき、デバイス登録サービス２８３によって効果的に無効化／取り消されてよく、その場合、古いトークンは妥当性検証に失敗する。クライアントデバイス２５２が、その秘密／公開鍵ペアを回転させる場合、再び登録し、新しいベアラトークンを取得することが要求されないことがある。
【0073】
いくつかの実施形態では、セカンダリトークンは、プライマリＤＳＡｕｔｈＴから取得されることがある。より具体的には、ＷＳ２５６とＣＬＩＳ２５８は姉妹マイクロサービスであり、それらは、同じセカンダリＤＳＡｕｔｈＴ－ＷＳ－ＣＬＩＳを使用して、別のリライングパーティを作成する複雑さを回避することがある。
【0074】
加えて図１０Ａ～図１０Ｂのシーケンスフロー図３００を参照すると、本例では、ユーザデバイス認証は以前に完了しており、ＤＳＡｕｔｈＴプライマリが取得されていると仮定される。実際には、ブラウザコンテキスト（たとえば、ＣＷＡ２６２に埋め込まれたブラウザ）においてセッションクッキーが使用され得るので、ＤＳＡｕｔｈＴ－プライマリを渡す必要はない。リフレッシュトークンが生成され、このリフレッシュトークンは、永続的なクラウドトークンストレージたとえばＣｏｓｍｏｓ ＤＢ内でマーシャリング／記憶されているＤＳＡｕｔｈＴを効果的に指す（ＣＩＰが保持されるＤＳＡｕｔｈＴ自体は、寿命が短い）。ＣＷＡ２６２は、不揮発性の安全なストレージ、たとえば、データ保護ＡＰＩ、鍵チェーンに、リフレッシュトークンを記憶する。
【0075】
比較的長い時間の後、たとえば、ＤＳＡｕｔｈＴ－プライマリがＣＩＰ２８２内で期限が切れたとき、ＣＷＡは、ワンタイムフレッシュトークンを使用して、トークンストレージから再作成された新しいＤＳＡｕｔｈＴを取得することができる。ナンスを用いたチャレンジ－レスポンスは、ＣＷＡ２６２がリフレッシュトークンの真の権利者であることを保証する助けとなるために使用されることがある。それにもかかわらず、エンドポイント公開鍵を完全に信頼するために、それは、リフレッシュトークンによって示されるＤＳＡｕｔｈＴに記憶される拇印と比較される。以下でさらに論じられるように、ＣＩＰ２８２は、ユーザアサーションおよびデバイアサーションをチェックする。ＣＩＰ２８２はまた、それが個々に取り消された場合、リフレッシュトークンを拒否することがある。次いで、ＣＷＡ２６２は、ＣＩＰ内の現在のＤＳＡｕｔｈＴに基づいて新しいリフレッシュトークンを要求することがある。
【0076】
加えて図１１のシーケンスフロー図３１０を参照すると、例示的な手法は、サービス（たとえば、クラウドインターフェース２５６、ＣＬＩＳ２５８など）がどのようにしてＤＳＡｕｔｈＴ内の記憶されるユーザ－デバイス識別に基づいてユーザアサーションおよびデバイスアサーションをチェックすることができるかに関して図示される。他の構成要素およびサービス（たとえば、ゲートウェイ２６３、仮想配信アプライアンス２５３、ブローカ２６０）は、ＣＬ内のユーザ－デバイス識別、ミニＣＬ、ＧＣＴをチェックし、ポリシー（図示せず）をチェックしているとき、同様の低レベルメカニクスを使用してよい。これは、ユーザおよびクライアントデバイス２５２がＣＩＰ２８２およびデバイス登録サービス２８３に話しかけることによって依然として有効であるかをチェックすることを伴うことがある。キャッシュされるユーザ／デバイスポリシーはまた、たとえば、デバイス登録サービス２８３が到達可能でない場合または実施のために適用されてよい。
【0077】
要求が、エンドポイント公開鍵の使用を伴う場合、追加の妥当性検証は、公開鍵が、ＤＳＡｕｔｈＴに記憶される拇印に合致することを保証するために実施される。公開鍵の使用を含む例示的な要求は、ＲｏＴ２５７による署名エンドポイント公開鍵；エンドポイント公開鍵を用いてＣＬ－ペイロード対称鍵を暗号化することによってＣＬを作成すること；クライアントデバイス公開鍵などとともにＡｕｔｈＴペイロード対称鍵を暗号化するによってポリモーフィックＡｕｔｈＴを作成することを含んでよい。
【0078】
加えて図１２Ａ～図１２Ｃのシーケンスフロー図３２０を参照すると、以前に作成されたＤＳＡｕｔｈＴ－ＷＳ－ＣＬＩＳは、クラウドベースの記憶されたクレデンシャルは依然として有効である、たとえば、２４時間以内に（ポリシーに基づく）使用されることがある。ＣＬＩＳ２５８は、ユーザアサーションおよびデバイスアサーションをチェックし、ＤＳＡｕｔｈＴに関連付けられた以前に保管されたクレデンシャルを使用してクラウドコンピューティングサービス２５５によって復号可能でない新しいクレデンシャルｂｌｏｂを作成する。クレデンシャルｂｌｏｂは、チケッティング２８４ＣＣにおいて、長期のチケット保持ポリシー、たとえば、２×接続リース寿命とともに記憶される。ＣＬＩＳ２５８は、そのような寿命の長いチケットのみの書き込みアクセスを有する。
【0079】
寿命の長い認証トークンは、上記で述べられたように、それが異なるタイプのクレデンシャルを含んでよいおよび／またはクレデンシャルｂｌｏｂの異なるストレージロケーションを有してよいという点でポリモーフィックである場合がある。ポリモーフィックＡｕｔｈＴは、マニフェスト（ｍａｎｉｆｅｓｔ）（クリア）；ユーザの識別（ｕｓｅｒ ｉｄｅｎｔｉｔｙ）－ユーザユニバーサルクレーム（ＯＩＤ、ＳＩＤ、ＵＰＮ、電子メール）；顧客ＩＤ（ｃｕｓｔｏｍｅｒ ＩＤ）；デバイス識別－デバイスＩＤ、エンドポイント公開鍵拇印（ハッシュ）；ペイロード（ｐａｙｌｏａｄ）（暗号化された）－タイプ（Ｔｙｐｅ）＝ＣＩＰ、値（Ｖａｌｕｅ）＝ＣＣチケット；クライアントデバイス公開鍵とともに暗号化された｛ＡｕｔｈＴ－対称鍵（ＡｕｔｈＴ－Ｓｙｍｍｅｔｒｉｃ Ｋｅｙ）｝；および署名、というフォーマットをとってよい。ＣＷＡ２６２は、たとえば、ポリモーフィックＡｕｔｈＴを不揮発性（たとえば、データ保護ＡＰＩ）鍵チェーンに記憶する。
【0080】
ポリモーフィックＡｕｔｈＴは、直接的にではなく、安全な接続を介してゲートウェイ２６３／仮想配信アプライアンス２５３と信頼を確立した後、ＣＷＡ２６２エンドポイントによって回復される。さらに、ゲートウェイ２６３およびブローカ２６０は、寿命の長いクレデンシャルｂｌｏｂへの読み取りアクセスを有する。さらに、ゲートウェイ２６３および仮想配信アプライアンス２５３は、成功した安全な接続後にペイロードを復号することができる。たとえば、ＣＣチケッティング２８４またはブローカ２６０がダウンしている場合、ＣＬ接続が続いてよいが、ＳＳＯｎが失敗することがあり、ユーザは、クレデンシャルを手動で入力することが必要とされることがある。
【0081】
加えて図１３Ａ～図１３Ｂのシーケンスフロー図３３０を参照すると、ポリモーフィックＡｕｔｈＴを作成することに類似した別の手法が次に説明されるが、この手法では、クレデンシャルは、ドメイン参加され得る（およびたとえば、ＣＷＡ２６２は、クレデンシャルプロバイダ／クレデンシャルプロバイダフィルタ／ネットワークリダイレクタ２８７を介してクレデンシャルを取得する）エンドポイント（クライアントデバイス２５２）によって提供されてもよいし、クレデンシャルは、（たとえば、高速接続ＳＤＫ２８７を介して）ＣＷＡ２６２に直接的に導入されてもよい。この手法では、ＣＷＡ２６２は、ポリモーフィックＡｕｔｈＴを作成するためにＣＬＩＳ２５８にクレデンシャルを提供する。ＣＬＩＳ２５８は、上記で説明されたように、ユーザアサーションおよびデバイスアサーションをチェックする。ここで再び、チェックが、ＤＳＡｕｔｈＴ内のユーザ－デバイス識別に基づいて実施されることがある。
【0082】
ポリモーフィックＡｕｔｈＴは、以下のように作成されてよい。マニフェスト（クリア）：ユーザ識別はヌルに設定される－ｃｒｅｄは、ユーザにより供給されるので、ＤＳＡｕｔｈＴからの識別を仮定しない；顧客ＩＤ；デバイス識別－デバイスＩＤ、エンドポイント公開鍵拇印（ハッシュ）。ポリモーフィックＡｕｔｈＴは、ペイロード（暗号化される）－タイプ＝ユーザクレデンシャル（Cred）、値＝視覚情報Ｂｌｏｂと；クライアントデバイス公開鍵を用いて暗号化された｛ＡｕｔｈＴ－対称鍵｝と；署名とをさらに含む。
【0083】
上記の手法と同様に、ＣＷＡ２６２はポリモーフィックＡｕｔｈＴを安全に記憶し、それは、たとえば、安全な接続を介してゲートウェイ２６３／仮想配信エージェント２５３と信頼を確立した後、クライアントデバイス２５２においてＣＷＡによって回復される。しかしながら、ＣＷＡは、その秘密鍵へのアクセスを有し、それ以上何も、クレデンシャルを復号するために必要とされないので、ＣＷＡ２６２は、必要に応じてこの安全な接続なしでクレデンシャルを回復することもできる。追加のセキュリティ保護は、任意選択で、秘密鍵、たとえば、個人識別番号（ＰＩＮ）またはバイオメトリクスへのアクセスをガードするために使用されることがある。
【0084】
この手法の利点は、ＴＬＳ／ＤＴＬＳの上でのペイロード暗号化および安全な接続を使用してネットワークスニファ／プロキシ「仲裁者（man-in-the-middle）」攻撃に対してクレデンシャルを保護する追加のセキュリティである。ゲートウェイ２６３および仮想配信アプライアンス２５３は、ゲートウェイ２６３がアップしている限り、完全クラウド停止モードでＳＳＯｎを実施してよいので、このタイプのポリモーフィックＡｕｔｈＴのレジリエンス利点は、ＣＣチケッティング２８４およびブローカ２６０のその独立性である。
【0085】
加えて図１４のシーケンスフロー図３４０を参照すると、パブリッシュされたリソースを列挙するためのＣＷＡ２６２によるクラウドインターフェース２５６（ＷＳ）への要求は、ＤＳＡｕｔｈＴ－ＷＳ－ＣＬＩＳの使用を伴う。ＷＳ２５６は、上記で論じられたように、ユーザアサーションおよびクライアントデバイス２５２アサーションをチェックする。ここでもやはり、チェックは、ＤＳＡｕｔｈＴ内のユーザ－デバイス識別に基づいて実施される。ユーザ識別は、ブローカ２６０からパブリッシュされたリソースを列挙するためにＷＳ２５６によって使用される。
【0086】
ＣＷＡ２６２による鍵をブートストラップするＷＳを介したＣＬＩＳ２５８への要求は、ＤＳＡｕｔｈＴ－ＷＳ－ＣＬＩＳおよびエンドポイント公開鍵の使用を必要とする。ＷＳは、上記でさらに論じられたように、ユーザアサーションとデバイスアサーションをチェックする。ＣＷＡ２６２は、ＲｏＴ２５７によって署名されたそのエンドポイント公開鍵、ＲｏＴによって署名されたＣＬＩＳ２５８公開鍵、およびＲｏＴ公開鍵を受信する。ＲｏＴ２５７によって署名されるＣＬＩＳ公開鍵およびＲｏＴ公開鍵は、いくつかの実装では、別個の要求の後に受信されてよい（ｇｒａｎｕｌａｒ ＡＰＩ）。
【0087】
ＣＬを作成し始める、ＣＷＡ２６２によるＣＬＩＳ２５８へのリースコールホーム要求は、ＤＳＡｕｔｈＴ－ＷＳ－ＣＬＩＳおよびエンドポイント公開鍵の使用を必要とする。上記でさらに論じられたように、ＷＳ２５６は、ユーザアサーションおよびデバイアサーションをチェックする。ここでも再度、チェックは、ＤＳＡｕｔｈＴ内のユーザ－デバイス識別に基づいて実施される。ユーザ識別は、接続リースサービス（ＣＬＳ）による未加工ＣＬ生成を要求する、ならびにＷＳストアサービスから優先権順序を取得するために、ＣＬＩＳ２５８によって使用される。
【0088】
ＣＬ生成は、以下の通りであってよい。ｍａｎｉｆｅｓｔ（クリア）は、ユーザ識別－ユーザユニバーサルクレーム（ＯＩＤ、ＳＩＤ、ＵＰＮ電子メール）；顧客識別子（ＩＤ）；およびデバイス識別－デバイスＩＤ、エンドポイント公開鍵母拇印（ハッシュ）とを含んでよい。ＣＬ対称鍵は、公開鍵エンドポイントを用いて暗号化されてよく、そのため、エンドポイントはそれを復号することができる。
【0089】
ＣＷＡ２６２は、ＤＳＡｕｔｈＴ－Ｓｅｃｏｎｄａｒｙ－Ｓｙｎｃを用いてＣＷＡ２６２ ＣＬ同期エンジンを初期化する。ＣＷＡ ＣＬ同期エンジンは、ユーザリモート仮想フォルダからローカルフォルダへのＣＬの一方向性同期を実施するために、ＤＳＡｕｔｈＴ－Ｓｅｃｏｎｄａｒｙ－Ｓｙｎｃを使用してＣＬＩＳファイル同期サーバを呼び出す。ＣＬＩＳファイル同期サーバは、上記で論じられたように、上記で説明したようにユーザアサーションおよびデバイスアサーションをチェックする。ここで再び、チェックは、ＤＳＡｕｔｈＴ内のユーザ－デバイス識別に基づいて実施される。
【0090】
クライアントデバイス２５２と仮想配信アプライアンス２５３との間の安全な接続は、２つのホップ、すなわち、最初にクライアントデバイスからゲートウェイ２６３へ、次いでゲートウェイから仮想配信アプライアンスへ、実施されてよい。各ホップでは、ひとたび２つのエンティティが互いに信頼すると、送出側は、受信側の公開鍵を用いてＣＬおよびポリモーフィックＡｕｔｈＴ対称鍵を再暗号化し、そのため、受信側は、それらを復号することができる。ゲートウェイ２６３は、ユーザ識別およびデバイス識別がＣＬマニフェストに含まれるので、ユーザアサーションおよびデバイスアサーションをチェックし得る。ブローカ２６０（ブローカオンラインモードにおける）または仮想配信アプライアンス２５３（ブローカ停止モードにおける）は、ユーザアサーションおよびデバイスアサーションもチェックすることができる。
【0091】
ｖａｌｉｄａｔｅＳｅｓｓｉｏｎＲｅｓｕｌｔがリダイレクトターゲット（Redirect-Target）（たとえば、クライアントデバイス２５２を別の仮想配信アプライアンス２５３にリダイレクトする）場合、ブローカ２６０によって生成される新しいミニＣＬは、ＣＬからのユーザデバイス識別を含む。ゲートウェイ２６３は、任意選択で、ポリモーフィックＡｕｔｈＴを使用する認証を実施し、ポリモーフィックＡｕｔｈＴは、以下に基づいて、ちょうどＣＬのように妥当性検証される。署名、日付；ポリモーフィッＡｕｔｈＴ内のエンドポイント公開鍵ハッシュは、クライアント公開鍵の以前に記憶されたバージョンに合致する；ユーザアサーションおよびデバイスアサーションをチェックする－ユーザ識別およびデバイス識別はＡｕｔｈＴマニフェスト内にある；ならびに、ポリモーフィックＡｕｔｈＴを復号および使用する。
【0092】
直接接続では、仮想配信アプライアンス２５３は、エンドポイント公開鍵と同じである、記憶されたクライアント公開鍵を使用して、ＣＬおよびポリモーフィックＡｕｔｈＴ内の拇印を妥当性検証する。しかしながら、ゲートウェイ２６３接続では、クライアント公開鍵はゲートウェイ公開鍵であることがあり、そのため、仮想配信アプライアンス２５２は、それを妥当性検証に使用することはできない。代わりに、ＣＬ妥当性検証公開鍵＝エンドポイント公開鍵は、クライアントデバイス２５２からゲートウェイ２６３を介して仮想配信アプライアンス２５３へ中継される。そのため、ゲートウェイ２５３接続では、仮想配信アプライアンス２５３は、ＣＬ妥当性検証公開鍵を使用して、ＣＬとポリモーフィックＡｕｔｈＴの両方において拇印を妥当性検証する。ゲートウェイ２６３の公開鍵はＣＬＩＳ２５８によって署名され、それ自体の所有エンティティは（Ｃｌｉｅｎｔ Ｐｕｂ Ｋｅｙ．ｏｗｎｉｎｇＥｎｔｉｔｙ＝＝ゲートウェイ）である。ＣＬＩＳ２５８は、ゲートウェイ２６３として他の任意のエンティティに署名しない。
【0093】
いくつかの実装では、以下でさらに論じられるように、仮想配信アプライアンス２５３は、ＣＬ－＞Ｒｅｓｏｕｒｃｅ ＫｅｙおよびポリモーフィックＡｕｔｈＴを使用して、仮想セッションを開始し、ユーザをログインさせてもよい。仮想配信アプライアンス２５３は、リソース接続チケットを作成し、それをセッショングローバル一意識別子（ＧＵＩＤ）とともに記憶する。リソース接続チケットは、事前許可されたセッションへの後での接続を可能にする。リソース接続チケットはまた、記憶および妥当性検証されたポリモーフィックＡｕｔｈＴを指す。
【0094】
ゲートウェイ２６３は、以下のように、ＣＬおよびｖａｌｉｄａｔｅＳｅｓｓｉｏｎＲｅｓｕｌｔミニＣＬからの情報を有するゲートウェイ接続チケット（ＧＣＴ）を作成する。マニフェスト（クリア）は、：有効期限－ＣＬ有効期限と合致する；ユーザ識別－ユーザユニバーサルクレーム（ＯＩＤ、ＳＩＤ、ＵＰＮ、電子メール）；顧客ＩＤ；およびデバイス識別－デバイスＩＤ、エンドポイント公開鍵拇印、を含む。ＣＧＴは、ペイロード（クリア）－リソースロケーション、ＶＤＡ ＩＰ、およびポートなどと、署名－ＧＷ ＰＯＰ秘密鍵を用いてＧＣＴに署名する、をさらに含んでよい。いくつかの実施形態では、ゲートウェイ２６３ポイントオブプレゼンス（ＰＯＰ）は、公開鍵を共有することがあり、これは、ＧＣＴが、フェイルオーバシナリオにおいて他の任意のゲートウェイによって妥当性検証されることを可能にする。他の実施形態では、ＧＣＴそれ自体は、ルートオブトラスト（ＲｏＴ）２５７によって署名される署名側ゲートウェイＰＯＰの公開鍵を含有することがある。したがって、それは、それらの公開鍵を共有するゲートウェイＰＯＰとは反対に、ＲｏＴ公開鍵をすべてのゲートウェイＰＯＰに分散させるのに十分なことがある。クライアントデバイス２５２は、ＧＣＴおよびリソース接続チケットを使用して、ゲートウェイ２６３および仮想配信アプライアンス２５３における接続を認証する。
【0095】
次に、加えて図１５Ａ～図１５Ｂのシーケンスフロー図３５０を参照すると、ポリモーフィックＡｕｔｈＴは、上記で論じられたように、以前に妥当性検証されたと仮定される。仮想配信アプライアンス２５３は、ＡｕｔｈＴ－対称鍵を用いてポリモーフィックＡｕｔｈＴペイロードを復号する。ポリモーフィックＡｕｔｈＴタイプが「ＣＩＰ」である場合、仮想配信アプライアンス２５３はブローカ２６０を呼び出し、ブローカ２６０は、ＣＣチケッティング２８４を呼び出し、ＣＣチケットを解決し、暗号化されたクレデンシャルＢｌｏｂを返す。ブローカ２６０およびゲートウェイ２６３は、寿命の長いＣＣチケットを回復する権利が与えられる。
【0096】
ブローカ２６０またはＣＣチケッティング２８４のいずれかがダウンしているまたはそうでなければ到達可能でない場合、ＳＳＯｎは失敗し、ユーザはクレデンシャルを提供する。仮想配信アプライアンス２５３は、ＡｕｔｈＴ－対称鍵を用いて暗号化されたクレデンシャルＢｌｏｂを復号するが、これは２つの目的に用いられる。ポリモーフィックＡｕｔｈＴタイプが「Ｕｓｅｒ Ｃｒｅｄｓ（ユーザクレデンシャル）」である場合、仮想配信アプライアンス２５３は、復号されたペイロードから直接的にクレデンシャルＢｌｏｂを取得する。したがって、ブローカ２６０およびＣＣチケッティング２８４に対する依存はない。仮想配信アプライアンス２５３は、仮想セッションを作成し、ユーザをログインさせるために進む。仮想配信アプライアンス２５３は、ログインしたユーザがＣＬ「仲介された（ｂｒｏｋｅｒｅｄ）」ユーザと同じであるという標準的なチェックを実施する。
【0097】
上記で説明されたポリモーフィックＡｕｔｈＴ方法は、ユーザクレデンシャルのユーザ名－パスワードタイプに限定されないことに留意されたい。たとえば、それらは、ＦＩＤＯ２ベースの（パスワードのない）バイオメトリック認証サービスを使用して取得される基準クレデンシャルＩＤに適用されてよい。ＦＩＤＯ２とは、ＦＩＤＯアライアンスの最新仕様セットの包括的用語である。ＦＩＤＯ２は、ユーザが、共通デバイスを活用して、モバイル環境とデスクトップ環境の両方でオンラインサービスを容易に認証することを可能にする。このタイプのポリモーフィックＡｕｔｈＴ０の追加されたレジリエンス利点は、ＣＣチケッティング２８４およびブローカ２６０のその独立性であり、ＦＩＤＯ２リライングパーティおよびゲートウェイがアップしている限り、完全クラウド停止モードでＳＳＯｎを用いて認証が実施可能であることを意味する。
【0098】
セキュリティの観点から、ＦＩＤＯ２の暗号学的ログインクレデンシャルは、あらゆるウェブサイトにわたって一意であり、ユーザのデバイスを放置せず、サーバ上に記憶されない。このセキュリティモデルは、フィッシング、パスワード盗難、および再生攻撃のリスクをなくす。さらに、バイオメトリクスを使用することは、エンドユーザ利便性およびプライバシ懸念事項に対処する助けとなる。ユーザは、彼らのデバイス上の指紋リーダまたはカメラなどの単純に組み込まれた方法を用いて、または使用しやすいＦＩＤＯセキュリティ鍵を活用することによって、暗号学的ログインクレデンシャルをロック解除する。ＦＩＤＯ暗号鍵は、各インターネットサイトにとって一意であるので、それらは、サイト間でユーザを追跡するために使用不可能である。さらに、バイオメトリックデータは、使用するとき、ユーザのデバイスを放置しない。
【0099】
さらに、スケーラビリティに関しては、ウェブサイトは、消費者が毎日使用するデバイス上の主要なブラウザおよびプラットフォームにわたってサポートされるＪａｖａＳｃｒｉｐｔ ＡＰＩ呼び出しを通じてＦＩＤＯ２を可能にすることができる。ＦＩＤＯ２は、たとえば、Ｃｉｔｒｉｘ ＨＤＸ ＦＩＤＯ２仮想チャネル上でＷｅｂＡｕｔｈＮ．ｄｌｌＡＰＩをエンドポイントにリモートする（remote）ことによって、リモートにホストされるブラウザ、ネイティブアプリケーション、およびＷｉｎｄｏｗｓログオンをサポートするために仮想コンピューティングセッションにおいても使用可能である。
【0100】
上記で説明されたポリモーフィックＡｕｔｈＴ方法は、統合認証サービス（ＦＡＳ）にも適用可能である。ワークスペースの場合、ＦＡＳは、ユーザがワークスペースに認証される限り、Ｃｉｔｒｉｘ ＶＤＡに対するＳＳＯｎ認証を可能にすることができる。ワークスペースに対する認証方法は重要でなく、現代のウェブサイトに認証されることを可能にする何か、たとえばＡｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ統合サービス（ＡＤＦＳ）を介するセキュリティアサーションマークアップ言語（ＳＡＭＬ）、ビジネスツービジネス（Ｂ２Ｂ）シナリオなどであってよい。統合認証サービスのコアな構成要素は、仮想スマートカード（エンタープライズ認証機関（ＣＡ）によって発行される）を作成する権限を有するＦＡＳサーバである。仮想スマートカードは、直接的に（たとえば、利用可能である場合、信頼されるプラットフォームモジュール（ＴＰＭ））または接続されたハードウェアセキュリティモジュール（ＨＳＭ）内のいずれかで、ＦＡＳサーバによって記憶される。
【0101】
ワークスペースの場合、ＦＡＳサーバは、認証のためにワークスペースを信頼する。ワークスペース認証時、ＦＡＳサーバはトークン／チケットを発行し、このトークン／チケットは、その後、関連付けられた仮想スマートカードを用いた仮想配信エージェント２５３認証をトリガするために使用される。仮想配信エージェント２５３は、（仮想スマートカードを用いたスマートカード認証をするために）ＦＡＳサーバを用いた暗号学的演算を本質的にリモートする専用ＦＡＳ暗号学的サービスプロバイダに依拠する。
【0102】
いくつかの変更が、接続リーシングとの拡張された互換性のために統合認証サービスに対してなされてよい。たとえば、ＦＡＳ認証トークンは、望ましくは、Ｃｉｔｒｉｘ ＷＳまたは他のＣｉｔｒｉｘクラウド構成要素を伴わない起動シーケンスのために寿命が長いことがある。さらに、ＦＡＳ認証トークンを更改するプロセスが、たとえば、リフレッシュトークンを使用して提供されてよい。そのうえ、ＦＡＳ認証トークンは、望ましくは、ＦＡＳサーバフェイルオーバ／スケーラビリティグループの一部である複数のＦＡＳサーバを参照し、これに対して有効である。これは、ＦＡＳ認証トークンを組み立てるときのワークスペースが複数のＦＡＳサーバに接続することを意味する。
【0103】
ＦＡＳサーバが、仮想配信アプライアンス２５３とともに置かれる場合、ＦＡＳ認証トークンを含有するタイプＦＡＳのポリモーフィックＡｕｔｈＴは、依然として、仮想配信システム（ＶＤＳ）がクラウド停止（ＣＬＯ）モードであるとき、ＶＤＡにおいてＳＳＯｎのために機能する。ＶＤＳは、クラウド構成要素、たとえば、ＷＳ、ブローカ２６０、ＣＣチケッティング２８４などを伴う。しかしながら、それは、ＶＤＳがＣＬＯモードであり、ＦＡＳ認証トークン寿命が期限切れである場合は機能しない。典型的には、ＦＡＳが使用されているとき、エンドユーザがＬｏｇｏｎＵＩを介して仮想配信アプライアンス２５３に対して対話型ログオンをすることは可能でない。これは、ＶＤＳがＣＬＯモードに入ったとき、エンドユーザは依然として、ＦＡＳ認証トークンの残りの寿命持続時間のための公開されたデスクトップおよびアプリケーションを認証することが可能であることを意味する。これは、ＦＡＳ認証トークン更改プロセスに対する暗示を有する。たとえば、ＦＡＳ認証トークンは、ＶＤＳがＣＬＯモードになった場合、ＦＡＳ認証トークン寿命の半分にわたって、ＶＤＡに対して認証する機能を保証するために、その寿命の半分で更改されることがある。
【0104】
ＦＡＳ認証トークンは寿命が長いので、それらを取り消す方法があることもある。ＦＡＳ認証トークンは、ＶＤＳがＣＬＯモードになったとき、依然として有効で使用可能である。これは、取り消しプロシージャがＦＡＳサーバを伴うことを意味する。ＦＡＳサーバは、たとえば、それらをユーザデバイス識別ごとに取り消すことを可能にするために発行されたＦＡＳ認証トークンの内容を維持してよい。
【0105】
上記で説明された手法は、有利には、完全なまたは部分的なクラウド停止モードでの安全なオフライン認証ＳＳＯｎを含む種々の技術的利点を提供し得る。そのうえ、異なるタイプのクレデンシャルの安全な管理、ならびにユーザデバイスクレデンシャル、寿命の長いリフレッシュトークン、ＣＬ、およびポリモーフィックＡｕｔｈ ＳＳＯｎトークンを用いた認証が提供されてよい。加えて、ユーザアサーションおよびデバイスアサーションは、有利には、オンラインモードおよびオフラインモードで適用されてよい。上記で説明された例は接続リース実装の文脈であるが、ポリモーフィック認証トークン手法はまた、非接続リース実装でも使用されてよいことに留意されたい。言い換えれば、認証トークンは、クライアントが接続リース構成を使用してセッション／パブリッシュされたリソースに接続するかどうかにかかわらずセッションへのアクセスを提供するために使用されることがある。
【0106】
次に、ブロック３６１において始まる図１６のフロー図３６０を参照すると、関連方法は、例示的には、上記でさらに論じられたように、それに関連付けられた第１の認証クレデンシャルと第２の認証クレデンシャルとを有するクライアントデバイス２０１のための認証トークンを記憶すること（ブロック３６２）と、ブロック３６３において、認証トークンに基づいてセッションにアクセスするためにサーバ２０３と協働することとを含む。図１６の方法は、ブロック３６４において例示的に終わる。
【0107】
以下の例は、他の置換および構成が当業者にとって明らかである、例示的なさらなる実施形態である。
【0108】
例１は、メモリと、それに関連付けられ互いに異なる第１の認証クレデンシャルと第２の認証クレデンシャルとを有する認証トークンを記憶するためにメモリと協働し、認証トークンに基づいてセッションにアクセスするためにサーバと協働するように構成されたプロセッサとを備えるコンピューティングデバイスである。
【0109】
例２は例１の主題を含み、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、ユーザクレデンシャルを含む。
【0110】
例３は例２の主題を含み、ユーザクレデンシャルは、クライアントデバイスにおいてメモリに記憶される。
【0111】
例４は例２の主題を含み、ユーザクレデンシャルは、認証サービスを用いて仮想スマートカードに記憶される。
【0112】
例５は例１の主題を含み、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、クライアントデバイスに関連付けられた公開鍵を含む。
【0113】
例６は例５の主題を含み、公開鍵は、ルートオブトラスト（ＲｏＴ）によって署名される。
【0114】
例７は例１の主題を含み、プロセッサは、コンピューティングデバイスに割り当てられた接続リースにさらに基づいてセッションにアクセスするためにサーバと協働する。
【0115】
例８は例１の主題を含み、第１の認証クレデンシャルおよび第２の認証クレデンシャルは、異なるロケーションに記憶される。
【0116】
例９は例１の主題を含み、認証トークンは、ポリモーフィック認証トークンを含む。
【0117】
例１０は例１の主題を含み、セッションは、ウェブアプリケーションセッション、ソフトウェアアズアサービス（ＳａａＳ）アプリケーションセッション、仮想アプリケーションセッション、および仮想デスクトップセッション、のうちの少なくとも１つを含む。
【0118】
例１１は、それに関連付けられた第１の認証クレデンシャルと第２の認証クレデンシャルとを有するクライアントデバイスのための認証トークンを記憶することであって、この第１の認証クレデンシャルと第２の認証クレデンシャルは互いに異なる、記憶することと、クライアントデバイスにおいて、認証トークンに基づいてセッションにアクセスするためにサーバと協働することとを含む方法である。
【0119】
例１２は例１１の主題を含み、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、ユーザクレデンシャルを含む。
【0120】
例１３は例１１の主題を含み、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、クライアントデバイスに関連付けられた公開鍵を含む。
【0121】
例１４は例１１の主題を含み、クライアントデバイスは、コンピューティングデバイスに割り当てられた接続リースにさらに基づいてセッションにアクセスするためにサーバと協働する。
【0122】
例１５は例１１の主題を含み、第１の認証クレデンシャルと第２の認証クレデンシャルは、異なるロケーションに記憶される。
【0123】
例１６は、メモリと、それに関連付けられ互いに異なる第１の認証クレデンシャル第２の認証クレデンシャルとを有するメモリに認証トークンを記憶するためにメモリと協働し、コンピューティングデバイスに割り当てられた接続リースに基づいて認証に基づいてセッションにアクセスするためにサーバと協働するように構成されたプロセッサとを備えるコンピューティングデバイスが対象とされる。
【0124】
例１７は例１６の主題を含み、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つはユーザクレデンシャルを含む。
【0125】
例１８は例１６の主題を含み、第１の認証クレデンシャルおよび第２の認証クレデンシャルのうちの１つは、クライアントデバイスに関連付けられた公開鍵を含む。
【0126】
例１９は例１８の主題を含み、公開鍵は、ルートオブトラスト（ＲｏＴ）によって署名される。
【0127】
例２０は例１６の主題を含み、認証トークンは、ポリモーフィック認証トークンを含む。
【0128】
本開示を読めば当業者には理解されるように、本明細書に記載の様々な態様は、デバイス、方法、またはコンピュータプログラム製品（たとえば、記載の動作またはことを実施するためのコンピュータ実行可能命令を有する非一時的なコンピュータ可読媒体）として具体化され得る。したがって、これらの態様は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、またはソフトウェアの態様とハードウェアの態様の組合せの実施形態の形態をとり得る。
【0129】
さらに、そのような態様は、１つまたは複数のコンピュータ可読記憶媒体によって記憶されたコンピュータプログラム製品の形態をとり得、コンピュータ可読プログラムコード、または命令が記憶媒体内または記憶媒体上で具体化される。ハードディスク、ＣＤ－ＲＯＭ、光記憶デバイス、磁気記憶デバイス、および／またはそれらの任意の組合せを含む任意の好適なコンピュータ可読記憶媒体が使用されてよい。
【0130】
多数の修正および他の実施形態が、前述の記載および関連の図面に提示されている教示の利益を有する当業者には想起されよう。したがって、前述は例示的な実施形態に限定されるべきではなく、修正および他の実施形態が添付の特許請求の範囲内に含まれることが意図されていることを理解されたい。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8A】
【図8B】
【図9】
【図10A】
【図10B】
【図10C】
【図11】
【図12A】
【図12B】
【図13A】
【図13B】
【図14】
【図15A】
【図15B】
【図16】
【国際調査報告】