特表 2023-553136 パーベイシブ・リソース識別

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-12-20

(54)【発明の名称】パーベイシブ・リソース識別

(51)【国際特許分類】

   G06F 21/33 20130101AFI20231213BHJP

   G06F 21/31 20130101ALI20231213BHJP

【ＦＩ】

G06F21/33

G06F21/31

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2023535414

(86)(22)【出願日】2021-12-09

(85)【翻訳文提出日】2023-07-25

(86)【国際出願番号】 US2021062542

(87)【国際公開番号】W WO2022125738

(87)【国際公開日】2022-06-16

(31)【優先権主張番号】17/118,512

(32)【優先日】2020-12-10

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】502208397

【氏名又は名称】グーグル エルエルシー

【氏名又は名称原語表記】Ｇｏｏｇｌｅ ＬＬＣ

【住所又は居所原語表記】１６００ Ａｍｐｈｉｔｈｅａｔｒｅ Ｐａｒｋｗａｙ ９４０４３ Ｍｏｕｎｔａｉｎ Ｖｉｅｗ， ＣＡ Ｕ．Ｓ．Ａ．

(74)【代理人】

【識別番号】100142907

【弁理士】

【氏名又は名称】本田 淳

(72)【発明者】

【氏名】トゥルシバグウェール、アトゥル

(72)【発明者】

【氏名】パースワール、サチン スバシュラオ

(72)【発明者】

【氏名】シングラ、アミット

(57)【要約】

パーベイシブ・リソース識別のための方法（６００）は、第１のアプリケーション・サービス（１３０）から認証要求（１３２）を受信することを含む。認証要求は、ユーザデバイス（１０）のユーザ（１２）の認証を要求する。方法は、ユーザのユーザデバイスに関連付けられたデバイス情報（１４）を取得することと、デバイス情報に基づいて、ユーザデバイスに関する一意の不透明識別子（１６２）を生成することとを含む。方法は、ユーザデバイスから認証資格情報（２０）を取得することを含む。認証資格情報は、ユーザのアイデンティティを検証する。ユーザデバイスから認証資格情報を受信することに応じて、方法は、認証トークンを生成すること（１７２）と、一意の不透明識別子を認証トークンに含めるよう、一意の不透明識別子を符号化することとを含む。方法は、認証トークンを第１のアプリケーションサービスに送信することを含む。認証トークンは、第１のアプリケーションサービスが、一意の不透明識別子に基づいてユーザデバイスとの対話を調整することを可能にする。

【特許請求の範囲】

【請求項1】

データ処理ハードウェア（１４４）において、第１のアプリケーションサービス（１３０、１３０ａ）から認証要求（１３２ａ）を受信することであって、前記認証要求（１３２ａ）がユーザデバイス（１０）のユーザ（１２）の認証を要求することと、
前記データ処理ハードウェア（１４４）において、前記ユーザ（１２）の前記ユーザデバイス（１０）に関連付けられたデバイス情報（１４）を取得することと、
前記データ処理ハードウェア（１４４）が、前記デバイス情報（１４）に基づいて、前記ユーザデバイス（１０）に関する一意の不透明識別子（１６２）を生成することと、
前記データ処理ハードウェア（１４４）において、前記ユーザデバイス（１０）から認証資格情報（２０）を取得することであって、前記認証資格情報（２０）が前記ユーザ（１２）のアイデンティティを検証することと、
前記ユーザデバイス（１０）から前記認証資格情報（２０）を受信することに応じて、
前記データ処理ハードウェア（１４４）が、認証トークン（１７２、１７２ａ）を生成することと、
前記データ処理ハードウェア（１４４）が、前記ユーザデバイス（１０）に関する前記一意の不透明識別子（１６２）を前記認証トークン（１７２ａ）に含めるよう、前記一意の不透明識別子（１６２）を符号化することと、
前記データ処理ハードウェア（１４４）が、前記認証トークン（１７２、１７２ａ）を前記第１のアプリケーションサービス（１３０ａ）に送信することであって、前記認証トークン（１７２ａ）は、前記第１のアプリケーションサービス（１３０ａ）によって受信されたときに、前記第１のアプリケーションサービス（１３０ａ）が前記一意の不透明識別子（１６２）に基づいて前記ユーザデバイス（１０）との対話を調整することを可能にすることと、
を含む、方法（６００）。

【請求項2】

前記データ処理ハードウェア（１４４）において、第２のアプリケーションサービス（１３０ｂ）から第２の認証要求（１３２ｂ）を受信することであって、前記第２の認証要求（１３２ｂ）が前記ユーザデバイス（１０）の前記ユーザ（１２）の認証を要求することと、
前記データ処理ハードウェア（１４４）において、前記ユーザ（１２）の前記ユーザデバイス（１０）に関連付けられた前記デバイス情報（１４）を取得することと、
前記データ処理ハードウェア（１４４）が、前記デバイス情報（１４）が前記ユーザデバイス（１０）の前記一意の不透明識別子（１６２）に関連付けられていると判定することと、
前記データ処理ハードウェア（１４４）が、第２の認証トークン（１７２ｂ）を生成することと、
前記データ処理ハードウェア（１４４）が、前記一意の不透明識別子（１６２）を前記第２の認証トークン（１７２ｂ）に含めるよう、前記一意の不透明識別子（１６２）を符号化することと、
前記データ処理ハードウェア（１４４）が、前記第２の認証トークン（１７２ｂ）を前記第２のアプリケーションサービス（１３０ｂ）に送信することと、をさらに含む、
請求項１に記載の方法（６００）。

【請求項3】

前記第１のアプリケーションサービス（１３０ａ）は、前記第２のアプリケーションサービス（１３０ｂ）が前記第１のアプリケーションサービス（１３０ａ）が受信したのと同じ前記一意の不透明識別子（１６２）を受信したと判定し、
前記第１のアプリケーションサービス（１３０ａ）は、前記一意の不透明識別子（１６２）に基づいて、前記第１のアプリケーションサービス（１３０ａ）および前記第２のアプリケーションサービス（１３０ｂ）が同じ前記ユーザデバイス（１０）と対話していると判定する、
請求項２に記載の方法（６００）。

【請求項4】

前記データ処理ハードウェア（１４４）が、前記デバイス情報（１４）を要求する情報要求（３１０）を前記第１のアプリケーションサービス（１３０ａ）から受信することであって、前記情報要求（３１０）が前記一意の不透明識別子（１６２）を含むことと、
前記データ処理ハードウェア（１４４）が、前記一意の不透明識別子（１６２）に基づいて、前記ユーザ（１２）の前記ユーザデバイス（１０）に関連付けられた前記デバイス情報（１４）の少なくとも一部を、前記第１のアプリケーションサービス（１３０ａ）に送信することと、をさらに含む、
請求項１から請求項３のいずれか一項に記載の方法（６００）。

【請求項5】

前記第１のアプリケーションサービス（１３０ａ）から前記認証要求（１３２ａ）を受信した後、
前記データ処理ハードウェア（１４４）が、前記認証資格情報（２０）と、前記ユーザデバイス（１０）に関連付けられた前記デバイス情報（１４）を前記第１のアプリケーションサービス（１３０ａ）と共有することについてのユーザ同意とを要求する資格情報要求（１３４）を前記ユーザデバイス（１０）に送信することと、
前記データ処理ハードウェア（１４４）が、前記認証資格情報（２０）と前記ユーザ同意とを含む前記資格情報要求（１３４）への応答を受信することと、をさらに含む、
請求項１から請求項４のいずれか一項に記載の方法（６００）。

【請求項6】

前記デバイス情報（１４）は、前記ユーザデバイス（１０）のウェブクッキー、前記ユーザデバイス（１０）のインターネットプロトコルアドレス、または前記ユーザデバイス（１０）のオペレーティングシステムバージョンのうちの少なくとも１つを含む、
請求項１から請求項５のいずれか一項に記載の方法（６００）。

【請求項7】

前記認証トークン（１７２ａ）は、フェデレーテッド・アイデンティティ・トークンを含む、
請求項１から請求項６のいずれか一項に記載の方法（６００）。

【請求項8】

前記フェデレーテッド・アイデンティティ・トークンは、ＯＡｕｔｈトークンまたはセキュリティ・アサーション・マークアップ言語（ＳＡＭＬ）トークンのうちの１つを含む、
請求項７に記載の方法（６００）。

【請求項9】

前記フェデレーテッド・アイデンティティ・トークンは、プロプライエタリまたは標準ベースのフェデレーテッド・アイデンティティ・システム・トークンを含む、
請求項７に記載の方法（６００）。

【請求項10】

前記一意の不透明識別子（１６２）を前記認証トークン（１７２ａ）に含めるよう、前記一意の不透明識別子（１６２）を符号化することは、前記一意の不透明識別子（１６２）を前記認証トークン（１７２ａ）の属性として追加することを含む、
請求項１から請求項９のいずれか一項に記載の方法（６００）。

【請求項11】

前記ユーザ（１２）は、複数のユーザデバイスに関連付けられ、
前記複数のユーザデバイス（１０）の各ユーザデバイス（１０）は、異なる一意の不透明識別子（１６２）に関連付けられる、
請求項１から請求項１０のいずれか一項に記載の方法（６００）。

【請求項12】

データ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェア（１４６）と、を含むシステム（１００）であって、前記メモリハードウェア（１４６）は命令を記憶しており、前記命令は、前記データ処理ハードウェア（１４４）上で実行されると、前記データ処理ハードウェア（１４４）に、
第１のアプリケーションサービス（１３０ａ）から認証要求（１３２ａ）を受信することであって、前記認証要求（１３２ａ）がユーザデバイス（１０）のユーザ（１２）の認証を要求することと、
前記ユーザ（１２）の前記ユーザデバイス（１０）に関連付けられたデバイス情報（１４）を取得することと、
前記デバイス情報（１４）に基づいて、前記ユーザデバイス（１０）に関する一意の不透明識別子（１６２）を生成することと、
前記ユーザデバイス（１０）から認証資格情報（２０）を取得することであって、前記認証資格情報（２０）が前記ユーザのアイデンティティを検証することと、
前記ユーザデバイス（１０）から前記認証資格情報（２０）を受信することに応じて、
認証トークン（１７２ａ）を生成することと、
前記ユーザデバイス（１０）に関する前記一意の不透明識別子（１６２）を前記認証トークン（１７２ａ）に含めるよう、前記一意の不透明識別子（１６２）を符号化することと、
前記認証トークン（１７２ａ）を前記第１のアプリケーションサービス（１３０ａ）に送信することであって、前記認証トークン（１７２ａ）は、前記第１のアプリケーションサービス（１３０ａ）によって受信されたときに、前記第１のアプリケーションサービス（１３０ａ）が前記一意の不透明識別子（１６２）に基づいて前記ユーザデバイス（１０）との対話を調整することを可能にすることと、を含む動作を実行させる、
システム（１００）。

【請求項13】

前記動作は、
第２のアプリケーションサービス（１３０ｂ）から第２の認証要求（１３２ｂ）を受信することであって、前記第２の認証要求（１３２ｂ）が前記ユーザデバイス（１０）の前記ユーザ（１２）の認証を要求することと、
前記ユーザ（１２）の前記ユーザデバイス（１０）に関連付けられた前記デバイス情報（１４）を取得することと、
前記デバイス情報（１４）が前記ユーザデバイス（１０）の前記一意の不透明識別子（１６２）に関連付けられていると判定することと、
第２の認証トークン（１７２ｂ）を生成することと、
前記一意の不透明識別子（１６２）を前記第２の認証トークン（１７２ｂ）に含めるよう、前記一意の不透明識別子（１６２）を符号化することと、
前記第２の認証トークン（１７２ｂ）を前記第２のアプリケーションサービス（１３０ｂ）に送信することと、をさらに含む、
請求項１２に記載のシステム（１００）。

【請求項14】

前記第１のアプリケーションサービス（１３０ａ）は、前記第２のアプリケーションサービス（１３０ｂ）が前記第１のアプリケーションサービス（１３０ａ）が受信したのと同じ前記一意の不透明識別子（１６２）を受信したと判定し、
前記第１のアプリケーションサービス（１３０ａ）は、前記一意の不透明識別子（１６２）に基づいて、前記第１のアプリケーションサービス（１３０ａ）および前記第２のアプリケーションサービス（１３０ｂ）が同じ前記ユーザデバイス（１２）と対話していると判定する、
請求項１３に記載のシステム（１００）。

【請求項15】

前記動作は、
前記デバイス情報（１４）を要求する情報要求（３１０）を前記第１のアプリケーションサービス（１３０ａ）から受信することであって、前記情報要求（３１０）が前記一意の不透明識別子（１６２）を含むことと、
前記一意の不透明識別子（１６２）に基づいて、前記ユーザ（１２）の前記ユーザデバイス（１０）に関連付けられた前記デバイス情報（１４）の少なくとも一部を、前記第１のアプリケーションサービス（１３０ａ）に送信することと、をさらに含む、
請求項１２から請求項１４のいずれか一項に記載のシステム（１００）。

【請求項16】

前記動作は、
前記第１のアプリケーションサービス（１３０ａ）から前記認証要求（１３２ａ）を受信した後、
前記認証資格情報（２０）と、前記ユーザデバイス（１０）に関連付けられた前記デバイス情報（１４）を前記第１のアプリケーションサービス（１３０ａ）と共有することについてのユーザ同意とを要求する資格情報要求（１３４）を前記ユーザデバイス（１０）に送信することと、
前記認証資格情報（２０）と前記ユーザ同意とを含む資格情報要求（１３４）への応答を受信することと、をさらに含む、
請求項１２から請求項１５のいずれか一項に記載のシステム（１００）。

【請求項17】

前記デバイス情報（１４）は、前記ユーザデバイス（１０）のウェブクッキー、前記ユーザデバイス（１０）のインターネットプロトコルアドレス、または前記ユーザデバイス（１０）のオペレーティングシステムバージョンのうちの少なくとも１つを含む、
請求項１２から請求項１６のいずれか一項に記載のシステム（１００）。

【請求項18】

前記認証トークン（１７２ａ）は、フェデレーテッド・アイデンティティ・トークンを含む、
請求項１２から請求項１７のいずれか一項に記載のシステム（１００）。

【請求項19】

前記フェデレーテッド・アイデンティティ・トークンは、ＯＡｕｔｈトークンまたはセキュリティ・アサーション・マークアップ言語（ＳＡＭＬ）トークンのうちの１つを含む、
請求項１８に記載のシステム（１００）。

【請求項20】

前記フェデレーテッド・アイデンティティ・トークンは、プロプライエタリまたは標準ベースのフェデレーテッド・アイデンティティ・システム・トークンを含む、
請求項１８に記載のシステム（１００）。

【請求項21】

前記一意の不透明識別子（１６２）を前記認証トークン（１７２ａ）に含めるよう、前記一意の不透明識別子（１６２）を符号化することは、前記一意の不透明識別子（１６２）を前記認証トークン（１７２ａ）の属性として追加することを含む、
請求項１２から請求項２０のいずれか一項に記載のシステム（１００）。

【請求項22】

前記ユーザ（１２）は、複数のユーザデバイスに関連付けられ、
前記複数のユーザデバイス（１０）の各ユーザデバイス（１０）は、異なる一意の不透明識別子（１６２）に関連付けられる、
請求項１２から請求項２１のいずれか一項に記載のシステム（１００）。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、パーベイシブ・リソース識別に関する。

【背景技術】

【0002】

ＲＥＳＴ（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ）アプリケーション・プログラミング・インターフェース（ＡＰＩ）は、独立したシステムが共通の関心のあるリソースについて通信することを可能にするためにしばしば使用されるコンピューティング・インターフェースである。例えば、２つの独立したシステムは、ユーザセッションまたはユーザによって使用されているデバイス（例えば、モバイルユーザデバイス）について通信することが多い。これらのリソースは、通常は、ＡＰＩによって識別され、当該リソース内にアプリケーションが存在することが必要とされる。ＡＰＩ呼出し側が、そのような存在なしに共有リソースを取り扱う（ａｄｄｒｅｓｓ）ことを望む場合、ＡＰＩ呼出し側は、ＡＰＩサーバに記憶されているとともにユーザに関連付けられたユーザアカウントを識別するなど、代替手段を使用しなければならない。

【発明の概要】

【発明が解決しようとする課題】

【0003】

本開示は、パーベイシブ・リソース識別に関する。

【課題を解決するための手段】

【0004】

本開示の一態様によれば、パーベイシブ・リソース識別のための方法が提供される。方法は、データ処理ハードウェアにおいて、第１のアプリケーションサービスから認証要求を受信することであって、認証要求がユーザデバイスのユーザの認証を要求することを含む。方法は、データ処理ハードウェアにおいて、ユーザのユーザデバイスに関連付けられたデバイス情報を取得することと、データ処理ハードウェアが、デバイス情報に基づいて、ユーザデバイスに関する一意の不透明識別子を生成することとをさらに含む。方法は、データ処理ハードウェアにおいて、ユーザデバイスから認証資格情報を取得することを含む。認証資格情報は、ユーザのアイデンティティを検証する。ユーザデバイスから認証資格情報を受信することに応じて、方法は、データ処理ハードウェアが、認証トークンを生成することと、データ処理ハードウェアが、ユーザデバイスの一意の不透明識別子を認証トークンに含めるよう、一意の不透明識別子を符号化することとを含む。方法は、データ処理ハードウェアが、認証トークンを第１のアプリケーションサービスに送信することをさらに含む。認証トークンは、第１のアプリケーションサービスによって受信されたとき、第１のアプリケーションサービスが、一意の不透明識別子に基づいてユーザデバイスとの対話を調整することを可能にする。

【0005】

本開示の実装形態は、以下の任意選択の特徴のうちの１つまたは複数を含み得る。一部の実装形態では、方法は、データ処理ハードウェアにおいて、第２のアプリケーションサービスから第２の認証要求を受信することをさらに含む。第２の認証要求は、ユーザデバイスのユーザの認証を要求する。この実装形態における方法はまた、データ処理ハードウェアにおいて、ユーザのユーザデバイスに関連付けられたデバイス情報を取得することと、データ処理ハードウェアが、デバイス情報がユーザデバイスの一意の不透明識別子に関連付けられていると判定することとを含む。この実装形態における方法はまたデータ処理ハードウェアが、第２の認証トークンを生成することと、データ処理ハードウェアが、一意の不透明識別子を第２の認証トークンに含めるよう、一意の不透明識別子を符号化することと、データ処理ハードウェアが、第２の認証トークンを第２のアプリケーションサービスに送信することと、を含む。一部の例では第１のアプリケーションサービスは、第２のアプリケーションサービスが第１のアプリケーションサービスが受信したのと同じ一意の不透明識別子を受信したと判定し、第１のアプリケーションサービスは、一意の不透明識別子に基づいて、第１のアプリケーションサービスおよび第２のアプリケーションサービスが同じユーザデバイスと対話していると判定する。

【0006】

任意選択で、方法は、データ処理ハードウェアが、デバイス情報を要求する第１のアプリケーションサービスからの情報要求を受信することをさらに含む。情報要求は、一意の不透明識別子を含む。データ処理ハードウェアが、一意の不透明識別子に基づいて、ユーザのユーザデバイスに関連付けられたデバイス情報の少なくとも一部を、第１のアプリケーションサービスに送信することを含む。一部の例では方法は、第１のアプリケーションサービスから認証要求を受信した後、データ処理ハードウェアが、認証資格情報と、ユーザデバイスに関連付けられたデバイス情報を第１のアプリケーションサービスと共有することについてのユーザ同意とを要求する資格情報要求をユーザデバイスに送信することと、データ処理ハードウェアが、認証資格情報とユーザ同意とを含む資格情報要求への応答を受信することと、をさらに含む。

【0007】

一部の実装形態では、デバイス情報は、ユーザデバイスのウェブクッキー、ユーザデバイスのインターネットプロトコルアドレス、またはユーザデバイスのオペレーティングシステムバージョンのうちの少なくとも１つを含む。認証トークンは、フェデレーテッド・アイデンティティ・トークンを含んでいてもよい。例えば、フェデレーテッド・アイデンティティ・トークンは、ＯＡｕｔｈトークンまたはセキュリティ・アサーション・マークアップ言語（ＳＡＭＬ）トークンのうちの１つを含む。任意選択で、フェデレーテッド・アイデンティティ・トークンは、プロプライエタリまたは標準ベースのフェデレーテッド・アイデンティティ・システム・トークンを含む。一部の例では一意の不透明識別子を認証トークンに含めるよう、一意の不透明識別子を符号化することは、一意の不透明識別子を認証トークンの属性として追加することを含む。任意選択で、ユーザは、複数のユーザデバイスに関連付けられ、複数のユーザデバイスの各ユーザデバイスは、異なる一意の不透明識別子に関連付けられる。

【0008】

本開示の別態様によれば、パーベイシブ・リソース識別のためのシステムが提供される。このシステムは、データ処理ハードウェアと、データ処理ハードウェアと通信するメモリハードウェアとを含む。メモリハードウェアは、命令を記憶し、該命令は、データ処理ハードウェア上で実行されると、データ処理ハードウェアに動作を実行させる。動作は、第１のアプリケーションサービスから認証要求を受信することを含む。認証要求は、ユーザデバイスのユーザの認証を要求する。動作は、ユーザのユーザデバイスに関連付けられたデバイス情報を取得することと、デバイス情報に基づいて、ユーザデバイスに関する一意の不透明識別子を生成することとをさらに含む。動作は、ユーザデバイスから認証資格情報を取得することを含む。認証資格情報は、ユーザのアイデンティティを検証する。ユーザデバイスから認証資格情報を受信することに応じて、動作は、認証トークンを生成することと、一意の不透明識別子を認証トークンに含めるよう、一意の不透明識別子を符号化することとを含む。動作は、認証トークンを第１のアプリケーションサービスに送信することをさらに含む。認証トークンは、第１のアプリケーションサービスによって受信されたとき、第１のアプリケーションサービスが、一意の不透明識別子に基づいてユーザデバイスとの対話を調整することを可能にする。

【0009】

この態様は、以下の任意選択の特徴のうちの１つまたは複数を含むことができる。一部の実装形態では、動作は、第２のアプリケーションサービスから第２の認証要求を受信することを含む。第２の認証要求は、ユーザデバイスのユーザの認証を要求する。この実装形態における動作は、ユーザのユーザデバイスに関連付けられたデバイス情報を取得することと、デバイス情報がユーザデバイスの一意の不透明識別子に関連付けられていると判定することと、をさらに含む。この実装形態における動作は、第２の認証トークンを生成することと、一意の不透明識別子を第２の認証トークンに含めるよう、一意の不透明識別子を符号化するステップと第２の認証トークンを第２のアプリケーションサービスに送信することを含む。一部の例では、第１のアプリケーションサービスは、第２のアプリケーションサービスが第１のアプリケーションサービスが受信したのと同じ一意の不透明識別子を受信したと判定し、第１のアプリケーションサービスは、一意の不透明識別子に基づいて、第１のアプリケーションサービスおよび第２のアプリケーションサービスが同じユーザデバイスと対話していると判定する。

【0010】

任意選択で、動作は、デバイス情報を要求する第１のアプリケーションサービスからの情報要求を受信することをさらに含む。情報要求は、一意の不透明識別子を含む。動作は、一意の不透明識別子に基づいて、ユーザのユーザデバイスに関連付けられたデバイス情報の少なくとも一部を、第１のアプリケーションサービスに送信することをさらに含んでいてもよい。一部の例では動作は、第１のアプリケーションサービスから認証要求を受信した後、認証資格情報と、ユーザデバイスに関連付けられたデバイス情報を第１のアプリケーションサービスと共有することについてのユーザ同意とを要求する資格情報要求をユーザデバイスに送信することと、認証資格情報とユーザ同意とを含む資格情報要求への応答を受信することと、をさらに含む。

【0011】

一部の実装形態では、デバイス情報は、ユーザデバイスのウェブクッキー、ユーザデバイスのインターネットプロトコルアドレス、またはユーザデバイスのオペレーティングシステムバージョンのうちの少なくとも１つを含む。認証トークンは、フェデレーテッド・アイデンティティ・トークンを含んでいてもよい。例えば、フェデレーテッド・アイデンティティ・トークンは、ＯＡｕｔｈトークンまたはセキュリティ・アサーション・マークアップ言語（ＳＡＭＬ）トークンのうちの１つを含む。任意選択で、フェデレーテッド・アイデンティティ・トークンは、プロプライエタリまたは標準ベースのフェデレーテッド・アイデンティティ・システム・トークンを含む。一部の例では一意の不透明識別子を認証トークンに含めるよう、一意の不透明識別子を符号化することは、一意の不透明識別子を認証トークンの属性として追加することを含む。任意選択で、ユーザは、複数のユーザデバイスに関連付けられ、複数のユーザデバイスの各ユーザデバイスは、異なる一意の不透明識別子に関連付けられる。

【0012】

本開示の１つまたは複数の実装形態の詳細は、添付の図面および以下の説明に記載される。他の態様、特徴、および利点は、説明および図面から、ならびに特許請求の範囲から明らかになるであろう。

【図面の簡単な説明】

【0013】

【図1】図１は、パーベイシブ・リソース識別に関する例示的なシステムの概略図である。

【図2】図２は、ユーザデバイスのパーベイシブ識別を共有する複数のアプリケーションサービスの概略図である。

【図3】図３は、ユーザデバイスのパーベイシブ識別に基づいてリモートシステムからの情報を要求するアプリケーションサービスの概略図である。

【図4】図４は、ユーザデバイスのユーザから認証資格情報を取得するための認証部の概略図である。

【図5】図５は、それぞれが同じユーザに関連付けられた複数の異なるユーザデバイスに関する複数のパーベイシブ識別の概略図である。

【図6】図６は、パーベイシブ・リソース識別の方法のための動作の例示的な構成のフローチャートである。

【図7】図７は、本明細書で説明されるシステムおよび方法を実装するために使用され得る、例示的コンピューティング・デバイスの概略図である。

【発明を実施するための形態】

【0014】

様々な図面における同様の参照符号は、同様の要素を示す。
現代のシステムでは、複数のサービスが共有リソースに関して互いに通信できる必要がある。例えば、互いに異なる組織によって潜在的に所有および／または運営される複数のサービスは、多くの場合、共有ユーザが使用しているデバイスに関する情報を読み取り、または更新することを所望する。そのような共有リソースを識別することを必要とする複数のサービスは、同じリソースについて合意するために、何らかの二次的な識別を互いに提供する必要がある。

【0015】

いくつかの状況では、同じユーザデバイス上で実行している２つのアプリケーションサービス（すなわち、アプリケーション）が互いに通信することを望む。あるいは、互いに異なるリモートコンピューティング・デバイス（例えば、サーバ）上で実行している２つのアプリケーションサービスが、共有ユーザのユーザデバイスについて通信することを望む。例えば、第１のアプリケーションサービスは、ユーザのためのサービスを実行する前に、第２のアプリケーションサービスからユーザデバイスのセキュリティリスクの状態（ｐｏｓｔｕｒｅ）を取得することを望む場合がある。しかしながら、いくつかのユーザデバイス上で実行される、あるいはこれと通信するアプリケーションサービスは、プライバシーまたはセキュリティの懸念のために、ユーザデバイスに関する一意のデバイス識別子を取得することができない。したがって、２つの独立したアプリケーションが、それぞれが同じ実行環境において（すなわち、同じユーザデバイス上で）実行しているか、または同じユーザデバイスと通信しているかを判定することは困難であり得る。

【0016】

一部の技術では、これらのリソースは、通常は、ＡＰＩによって識別され、当該リソース内にアプリケーションが存在することが求められる。ＡＰＩ呼出し側が、そのような存在なしに共有リソースを取り扱う（ａｄｄｒｅｓｓ）ことを望む場合、ＡＰＩ呼出し側は、ＡＰＩサーバに記憶されているとともにユーザに関連付けられたユーザアカウントを識別するなど、代替手段を使用しなければならない。しかしながら、プライバシーの懸念が、ＡＰＩ呼び出し側がそのような情報を発見することを妨げ得る。他の技術では、ユーザデバイスにアクセスしている現在のユーザに関するリソース識別を調整する、ユーザデバイス上にインストールされた別のアプリケーションを必要とする。

【0017】

本明細書の実装形態は、アプリケーションサービス（すなわち、１つまたは複数のコンピューティング・デバイスのデータ処理ハードウェア上で実行するアプリケーション）が、一意の不透明識別子（ＩＤ）を取得してユーザデバイスの実行環境を関連させる（ｃｏｒｒｅｌａｔｅ）ことを可能にする、パーベイシブ・リソース識別のためのシステムを対象とする。ＩＤ生成部は、ユーザに関連付けられたユーザデバイスからデバイス情報を取得するとともに、デバイス情報に基づいてユーザデバイスに関する一意の不透明ＩＤを生成する。認証部は、ユーザデバイスから認証資格情報を取得するとともに、一意の不透明識別子を符号化した認証トークンを生成する。認証部は、アプリケーションサービスが一意の不透明ＩＤに基づいてユーザデバイスとの対話を調整することを可能にする認証トークンを、アプリケーションサービスに送信する。

【0018】

ここで図１を参照すると、一部の実装形態では、例示的なシステム１００は、ネットワーク１１２を介してリモートシステム１４０と通信するユーザ１２に関連付けられたユーザデバイス１０を含む。ユーザデバイス１０は、デスクトップワークステーション、ラップトップワークステーション、またはモバイルデバイス（すなわち、スマートフォン）等の任意のコンピューティング・デバイスに対応し得る。ユーザデバイス１０は、コンピューティングリソース１８（例えば、データ処理ハードウェア）および／またはストレージリソース１６（例えば、メモリハードウェア）を含む。

【0019】

リモートシステム１４０は、コンピューティングリソース１４４（例えば、データ処理ハードウェア）および／またはストレージリソース１４６（例えば、メモリハードウェア）を含むスケーラブル／エラスティックコンピューティングリソース１４２を有する、単一のコンピュータ、複数のコンピュータ、または分散システム（例えば、クラウド環境）であってもよい。リモートシステム１４０は、ＩＤ生成部１６０の実行を行う。

【0020】

ＩＤ生成部１６０は、ユーザ１２のユーザデバイス１０に関連付けられたデバイス情報１４を取得する。デバイス情報１４は、集約すると、ユーザデバイス１０を一意に識別するのに役立つ、ユーザデバイス１０に関する情報を表している。すなわち、デバイス情報１４は、理想的には、ユーザデバイス１０を一意に識別するには個々には不十分である複数の情報を含むが、組み合わせることによって、デバイス情報１４の複数の情報は、ユーザデバイス１０の一意の（またはほぼ一意の）識別子を表す。例えば、デバイス情報１４は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）種別、ＯＳバージョン、ＯＳパッチレベル、ウェブクッキー、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、インストールされているアプリケーション情報等の情報を含む。デバイス情報１４は、インストールされたアプリケーションに対して典型的に許可される情報のみを含んでいる場合がある一方、個人識別可能情報（ＰＩＩ）を含まない。例えば、多くのＯＳは、インストールされたアプリケーションが機密情報にアクセスしたり機密情報を共有したりすることを制限する。代わりに、ＩＤ生成部１６０は、制限されておらず、ユーザ１２に関する機密情報を含まないデバイス情報１４を受信する。

【0021】

ＩＤ生成部１６０は、デバイス情報１４に基づいて、ユーザデバイス１０に関する情報を直接的には提供しない、ユーザデバイス１０に関する一意の不透明ＩＤ１６２を生成する。すなわち、不透明ＩＤ１６２は、ユーザデバイス１０またはユーザ１２に関するいかなる識別情報（ｉｄｅｎｔｉｆｙｉｎｇ ｉｎｆｏｒｍａｔｉｏｎ）も含まないが、その代わりに、リモートシステム１４０のエンティティが特定のユーザデバイス１０を識別するための識別子として機能する。例えば、不透明ＩＤ１６２は、リモートシステム１４０のエンティティが特定のユーザデバイス１０から取得されたデバイス情報１４を関連付けるために使用する、数字および／または文字からなるランダムな文字列を含む。

【0022】

リモートシステム１４０はまた、認証部１７０の実行を行う。認証部１７０は、アプリケーションサービス１３０から、ユーザデバイス１０のユーザ１２の認証を要求する認証要求１３２を受信する。アプリケーションサービス１３０は、同じまたは異なるネットワーク１１２を介してリモートシステム１４０と通信するユーザ１２またはユーザデバイス１０に関連付けられたサービスまたはアプリケーションをホストする任意のコンピューティング・デバイス（たとえば、サーバ）上で実行するアプリケーションであり得る。いくつかの実装形態では、アプリケーションサービス１３０は、ユーザデバイス１０上でインストールされ実行している関連付けられたアプリケーションと通信している。他の実装形態では、アプリケーションサービス１３０は、ユーザデバイス１０上で実行するとともに、ユーザデバイス１０および／またはリモートコンピューティング・デバイス上にインストールされた別のアプリケーションと通信する。ソフトウェア・アプリケーション（すなわち、ソフトウェアリソース）は、コンピューティング・デバイスにタスクを実行させるコンピュータソフトウェアを指す場合がある。一部の例では、ソフトウェア・アプリケーションは、「アプリケーション」、「アプリ」、または「プログラム」と呼ばれることがある。例示的なアプリケーションは、システム診断アプリケーション、システム管理アプリケーション、システム保守アプリケーション、ワードプロセッシングアプリケーション、スプレッドシートアプリケーション、メッセージングアプリケーション、メディアストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、およびゲームアプリケーションを含むが、これらに限定されない。例えば、アプリケーションサービス１３０は、ユーザデバイス１０を介して（例えば、ウェブ・ブラウザまたはアプリケーションサービス１３０に固有のアプリケーションを介して）ユーザ１２が使用するウェブストレージアプリケーション（例えば、写真、文書などのための）をホストすることにより、ファイルを記憶することができる。一部の例では、アプリケーションサービス１３０はリモートシステム１４０に関連付けられている一方、他の例では、アプリケーションサービス１３０はリモートシステム１４０から完全に独立している。

【0023】

多くのウェブでホストされるサービスおよびアプリケーションが、ユーザアクセスを管理および認証するためにフェデレーテッド識別技術に依存することが、ますます一般的となっている。例えば、ユーザは、単一のフェデレーテッドアイデンティティサービスを用いて認証資格情報（例えば、ユーザ名およびパスワード）を維持する。ユーザがサードパーティサービスにおいてユーザに関連付けられたアカウントまたはリソースにアクセスすることを望むとき、サードパーティサービスは、ユーザを認証するよう、フェデレーテッドアイデンティティサービスに要求する。このようにして、ユーザは、認証資格情報の単一のセットを維持する必要があるだけでよいとともに、サードパーティサービスは、適切な認証サービスおよびセキュリティを維持する必要がなく、代わりに、フェデレーテッドアイデンティティサービスに依拠する。

【0024】

ここで、リモートシステム１４０は、フェデレーテッドアイデンティティサービスとして動作してもよい。また、認証トークン１７２は、フェデレーテッド・アイデンティティ・トークンを含んでいてもよい。すなわち、アプリケーションサービス１３０は、ユーザ１２がアプリケーションサービス１３０に関連付けられたリソースにアクセスできるように、認証部１７０にユーザ１２を認証するように要求する。アプリケーションサービス１３０は、ユーザ１２からの選択または指示に応じて、認証要求１３２をリモートシステム１４０に送信することができる。例えば、ユーザ１２は、アプリケーションサービス１３０に関連付けられたリソースにアクセスしようと試みるとき、フェデレーテッドアイデンティティサービス（すなわち、認証部１７０）を介して認証を行うオプションを選択する。リモートシステム１４０は、ＯＡｕｔｈ、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ、およびＳｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＳＡＭＬ）等、任意の種類のフェデレーテッドアイデンティティ技術を使用することができる。例えば、認証トークン１７２は、ＯＡｕｔｈトークンまたはＳＡＭＬトークンを含む。

【0025】

認証部１７０は、ユーザデバイス１０から、ユーザ１２のアイデンティティを検証する認証資格情報２０を取得する。例えば、認証資格情報２０は、ユーザ名、パスワード、ワンタイムコード（２要素認証等）、バイオメトリック情報、または認証部１７０およびユーザ１２が同意した任意の他の情報を含んでおり、ユーザ１２のアイデンティティを認証するのに十分である。以下でより詳細に説明するように、認証部１７０は、例えばユーザデバイス１０のディスプレイを介してユーザ１２に認証資格情報２０を提供するように促すことに応じて、認証資格情報２０を受信することができる。リモートシステム１４０は、認証資格情報２０を提供するようにユーザ１２および／またはユーザデバイス１０に促すべく、資格情報要求１３４をユーザデバイス１０に発行し得る。一部の例では、資格情報要求１３４は、デバイス情報を共有する同意の要求を含む（図４）。

【0026】

リモートシステム１４０は、認証資格情報２０とともにデバイス情報１４を受信することができる。すなわち、ユーザデバイス１０が認証資格情報２０をリモートシステム１４０にサブミットするたびに、ユーザデバイス１０は、デバイス情報１４を同時に含めることもできる。これに加えてまたは代えて、リモートシステム１４０は、認証資格情報２０とは独立して（例えば、一定間隔で）デバイス情報１４を受信する。デバイス情報１４は、ユーザデバイス１０に変更が加えられる（例えば、パッチがＯＳに適用される）につれて、変更または更新され得る。ユーザデバイス１０は、そのような変更に基づいて、更新されたデバイス情報１４をリモートシステム１４０に送信し得る。

【0027】

認証部１７０は、認証資格情報２０を受信することに応じて、トークンベースの認証に関して使用するために許容可能な認証トークン１７２（すなわち、アクセストークン）を生成する。認証トークン１７２は、アプリケーションサービス１３０によって管理されるリソースへのアクセスをユーザデバイス１０に提供する。認証部１７０は、一部の実装形態では、一意の不透明ＩＤ１６２を認証トークン１７２に含める。例えば、認証部１７０は、不透明ＩＤ１６２を、認証トークン１７２の追加属性として認証トークン１７２に符号化するか、埋め込む。

【0028】

リモートシステム１４０は、一部の例では、認証トークン１７２をアプリケーションサービス１３０に送信する。これに代えて、リモートシステム１４０は認証トークン１７２をユーザデバイス１０に送信する。次いで、ユーザデバイス１０は認証トークン１７２をアプリケーションサービス１３０に送信する。認証トークン１７２は、ユーザデバイス１０が、アプリケーションサービス１３０によって提供されるリソースまたはサービスにアクセスすることを許可する。加えて、以下でより詳細に論じられるように、認証トークン１７２は、含まれる不透明ＩＤ１６２に基づいて、アプリケーションサービス１３０がユーザデバイス１０とのアプリケーション対話１３６を調整することを可能にする。

【0029】

ここで図２を参照すると、一部の実装では、システム１００は、複数のアプリケーションサービス１３０を含む。ここで、システム１００は、第１のアプリケーションサービス１３０、１３０ａおよび第２のアプリケーションサービス１３０、１３０ｂを含む。ここで、アプリケーションサービス１３０は、ユーザデバイス１０から遠隔にあるものとして示されているが、上述したように、アプリケーションサービス１３０は、ユーザデバイス１０上でも実行してよい。この例では、リモートシステム１４０は、第１の認証要求１３２、１３２ａを第１のアプリケーションサービス１３０ａから受信した後に、対応する認証トークン１７２、１７２ａを生成する。そして、リモートシステム１４０は、第２のアプリケーションサービス１３０ｂから第２の認証要求１３２、１３２ｂを受信する。リモートシステム１４０は、ユーザデバイス１０からの認証資格情報２０およびデバイス情報１４を再び取り出す。一部の例では、リモートシステム１４０は、（第２の認証要求１３２ｂに応じて）認証資格情報２０と併せてユーザデバイス１０からのデバイス情報１４が、ユーザデバイス１０に関して以前に生成されるとともに第１のアプリケーションサービス１３０ａに提供された、一意の不透明ＩＤ１６２に関連付けられていると判定する。例えば、リモートシステム１４０は、デバイス情報１４が、以前に生成された不透明ＩＤ１６２に関連付けられたデバイス情報１４と一致する（またはほぼ一致する）と判定する。リモートシステム１４０は、不透明ＩＤ１６２に関連付けられたデバイス情報１４と比較したときに、新しいデバイス情報１４が比較閾値を満たすかどうかを判定し得る。新しいデバイス情報１４が比較閾値を満たす場合、リモートシステム１４０は、新しいデバイス情報１４が以前に生成された不透明ＩＤ１６２に関連付けられていると判定する。この例では、認証部１７０は、ユーザデバイス１０から受信した同じまたは類似のデバイス情報１４に基づいて、第２の認証トークン１７２、１７２ｂを生成するとともに、第１のアプリケーションサービス１３０ａに以前に送信された同じ一意の不透明ＩＤ１６２を符号化する。

【0030】

すなわち、ユーザ１２は、第１の認証要求１３２ａおよび第２の認証要求１３２ｂの両方に応じるために同じユーザデバイス１０を使用したので、両方の認証要求１３２ａ、１３２ｂとともに含まれるデバイス情報１４は、同じまたは類似している。したがって、リモートシステム１４０は、認証要求１３２ａ、１３２ｂの両方に応じて受信したデバイス情報１４を、同じ一意の不透明ＩＤ１６２に関連させることができる。リモートシステム１４０は、同じユーザデバイス１０が第１の認証要求１３２ａと第２の認証要求１３２ｂの両方に応じたと判定するので、リモートシステム１４０は、同じ不透明ＩＤ１６２を第１の認証トークン１７２ａと第２の認証トークン１７２ｂの両方に含めるよう、同じ不透明ＩＤ１６２を符号化する。リモートシステム１４０は、第２の認証トークン１７２ｂを第２のアプリケーションサービス１３０ｂに送信する。

【0031】

一部の実装形態では、第１のアプリケーションサービス１３０ａは、第２のアプリケーションサービス１３０ｂが第１のアプリケーションサービス１３０ａが受信したのと同じ一意の不透明ＩＤ１６２を受信したと判定する。第１のアプリケーションサービス１３０ａは、一意の不透明ＩＤ１６２に基づいて、第１のアプリケーションサービス１３０ａおよび第２のアプリケーションサービス１３０ｂが同じユーザデバイス１０と対話していると判定する。例えば、第１のアプリケーションサービス１３０ａおよび第２のアプリケーションサービス１３０ｂは、それぞれが同じ不透明ＩＤ１６２を受信したことを両アプリケーションサービス１３０ａ、１３０ｂに通知する、ＩＤ比較２１０の通信を行う。これに代えて、リモートシステム１４０は、一致する不透明ＩＤ１６２をアプリケーションサービス１３０ａ、１３０ｂの両方に通知することができる。共通の不透明ＩＤ１６２に基づいて、アプリケーションサービス１３０ａ、１３０ｂは、ユーザ１２またはユーザデバイス１０から特定の識別情報（ｉｄｅｎｔｉｆｙｉｎｇ ｉｎｆｏｒｍａｔｉｏｎ）も受信することなく、それぞれが同じユーザデバイス１０と対話していると推測することができる。アプリケーションサービス１３０ａ、１３０ｂのいずれかまたは両方は、それぞれが同じユーザデバイス１０と対話しているという判定に基づいて、それらのサービスをユーザ１２および／またはユーザデバイス１０に合うようにできる。

【0032】

ここで図３を参照すると、一部の実装形態において、概略図３００は、リモートシステム１４０が、アプリケーションサービス１３０から、ユーザデバイス１０のデバイス情報１４の一部を要求する情報要求３１０を受信することを示す。一部の例では、情報要求３１０は、アプリケーションサービス１３０がリモートシステム１４０から受信した、埋め込まれた不透明ＩＤ１６２とともに認証トークン１７２を含む。アプリケーションサービス１３０は、アプリケーションサービス１３０がどのユーザデバイス１０に関するデバイス情報１４を望むかの識別子として機能する、不透明ＩＤ１６２と認証トークン１７２とを含む。

【0033】

リモートシステム１４０は、アプリケーションサービス１３０から受信した不透明ＩＤ１６２に関連付けられたデバイス情報１４を判定する。例えば、リモートシステム１４０は、生成された各不透明ＩＤ１６２を対応するデバイス情報１４と関連させるデータベースにアクセスする。一部の例では、リモートシステム１４０は、一意の不透明ＩＤ１６２に基づいて、ユーザ１２のユーザデバイス１０に関連付けられたデバイス情報１４の少なくとも一部をアプリケーションサービス１３０に送信する。例えば、アプリケーションサービス１３０は、ユーザデバイス１０のセキュリティの状態（ｐｏｓｔｕｒｅ）を判定することを所望し、ユーザデバイス１０のパッチレベルおよびＯＳのバージョンに関連付けられたデバイス情報１４を要求する。リモートシステム１４０がアプリケーションサービス１３０に送信するデバイス情報１４は、ユーザデバイス１０のユーザ１２から受信した同意に基づいていてもよい。

【0034】

ここで図４を参照すると、一部の実装形態では、リモートシステム１４０は、認証資格情報２０をリモートシステム１４０に提供するようにユーザ１２に促す、認証／許可ユーザインターフェース４００をユーザデバイス１０上に呼び出すように構成されている。ここで、認証ユーザインターフェース２０４は、ユーザ１２に「以下においてサインインしてください」と示すメッセージ４２２を含む。認証ユーザインターフェース４００はまた、ユーザ１２に該ユーザ１２のアイデンティティを検証するためのインターフェースを提供する認証資格情報入力領域４１２を含む。例えば、認証資格情報入力領域４１２は、ユーザ名およびパスワードのための入力テキストボックス、バイオメトリック入力（例えば、指紋センサ）、２要素認証コード入力ボックス、または認証および／もしくは認証資格情報２０を取得するための任意の他の技術を含む。

【0035】

一部の例では、認証／認可ユーザインターフェース４００は、リモートシステム１４０がデバイス情報１４の一部または全部をアプリケーションサービス１３０と潜在的に共有することを可能にするために、ユーザ１２からの同意を要求する同意要求領域４３０を含む。ここで、同意要求領域４３０は、「このサービスは、お客様のエクスペリエンスを調整および改善するために、一部のデバイス情報を要求および／または共有する場合があります。このサービスとデバイス情報を共有したくない場合は、下のチェックボックスにチェックを入れてください」とのメッセージを含む。この例では、入力ボックス４３２は、ユーザ１２がデバイス情報１４の共有についてオプトアウトする（すなわち、同意しない）ことを可能にする。一部の例では、ユーザ１２は、デバイス情報１４のどの部分がアプリケーションサービス１３０と共有するのに適格であり、どの部分が適格でないかを調整する。ユーザ１２は、認証／認可ユーザインターフェース４００を通じて、またはリモートシステム１４０に係るアカウントを介したアカウントサービスもしくは管理を通じて、プリファレンスを調整してもよい。情報要求３１０（図３）によってアプリケーションサービス１３０に提供されるデバイス情報１４は、ユーザ１２から受信した同意に基づくことができる。この同意は、同意を提供するためにユーザ１２が使用した特定のユーザデバイス１０で、ユーザ１２が認証している特定のアプリケーションサービス１３０にのみ適用可能であり得る。一部の例では、ユーザ１２は、リモートシステム１４０とアプリケーションサービス１３０との間で許可される共有のデフォルトレベルを設定する、グローバル同意設定をリモートシステム１４０に関して設定する。共有のデフォルトレベルについて、ユーザ１２は、各アプリケーションサービス１３０に対して個別に調整することができる。

【0036】

一部の例では、ユーザデバイス１０のアドミニストレータは、不透明ＩＤ１６２と、リモートシステム１４０とアプリケーションサービス１３０との間のデバイス情報１４の共有とを制御する。例えば、アドミニストレータは、リモートシステム１４０と通信する管理ポリシーユーザインターフェースにアクセスする。これに加えてまたは代えて、ユーザ１２は、リモートシステム１４０と通信するプライバシープリファレンスユーザインターフェースを介して、不透明ＩＤ１６２と、およびリモートシステム１４０とアプリケーションサービス１３０との間のデバイス情報の共有とを制御してもよい。アドミニストレータユーザインターフェースおよびプライバシープリファレンスユーザインターフェース等のユーザインターフェースは、デバイス情報１４および／または不透明ＩＤ１６２の一部または全部をアプリケーションサービス１３０の一部または全部と共有することを、細かに（ｇｒａｎｕｌａｒｌｙ）有効または無効にする機能を提供し得る。

【0037】

ここで図５を参照すると、一部の例では、概略図５００は、ユーザ１２が現在使用している特定のユーザデバイス１０に基づいて、アプリケーションサービス１３０がユーザ１２に提供されるサービスをパーソナライズすることを可能にするリモートシステム１４０を示す。例えば、アプリケーションサービス１３０は、ユーザデバイス１０に提供することを選択する情報を調整し、および／またはユーザ１２が実行することを許可されるアクションを調整する。特定の例として、「良好な」健康スコア（すなわち、セキュリティ状態（ｓｅｃｕｒｉｔｙ ｐｏｓｔｕｒｅ））を有する企業所有のユーザデバイス１０上のユーザ１２は、アプリケーションサービス１４を用いて、個人を識別可能な情報を含むファイルを閲覧することができる。これに対し、当該ユーザ１２は、同じ良好な健康スコアを有さないパーソナルユーザデバイス１０を使用するとき、外部当事者にアクセス可能なファイルのみにアクセスすることができる。

【0038】

図示した例では、ユーザ１２は、複数のユーザデバイス１０、１０ａ～ｃに関連付けられている。ここで、ユーザ１２は、モバイルユーザデバイス１０ａ、ラップトップ１０ｂ、およびデスクトップ１０ｃを使用する。リモートシステム１４０は、これらのユーザデバイス１０ａ～ｃの各々からデバイス情報１４、１４ａ～ｃを受信する（例えば、１つまたは複数のアプリケーションサービス１３０に関して、ユーザデバイス１０ａ～ｃを認証するとき）。そして、リモートシステム１４０は、各ユーザデバイス１０ａ～ｃに関して、別個の一意の不透明ＩＤ１６２、１６２ａ～ｃを生成する。したがって、ユーザ１２がユーザデバイス１０ａ～ｃのうちの特定の１つを介してアプリケーションサービス１３０に関して認証を行うとき、アプリケーションサービス１３０は、特定のユーザデバイス１０に関連付けられた不透明ＩＤ１６２を受信するとともに、アプリケーションサービス１３０は、それに応じてそのサービスを調整することができる。

【0039】

図６は、パーベイシブ・リソース識別の方法６００のための動作の例示的な構成のフローチャートである。方法６００は、動作６０２において、データ処理ハードウェア１４４において、アプリケーションサービス１３０から認証要求１３２を受信することを含む。認証要求１３２は、ユーザデバイス１０のユーザ１２の認証を要求する。方法６００は、動作６０４において、データ処理ハードウェア１４４において、ユーザ１２のユーザデバイス１０に関連付けられたデバイス情報１４を取得することを含む。方法６００は、動作６０６において、データ処理ハードウェア１４４が、デバイス情報１４に基づいて、ユーザデバイス１０に関する一意の不透明識別子１６２を生成することを含む。

【0040】

方法６００は、動作６０８において、データ処理ハードウェア１４４において、ユーザデバイス１０から認証資格情報２０を取得することを含む。認証資格情報２０がユーザ１２のアイデンティティを検証する。ユーザデバイス１０から認証資格情報２０を受信することに応じて、方法６００は、動作６１０において、データ処理ハードウェア１４４が、認証トークン１７２を生成することと、データ処理ハードウェア１４４が、一意の不透明識別子１６２を認証トークン１７２に含めるよう、一意の不透明識別子１６２を符号化することと、を含む。方法６００は、動作６１２において、データ処理ハードウェア１４４が、認証トークン１７２をアプリケーションサービス１３０に送信することを含む。認証トークン１７２は、アプリケーションサービス１３０によって受信されたとき、第１のアプリケーションサービス１３０が、一意の不透明識別子１６２に基づいてユーザデバイス１０との対話１３６を調整することを可能にする。

【0041】

図７は、本明細書に記載のシステムおよび方法を実装するために用いられ得る一例のコンピューティング・デバイス７００の概略図である。コンピューティング・デバイス７００は、ラップトップ、デスクトップ、ワークステーション、携帯情報端末、サーバ、ブレードサーバ、メインフレーム、および他の適切なコンピュータなど、様々な形態のデジタル・コンピュータを表すことが意図される。ここに示したコンポーネント、それらの接続および関係、ならびにそれらの機能は、例示的な意味でしかなく、本開示において記載され特許を請求される発明の実装を限定することを意味するものではない。

【0042】

コンピューティング・デバイス７００は、プロセッサ７１０、メモリ７２０、ストレージ・デバイス７３０、メモリ７２０および高速拡張ポート７５０に接続する高速インターフェース／コントローラ７４０、ならびに低速バス７７０およびストレージ・デバイス７３０に接続する低速インターフェース／コントローラ７６０を備える。コンポーネント７１０，７２０，７３０，７４０，７５０，７６０の各々は、様々なバスを用いて相互接続されており、共通のマザーボード上に、または他の適切な手法により、取り付けられてよい。プロセッサ７１０は、高速インターフェース７４０に結合されているディスプレイ７８０などの外部入力／出力装置上にグラフィカル・ユーザ・インターフェース（ＧＵＩ）用のグラフィック情報を表示するためにメモリ７２０にまたはストレージ・デバイス７３０上に記憶されている命令を含む、コンピューティング・デバイス７００内における実行用の命令を処理することが可能である。他の実装では、複数のメモリおよびメモリ種類に加えて、適切であるように複数のプロセッサおよび／または複数のバスが用いられてよい。また、各デバイスが必要な動作の一部分を提供する複数のコンピューティング・デバイス７００が接続されてもよい（例えば、サーバ・バンク、ブレードサーバのグループ、またはマルチプロセッサ・システムとして）。

【0043】

メモリ７２０は、コンピューティング・デバイス７００内に情報を非一時的に記憶する。メモリ７２０は、コンピュータ可読媒体、揮発性メモリユニット、または不揮発性メモリユニットであってよい。非一時的なメモリ７２０は、コンピューティング・デバイス７００による使用のため、プログラム（例えば、命令のシーケンス）またはデータ（例えば、プログラム状態情報）を一時的にまたは永続的に記憶するために用いられる物理デバイスであってよい。不揮発性のメモリの例は、次に限定されないが、フラッシュ・メモリおよび読出専用メモリ（ＲＯＭ）／プログラマブル読取専用メモリ（ＰＲＯＭ）／消去可能プログラマブル読取専用メモリ（ＥＰＲＯＭ）／電子的に消去可能なプログラマブル読取専用メモリ（ＥＥＰＲＯＭ）（例えば、ブート・プログラムなど典型的にはファームウェアに用いられる）を含む。揮発性メモリの例は、次に限定されないが、ランダム・アクセス・メモリ（ＲＡＭ）、ダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、相変化メモリ（ＰＣＭ）、およびディスクまたはテープを含む。

【0044】

ストレージ・デバイス７３０は、コンピューティング・デバイス７００にマス・ストレージを提供することができる。いくつかの実装では、ストレージ・デバイス７３０はコンピュータ可読媒体である。様々な異なる実装では、ストレージ・デバイス７３０は、フロッピー（登録商標）ディスク装置、ハードディスク装置、光学ディスク装置、もしくはテープ装置、フラッシュ・メモリまたは他の同様のソリッド・ステート・メモリ装置、またはストレージ・エリア・ネットワークもしくは他の構成における装置を含む装置のアレイであってよい。追加の実装では、コンピュータ・プログラム製品は情報キャリアにより有形に具体化される。コンピュータ・プログラム製品は、実行時に上述のものなど１または複数の方法を実行する、命令を含む。情報キャリアは、メモリ７２０、ストレージ・デバイス７３０、またはプロセッサ７１０上のメモリなど、コンピュータ可読媒体または機械可読媒体である。

【0045】

高速コントローラ７４０がコンピューティング・デバイス７００用の帯域幅集約的な動作を管理する一方、低速コントローラ７６０は、より帯域幅集約的でない動作を管理する。そのような役割の割当は単に例示に過ぎない。いくつかの実装では、高速コントローラ７４０は、メモリ７２０、ディスプレイ７８０（例えば、グラフィックス・プロセッサまたはアクセラレータを通じて）、および高速拡張ポート７５０（様々な拡張カード（示していない）を受け入れることができる）に結合されている。いくつかの実装では、低速コントローラ７６０は、ストレージ・デバイス７３０および低速拡張ポート７９０に結合されている。低速拡張ポート７９０（様々な通信ポート（例えば、ＵＳＢ、ＢＬＵＥＴＯＯＴＨ（登録商標）、イーサネット（登録商標）、無線イーサネット）を含んでよい）は、１または複数の入力／出力デバイス（キーボード、ポインティング・デバイス、スキャナなど）またはネットワーク・デバイス（スイッチもしくはルータなど）に対し、結合されてよい（例えば、ネットワーク・アダプタを通じて）。

【0046】

コンピューティング・デバイス７００は、図に示すように、多くの異なる形式により実装されてよい。例えば、１つの標準的なサーバ７００ａとして実装されてもよく、そのようなサーバ７００ａのグループにより複数回実装されてもよく、ラップトップ・コンピュータ７００ｂとして、またはラック・サーバ・システム７００ｃの一部として実装されてもよい。

【0047】

本明細書に記載のシステムおよび技術の様々な実装は、デジタルな電子回路および／または光回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向けＩＣ）、コンピュータ・ハードウェア、ファームウェア、ソフトウェア、および／またはそれらの組み合わせにより実現可能である。それらの様々な実装は、ストレージ・システム、１つ以上の入力装置、および１つ以上の出力装置との間でデータおよび命令を送受信するように結合されている、１つ以上のプログラム可能な（専用または汎用の）プロセッサを備えるプログラム可能なコンピュータ上において実行可能および／または解釈可能である、１または複数のコンピュータ・プログラムによる実装を含むことが可能である。

【0048】

それらのコンピュータ・プログラム（プログラム、ソフトウェア、ソフトウェア・アプリケーション、またはコードとしても知られている）は、プログラム可能なプロセッサ用の機会命令を含み、高レベルの手続的および／またはオブジェクト指向のプログラミング言語により、アセンブリ／機械語により、またはそのバケツにより実装されることが可能である。本明細書で用いられるところでは、用語「機械可読媒体」および「コンピュータ可読媒体」は、機械可読信号として機械命令を受信する機械可読媒体を含め、プログラム可能なプロセッサに機械命令および／またはデータを提供するために用いられる、任意のコンピュータ・プログラム製品、非一時的なコンピュータ可読媒体、装置、および／またはデバイス（例えば、磁気ディスク、光ディスク、メモリ、プログラム可能論理回路（ＰＬＤ））を指す。用語「機械可読信号」は、プログラム可能なプロセッサに機械命令および／またはデータを提供するために用いられる任意の信号を指す。

【0049】

本明細書に記載の処理および論理フローは、入力データに対する演算と出力の生成とによって機能を実行するように１または複数のコンピュータ・プログラムを実行する１または複数のプログラム可能なプロセッサ（データ処理ハードウェアとも呼ぶ）によって実行されることが可能である。処理および論理フローは、専用の論理回路（例えば、ＦＰＧＡ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ）またはＡＳＩＣ（特定用途向けＩＣ））によって実行されることが可能である。コンピュータ・プログラムの実行に適切なプロセッサは、例として、汎用および専用のマイクロプロセッサ、および任意の種類のデジタル・コンピュータの１または複数のプロセッサの両方を含む。一般に、プロセッサは、読出専用メモリ、ランダム・アクセス・メモリ、またはその両方から命令およびデータを受け取るであろう。コンピュータの必須要素は、命令を実行するためのプロセッサと、命令およびデータを記憶するための１または複数のメモリ・デバイスとである。一般に、コンピュータは、データを記憶するための１または複数のマス・ストレージ（例えば、磁気、光磁気ディスク、または光ディスク）を備えるか、データの受信、データの送信、またはその両方を行うように、該マス・ストレージに対し動作可能に結合されている。しかしながら、コンピュータがそのようなデバイスを備える必要はない。コンピュータ・プログラム命令およびデータを記憶するために適切なコンピュータ可読媒体は、例として、半導体メモリ・デバイス（例えば、ＥＰＲＯＭ、ＥＥＰＲＯＭおよび、フラッシュメモリ・デバイス）、磁気ディスク（例えば、内部ハードディスクまたはリムーバブル・ディスク）、光磁気ディスク、ならびにＣＤ－ＲＯＭおよびＤＶＤ－ＲＯＭディスクを含む、全ての形式の不揮発性メモリ、メディア、およびメモリ・デバイスを含む。プロセッサおよびメモリは、専用論理回路によって補足されるか、専用論理回路に組み込まれることが可能である。

【0050】

ユーザとの対話を提供するため、本開示の１または複数の態様は、ユーザに情報を表示するためのディスプレイ・デバイス（例えば、ＣＲＴ（陰極線管）、ＬＣＤ（液晶ディスプレイ）モニタ、またはタッチ・スクリーン）を有する、また随意では、それによってユーザがコンピュータに入力を提供可能であるキーボードおよびポインティング・デバイス（例えば、マウスまたはトラックボール）を有する、コンピュータ上に実装されることが可能である。他の種類のデバイスもユーザとの対話を提供するために用いられることが可能である。例えば、ユーザに対し提供されるフィードバックは、任意の形態の感覚フィードバック（例えば、視覚フィードバック、聴覚フィードバック、または触覚フィードバック）であることが可能であり、ユーザからの入力は、音響、音声、または触覚の入力を含む、任意の形態により受信されることが可能である。加えて、コンピュータは、ユーザによって用いられるデバイスとの間でドキュメントを送受信することによって（例えば、ウェブ・ブラウザから受信される要求に応じてユーザのクライアント装置上のウェブ・ブラウザにウェブ・ページを送信することによって）、ユーザと対話することが可能である。

【0051】

多くの実装について記載した。しかしながら、様々な変更が本開示の精神および範囲から逸脱することなくなされ得ることが理解されるであろう。したがって、他の実装は添付の特許請求の範囲の範囲内にある。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【国際調査報告】