▶ オラクル・インターナショナル・コーポレイションの特許一覧
特表2024-513662ネットワーク機能（ＮＦ）におけるリソースオブジェクトレベル承認のための方法、システム、およびコンピュータ可読媒体
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-03-27
(54)【発明の名称】ネットワーク機能（ＮＦ）におけるリソースオブジェクトレベル承認のための方法、システム、およびコンピュータ可読媒体
(51)【国際特許分類】
H04W 12/08 20210101AFI20240319BHJP
H04L 41/40 20220101ALI20240319BHJP
H04W 92/24 20090101ALI20240319BHJP
【ＦＩ】
H04W12/08
H04L41/40
H04W92/24
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2023553376
(86)(22)【出願日】2022-01-21
(85)【翻訳文提出日】2023-10-19
(86)【国際出願番号】 US2022013268
(87)【国際公開番号】W WO2022186911
(87)【国際公開日】2022-09-09
(31)【優先権主張番号】17/192,800
(32)【優先日】2021-03-04
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＪＡＶＡＳＣＲＩＰＴ
(71)【出願人】
【識別番号】502303739
【氏名又は名称】オラクル・インターナショナル・コーポレイション
(74)【代理人】
【識別番号】110001195
【氏名又は名称】弁理士法人深見特許事務所
(72)【発明者】
【氏名】シング，ビレンドラ
(72)【発明者】
【氏名】ラジプット，ジャイ
(72)【発明者】
【氏名】スリバスタバ，アンキット
【テーマコード（参考）】
5K067
【Ｆターム（参考）】
5K067DD11
5K067EE16
5K067HH23
(57)【要約】
ネットワーク機能（ＮＦ）におけるリソースオブジェクトレベル承認のための方法は、第１のＮＦが、ＳＢＩリソースオブジェクトへのアクセスを制御するためのポリシーを含むサービスベースのインターフェース（ＳＢＩ）リソースオブジェクトアクセス承認ポリシーデータベースを保持することと、リソースオブジェクトおよび対応するリソースオブジェクト所有者についてのレコードを含むリソースオブジェクト所有者データベースを動的にポピュレートすることとを含む。本方法は、第１のＮＦが、第２のＮＦから、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を受信することと、第１のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、リソースオブジェクトアクセス承認ポリシーデータベースおよびリソースオブジェクト所有者データベースにアクセスすることと、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断することと、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスを防止することとをさらに含む。
【特許請求の範囲】
【請求項1】
ネットワーク機能におけるリソースオブジェクトレベル承認のための方法であって、第１のネットワーク機能（ＮＦ）が、サービスベースのインターフェース（ＳＢＩ）リソースオブジェクトへのアクセスを制御するためのポリシーを含む、ＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースを保持することと、
前記第１のＮＦが、リソースオブジェクトおよび対応するリソースオブジェクト所有者についてのレコードを含むリソースオブジェクト所有者データベースを動的にポピュレートすることと、
前記第１のＮＦが、第２のＮＦから、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を受信することと、
前記第１のＮＦが、前記第１のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、前記リソースオブジェクトアクセス承認ポリシーデータベースおよび前記リソースオブジェクト所有者データベースにアクセスし、前記第１のリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへのアクセスは許可されない、と判断することと、
前記第１のリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへの前記アクセスは許可されない、と判断したことに応答して、前記第１のリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへの前記アクセスを防止することとを含む、方法。
【請求項2】
前記第１のＮＦはプロデューサＮＦを含む、請求項１に記載の方法。
【請求項3】
前記第１のＮＦはサービス通信プロキシ（ＳＣＰ）を含む、請求項１に記載の方法。
【請求項4】
前記ＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースを保持することは、ＳＢＩリソースオブジェクトを識別する属性を有するポリシー、前記ＳＢＩリソースオブジェクトにアクセスするためのハイパーテキスト転送プロトコル（ＨＴＴＰ）メソッド、および前記ＳＢＩリソースオブジェクトに対するコンシューマＮＦ承認範囲を保持することを含む、先行する請求項のいずれか１項に記載の方法。
【請求項5】
前記リソースオブジェクト所有者データベースを動的にポピュレートすることは、コンシューマＮＦからＳＢＩリソースオブジェクト作成要求を受信することと、前記５Ｇ ＳＢＩリソースオブジェクト作成要求から、前記ＳＢＩリソースオブジェクト作成要求を発信した前記コンシューマＮＦのＮＦインスタンス識別子を抽出することと、プロデューサＮＦから、前記リソースオブジェクトの作成の成功を確認する、前記ＳＢＩリソースオブジェクト作成要求に対する応答を受信することと、前記ＳＢＩリソースオブジェクト作成要求に対する前記応答を受信することに応答して、前記コンシューマＮＦの前記ＮＦインスタンス識別子および対応するリソースオブジェクト識別子を前記リソースオブジェクト所有者データベースに格納することとを含む、先行する請求項のいずれか１項に記載の方法。
【請求項6】
前記５Ｇ ＳＢＩリソースオブジェクト作成要求から前記ＮＦインスタンス識別子を抽出することは、前記５Ｇ ＳＢＩリソースオブジェクト作成要求内のアクセストークンのサブクレーム属性から前記コンシューマＮＦの前記ＮＦインスタンス識別子を抽出することを含む、請求項５に記載の方法。
【請求項7】
前記リソースオブジェクトアクセス承認ポリシーデータベースにアクセスすることは、前記第１のＳＢＩリソースオブジェクトアクセス要求からリソースオブジェクト識別子を抽出することと、前記リソースオブジェクト識別子を使用して前記リソースオブジェクトアクセス承認ポリシーデータベースにおいてルックアップを実行することと、前記第１のＳＢＩリソースオブジェクトアクセス要求から抽出された前記リソースオブジェクト識別子に一致するリソースオブジェクト識別子を有するレコードを前記リソースオブジェクトアクセス承認ポリシーデータベースにおいて見つけ出すこととを含む、先行する請求項のいずれか１項に記載の方法。
【請求項8】
前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記アクセスは許可されない、と判断することは、前記アクセスは前記リソースオブジェクトの所有者に対してのみ許可される、と判断することと、前記第２のＮＦは前記リソースオブジェクトの前記所有者ではない、と判断することとを含む、先行する請求項のいずれか１項に記載の方法。
【請求項9】
前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記アクセスは許可されない、と判断することは、前記リソースオブジェクトアクセス要求によって要求されるタイプのアクセスは許可されない、と判断することを含む、先行する請求項のいずれか１項に記載の方法。
【請求項10】
前記第１のＮＦにおいて、第３のＮＦから、前記リソースオブジェクトにアクセスするための第２のＳＢＩリソースオブジェクトアクセス要求を受信することと、前記第２のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、前記リソースオブジェクトアクセス承認ポリシーデータベースおよび前記リソースオブジェクト所有者データベースにアクセスすることと、前記リソースオブジェクトへの前記第３のＮＦアクセスを許可することとを含む、先行する請求項のいずれか１項に記載の方法。
【請求項11】
ネットワーク機能におけるリソースオブジェクトレベル承認のためのシステムであって、少なくとも１つのプロセッサとメモリとを含む第１のネットワーク機能（ＮＦ）と、
前記メモリ内に位置し、サービスベースのインターフェース（ＳＢＩ）リソースオブジェクトへのアクセスを制御するためのポリシーを格納するためのＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースと、
リソースオブジェクト識別子および対応するリソースオブジェクト所有者識別子を含むレコードを格納するためのリソースオブジェクト所有者データベースと、
前記リソースオブジェクト所有者データベース内の前記レコードを動的にポピュレートし、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を第２のＮＦから受信し、前記第１のＳＢＩリソース要求からの情報を使用して、前記リソースオブジェクトアクセス承認ポリシーデータベースおよび前記リソースオブジェクト所有者データベースにアクセスし、前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへのアクセスは許可されない、と判断し、前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへの前記アクセスは許可されない、と判断したことに応答して、前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへの前記アクセスを防止するためのリソースオブジェクトアクセス承認マネージャとを備える、システム。
【請求項12】
前記第１のＮＦはプロデューサＮＦを含む、請求項１１に記載のシステム。
【請求項13】
前記第１のＮＦはサービス通信プロキシ（ＳＣＰ）を含む、請求項１１に記載のシステム。
【請求項14】
前記ＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースは、ＳＢＩリソースオブジェクトを識別する属性を有するポリシー、前記ＳＢＩリソースオブジェクトにアクセスするためのハイパーテキスト転送プロトコル（ＨＴＴＰ）メソッド、および前記ＳＢＩリソースオブジェクトに対するコンシューマＮＦ承認範囲を含む、請求項１１～１３のいずれか１項に記載のシステム。
【請求項15】
前記リソースオブジェクト所有者データベースを動的にポピュレートする際に、前記リソースオブジェクトアクセス承認マネージャは、コンシューマＮＦからＳＢＩリソースオブジェクト作成要求を受信するよう構成され、前記ＳＢＩリソースオブジェクト作成要求から、前記リソースオブジェクト作成要求を発信した前記コンシューマＮＦのＮＦインスタンス識別子を抽出するよう構成され、プロデューサＮＦから前記リソースオブジェクトの作成の成功を確認する、前記ＳＢＩリソースオブジェクト作成要求に対する応答を受信するよう構成され、前記応答を受信することに応答して、前記コンシューマＮＦの前記ＮＦインスタンス識別子および対応するリソースオブジェクト識別子を前記リソースオブジェクト所有者データベースに格納するよう構成される、請求項１１～１４のいずれか１項に記載のシステム。
【請求項16】
前記リソースオブジェクトアクセス承認マネージャは、前記ＳＢＩリソースオブジェクト作成要求におけるアクセストークンのサブクレーム属性から前記コンシューマＮＦの前記ＮＦインスタンス識別子を抽出するよう構成される、請求項１５に記載のシステム。
【請求項17】
前記リソースオブジェクトアクセス承認ポリシーデータベースにアクセスする際に、前記リソースオブジェクトアクセス承認マネージャは、前記第１のＳＢＩリソースオブジェクトアクセス要求からリソースオブジェクト識別子を抽出するよう構成され、前記リソースオブジェクト識別子を使用して前記リソースオブジェクトアクセス承認ポリシーデータベースにおいてルックアップを実行するよう構成され、前記第１のＳＢＩリソースオブジェクトアクセス要求から抽出された前記リソースオブジェクト識別子に一致するリソースオブジェクト識別子を有するレコードを前記リソースオブジェクトアクセス承認ポリシーデータベースにおいて見つけ出すよう構成される、請求項１１～１６のいずれか１項に記載のシステム。
【請求項18】
前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記アクセスは許可されない、と判断する際に、前記リソースオブジェクトアクセス承認マネージャは、前記アクセスは前記リソースオブジェクトの所有者に対してのみ許可される、と判断し、前記第２のＮＦは前記リソースオブジェクトの前記所有者ではない、と判断するよう構成される、請求項１１～１７のいずれか１項に記載のシステム。
【請求項19】
前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記アクセスは許可されない、と判断する際に、前記リソースオブジェクトアクセス承認マネージャは、前記リソースオブジェクトアクセス要求によって要求されるタイプのアクセスは許可されない、と判断するよう構成される、請求項１１～１８のいずれか１項に記載のシステム。
【請求項20】
コンピュータのプロセッサによって実行されると、ステップを実行するように前記コンピュータを制御する実行可能命令が記憶された非一時的なコンピュータ可読媒体であって、前記ステップは、第１のネットワーク機能（ＮＦ）が、ＳＢＩリソースオブジェクトへのアクセスを制御するためのポリシーを含む、サービスベースのインターフェース（ＳＢＩ）リソースオブジェクトアクセス承認ポリシーデータベースを保持することと、
前記第１のＮＦが、リソースオブジェクトおよび対応するリソースオブジェクト所有者についてのレコードを含むリソースオブジェクト所有者データベースを動的にポピュレートすることと、
前記第１のＮＦが、第２のＮＦから、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を受信することと、
前記第１のＮＦが、前記第１のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、前記リソースオブジェクトアクセス承認ポリシーデータベースおよび前記リソースオブジェクト所有者データベースにアクセスし、前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへのアクセスは許可されない、と判断することと、
前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへの前記アクセスは許可されない、と判断したことに応答して、前記第１のＳＢＩリソースオブジェクトアクセス要求によって要求される前記リソースオブジェクトへの前記アクセスを防止することとを含む、非一時的なコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【0001】
優先権主張
本出願は、２０２１年３月４日に提出された米国特許出願連続番号第１７／１９２，８００号の優先権利益を主張し、その開示は、ここに引用により援用される。
本出願は、２０２１年３月４日に提出された米国特許出願連続番号第１７／１９２，８００号の優先権利益を主張し、その開示は、ここに引用により援用される。
【0002】
技術分野
ここで説明される主題は、ネットワークセキュリティに関する。より具体的には、ここで説明される主題は、ネットワーク機能におけるリソースオブジェクトレベル承認のための方法、システム、およびコンピュータ可読媒体に関する。
ここで説明される主題は、ネットワークセキュリティに関する。より具体的には、ここで説明される主題は、ネットワーク機能におけるリソースオブジェクトレベル承認のための方法、システム、およびコンピュータ可読媒体に関する。
【背景技術】
【0003】
背景
５Ｇ電気通信ネットワークでは、サービスを提供するネットワーク機能は、プロデューサネットワーク機能（ＮＦ）またはＮＦサービスプロデューサと呼ばれる。サービスを消費するネットワーク機能は、コンシューマＮＦまたはＮＦサービスコンシューマと呼ばれる。ネットワーク機能は、ネットワーク機能がサービスを消費しているか、産生しているか、または消費および産生しているかに応じて、プロデューサＮＦ、コンシューマＮＦ、またはその両方であり得る。「プロデューサＮＦ」および「ＮＦサービスプロデューサ」という用語は、ここでは互換的に使用される。同様に、「コンシューマＮＦ」および「ＮＦサービスコンシューマ」という用語は、ここでは互換的に使用される。
５Ｇ電気通信ネットワークでは、サービスを提供するネットワーク機能は、プロデューサネットワーク機能（ＮＦ）またはＮＦサービスプロデューサと呼ばれる。サービスを消費するネットワーク機能は、コンシューマＮＦまたはＮＦサービスコンシューマと呼ばれる。ネットワーク機能は、ネットワーク機能がサービスを消費しているか、産生しているか、または消費および産生しているかに応じて、プロデューサＮＦ、コンシューマＮＦ、またはその両方であり得る。「プロデューサＮＦ」および「ＮＦサービスプロデューサ」という用語は、ここでは互換的に使用される。同様に、「コンシューマＮＦ」および「ＮＦサービスコンシューマ」という用語は、ここでは互換的に使用される。
【0004】
所与のプロデューサＮＦは、多くのサービスエンドポイントを有することができ、サービスエンドポイントは、プロデューサＮＦによってホストされる１つまたは複数のＮＦインスタンスのための接点である。サービスエンドポイントは、インターネットプロトコル（ＩＰ）アドレスおよびポート番号の組み合わせ、またはプロデューサＮＦをホストするネットワークノード上のＩＰアドレスおよびポート番号に解決する完全修飾ドメイン名によって識別される。ＮＦインスタンスは、サービスを提供するプロデューサＮＦのインスタンスである。所与のプロデューサＮＦは、複数のＮＦインスタンスを含み得る。複数のＮＦインスタンスが同じサービスエンドポイントを共有できることにも留意されたい。
【0005】
プロデューサＮＦは、ネットワーク機能リポジトリ機能（ＮＲＦ）に登録する。ＮＲＦは、各ＮＦインスタンスによってサポートされるサービスを識別する、利用可能なＮＦインスタンスのサービスプロファイルを保持する。「サービスプロファイル」および「ＮＦプロファイル」という用語は、ここでは互換的に使用される。コンシューマＮＦは、ＮＲＦに登録したプロデューサＮＦインスタンスに関する情報を受信するように加入することができる。
【0006】
コンシューマＮＦに加えて、ＮＦサービスインスタンスに関する情報を受信するよう加入することができる別のタイプのネットワークノードは、サービス通信プロキシ（ＳＣＰ）である。ＳＣＰは、ＮＲＦに加入し、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦは、サービス通信プロキシに接続し、サービス通信プロキシは、要求されるサービスを提供するプロデューサＮＦサービスインスタンス間でトラフィックを分散させるか、またはそのトラフィックを宛先プロデューサＮＦインスタンスに直接ルーティングする。
【0007】
ＳＣＰに加えて、プロデューサＮＦとコンシューマＮＦとの間でトラフィックをルーティングする中間プロキシノードの別の例は、セキュリティエッジ保護プロキシ（ＳＥＰＰ）である。ＳＥＰＰは、異なる５Ｇ公衆陸上移動ネットワーク（ＰＬＭＮ）間で交換される制御プレーントラフィックを保護するために使用されるネットワークノードである。したがって、ＳＥＰＰは、ＰＬＭＮ間で送信されるすべてのアプリケーションプログラミングインターフェース（ＡＰＩ）メッセージに対してメッセージフィルタリング、監視、およびトポロジー隠蔽を実行する。
【0008】
５Ｇ通信ネットワークにおける１つの問題は、承認が、ネットワーク機能レベルで定義されるが、サービスベースのインターフェース（ＳＢＩ）リソースオブジェクトレベルでは定義されないことであり、ここで、リソースオブジェクトとは、プロデューサＮＦによって提供されるサービスにアクセスするコンシューマＮＦの要求で、プロデューサＮＦにおいて作成されるデータ構造である。例えば、3rd Generation Partnership Project (3GPP（登録商標）) Technical Specification (TS) 33.501の第13.4節は、コンシューマネットワーク機能がプロデューサネットワーク機能によって提供されるサービスにアクセスすることができるかどうかを判断するために、OAuth 2.0ベースの承認が使用されるべきであることを示す。OAuth 2.0承認手順は、インターネットエンジニアリングタスクフォース（ＩＥＴＦ）コメント要求（ＲＦＣ）６７４９（Internet Engineering Task Force (IETF) Request for Comments (RFC) 6749）において定義されている。OAuth 2.0承認手順を使用して、サービスにアクセスしようとするコンシューマネットワーク機能は、プロデューサＮＦにアクセストークンを提示する。アクセストークンは、ＮＲＦの公開鍵を使用して要求側コンシューマＮＦによって署名される。プロデューサＮＦは、アクセストークンを検証し、要求されたサービスへのアクセスをコンシューマＮＦに承認する。一旦そのコンシューマＮＦがサービスへのアクセスを承認されると、あるネットワーク機能が別のネットワーク機能によって作成されたリソースオブジェクトにアクセスすることを防止する、定義された承認機構はない。すなわち、所与のプロデューサＮＦによって提供されるサービスにアクセスしようとするすべてのコンシューマＮＦに同じアクセストークンが提供され、そのアクセストークンが検証された後には、さらなる承認は実行されないので、コンシューマＮＦ＃２は、コンシューマＮＦ＃１によって作成されたリソースオブジェクトを、意図的に、または意図せずして、修正し得る。
【0009】
リソースオブジェクトレベルにおいて定義された承認機構が存在しないため、ＮＦにおけるリソースオブジェクトレベル承認のための方法、システム、およびコンピュータ可読媒体の必要性が存在する。
【発明の概要】
【課題を解決するための手段】
【0010】
概要
ネットワーク機能（ＮＦ）におけるリソースオブジェクトレベル承認のための方法は、第１のＮＦが、ＳＢＩリソースオブジェクトへのアクセスを制御するためのポリシーを含むサービスベースのインターフェース（ＳＢＩ）リソースオブジェクトアクセス承認ポリシーデータベースを保持することを含む。本方法はさらに、第１のＮＦが、リソースオブジェクトおよび対応するリソースオブジェクト所有者についてのレコードを含むリソースオブジェクト所有者データベースを動的にポピュレートすることを含む。本方法はさらに、第１のＮＦが、第２のＮＦから、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を受信することを含む。本方法はさらに、第１のＮＦが、第１のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、リソースオブジェクトアクセス承認ポリシーデータベースおよびリソースオブジェクト所有者データベースにアクセスし、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断することを含む。本方法はさらに、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断したことに応答して、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスを防止することを含む。
ネットワーク機能（ＮＦ）におけるリソースオブジェクトレベル承認のための方法は、第１のＮＦが、ＳＢＩリソースオブジェクトへのアクセスを制御するためのポリシーを含むサービスベースのインターフェース（ＳＢＩ）リソースオブジェクトアクセス承認ポリシーデータベースを保持することを含む。本方法はさらに、第１のＮＦが、リソースオブジェクトおよび対応するリソースオブジェクト所有者についてのレコードを含むリソースオブジェクト所有者データベースを動的にポピュレートすることを含む。本方法はさらに、第１のＮＦが、第２のＮＦから、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を受信することを含む。本方法はさらに、第１のＮＦが、第１のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、リソースオブジェクトアクセス承認ポリシーデータベースおよびリソースオブジェクト所有者データベースにアクセスし、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断することを含む。本方法はさらに、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断したことに応答して、第１のリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスを防止することを含む。
【0011】
ここに記載の主題の別の局面によれば、第１のＮＦは、プロデューサＮＦを含む。
ここで説明される主題の別の局面によれば、第１のＮＦは、サービス通信プロキシ（ＳＣＰ）を含む。
ここで説明される主題の別の局面によれば、第１のＮＦは、サービス通信プロキシ（ＳＣＰ）を含む。
【0012】
ここで説明される主題の別の局面によれば、ＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースを保持することは、ＳＢＩリソースオブジェクトを識別する属性を有するポリシー、ＳＢＩリソースオブジェクトにアクセスするためのハイパーテキスト転送プロトコル（ＨＴＴＰ）メソッド、およびＳＢＩリソースオブジェクトに対するコンシューマＮＦ承認範囲を保持することを含む。
【0013】
ここで説明される主題の別の局面によれば、リソースオブジェクト所有者データベースを動的にポピュレートすることは、コンシューマＮＦからＳＢＩリソースオブジェクト作成要求を受信することと、ＳＢＩリソースオブジェクト作成要求から、ＳＢＩリソースオブジェクト作成要求を発信したコンシューマＮＦのＮＦインスタンス識別子を抽出することと、プロデューサＮＦから、リソースオブジェクトの作成の成功を確認する、ＳＢＩリソースオブジェクト作成要求に対する応答を受信することと、応答を受信することに応答して、コンシューマＮＦのＮＦインスタンス識別子および対応するリソースオブジェクト識別子をリソースオブジェクト所有者データベースに格納することとを含む。
【0014】
ここで説明される主題の別の局面によれば、ＳＢＩリソースオブジェクト作成要求からＮＦインスタンス識別子を抽出することは、ＳＢＩリソースオブジェクト作成要求内のアクセストークンのサブクレーム属性からコンシューマＮＦのＮＦインスタンス識別子を抽出することを含む。
【0015】
ここで説明される主題の別の局面によれば、リソースオブジェクトアクセス承認ポリシーデータベースにアクセスすることは、第１のＳＢＩリソースオブジェクトアクセス要求からリソースオブジェクト識別子を抽出することと、リソースオブジェクト識別子を使用してリソースオブジェクトアクセス承認ポリシーデータベースにおいてルックアップを実行することと、第１のＳＢＩリソースオブジェクトアクセス要求から抽出されたリソースオブジェクト識別子に一致するリソースオブジェクト識別子を有するレコードをリソースオブジェクトアクセス承認ポリシーデータベースにおいて見つけ出すこととを含む。
【0016】
ここで説明される主題の別の局面によれば、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるアクセスは許可されない、と判断することは、アクセスはリソースオブジェクトの所有者に対してのみ許可される、と判断することと、第２のＮＦはリソースオブジェクトの所有者ではない、と判断することとを含む。
【0017】
ここで説明される主題の別の局面によれば、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるアクセスは許可されない、と判断することは、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるタイプのアクセスは許可されない、と判断することを含む。
【0018】
ここで説明される主題の別の局面によれば、リソースオブジェクトレベル承認のための方法は、第１のＮＦにおいて、第３のＮＦから、リソースオブジェクトにアクセスするための第２のＳＢＩリソースオブジェクトアクセス要求を受信することと、第２のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、リソースオブジェクトアクセス承認ポリシーデータベースおよびリソースオブジェクト所有者データベースにアクセスすることと、リソースオブジェクトへの第３のＮＦアクセスを許可することとを含む。
【0019】
ここで説明される主題の別の局面によれば、ネットワーク機能におけるリソースオブジェクトレベル承認のためのシステムが提供される。システムは、少なくとも１つのプロセッサおよびメモリを含む第１のネットワーク機能（ＮＦ）を含む。本システムはさらに、メモリ内に位置し、サービスベースのインターフェース（ＳＢＩ）リソースオブジェクトへのアクセスを制御するためのポリシーを格納するためのＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースを含む。本システムはさらに、リソースオブジェクト識別子および対応するリソースオブジェクト所有者識別子を含むレコードを格納するためのリソースオブジェクト所有者データベースを含む。本システムはさらに、リソースオブジェクト所有者データベース内のレコードを動的にポピュレートし、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を第２のＮＦから受信し、第１のＳＢＩリソース要求からの情報を使用して、リソースオブジェクトアクセス承認ポリシーデータベースおよびリソースオブジェクト所有者データベースにアクセスし、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断し、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断したことに応答して、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスを防止するためのリソースオブジェクトアクセス承認マネージャを含む。
【0020】
ここで説明される主題の別の局面によれば、ＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースは、ＳＢＩリソースオブジェクトを識別する属性を有するポリシー、ＳＢＩリソースオブジェクトにアクセスするためのハイパーテキスト転送プロトコル（ＨＴＴＰ）メソッド、およびＳＢＩリソースオブジェクトに対するコンシューマＮＦ承認範囲を含む。
【0021】
ここで説明される主題の別の局面によれば、リソースオブジェクト所有者データベースを動的にポピュレートする際に、リソースオブジェクトアクセス承認マネージャは、コンシューマＮＦからＳＢＩリソースオブジェクト作成要求を受信するよう構成され、ＳＢＩリソースオブジェクト作成要求から、ＳＢＩリソースオブジェクト作成要求を発信したコンシューマＮＦのＮＦインスタンス識別子を抽出するよう構成され、プロデューサＮＦからリソースオブジェクトの作成の成功を確認する、ＳＢＩリソースオブジェクト作成要求に対する応答を受信するよう構成され、応答を受信することに応答して、コンシューマＮＦのＮＦインスタンス識別子および対応するリソースオブジェクト識別子をリソースオブジェクト所有者データベースに格納するよう構成される。
【0022】
ここで説明する主題の別の局面によれば、リソースオブジェクトアクセス承認マネージャは、ＳＢＩリソースオブジェクト作成要求中のアクセストークンのサブクレーム属性からコンシューマＮＦのＮＦインスタンス識別子を抽出するよう構成される。
【0023】
ここで説明される主題の別の局面によれば、リソースオブジェクトアクセス承認ポリシーデータベースにアクセスする際に、リソースオブジェクトアクセス承認マネージャは、第１のＳＢＩリソースオブジェクトアクセス要求からリソースオブジェクト識別子を抽出するよう構成され、リソースオブジェクト識別子を使用してリソースオブジェクトアクセス承認ポリシーデータベースにおいてルックアップを実行するよう構成され、第１のＳＢＩリソースオブジェクトアクセス要求から抽出されたリソースオブジェクト識別子に一致するリソースオブジェクト識別子を有するレコードをリソースオブジェクトアクセス承認ポリシーデータベースにおいて見つけ出すよう構成される。
【0024】
ここで説明される主題の別の局面によれば、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるアクセスは許可されない、と判断する際に、リソースオブジェクトアクセス承認マネージャは、アクセスはリソースオブジェクトの所有者に対してのみ許可される、と判断し、第２のＮＦはリソースオブジェクトの所有者ではない、と判断するよう構成される。
【0025】
ここで説明される主題の別の局面によれば、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるアクセスは許可されない、と判断する際に、リソースオブジェクトアクセス承認マネージャは、ＳＢＩリソースオブジェクトアクセス要求によって要求されるタイプのアクセスは許可されない、と判断するよう構成される。
【0026】
ここに記載の主題の別の局面によれば、コンピュータのプロセッサによって実行されるとステップを実行するようコンピュータを制御する実行可能命令を記憶した非一時的なコンピュータ可読媒体が提供される。ステップは、第１のネットワーク機能（ＮＦ）が、ＳＢＩリソースオブジェクトへのアクセスを制御するためのポリシーを含む、サービスベースのインターフェース（ＳＢＩ）リソースオブジェクトアクセス承認ポリシーデータベースを保持することを含む。ステップはさらに、第１のＮＦが、リソースオブジェクトおよび対応するリソースオブジェクト所有者についてのレコードを含むリソースオブジェクト所有者データベースを動的にポピュレートすることを含む。ステップはさらに、第１のＮＦが、第２のＮＦから、リソースオブジェクトにアクセスするための第１のＳＢＩリソースオブジェクトアクセス要求を受信することを含む。ステップはさらに、第１のＮＦが、第１のＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、リソースオブジェクトアクセス承認ポリシーデータベースおよびリソースオブジェクト所有者データベースにアクセスし、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断することを含む。ステップはさらに、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスは許可されない、と判断したことに応答して、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるリソースオブジェクトへのアクセスを防止することを含む。
【0027】
ここで説明される主題は、ハードウェアおよび／またはファームウェアと組み合わせたソフトウェアで実現され得る。たとえば、ここで説明する主題は、プロセッサによって実行されるソフトウェアで実現され得る。例示的な一実現形態では、ここで説明する主題は、コンピュータのプロセッサによって実行されるとステップを実行するようにコンピュータを制御するコンピュータ実行可能命令を記憶した非一時的コンピュータ可読媒体を使用して実現され得る。本明細書に記載の主題を実施するのに適した例示的なコンピュータ可読媒体は、ディスクメモリデバイス、チップメモリデバイス、プログラマブル論理デバイス、および特定用途向け集積回路などの非一時的コンピュータ可読媒体を含む。加えて、本明細書で説明される主題を実現するコンピュータ可読媒体は、単一のデバイスもしくはコンピューティングプラットフォーム上に位置してもよく、または複数のデバイスもしくはコンピューティングプラットフォームにわたって分散されてもよい。
【図面の簡単な説明】
【0028】
【図1】例示的な５Ｇシステムネットワークアーキテクチャを示すネットワーク図である。
【図2A】ＨＴＴＰ ＰＯＳＴメソッドを使用してＮＦサービスプロデューサにおいてリソースオブジェクトを作成するために交換される例示的なメッセージを示すメッセージフロー図である。
【図2B】ＨＴＴＰ ＰＵＴメソッドを使用してＮＦサービスプロデューサにおいてリソースオブジェクトを作成するために交換される例示的なメッセージを示すメッセージフロー図である。
【図3A】ＨＴＴＰ ＧＥＴメソッドを使用して単一のリソースオブジェクトを読み出すために交換される例示的なメッセージを示すメッセージフロー図である。
【図3B】ＨＴＴＰ ＧＥＴメソッドを使用してリソースオブジェクトのセットに照会するために交換される例示的なメッセージを示すメッセージフロー図である。
【図4A】ＨＴＴＰ ＰＵＴメソッドを使用してリソースオブジェクトを更新するために交換される例示的なメッセージを示すメッセージフロー図である。
【図4B】ＨＴＴＰ ＰＡＴＣＨメソッドを使用してリソースオブジェクトを更新するために交換される例示的なメッセージを示すメッセージフロー図である。
【図5】ＨＴＴＰ ＤＥＬＥＴＥメソッドを使用してリソースオブジェクトを削除するために交換される例示的なメッセージを示すメッセージフロー図である。
【図6A】ＨＴＴＰ ＰＯＳＴメソッドを使用してサブスクリプションリソースオブジェクトを作成するために交換される例示的なメッセージを示すメッセージフロー図である。
【図6B】ＨＴＴＰ ＰＵＴメソッドを使用してサブスクリプションリソースオブジェクトを作成するために交換される例示的なメッセージを示すメッセージフロー図である。
【図6C】ＨＴＴＰ ＰＡＴＣＨメソッドを使用してサブスクリプションリソースオブジェクトを更新するために交換される例示的なメッセージを示すメッセージフロー図である。
【図6D】ＨＴＴＰ ＰＯＳＴメソッドを使用したサブスクリプションリソースオブジェクトに関する情報の例示的な提供を示すメッセージフロー図である。
【図7A】プロデューサＮＦがＮＲＦからアクセストークンを取得するために交換される例示的なメッセージを示すメッセージフロー図である。
【図7B】コンシューマＮＦがＮＲＦからアクセストークンを取得するために交換される例示的なメッセージを示すメッセージフロー図である。
【図7C】ＮＦサービスプロデューサによって提供されるサービスを取得するか、またはそのサービスにアクセスするための、ＮＦサービスコンシューマによるアクセストークンの使用を示すメッセージフロー図である。
【図8】直接ＳＢＩ通信を用いたリソースオブジェクトの不正更新を示すメッセージフロー図である。
【図9】間接ＳＢＩ通信を用いたリソースオブジェクトの不正更新を示すメッセージフロー図である。
【図10】ＳＢＩ間接通信を使用したリソースオブジェクトへの不正アクセスを防止するために交換される例示的なメッセージを示すメッセージフロー図である。
【図11】ＳＢＩリソースレベル承認を提供するためのネットワーク機能の例示的なアーキテクチャを示すブロック図である。
【図12】ＳＢＩリソースオブジェクトレベル承認のための例示的なプロセスを示すフローチャートである。
【発明を実施するための形態】
【0029】
詳細な説明
図１は、例示的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。図１のアーキテクチャは、同じホーム公衆陸上移動体通信網（ＨＰＬＭＮ：home public land mobile network）に位置し得るＮＲＦ１００およびＳＣＰ１０１を含む。上記で説明されるように、ＮＲＦ１００は、利用可能なプロデューサＮＦサービスインスタンスおよびそれらのサポートされるサービスのプロファイルを保持し、コンシューマＮＦまたはＳＣＰが、新たな／更新されたプロデューサＮＦサービスインスタンスに加入し、その登録を通知されることを可能にし得る。ＳＣＰ１０１はまた、プロデューサＮＦインスタンスのサービス発見および選択をサポートし得る。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの間の接続の負荷分散を実行し得る。
図１は、例示的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。図１のアーキテクチャは、同じホーム公衆陸上移動体通信網（ＨＰＬＭＮ：home public land mobile network）に位置し得るＮＲＦ１００およびＳＣＰ１０１を含む。上記で説明されるように、ＮＲＦ１００は、利用可能なプロデューサＮＦサービスインスタンスおよびそれらのサポートされるサービスのプロファイルを保持し、コンシューマＮＦまたはＳＣＰが、新たな／更新されたプロデューサＮＦサービスインスタンスに加入し、その登録を通知されることを可能にし得る。ＳＣＰ１０１はまた、プロデューサＮＦインスタンスのサービス発見および選択をサポートし得る。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの間の接続の負荷分散を実行し得る。
【0030】
ＮＲＦ１００は、プロデューサＮＦインスタンスのＮＦまたはサービスプロファイルのためのリポジトリである。プロデューサＮＦインスタンスと通信するために、コンシューマＮＦまたはＳＣＰは、プロデューサＮＦインスタンスのＮＦまたはサービスプロファイルをＮＲＦ１００から取得しなければならない。ＮＦまたはサービスプロファイルは、３ＧＰＰ ＴＳ ２９．５１０で定義されるJavaScriptオブジェクト表記（ＪＳＯＮ）データ構造である。ＮＦまたはサービスプロファイル定義は、完全修飾ドメイン名（ＦＱＤＮ）、インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）アドレス、またはＩＰバージョン６（ＩＰｖ６）アドレスのうちの少なくとも１つを含む。
【0031】
図１では、ネットワーク機能のいずれも、それらがサービスを要求、提供、または要求および提供しているかどうかに応じて、コンシューマＮＦ、プロデューサＮＦ、または両方となり得る。図示の例では、ＮＦは、ネットワークにおいてポリシー関連動作を実行するＰＣＦ１０２と、ユーザデータを管理するＵＤＭ機能１０４と、アプリケーションサービスを提供するアプリケーション機能（ＡＦ）１０６とを含む。
【0032】
図１に示すＮＦは、アクセスおよびモビリティ管理機能（ＡＭＦ）１１０とＰＣＦ１０２との間のセッションを管理するセッション管理機能（ＳＭＦ）１０８をさらに含む。ＡＭＦ１１０は、４Ｇネットワークにおいてモビリティ管理エンティティ（ＭＭＥ）によって実行されるモビリティ管理動作と同様の動作を実行する。認証サーバ機能（ＡＵＳＦ）１１２は、ネットワークへのアクセスを求めるユーザ機器（ＵＥ）１１４などのユーザ機器（ＵＥ）のために認証サービスを実行する。
【0033】
ネットワークスライス選択機能（ＮＳＳＦ）１１６は、ネットワークスライスに関連付けられる特定のネットワーク機能および特性にアクセスしようとするデバイスのためにネットワークスライスサービスを提供する。ネットワーク公開機能（ＮＥＦ）１１８は、モノのインターネット（ＩｏＴ）デバイスおよびネットワークに接続される他のＵＥに関する情報を取得しようとするアプリケーション機能のためにアプリケーションプログラミングインターフェイス（ＡＰＩ）を提供する。ＮＥＦ１１８は、４Ｇネットワークにおけるサービス機能公開機能（ＳＣＥＦ）と同様の機能を実行する。
【0034】
無線アクセスネットワーク（ＲＡＮ）１２０は、無線リンクを介してユーザ機器（ＵＥ）１１４をネットワークに接続する。無線アクセスネットワーク１２０は、g-Node B（ｇＮＢ）（図１には示さず）または他の無線アクセスポイントを用いてアクセスされてもよい。ユーザプレーン機能（ＵＰＦ）１２２は、ユーザプレーンサービスのために様々なプロキシ機能をサポート可能である。そのようなプロキシ機能の一例は、マルチパス伝送制御プロトコル（ＭＰＴＣＰ）プロキシ機能である。ＵＰＦ１２２はまた、ネットワーク性能測定値を取得するためにＵＥ１１４によって使用されてもよい性能測定機能をサポートしてもよい。図１には、ＵＥがインターネットサービスなどのデータネットワークサービスにアクセスするデータネットワーク（ＤＮ）１２４も示されている。
【0035】
ＳＥＰＰ１２６は、別のＰＬＭＮからの着信トラフィックをフィルタリングし、ホームＰＬＭＮを出るトラフィックのためにトポロジー隠蔽を実行する。ＳＥＰＰ１２６は、外部ＰＬＭＮのセキュリティを管理する、外部ＰＬＭＮ内のＳＥＰＰと通信してもよい。したがって、異なるＰＬＭＮ内のＮＦ間のトラフィックは、一方はホームＰＬＭＮ用であり、他方は外部ＰＬＭＮ用である、２つのＳＥＰＰ機能を横断し得る。
【0036】
上述のように、５Ｇネットワークに対する３ＧＰＰネットワークアーキテクチャに関する１つの問題は、３ＧＰＰ ＴＳ ３３．５０１が、ＮＦサービスプロデューサがＮＦサービスリクエスタからの要求を承認するためにOAuth 2.0承認手順が使用されるべきである旨を規定しているが、異なるプロデューサＮＦが、同じOAuth 2.0アクセストークンを使用してリソースにアクセスすることができ、これは、権限のない５Ｇ ＮＦへのデータ開示、データ損失、サービスの拒否またはデータ操作をもたらし得ることである。ここに記載の主題は、５ＧコンシューマＮＦによる不正アクセスから５Ｇ ＳＢＩ ＡＰＩリソースオブジェクトを保護する方法を提供する。不正アクセスの例は、読み出しアクセス、削除アクセス、および更新アクセスを含む。一例では、５Ｇ ＳＢＩ ＡＰＩリソースオブジェクトレベル承認は、サービス通信プロキシまたはＳＣＰにおいて実現される。別の実現形態では、５Ｇ ＳＢＩ ＡＰＩリソースオブジェクトレベル承認は、プロデューサＮＦにおいて実現される。
【0037】
ＳＢＩリソースオブジェクトは、ＮＦサービスプロデューサによって提供されるサービスにＮＦサービスコンシューマがアクセスすることを可能にするＳＢＩインターフェースを使用して、ＮＦサービスプロデューサにおいて作成されるデータ構造である。図２Ａは、ＨＴＴＰ ＰＯＳＴメソッドを使用してＳＢＩリソースオブジェクトを作成する例を示す。図２Ａを参照すると、メッセージフロー図のライン１において、ＮＦサービスコンシューマ２００は、ＨＴＴＰ ＰＯＳＴメッセージをＮＦサービスプロデューサ２０２に送信して、ＮＦサービスプロデューサ２０２において新たなリソースオブジェクトを作成する。ＨＴＴＰ ＰＯＳＴメッセージは、統一資源識別子（ＵＲＩ）を使用して子リソースを識別する。ＨＴＴＰ ＰＯＳＴメッセージに応答して、ＮＦサービスプロデューサ２０２は、要求されたリソースオブジェクトを作成し、ライン２において、要求されたリソースオブジェクトが作成されたことを示す201 CreatedメッセージをＮＦサービスコンシューマ２００に送信する。新たに作成されたリソースオブジェクトへのアクセスに対する承認はなく、それは、ＮＦサービスコンシューマ２００以外のＮＦサービスコンシューマがその新たに作成されたリソースオブジェクトにアクセスできることを意味することに留意されたい。
【0038】
別の例では、リソースオブジェクトは、ＮＦサービスプロデューサにおいて、ＨＴＴＰ ＰＵＴメソッドを使用して作成され得る。この方法を図２Ｂに示す。図２Ｂのメッセージフローのライン１において、ＮＦサービスコンシューマ２００は、ＨＴＴＰ ＰＵＴメッセージをＮＦサービスプロデューサ２０２に送信する。ＰＵＴメッセージは、ＮＦサービスコンシューマ２００がＮＦサービスプロデューサ２０２において作成することを望むリソースオブジェクトを指定する。ＨＴＴＰ ＰＵＴメッセージに応答して、ＮＦサービスプロデューサ２０２は、要求されたリソースオブジェクトを作成し、ライン２で201 CreatedメッセージをＮＦサービスコンシューマ２００に送信する。ＰＯＳＴメソッドを使用して作成されたリソースオブジェクトと同様に、ＰＵＴメソッドを使用して作成されたリソースオブジェクトも、ＮＲＦからアクセストークンを取得する任意のコンシューマＮＦによって、リソースオブジェクトレベルで、承認なくアクセスすることができる。
【0039】
コンシューマＮＦがＳＢＩリソースオブジェクトにアクセスすることができる１つの方法は、ＨＴＴＰ ＧＥＴメソッドを使用することである。図３Ａは、ＨＴＴＰ ＧＥＴメソッドを使用してＳＢＩリソースオブジェクトにアクセスする例を示す。上述したように、ある既存のリソースオブジェクトは、そのリソースオブジェクトを作成したコンシューマＮＦによって、またはそのリソースオブジェクトを作成しなかったコンシューマＮＦによって、アクセスされ得る。図３Ａおよび残りの図では、ＮＦサービスコンシューマ２００は、リソースオブジェクト作成者であると仮定され、ＮＦサービスコンシューマ３００は、そのリソースオブジェクトにアクセスしようとする、リソースオブジェクト作成者以外のコンシューマＮＦであると仮定される。図３Ａを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、ＳＢＩリソースオブジェクトを識別するＨＴＴＰ ＧＥＴメッセージをＮＦサービスプロデューサ２０２に送信する。図３Ａでは、リソースオブジェクトは、ＵＲＩおよび場合によっては他のクエリパラメータによって識別される単一のリソースである。ＮＦサービスプロデューサ２０２は、ライン２において、200 OKメッセージを、リソースオブジェクトの、要求された表現とともに送信することによって、ＨＴＴＰ ＧＥＴメッセージに応答する。有効なネットワークアクセストークンを必要とする以外に、リソースオブジェクト表現の提供前にＮＦサービスプロデューサ２０２によって実行される承認はないことに留意されたい。したがって、リソースオブジェクトを作成したコンシューマＮＦ２００などの、承認されたコンシューマＮＦは、リソースオブジェクトにアクセスすることができ、コンシューマＮＦ３００などの承認されていないコンシューマＮＦは、リソースオブジェクトレベルで定義された承認手順がないので、リソースオブジェクトにアクセスすることができる。
【0040】
別の例では、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＧＥＴメソッドを利用してリソースのセットにアクセスすることができる。この例を図３Ｂに示す。図３Ｂのメッセージフローのライン１において、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＧＥＴメッセージをＮＦサービスプロデューサ２０２に送信する。ＨＴＴＰ ＧＥＴメッセージは、リソースのセットを識別するクエリパラメータを指定する。クエリコンポーネントは、経路コンポーネントにおけるデータとともに、ＮＦサービスプロデューサ２０２によって使用されて、ＵＲＩスキームの範囲内で識別されるリソースを、クエリパラメータに一致するリソースのサブセットにフィルタリングする、非階層データを含む。クエリコンポーネントは、最初の「?」文字によって示され、ＵＲＩの最後で「#」文字によって終了する。単一のリソースへのアクセスと同様に、複数のリソースへのアクセスは、権限のないコンシューマＮＦに提供され得る。
【0041】
別のタイプのリソースオブジェクトアクセスは、リソースオブジェクトを更新するためのアクセスである。図４Ａは、リソースオブジェクトを更新するためのＨＴＴＰ ＰＵＴメソッドの使用を示すメッセージフロー図である。ＨＴＴＰ ＰＵＴメソッドは、サービスコンシューマＮＦがプロデューサＮＦに記憶された情報を完全な置換によって更新することを可能にする。ＰＵＴメソッドは、リソースオブジェクトの現在の表現を新たな表現で置換する。図４に示されるメッセージフローを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＰＵＴメッセージをＮＦサービスプロデューサ２０２に送信する。ＰＵＴメッセージは、リソースオブジェクトの識別子と、置換されるリソースオブジェクトを表すリソースオブジェクト表現とを含む。メッセージフロー図のライン２において、ＮＦサービスプロデューサ２０２は、リソースオブジェクトを新たなリソース表現で置換し、置換が成功した場合は200 OKメッセージで、置換動作が成功しなかった場合は204 No Contentメッセージで、応答する。リソースオブジェクト置換を実行する前に、リソースオブジェクトレベルでは承認はない。
【0042】
図４Ｂは、既存のリソースオブジェクトを更新するためのＨＴＴＰ ＰＡＴＣＨメソッドの使用を示すメッセージフロー図である。ＨＴＴＰ ＰＡＴＣＨメソッドは、コンシューマＮＦがプロデューサＮＦに記憶された情報を部分置換によって更新することを可能にする。ＰＡＴＣＨメソッドは、ＰＡＴＣＨメソッドにおいて提供される修正命令に従ってリソースオブジェクトの現在の表現を修正する。図４Ｂのメッセージフローを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＰＡＴＣＨメッセージをＮＦサービスプロデューサ２０２に送信する。ＨＴＴＰ ＰＡＴＣＨメッセージは、修正されるリソースオブジェクトを識別し、修正命令を含む。メッセージフロー図のライン２において、ＮＦサービスプロデューサ２０２は、当該リソースオブジェクトがＮＦサービスプロデューサ２０２に存在する場合には、そのリソースオブジェクトを置換または修正し、存在しない場合には、204 No Contentメッセージを送信する。この場合もやはり、リソースオブジェクトレベルでは承認はない。リソースを作成したコンシューマＮＦ２００またはリソースを作成しなかった別のコンシューマＮＦ３００等の正当なコンシューマは、ＮＲＦから取得された有効なアクセストークンを提示することによって、リソースオブジェクトを修正することができる。
【0043】
リソースオブジェクトへのさらに別のタイプのアクセスは、削除アクセスである。図５は、リソースオブジェクトを削除するためのＨＴＴＰ ＤＥＬＥＴＥメソッドの使用を示すメッセージフロー図である。ＨＴＴＰ ＤＥＬＥＴＥメソッドは、ＮＦサービスコンシューマが、ＮＦサービスプロデューサにおいて、あるリソースオブジェクト全体を削除することを可能にする。図５のメッセージフローを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＤＥＬＥＴＥメッセージをＮＦサービスプロデューサ２０２に送信する。ＮＦサービスプロデューサ２０２は、ＤＥＬＥＴＥメッセージ内で識別されるリソースオブジェクトがＮＦサービスプロデューサ２０２に存在するかどうかを判断し、存在する場合には、そのリソースオブジェクトを削除する。ライン２において、ＮＦサービスプロデューサ２０２は、削除動作が成功した場合は202 Acceptedメッセージで応答し、削除動作が成功しなかった場合は204 No Contentメッセージで応答する。ＨＴＴＰ ＤＥＬＥＴＥメソッドに対して実行されるリソースオブジェクトレベル承認はない。ＮＦサービスコンシューマ２００または３００が、OAuth 2.0手順を使用して取得された、プロデューサＮＦ２０２に対する署名されたアクセストークンを有する限り、ＮＦサービスコンシューマ２００または３００は、そのリソースオブジェクトにアクセスし、それを削除することができる。
【0044】
上述のような要求／応答通信に加えて、リソースオブジェクトは、サブスクライブ／通知通信を使用して作成され、読み出され、修正され得る。図６Ａは、ＮＦサービスコンシューマがＨＴＴＰ ＰＯＳＴメソッドを使用してサブスクリプションリソースオブジェクトを作成するのを示すメッセージフロー図である。図６Ａを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＰＯＳＴメッセージをＮＦサービスプロデューサ２０２に送信する。ＨＴＴＰ ＰＯＳＴメッセージは、作成されるサブスクリプションリソースオブジェクトを識別する。ＨＴＴＰ ＰＯＳＴメッセージに応答して、ライン２において、ＮＦサービスプロデューサ２０２は、要求されるサブスクリプションリソースオブジェクトを作成し、サブスクリプションリソースオブジェクトが作成されたことを示す201 Createdメッセージで、ＰＯＳＴメッセージに応答する。
【0045】
図６Ｂは、ＨＴＴＰ ＰＵＴメソッドを使用したサブスクリプションリソースオブジェクトの更新を示す。ＨＴＴＰ ＰＵＴメソッドは、ＮＦサービスコンシューマがＮＦサービスプロデューサにおいて既存のサブスクリプションリソースオブジェクトを置換することを可能にする。図６Ｂを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＰＵＴメッセージをＮＦサービスプロデューサ２０２に送信する。ＨＴＴＰ ＰＵＴメッセージは、図６Ａで作成されたサブスクリプションリソースオブジェクトを識別する。ＨＴＴＰ ＰＵＴメソッドに応答して、ＮＦサービスプロデューサ２０２は、サブスクリプションリソースオブジェクトを、ＰＵＴメッセージにおいて指定されたサブスクリプションリソースオブジェクトの新たな表現で置換するか、またはＰＵＴ動作が成功しなかった場合には、204 No Contentメッセージで応答する。既存のサブスクリプションのためにＰＵＴ動作を実行するために必要とされるリソースオブジェクトレベル承認はない。
【0046】
図６Ｃは、サブスクリプションを修正するためのＨＴＴＰ ＰＡＴＣＨメソッドの使用を示す。図６Ｃを参照すると、メッセージフロー図のライン１において、ＮＦサービスコンシューマ２００または３００は、ＨＴＴＰ ＰＡＴＣＨメッセージを、サブスクリプションリソースオブジェクトの識別子と、サブスクリプションリソースオブジェクトを修正するための命令とともに、ＮＦサービスプロデューサ２０２に送信する。ＨＴＴＰ ＰＡＴＣＨメッセージに応答して、ＮＦサービスプロデューサ２０２は、サブスクリプションが首尾よく修正された場合には、200 OKメッセージで応答し、サブスクリプションが首尾よく修正されなかった場合には、204 No Contentメッセージで応答する。リソースオブジェクトレベルでは承認はない。
【0047】
図６Ｄは、既存のサブスクリプションに関する通知を送信するためのＨＴＴＰ ＰＯＳＴメソッドの使用を示す。図６Ｄを参照すると、メッセージフロー図のライン１において、ＮＦサービスプロデューサ２０２は、既存のサブスクリプションリソースオブジェクトにおいて指定される条件によってトリガされた通知を含むＨＴＴＰ ＰＯＳＴメッセージを、ＮＦサービスコンシューマ２００または３００に送信する。ライン２では、ＮＦサービスコンシューマ２００または３００は、ＰＯＳＴ動作が成功したかどうかに応じて、200 OKまたは204 No Contentメッセージで応答する。したがって、図６Ｄは、正当なサービスコンシューマまたは権限のないサービスコンシューマが、リソースオブジェクトレベル承認なしに、リソースイベントによりトリガされた通知を受信することによって、既存のサブスクリプションに関する情報を得ることができることを示す。
【0048】
図７Ａおよび図７Ｂは、３ＧＰＰ ＴＳ ３３．５０１において規定される承認フレームワークを示す。３ＧＰＰ ＴＳ ３３．５０１の第１３．４．１項によれば、ＮＦサービスプロデューサは、ＩＥＴＦ ＲＦＣ ６７４９において規定されるようなOAuth 2.0フレームワークを使用して、ＮＦサービス要求コンシューマからの要求を承認する。ＩＥＴＦ ＲＦＣ６７４９の第４．４項によれば、承認はクライアント資格証明承認タイプであり、これはクライアントがクライアントレベルで資格証明を承認されることを意味する。ＮＦサービスプロデューサによって提供されるサービスにＮＦサービスコンシューマがアクセスするための機構は、ＩＥＴＦ ＲＦＣ７５１５に規定されるようなＪＳＯＮウェブ署名に基づくデジタル署名またはメッセージ認証コードで保護された、ＩＥＴＦ ＲＦＣ７５１９に記載されるＪＳＯＮウェブトークンである。
【0049】
図７Ａは、ＮＦサービスプロデューサが、あるプロファイルを、ＮＲＦとともに作成するための手順を示す。図７Ａを参照すると、ライン１において、ＮＦサービスプロデューサ２０２は、Nnrf_NFManagement_NFRegister要求をＮＲＦ１００に送信する。ステップ２において、ＮＲＦ１００は、プロデューサＮＦについてのＮＦプロファイルを記憶する。ステップ３において、ＮＲＦ１００は、ＮＦプロファイルが成功裏に確立されたことを示すNnrf_NFManagement_NFRegister応答で応答する。
【0050】
図７Ｂは、ＮＦサービスコンシューマがＮＲＦ１００からアクセストークンを取得するプロセスを示す。図７Ｂを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、アクセスが要求されるサービスを識別するＮＲＦアクセストークンＧＥＴ要求をＮＲＦ１００に送信する。ライン２では、ＮＲＦ１００は、クライアント（ＮＦサービスコンシューマ２００または３００）を承認し、ＮＲＦアクセストークンＧＥＴ要求において識別されるサービスにアクセスするためのアクセストークンを生成する。ライン３では、ＮＲＦ１００は、アクセストークンを含むＮＲＦアクセストークンＧＥＴ応答で応答し、アクセストークンをＮＦサービスコンシューマ２００または３００に提供する。アクセストークンは、ＮＦサービスコンシューマがリソースオブジェクトの作成者であるかどうかにかかわらず、任意のサービスコンシューマがプロデューサＮＦ２０２において作成されたリソースオブジェクトにアクセスすることを可能にする。
【0051】
図７Ｃは、ＮＦサービスプロデューサ２０２によって提供されるサービスを取得するかまたはそれにアクセスするための、ＮＦサービスコンシューマ２００または３００によるアクセストークンの使用を示す。図７Ｃを参照すると、ライン１において、ＮＦサービスコンシューマ２００または３００は、サービス要求をＮＦサービスプロデューサ２０２に送信する。サービス要求はアクセストークンを含む。ライン２において、ＮＦサービスプロデューサ２０２は、アクセストークンを検証し、要求されるサービスへのアクセスを提供する。リソースオブジェクトレベルで実行される承認はない。ＮＦサービスコンシューマ２００または３００が有効なアクセストークンを提示する限り、リソースオブジェクトは、読み出され、修正され、または削除され得る。
【0052】
図８は、コンシューマＮＦがプロデューサＮＦと直接通信して、ＳＢＩリソースオブジェクトを作成し、そのリソースオブジェクトにアクセスする、直接ＳＢＩ通信を示すメッセージフロー図である。図８を参照すると、ライン１において、コンシューマＮＦ２００は、リソースオブジェクトを作成するために、メッセージをプロデューサＮＦ２０２に送信する。コンシューマＮＦ２００は、プロデューサＮＦ２０２によって提供されるサービスにアクセスするために、ＮＲＦからアクセストークンを以前に取得している、と仮定される。アクセストークンは、図示の例ではＨＴＴＰ ＰＵＴまたはＰＯＳＴメッセージにあるリソース作成要求メッセージに含まれる。ライン２において、プロデューサＮＦ２０２は、リソースデータを含む201 Createdメッセージで、リソース作成要求メッセージに応答する。
【0053】
図８のメッセージフローのライン３において、コンシューマＮＦ２００は、プロデューサＮＦ２０２でリソースオブジェクトを更新するためのメッセージを送信する。更新メッセージは、ＨＴＴＰ ＰＵＴまたはＰＡＴＣＨメッセージであってもよく、ＮＲＦから取得されたアクセストークンを含む。ライン４において、プロデューサＮＦ２０２は、アクセストークンを検証し、５Ｇリソーステーブル８００によって示されるようにリソースオブジェクトを更新する。タイムスタンプＴ４におけるデータは、リソースオブジェクトがタイムスタンプＴ２において作成されたときのデータよりも修正される。
【0054】
メッセージフロー図のライン５において、コンシューマＮＦ２００によって作成されたリソースオブジェクトにアクセスすることを承認されていないコンシューマＮＦ３００は、ＮＲＦ１００からアクセストークンを取得して５Ｇ ＮＦサービスＡＰＩにアクセスすることによって、リソースオブジェクトにアクセスすることができる。コンシューマＮＦ３００は、コンシューマＮＦ２００が作成したリソースについて更新メッセージを送信する。ライン６では、プロデューサＮＦ２０２は、アクセストークンを検証し、５Ｇ ＳＢＩリソーステーブル８００内のタイムスタンプＴ６によって示されるように、修正されたデータを含むようにリソースオブジェクトを更新する。
【0055】
別の例では、コンシューマＮＦ３００は、別のコンシューマＮＦによって作成されたリソースオブジェクト内のデータを読み出すことができる。この例は、メッセージフロー図のライン７およびライン８に示されており、コンシューマＮＦ２０２は、ＨＴＴＰ ＧＥＴ要求をプロデューサＮＦ２０２に送信し、プロデューサＮＦ２０２は、ＧＥＴ要求内のアクセストークンを検証し、ライン８においてリソースデータで応答する。
【0056】
メッセージフロー図のライン９およびライン１０は、別のコンシューマＮＦによって作成されたリソースオブジェクトへの不正アクセスのさらに別の例を示す。ライン９では、コンシューマＮＦ３００は、ライン１およびライン２でコンシューマＮＦ２００によって作成されたリソースオブジェクトを削除するよう、ＨＴＴＰ ＤＥＬＥＴＥメッセージを送信する。ＤＥＬＥＴＥメッセージは、ＮＲＦから取得されたアクセストークンを含む。ライン１０では、プロデューサＮＦ２０２は、ＤＥＬＥＴＥ動作が成功したことを示す202 Acceptedメッセージで応答する。このように、図８は、５Ｇ直接ＳＢＩ通信モデルを使用するＳＢＩリソースオブジェクトへの不正アクセスを示す。
【0057】
図９は、コンシューマＮＦが中間ＳＣＰにリソース作成および更新要求を送信し、ＳＣＰがプロデューサＮＦと通信して対応するリソースオブジェクトを作成および更新する間接通信モデルを使用する、ＳＢＩリソースオブジェクトへの不正アクセスを示す。図９を参照すると、メッセージフロー図のライン１において、コンシューマＮＦ２００は、リソース作成メッセージをＳＣＰ１０１に送信する。ＳＣＰ１０１は、リソース作成要求をプロデューサＮＦ２０２に転送する。ライン２において、プロデューサＮＦ２０２は、要求されるリソースを作成し、201 CreatedメッセージをリソースデータとともにＳＣＰ１０１に送信する。ＳＣＰ１０１は、201 CreatedメッセージをコンシューマＮＦ２００に転送する。
【0058】
メッセージフロー図のライン３では、コンシューマＮＦ２００は、ライン１およびライン２で作成されたリソースオブジェクトを更新するために、リソース更新メッセージをＳＣＰ１０１に送信する。ＳＣＰ１０１は、更新メッセージをプロデューサＮＦ２０２に転送する。ライン４では、プロデューサＮＦ２０２は、アクセストークンを検証し、５Ｇ ＳＢＩリソーステーブル８００内のタイムスタンプＴ４によって示されるように、更新メッセージ内のデータを含むようにリソースオブジェクトを更新する。プロデューサＮＦ２０２は、リソースが成功裏に更新されたことを示す200 OKメッセージ、または更新が失敗した場合は204 No Contentメッセージを送信する。
【0059】
メッセージフロー図のライン５において、コンシューマＮＦ３００は、更新要求をＳＣＰ１０１に送信する。ＳＣＰ１０１は、更新要求をプロデューサＮＦ２０２に転送する。要求は有効なアクセストークンを有するので、ライン６において、プロデューサＮＦ２０２は、５Ｇリソーステーブル８００内のタイムスタンプＴ６によって示されるように、更新要求内のデータを含むようにリソースオブジェクトを更新する。プロデューサＮＦ２０２は、更新メッセージをＳＣＰ１０１に送信し、ＳＣＰ１０１は、そのメッセージをコンシューマＮＦ２００に転送する。
【0060】
メッセージフロー図のライン７において、コンシューマＮＦ３００は、プロデューサＮＦ２０２によって作成されたリソースを読み出すためにＳＣＰ１０１にメッセージを送信する。ＳＣＰ１０１は、要求をプロデューサＮＦ２０２に転送する。ライン８において、プロデューサＮＦ２０２は、アクセストークンを検証し、メッセージをリソースデータとともにＳＣＰ１０１に送信する。ＳＣＰ１０１は、メッセージをリソースデータとともにコンシューマＮＦ３００に転送する。
【0061】
ライン９では、コンシューマＮＦ３００は、コンシューマＮＦ２００が作成したリソースを削除するメッセージをＳＣＰ１０１に送信する。ＳＣＰ１０１は、メッセージをプロデューサＮＦ２０２に転送する。プロデューサＮＦ２０２は、ＤＥＬＥＴＥメッセージ内のアクセストークンを検証し、リソースを削除し、削除動作が成功したことを示す202 Acceptedメッセージで応答する。したがって、図９は、リソースオブジェクトがリソースオブジェクトレベルで承認なしに更新または削除さえされ得る、５Ｇ ＳＢＩ間接通信を使用する場合を示す。
【0062】
リソースオブジェクトへの不正アクセスに関連付けられる困難を回避するために、ここで説明する主題は、間接通信モデルでの使用についてはＳＣＰにおいて、または直接通信モデルでの使用についてはプロデューサＮＦにおいて保持され得る、ＳＢＩリソースオブジェクトレベルアクセス承認サービスを含む。ＳＢＩリソースオブジェクトレベル承認サービスは、プロデューサＮＦによって実現されるOAuth 2.0承認とは別個に独立して動作し得る。したがって、ＮＦサービスコンシューマが有効なOAuth 2.0アクセストークンを有する場合であっても、ＳＢＩリソースオブジェクトレベル承認サービスは、ＮＦサービスコンシューマによって要求されるアクセスがここで説明されるＳＢＩリソースオブジェクトレベル承認サービスに失敗した場合、ＮＦサービスコンシューマがリソースオブジェクトにアクセスすることを防止し得る。
【0063】
ここに記載される主題の一局面によれば、ＳＢＩリソースオブジェクトレベル承認サービスは、リソースオブジェクト所有者データベースをＳＢＩリソースオブジェクト所有者情報で動的にポピュレートする。データベースを動的にポピュレートするために、ＳＢＩリソースオブジェクトレベルアクセス承認サービスは、リソースの作成を確認するプロデューサＮＦからの成功応答メッセージを受信すると、５Ｇ ＳＢＩリソース作成要求において受信されたアクセストークンからコンシューマＮＦ情報を抽出し得る。コンシューマＮＦ情報は、３ＧＰＰ ＴＳ ２９．５１０、セクション６．３．５．２．４で定義されるサブアクセストークンクレームから抽出され得る。以下に示す表１は、３ＧＰＰ ＴＳ ２９．５１０の表６．３．５．２．４－１のコピーである。
【0064】
【表1-1】
【0065】
【表1-2】
【0066】
表１に示されるように、サブアクセストークンクレームは、コンシューマＮＦのＮＦインスタンスＩＤを含み、これは、コンシューマＮＦからプロデューサＮＦへのリソースを作成するためのリソースオブジェクト作成要求メッセージのコンテキストにおいて、リソース作成者のＮＦインスタンスＩＤを含む。ＳＢＩリソースオブジェクトレベルアクセス承認サービスは、このＮＦインスタンスＩＤを、リソースオブジェクト要求または応答メッセージのいずれかから抽出されたリソースＩＤとともにリソースオブジェクト所有者データベースに格納することになる。５Ｇリソースオブジェクトに関する後続の要求に対して、リソースオブジェクトレベルアクセス承認サービスは、要求内のコンシューマＮＦのインスタンス識別子を、動的に記憶されるリソースオブジェクト所有者のインスタンス識別子に対して評価し、事業者により設定された５Ｇ ＳＢＩリソースオブジェクトレベル承認ポリシーを適用し、そのポリシーに基づいて５Ｇ ＳＢＩリソースアクセス要求を許可または拒否する。
【0067】
以下に示す表２および表３はそれぞれ、ＳＣＰまたはプロデューサＮＦにおいてリソースオブジェクトレベルアクセス承認サービスによって保持され得る５Ｇ ＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースおよび５Ｇ ＳＢＩリソースオブジェクト所有者データベースに現れるレコードを示す。
【0068】
【表2】
【0069】
【表3】
【0070】
表２において、例示的な５Ｇ ＳＢＩリソースオブジェクトアクセス承認ポリシーデータベースレコードは、所与のリソースオブジェクトアクセス承認ポリシーについて、以下の属性：５Ｇ ＳＢＩ ＮＦサービス、５Ｇ ＳＢＩリソースＵＲＩ、ＨＴＴＰメソッド、承認されたコンシューマＮＦ範囲、を含む。５Ｇ ＳＢＩ ＮＦサービス属性は、３ＧＰＰ定義のＳＢＩ ＮＦサービスの名前を記憶し、任意の３ＧＰＰ定義のＮＦサービスの名前を記憶することができる。表２の５Ｇ ＳＢＩ ＮＦサービス属性の例示的な値は、Npcf-eventexposureおよびNnrf-udmを含む。５ＧリソースＵＲＩ属性は、リソースオブジェクトに対する３ＧＰＰ定義の５Ｇ ＳＢＩリソースＵＲＩを記憶する。表２におけるこの属性の例示的な値は、 /subscriptionsおよび/nf-instancesを含み、これらは、特定の５ＧリソースオブジェクトのためのＵＲＩを表すよう意図される。ＨＴＴＰメソッド属性は、特定のポリシールールに対するＨＴＴＰメソッドを記憶する。表２において、例示的なポリシールールのための定義されたＨＴＴＰメソッドは、ＧＥＴ、ＰＵＴ、ＰＡＴＣＨ、およびＤＥＬＥＴＥである。承認されたコンシューマＮＦ範囲属性は、ポリシールールが適用されるコンシューマＮＦの範囲を定義する。表２におけるこの属性の値は、ＮＦインスタンス、NF-Set、NF-Type、NetworkSlice、ＰＬＭＮ、およびすべて、を含む。
【0071】
表２のデータは、ネットワーク事業者によって、ＮＦ設定時間に、ネットワーク事業者特定のポリシーに従って、プロビジョニングされ得る。表３のデータは、実行時、リソースオブジェクトが作成されるときに、動的にポピュレートされ得る。表３において、リソースオブジェクト所有権データベースレコードのための例示的な属性は、リソースＵＲＩおよびリソース所有者を含む。リソースＵＲＩ属性は、新たに作成されたリソースオブジェクトに対するＵＲＩを記憶する。リソース所有者属性は、リソースの作成を要求したコンシューマＮＦのＮＦインスタンスＩＤを記憶する。リソース所有者データベースがＳＣＰに保持される場合、表３のフィールドは、プロデューサＮＦからのリソース要求作成応答がＳＣＰによって受信されたときに、対応するリソースオブジェクト作成要求から抽出されたリソースオブジェクト所有者情報を使用して、ポピュレートされ得る。リソース所有者データベースがプロデューサＮＦにおいて保持される場合、表３のデータは、プロデューサＮＦによるリソースオブジェクト作成時に、リソースオブジェクト作成要求から抽出されたリソースオブジェクト所有者情報を使用して、ポピュレートされ得る。
【0072】
リソース所有者データベース内のデータは、特定のリソースオブジェクトに対するコンシューマＮＦアクセスを許可するかどうかを判断するために、リソースオブジェクトアクセス承認ポリシーデータベース内のデータと組み合わせて使用されることになる。たとえば、リソースオブジェクトアクセス承認ポリシーデータベース中の特定のリソースオブジェクトに対する定義された範囲がＮＦインスタンスであり、あるメッセージがそのリソースオブジェクトを更新するために到着する場合、リソースオブジェクトレベルアクセス承認サービスは、あるポリシーがそのリソースオブジェクトのために設定されるかどうかを判断してもよい。あるポリシーがそのリソースオブジェクトのために設定されるかどうかを判断することは、更新要求メッセージにおいて識別されるリソースＵＲＩを使用して、リソースオブジェクトアクセス承認ポリシーデータベース内でルックアップを実行することを含んでもよい。リソースオブジェクト更新要求メッセージ中のリソースＵＲＩが、ポリシールールのうちの１つについて、そのリソースＵＲＩと一致する場合、リソースオブジェクトレベルアクセス承認サービスは、リソースオブジェクト所有者データベースに格納されるデータを使用して、アクセスを許可することがポリシーに違反するかどうかを判断してもよい。例えば、アクセス要求メッセージ内のコンシューマＮＦのＮＦインスタンスＩＤがリソースオブジェクト所有者のＮＦインスタンスＩＤと一致する場合にのみリソースオブジェクトへのアクセスが許可されるべきである旨を、リソースオブジェクトアクセスポリシーが示す場合、ＮＦインスタンスＩＤが一致しなければ、アクセス要求は拒否されるべきである。
【0073】
図１０は、リソースオブジェクトレベルでＳＢＩリソースオブジェクトへのアクセスを管理するための、上述のリソースオブジェクトレベル承認アクセス承認サービスの使用を示す図である。図１０は、ネットワーク事業者によって設定されたリソースオブジェクトアクセス承認ポリシールールを含むリソースオブジェクトアクセス承認ポリシーデータベース１０００、および動的にポピュレートされるリソースオブジェクト所有者情報を含むリソースオブジェクト所有者データベース１００２の例を示す。図１０では、データベース１０００および１００２は、ＳＣＰ１０１に位置する。しかしながら、上述のように、これらのデータベースは、代替的に、保護されたリソースオブジェクトに対応するサービスを提供するプロデューサＮＦにおいて構成されてもよい。
【0074】
図１０のメッセージフローを参照すると、ライン１において、コンシューマＮＦ２００は、プロデューサＮＦ２０２でリソースオブジェクトを作成するために、メッセージをＳＣＰ１０１に送信する。ＳＣＰ１０１は、リソースオブジェクト作成要求をプロデューサＮＦ２０２に転送する。ＳＣＰ１０１は、リソースオブジェクト作成要求のアクセストークンのサブクレームからＮＦインスタンスＩＤを抽出することができる。ライン２では、プロデューサＮＦ２０２は、リソースオブジェクトを作成し、201 Createdメッセージで応答する。プロデューサＮＦ２０２は、201 CreatedメッセージをＳＣＰ１０１に転送し、ＳＣＰ１０１は、リソースオブジェクト所有者データベースに、応答メッセージから抽出されたリソースのＵＲＩを、リソースオブジェクト作成要求メッセージから抽出されたコンシューマＮＦのＮＦインスタンスＩＤとともに、記憶する。代替的に、応答メッセージからリソースのＵＲＩを抽出するのではなく、ＳＣＰ１０１は、リソースオブジェクト作成要求メッセージからリソースのＵＲＩを抽出し得る。次いで、ＳＣＰ１０１は、この時点で、リソースについて、リソースオブジェクトおよび所有者を識別する、完全なレコードを有する。ＳＣＰ１０１は、201 CreatedメッセージをコンシューマＮＦ２００に転送する。
【0075】
ライン３では、コンシューマＮＦ２００は、リソースオブジェクトを更新するためのメッセージを送信する。ＳＣＰ１０１は、メッセージを受信し、あるポリシーがそのリソースオブジェクトに適用される、と判断し、リソースオブジェクト更新要求内のコンシューマＮＦのＮＦインスタンスＩＤが、ＳＢＩリソーステーブル内で識別されるリソースオブジェクト所有者のＮＦインスタンスＩＤと一致するため、更新要求は許可されるべきである、と判断する。したがって、ライン４において、ＳＣＰ１０１は、リソースオブジェクト更新要求をプロデューサＮＦ２０２に転送し、プロデューサＮＦは、リソースオブジェクトを更新する。ライン４では、プロデューサＮＦ２０２は、200 OKメッセージをＳＣＰ１０１に転送し、ＳＣＰ１０１は、200 OKメッセージをコンシューマＮＦ２００に転送する。
【0076】
ライン５では、コンシューマＮＦ３００は、コンシューマＮＦ２００によって作成されたリソースを更新するよう、メッセージを生成し、ＳＣＰ１０１に送信する。ＳＣＰ１０１は、あるポリシーがリソース更新要求に適用される、と判断し、更新要求から取得されたコンシューマＮＦ３００のＮＦインスタンスＩＤをリソースオブジェクト所有者のＮＦインスタンスＩＤと比較し、要求はポリシーに違反する、と判断する。したがって、ライン６では、ＳＣＰ１０１は、更新要求を拒否し、403 Forbiddenメッセージ等のエラー応答をコンシューマＮＦ３００に送信する。
【0077】
ライン７では、コンシューマＮＦ３００は、コンシューマＮＦ２００の要求で作成されたリソースオブジェクトを読み出すよう、読出要求を送信する。ＳＣＰ１０１は、読出要求を受信し、当該リソースのために設定された承認ポリシーに基づいて要求を許可または拒否する。図示の例では、読出要求は許可される。しかしながら、読出動作が許可されない場合、読出要求は、更新要求と同様に拒否されるであろう。
【0078】
メッセージフロー図のライン９において、コンシューマＮＦ３００は、コンシューマＮＦ２００の要求で作成されたリソースオブジェクトについてＳＣＰ１０１に削除要求を送信する。この例では、ＳＣＰ１０１は、設定されたポリシーに対して削除要求を評価し、削除要求は許可されない、と判断し、削除要求メッセージを拒否する。したがって、図１０に示されるステップを使用して、リソースオブジェクトへの不正アクセスは、リソースアクセスレベル承認ポリシーに基づいて防止される。
【0079】
図１１は、ここで説明されるリソースオブジェクトレベル承認を実現するＳＣＰまたはプロデューサＮＦ１０１もしくは２０２の例示的なアーキテクチャを示すブロック図である。図１１を参照すると、ＳＣＰ１０１またはプロデューサＮＦ２０２は、少なくとも１つのプロセッサ１１００およびメモリ１１０２を含む。リソースオブジェクトアクセス承認ポリシーデータベース１０００は、メモリ１１０２に格納され得、上記で説明した事業者設定リソースオブジェクトレベルポリシールールを含み得る。リソースオブジェクト所有者データベース１００２も、メモリ１１０２に格納され得、実行時にＳＣＰ１０１またはプロデューサＮＦ２０２によってポピュレートされ得る。ＳＣＰ１０１またはコンシューマＮＦ２０２はさらに、リソースオブジェクト所有者データベース１００２を動的にポピュレートし、データベース１０００および１００２内のデータを使用して、リソースオブジェクトレベルアクセス承認のためにここに記載されるステップを行う、リソースオブジェクトアクセス承認マネージャ１１０４を含んでもよい。リソースオブジェクトアクセス承認マネージャ１１０４は、メモリ１１０２に格納され、プロセッサ１１００によって実行されるコンピュータ実行可能命令を使用して実現され得る。
【0080】
図１２は、ネットワーク機能においてリソースオブジェクトレベル承認を提供するための例示的なプロセスを示すフローチャートである。図１２を参照すると、ステップ１２００において、本プロセスは、第１のネットワーク機能（ＮＦ）が、ＳＢＩリソースオブジェクトへのアクセスを制御するためのポリシーを含むサービスベースのインターフェース（ＳＢＩ）リソースオブジェクトアクセス承認ポリシーデータベースを保持することを含む。例えば、ＳＣＰまたはプロデューサＮＦは、ネットワーク事業者によって設定されたリソースオブジェクトアクセス承認ポリシーを含むデータベースとともに構成され得る。そのようなポリシーの例は、表２およびリソースオブジェクトアクセス承認ポリシーデータベース１０００に関して上で説明されている。ポリシーは、各ポリシーが関係するリソースオブジェクトの識別子、およびポリシーが適用されるＮＦの識別子範囲を有し得る。
【0081】
ステップ１２０２において、本プロセスは、第１のＮＦが、リソースオブジェクトおよび対応するリソースオブジェクト所有者についてのレコードを含むリソースオブジェクト所有者データベースを動的にポピュレートすることを含む。例えば、リソースオブジェクトアクセス承認マネージャ１１０４は、コンシューマＮＦからのリソースオブジェクト作成要求メッセージに含まれるアクセストークンのサブクレームからＮＦインスタンス識別子を抽出し、リソースオブジェクトの作成を確認するプロデューサＮＦからの成功応答を受信することに応答して、コンシューマＮＦおよび対応するリソースオブジェクトを識別するレコードをリソースオブジェクト所有者データベース内に作成することができる。
【0082】
ステップ１２０４において、本プロセスは、第１のＮＦが、第２のＮＦから、リソースオブジェクトにアクセスするための第１のＳＢＩリソースアクセス要求を受信することを含む。例えば、あるＳＣＰまたはプロデューサＮＦは、あるコンシューマＮＦから、既存のリソースオブジェクトの読出、更新、または削除を試みるＨＴＴＰ ＧＥＴ、ＰＵＴ、ＰＡＴＣＨ、またはＤＥＬＥＴＥメッセージを受信し得る。
【0083】
ステップ１２０６において、本プロセスは、第１のＮＦが、ＳＢＩリソースオブジェクトアクセス要求からの情報を使用して、リソースオブジェクトアクセス承認ポリシーデータベースおよびリソースオブジェクト所有者データベースにアクセスすることと、リソースオブジェクトアクセス要求によって要求されるアクセスは許可されない、と判断することとを含む。一例では、リソースオブジェクトアクセス承認マネージャ１１０４は、リソースオブジェクトアクセス制御ポリシーが、リソース所有者のみがリソースにアクセスできる旨を示し、リソースオブジェクト所有者データベースから、要求をしているコンシューマＮＦが所有者ではない、と判断し得る。別の例では、リソースオブジェクトアクセス承認マネージャ１１０４は、第１のＳＢＩリソースオブジェクトアクセス要求によって要求されるタイプのアクセスは許可されない、と判断し得る。たとえば、あるリソースオブジェクト承認ポリシーは、リソースオブジェクト所有者と同じタイプのコンシューマＮＦは、ＨＴＴＰ ＧＥＴメソッドを使用してリソースオブジェクトを読み出すことはできるが、ＨＴＴＰ ＰＵＴ、ＰＡＴＣＨ、もしくはＤＥＬＥＴＥメソッドを使用してリソースオブジェクトを修正または削除することはできない旨を規定し得る。リソースオブジェクト所有者は、ＨＴＴＰ ＰＵＴ、ＰＡＴＣＨ、またはＤＥＬＥＴＥメソッドを使用してリソースオブジェクトを修正することを許可されてもよい。
【0084】
ステップ１２０８において、本プロセスは、リソースオブジェクトアクセス要求によって要求されたアクセスは許可されない、と判断したことに応答して、リソースオブジェクトアクセス要求によって要求されたアクセスを防止することを含む。例えば、リソースオブジェクトアクセス承認マネージャ１１０４は、ＳＣＰの場合、プロデューサＮＦにアクセス要求を転送しないことによって、アクセスを防止し得る。プロデューサＮＦがアクセス制御を実施する場合、要求されたアクセスを防止することは、要求を無視することを含んでもよい。ＳＣＰまたはプロデューサＮＦのいずれの実現形態でも、リソースオブジェクトアクセス承認マネージャ１１０４は、エラーメッセージを生成して要求側に送信し、要求を記憶し、拒否されたアクセス試行をネットワーク事業者に通知することができる。
【0085】
以下の参考文献の各々の開示は、参照によりその全体がここに組み込まれる。
参照
1. 3GPP TS 33.501 V17.0.0 (2020-12) 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Security Architectures and Procedures for 5G System (Release 17).
2. 3GPP TS 29.510 V17.0.0 (2020-12), 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Network Function Repository Services; Stage 3 (Release 17).
3. 3GPP TS 29.500 V17.1.0 (2020-12), 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Technical Realization of Service Based Architecture; Stage 3 (Release 17).
4. 3GPP TS 29.501 V17.0.0 (2020-12) 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Principles and Guidelines for Services Definition; Stage 3 (Release 17).
5. Hardt, D., The OAuth2.0 Authorization Framework, IETF RFC 6749 (October 2012).
6. Jones et al., JSON Web Token, IETF RFC 7519 (May 2015).
7. Jones et al., JSON Web Signature, IETF RFC 7515 (May 2015).
ここに記載される主題の様々な詳細は、ここに記載される主題の範囲から逸脱することなく変更され得ることが理解されるであろう。さらに、前述の説明は、例示のみを目的とし、限定を目的とせず、ここに記載される主題は、以下に記載される特許請求の範囲によって定義される。
参照
1. 3GPP TS 33.501 V17.0.0 (2020-12) 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Security Architectures and Procedures for 5G System (Release 17).
2. 3GPP TS 29.510 V17.0.0 (2020-12), 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Network Function Repository Services; Stage 3 (Release 17).
3. 3GPP TS 29.500 V17.1.0 (2020-12), 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Technical Realization of Service Based Architecture; Stage 3 (Release 17).
4. 3GPP TS 29.501 V17.0.0 (2020-12) 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Principles and Guidelines for Services Definition; Stage 3 (Release 17).
5. Hardt, D., The OAuth2.0 Authorization Framework, IETF RFC 6749 (October 2012).
6. Jones et al., JSON Web Token, IETF RFC 7519 (May 2015).
7. Jones et al., JSON Web Signature, IETF RFC 7515 (May 2015).
ここに記載される主題の様々な詳細は、ここに記載される主題の範囲から逸脱することなく変更され得ることが理解されるであろう。さらに、前述の説明は、例示のみを目的とし、限定を目的とせず、ここに記載される主題は、以下に記載される特許請求の範囲によって定義される。
【図1】
【図2A】
【図2B】
【図3A】
【図3B】
【図4A】
【図4B】
【図5】
【図6A】
【図6B】
【図6C】
【図6D】
【図7A】
【図7B】
【図7C】
【図8】
【図9】
【図10】
【図11】
【図12】
【国際調査報告】