特表 2024-539984 無線ネットワークのネットワークサービスに対するアプリケーション特定認証のための方法及び無線ネットワーク

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-10-31

(54)【発明の名称】無線ネットワークのネットワークサービスに対するアプリケーション特定認証のための方法及び無線ネットワーク

(51)【国際特許分類】

   H04W 12/06 20210101AFI20241024BHJP

   H04W 48/12 20090101ALI20241024BHJP

   H04W 12/71 20210101ALI20241024BHJP

【ＦＩ】

H04W12/06

H04W48/12

H04W12/71

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024524737

(86)(22)【出願日】2022-11-15

(85)【翻訳文提出日】2024-04-24

(86)【国際出願番号】 KR2022017930

(87)【国際公開番号】W WO2023090799

(87)【国際公開日】2023-05-25

(31)【優先権主張番号】202141053378

(32)【優先日】2021-11-19

(33)【優先権主張国・地域又は機関】IN

(31)【優先権主張番号】202141053378

(32)【優先日】2022-10-28

(33)【優先権主張国・地域又は機関】IN

(81)【指定国・地域】

(71)【出願人】

【識別番号】503447036

【氏名又は名称】サムスン エレクトロニクス カンパニー リミテッド

(74)【代理人】

【識別番号】100133400

【弁理士】

【氏名又は名称】阿部 達彦

(74)【代理人】

【識別番号】100110364

【弁理士】

【氏名又は名称】実広 信哉

(74)【代理人】

【識別番号】100154922

【弁理士】

【氏名又は名称】崔 允辰

(72)【発明者】

【氏名】ラジャヴェルサミー・ラジャデュライ

(72)【発明者】

【氏名】ニヴェディア・パランバス・サシ

(72)【発明者】

【氏名】ロヒニ・ラジェンドラン

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067AA33

5K067DD11

5K067EE02

5K067EE16

5K067HH11

5K067HH22

(57)【要約】

本開示は、より高いデータ送信率を支援するための５Ｇ又は６Ｇ通信システムに関する。したがって、本願の実施例は、アプリケーション機能（ＡＦ）サーバーによって行われる方法を開示し、方法は、端末からユーザ装置（ＵＥ）サービス識別子（ＩＤ）を含む第１要請メッセージを受信する段階、端末の連関情報を要請するための第２要請メッセージを認証サーバーに送信する段階－第２要請メッセージは端末ＩＤを含む－、連関情報が端末ＩＤに基づいて検索される場合に、認証サーバーから端末の連関情報を受信する段階、及びＵＥサービスＩＤが端末の連関情報内の端末ＩＤと連関されるか否かを検証するように行う段階を含む。

【特許請求の範囲】

【請求項1】

アプリケーション機能（ＡＦ：Ａｐｐｌｉｃａｔｉｏｎ Ｆｕｎｃｔｉｏｎ）サーバーによって行われる方法であって、
端末から、ユーザ装置（ＵＥ）サービス識別子（ＩＤ）を含む第１要請メッセージを受信する段階と、
前記端末の連関情報を要請するための第２要請メッセージを認証サーバーに送信する段階－前記第２要請メッセージは端末ＩＤを含む－と、
前記連関情報が前記端末ＩＤに基づいて検索された場合に、前記認証サーバーから前記端末の前記連関情報を受信する段階と、
前記ＵＥサービスＩＤが前記端末の前記連関情報に含まれた前記端末ＩＤと連関されるか否かを検証する段階と、を含む、アプリケーション機能（ＡＦ）サーバーによって行われる方法。

【請求項2】

前記検証の結果に基づいて、前記端末にサービスに対するアクセスを提供する段階をさらに含む、請求項１に記載のアプリケーション機能（ＡＦ）サーバーによって行われる方法。

【請求項3】

ＡＫＭＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ ｆｏｒ Ａｐｐｌｉｃａｔｉｏｎ）ＡＡｎＦ（Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）エンティティから前記端末ＩＤを受信する段階をさらに含み、
前記端末の前記連関情報は、前記ＡＡｎＦエンティティから受信された前記端末ＩＤに基づいて検索される、請求項１に記載のアプリケーション機能（ＡＦ）サーバーによって行われる方法。

【請求項4】

前記ＵＥサービスＩＤが前記端末ＩＤと連関されるか否かを検証する段階は、
前記第１要請メッセージで受信された前記ＵＥサービスＩＤが前記端末の前記検索された連関情報のうち前記端末ＩＤと連関されるか否かを検証する段階を含む、請求項１に記載のアプリケーション機能（ＡＦ）サーバーによって行われる方法。

【請求項5】

前記端末ＩＤは、ＳＵＰＩ（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｐｅｒｍａｎｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）を含み、
前記ＡＦサーバーは、５世代（５Ｇ）システム（ＭＳＧｉｎ５Ｇ）サーバーを介した大規模モノのインターネット（ＭＩｏＴ）のためのメッセージサービスを含む、請求項１に記載のアプリケーション機能（ＡＦ）サーバーによって行われる方法。

【請求項6】

前記ＵＥサービスＩＤと前記端末ＩＤとの連関を検査することによって前記端末の認証を検証する段階をさらに含み、
前記端末は、ＭＳＧｉｎ５Ｇ端末である、請求項１に記載のアプリケーション機能（ＡＦ）サーバーによって行われる方法。

【請求項7】

アプリケーション機能（ＡＦ）サーバーであって、
トランシーバーと、
前記トランシーバーに動作可能に結合された少なくとも１つのプロセッサと、を含み、前記少なくとも１つのプロセッサは、
前記トランシーバーを介して端末から、ユーザ装置（ＵＥ）サービス識別子（ＩＤ）を含む第１要請メッセージを受信し、前記トランシーバーを介して認証サーバーに前記端末の連関情報を要請するための第２要請メッセージを送信し－前記第２要請メッセージは端末ＩＤを含む－、前記連関情報が前記端末ＩＤに基づいて検索された場合に、前記トランシーバーを介して前記認証サーバーから前記端末の前記連関情報を受信し、前記ＵＥサービスＩＤが前記端末の前記連関情報に含まれた前記端末ＩＤと連関されるか否かを検証するように設定される、ＡＦサーバー。

【請求項8】

前記少なくとも１つのプロセッサは、
前記検証の結果に基づいて、前記端末にサービスに対するアクセスを提供するようにさらに設定される、請求項７に記載のＡＦサーバー。

【請求項9】

前記少なくとも１つのプロセッサは、
前記トランシーバーを介してＡＫＭＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ ｆｏｒ Ａｐｐｌｉｃａｔｉｏｎ）ＡＡｎＦ（Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）エンティティから前記端末ＩＤを受信するようにさらに設定され、
前記端末の前記連関情報は、前記ＡＡｎＦエンティティから受信された前記端末ＩＤに基づいて検索される、請求項７に記載のＡＦサーバー。

【請求項10】

前記少なくとも１つのプロセッサは、
前記第１要請メッセージで受信された前記ＵＥサービスＩＤが前記端末の前記検索された連関情報のうち前記端末ＩＤと連関されるか否かを検証するようにさらに設定される、請求項７に記載のＡＦサーバー。

【請求項11】

前記端末ＩＤは、ＳＵＰＩ（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｐｅｒｍａｎｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）を含み、
前記ＡＦサーバーは、５世代（５Ｇ）システム（ＭＳＧｉｎ５Ｇ）サーバーを介した大規模モノのインターネット（ＭＩｏＴ）のためのメッセージサービスを含む、請求項７に記載のＡＦサーバー。

【請求項12】

前記少なくとも１つのプロセッサは、前記ＵＥサービスＩＤと前記端末ＩＤとの連関を検査することによって前記端末の認証を検証するようにさらに設定され、
前記端末は、ＭＳＧｉｎ５Ｇ端末である、請求項７に記載のＡＦサーバー。

【請求項13】

端末によって行われる方法であって、
ユーザ装置（ＵＥ）サービス識別子（ＩＤ）を含む第１要請メッセージを、アプリケーション機能（ＡＦ）サーバーに送信する段階と、
前記ＡＦサーバーから、サービスに対するアクセスが提供されるか否かを示す情報を含む応答メッセージを受信する段階と、を含み、
前記端末の連関情報を要請するための第２要請メッセージは認証サーバーに送信され、前記第２要請メッセージは端末ＩＤを含み、
前記連関情報が前記端末ＩＤに基づいて検索される場合に、前記端末の前記連関情報は前記認証サーバーから受信され、
前記ＵＥサービスＩＤが前記端末の前記連関情報に含まれた前記端末ＩＤと連関されるか否かが検証される、端末によって行われる方法。

【請求項14】

端末であって、
トランシーバーと、
前記トランシーバーに動作可能に結合された少なくとも１つのプロセッサと、を含み、前記少なくとも１つのプロセッサは、
ユーザ装置（ＵＥ）サービス識別子（ＩＤ）を含む第１要請メッセージを前記トランシーバーを介してアプリケーション機能（ＡＦ）サーバーに送信し、
前記トランシーバーを介して前記ＡＦサーバーから、サービスに対するアクセスが提供されるか否かを示す情報を含む応答メッセージを受信するように設定され、
前記端末の連関情報を要請するための第２要請メッセージは認証サーバーに送信され、前記第２要請メッセージは端末ＩＤを含み、
前記連関情報が前記端末ＩＤに基づいて検索される場合に、前記端末の前記連関情報は前記認証サーバーから受信され、
前記ＵＥサービスＩＤが前記端末の前記連関情報に含まれた前記端末ＩＤと連関されるか否かが検証される、端末。

【請求項15】

前記サービスに対するアクセスは前記検証の結果に基づいて提供され、
前記端末ＩＤは、ＡＫＭＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ ｆｏｒ Ａｐｐｌｉｃａｔｉｏｎ）ＡＡｎＦ（Ａｎｃｈｏｒ Ｆｕｎｃｔｉｏｎ）エンティティから前記ＡＦサーバーに送信され、
前記端末の前記連関情報は、前記ＡＡｎＦエンティティから受信された前記端末ＩＤに基づいて検索され、
前記第１要請メッセージで受信された前記ＵＥサービスＩＤが前記端末の前記検索された連関情報のうち前記端末ＩＤと連関されるか否かが検証され、
前記端末ＩＤは、ＳＵＰＩ（ｓｕｂｓｃｒｉｐｔｉｏｎ ｐｅｒｍａｎｅｎｔ ｉｄｅｎｔｉｆｉｅｒ）を含み、
前記ＡＦサーバーは、５世代（５Ｇ）システム（ＭＳＧｉｎ５Ｇ）サーバーを介した大規模モノのインターネット（ＭＩｏＴ）のためのメッセージサービスを含み、
前記端末の認可は、前記ＵＥサービスＩＤと前記端末ＩＤとの連関を検査することによって検証され、
前記端末は、ＭＳＧｉｎ５Ｇ端末である、請求項１４に記載の端末。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、無線通信に関し、より詳細には、無線ネットワークにおいてネットワークサービス（例えば、５世代（５Ｇ）サービスなど）に対する最適化されたアプリケーション特定認証のための方法及び無線ネットワークに関する。本開示は、無線通信ネットワークにおいてネットワークサービスに対するアプリケーション特定認証に関する。

【背景技術】

【0002】

５Ｇ移動通信技術は、速い送信速度と新しいサービスが可能なように広い周波数帯域を定義しており、３．５ギガヘルツ（ＧＨｚ）などの６ＧＨｚ以下周波数（「Ｓｕｂ ６ＧＨｚ」）帯域の他、２８ＧＨｚと３９ＧＨｚなどのミリメートル波（ｍｍＷａｖｅ）と呼ばれる超高周波帯域（「Ａｂｏｖｅ ６ＧＨｚ」）においても具現が可能である。また、５Ｇ通信以後（Ｂｅｙｏｎｄ ５Ｇ）のシステムと呼ばれる６Ｇ移動通信技術は、５Ｇ移動通信技術に比べて５０倍も速くなった送信速度と１０分の１に減った超低（Ｕｌｔｒａ Ｌｏｗ）遅延時間を達成するためにテラヘルツ（Ｔｅｒａｈｅｒｔｚ）帯域（例えば、９５ＧＨｚ～３テラヘルツ（ＴＨｚ）帯域）での具現が考慮されている。

【0003】

５Ｇ移動通信技術の初期には、超広帯域サービス（ｅｎｈａｎｃｅｄ Ｍｏｂｉｌｅ ＢｒｏａｄＢａｎｄ，ｅＭＢＢ）、高信頼／超低遅延通信（Ｕｌｔｒａ－Ｒｅｌｉａｂｌｅ Ｌｏｗ－Ｌａｔｅｎｃｙ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，ＵＲＬＬＣ）、大規模機械式通信（ｍａｓｓｉｖｅ Ｍａｃｈｉｎｅ－Ｔｙｐｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，ｍＭＴＣ）に対するサービス支援と性能要求事項を満たすことを目標に、超高周波帯域での電波の経路損失緩和及び電波の伝達距離の増大のためのビームフォーミング（Ｂｅａｍｆｏｒｍｉｎｇ）及び巨大配列多重入出力（Ｍａｓｓｉｖｅ ＭＩＭＯ）、超高周波数リソースの効率的な活用のための様々なヌメロロジー支援（複数個のサブキャリア間隔運用など）とスロットフォーマットに対する動的運営、多重ビーム送信及び広帯域を支援するための初期接続技術、ＢＷＰ（Ｂａｎｄ－Ｗｉｄｔｈ Ｐａｒｔ）の定義及び運営、大容量データ送信のためのＬＤＰＣ（Ｌｏｗ Ｄｅｎｓｉｔｙ Ｐａｒｉｔｙ Ｃｈｅｃｋ）符号と制御情報の高信頼性の送信のためのポーラコード（Ｐｏｌａｒ Ｃｏｄｅ）のような新しいチャネルコーディング方法、Ｌ２先処理（Ｌ２ ｐｒｅ－ｐｒｏｃｅｓｓｉｎｇ）、特定サービスに特化した専用ネットワークを提供するネットワークスライシング（Ｎｅｔｗｏｒｋ Ｓｌｉｃｉｎｇ）などに対する標準化が進行された。

【0004】

現在、５Ｇ移動通信技術が支援しようとしたサービスを考慮して初期の５Ｇ移動通信技術の改善（ｉｍｐｒｏｖｅｍｅｎｔ）及び性能向上（ｅｎｈａｎｃｅｍｅｎｔ）のための議論が進行中であり、車両が送信する自分の位置及び状態情報に基づいて自律走行車両の走行判断を助け、ユーザの便宜を増大させるためのＶ２Ｘ（Ｖｅｈｉｃｌｅ－ｔｏ－Ｅｖｅｒｙｔｈｉｎｇ）、非免許帯域で各種規制上の要求事項に符合するシステム動作を目的とするＮＲ－Ｕ（Ｎｅｗ Ｒａｄｉｏ Ｕｎｌｉｃｅｎｓｅｄ）、ＮＲ端末低電力消耗技術（ＵＥ Ｐｏｗｅｒ Ｓａｖｉｎｇ）、地上網との通信が不可能な地域でカバレッジ確保のための端末－衛星直接通信である非地上ネットワーク（Ｎｏｎ－Ｔｅｒｒｅｓｔｒｉａｌ Ｎｅｔｗｏｒｋ，ＮＴＮ）、位置測位（Ｐｏｓｉｔｉｏｎｉｎｇ）などの技術に対する物理層標準化が進行中である。

【0005】

そのうえ、他の産業との連係及び融合を用いた新しいサービス支援のための知能型工場（Ｉｎｄｕｓｔｒｉａｌ Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ，ＩＩｏＴ）、無線バックホールリンクとアクセスリンクとを統合支援してネットワークサービス地域拡張のためのノードを提供するＩＡＢ（Ｉｎｔｅｇｒａｔｅｄ Ａｃｃｅｓｓ ａｎｄ Ｂａｃｋｈａｕｌ）、条件付きハンドオーバー（Ｃｏｎｄｉｔｉｏｎａｌ Ｈａｎｄｏｖｅｒ）及びＤＡＰＳ（Ｄｕａｌ Ａｃｔｉｖｅ Ｐｒｏｔｏｃｏｌ Ｓｔａｃｋ）ハンドオーバーを含む移動性向上技術（Ｍｏｂｉｌｉｔｙ Ｅｎｈａｎｃｅｍｅｎｔ）、ランダムアクセス手順を簡素化する２段階ランダムアクセス（２－ｓｔｅｐ ＲＡＣＨ ｆｏｒ ＮＲ）などの技術に対する無線インターフェースアーキテクチャ／プロトコル分野の標準化も進行中であり、ネットワーク機能仮想化（Ｎｅｔｗｏｒｋ Ｆｕｎｃｔｉｏｎｓ Ｖｉｒｔｕａｌｉｚａｔｉｏｎ，ＮＦＶ）及びソフトウェア定義ネットワーキング（Ｓｏｆｔｗａｒｅ－Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋｉｎｇ，ＳＤＮ）技術の融合のための５Ｇベースラインアーキテクチャ（例えば、Ｓｅｒｖｉｃｅ ｂａｓｅｄ Ａｒｃｈｉｔｅｃｔｕｒｅ、Ｓｅｒｖｉｃｅ ｂａｓｅｄ Ｉｎｔｅｒｆａｃｅ）、端末の位置に基づいてサービスの提供を受けるモバイルエッジコンピューティング（Ｍｏｂｉｌｅ Ｅｄｇｅ Ｃｏｍｐｕｔｉｎｇ，ＭＥＣ）などに対するシステムアーキテクチャ／サービス分野の標準化も進行中である。

【0006】

このような５Ｇ移動通信システムが商用化すれば、爆発的な増加の傾向にあるコネクテッド機器が通信ネットワークに連結されるだろうし、これによって５Ｇ移動通信システムの機能及び性能の強化とコネクテッド機器の統合運用が必要になると予想される。そのために、増強現実（Ａｕｇｍｅｎｔｅｄ Ｒｅａｌｉｔｙ，ＡＲ）、仮想現実（Ｖｉｒｔｕａｌ Ｒｅａｌｉｔｙ，ＶＲ）、混合現実（Ｍｉｘｅｄ Ｒｅａｌｉｔｙ，ＭＲ）などを効率的に支援するための拡張現実（ｅＸｔｅｎｄｅｄ Ｒｅａｌｉｔｙ，ＸＲ）、人工知能（Ａｒｔｉｆｉｃｉａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ，ＡＩ）及びマシンラーニング（Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ，ＭＬ）を活用した５Ｇ性能改善及び複雑度減少、ＡＩサービス支援、メタバースサービス支援、ドローン通信などに対する新しい研究が進行される予定である。

【0007】

また、このような５Ｇ移動通信システムの発展は、６Ｇ移動通信技術のテラヘルツ帯域でのカバレッジ保証のための新規波形（Ｗａｖｅｆｏｒｍ）、全次元多重入出力（Ｆｕｌｌ Ｄｉｍｅｎｓｉｏｎａｌ ＭＩＭＯ，ＦＤ－ＭＩＭＯ）、アレイアンテナ（Ａｒｒａｙ Ａｎｔｅｎｎａ）、大規模アンテナ（Ｌａｒｇｅ Ｓｃａｌｅ Ａｎｔｅｎｎａ）のような多重アンテナ送信技術、テラヘルツ帯域信号のカバレッジを改善するためにメタ物質（Ｍｅｔａｍａｔｅｒｉａｌ）ベースレンズ及びアンテナ、ＯＡＭ（Ｏｒｂｉｔａｌ Ａｎｇｕｌａｒ Ｍｏｍｅｎｔｕｍ）を用いた高次元空間多重化技術、ＲＩＳ（Ｒｅｃｏｎｆｉｇｕｒａｂｌｅ Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｕｒｆａｃｅ）技術だけでなく、６Ｇ移動通信技術の周波数効率の向上及びシステムネットワーク改善のための全二重化（Ｆｕｌｌ Ｄｕｐｌｅｘ）技術、衛星（Ｓａｔｅｌｌｉｔｅ）、ＡＩ（Ａｒｔｉｆｉｃｉａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ）を設計段階から活用し、終端間（Ｅｎｄ－ｔｏ－Ｅｎｄ）ＡＩ支援機能を内在化してシステム最適化を実現するＡＩベース通信技術、端末演算能力の限界を超える複雑度のサービスを超高性能通信とコンピューティングリソースを用いて実現する次世代分散コンピューティング技術などの開発の基礎になるであろう。

【発明の概要】

【発明が解決しようとする課題】

【0008】

５Ｇサービスに最適化されたアプリケーション特定認証（連関の検査）のための有用な代案を提供することが好ましい。

【課題を解決するための手段】

【0009】

したがって、本願の一実施例によって、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のための方法を開示する。方法は、無線ネットワークのネットワーク機能エンティティによって、無線ネットワークのネットワークサービスに対するアクセスを提供するためにユーザ装置（ＵＥ）のサービス特定識別子間のマッピングを設定する段階を含む。さらに、方法は、アプリケーションサーバーによって、無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスにアクセスするためにＵＥからサービス要請を受信する段階を含む。さらに、方法は、ＮＦエンティティによって、（サービス要請に対するアクセスを提供する前に）ＵＥの少なくとも１つのアイデンティティー（ＩＤ）を認証する段階を含む。さらに、方法は、ＮＦエンティティによって、無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスに対するアクセスを許容するためにサービス要請のサービス特定識別子とＵＥの既に認証されたＩＤ間のマッピングを検証する段階を含む。

【0010】

一実施例によれば、サービス特定識別子は、ＵＥのＳＵＰＩ（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｐｅｒｍａｎｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）、ＧＰＳＩ（Ｇｅｎｅｒｉｃ Ｐｕｂｌｉｃ Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ）、ＥＥＣ（Ｅｄｇｅ Ｅｎａｂｌｅｒ Ｃｌｉｅｎｔ）識別子、ＭＳＧｉｎ５Ｇサーバーに対するサービス識別子、及び垂直アプリケーション層（ＶＡＬ）ユーザ識別子（ＩＤ）を含む。

【0011】

一実施例によれば、ＮＦエンティティは、認証サーバーを含み、認証サーバーは、ＵＤＭ（Ｕｎｉｆｉｅｄ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ）エンティティ、ＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ ａｎｄ Ａｃｃｏｕｎｔｉｎｇ）エンティティ、認証サーバー機能（ＡＵＳＦ）エンティティ、ｃｏｎｆ管理サーバー及びＭＳＧｉｎ５Ｇ設定機能エンティティのうち少なくとも１つを含む。

【0012】

一実施例によれば、アプリケーションサーバーは、エッジサーバー、ＭＳＧｉｎ５Ｇサーバー、Ｖ２Ｘ（Ｖｅｈｉｃｌｅ ｔｏ Ｅｖｅｒｙｔｈｉｎｇ）サーバー、無人航空システム（ＵＡＳ）サーバー、及びＳＥＡＬ（Ｓｅｒｖｉｃｅ Ｅｎａｂｌｅｒ Ａｒｃｈｉｔｅｃｔｕｒｅ Ｌａｙｅｒ）サーバーのうち少なくとも１つを含む。

【0013】

したがって、一実施例によれば、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のための方法を開示する。方法は、無線ネットワークのＵＥによって、無線ネットワークのアプリケーションサーバーによって提供されるネットワークサービスにアクセスするための要請を、無線ネットワークのアプリケーションサーバーに送信する段階を含む。さらに、方法は、ＵＥとアプリケーションサーバーの少なくとも１つのアイデンティティーの成功的な相互認証後に、ＵＥによって、ＵＥとアプリケーションサーバーとの間に保安チャネルを確立する段階を含む。さらに、方法は、ＵＥによって、保安チャネルを介してアプリケーションサーバーにサービス要請を送信する段階を含む。さらに、方法は、ＵＥによって、保安チャネルを介してアプリケーションサーバーに対するサービス要請にサービス特定識別子又はＵＥ特定識別子を含める段階を含む。さらに、方法は、アプリケーションサーバーによって含まれたサービス特定識別子又はＵＥ特定識別子に基づいて、要請されたサービスに対する成功的な認証を確認応答する応答メッセージをＵＥによって受信する段階を含む。さらに、方法は、ＵＥによって、アプリケーションサーバーからのネットワークサービスにアクセスする段階を含む。

【0014】

したがって、一実施例によれば、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のための方法を開示する。方法は、無線ネットワークのアプリケーションサーバーによって、無線ネットワークのＵＥからサービス要請を受信する段階を含む。さらに、方法は、アプリケーションサーバーによって、サービス要請を受信することに応答して、サービス要請に含まれたＵＥ ＩＤを認証する段階を含む。さらに、方法は、成功的な相互認証後に、アプリケーションサーバーによって、ＵＥとアプリケーションサーバーとの間に保安チャネルを確立する段階を含む。さらに、方法は、アプリケーションサーバーによって、アプリケーションサーバーによるＵＥの成功的な認証及び認証を確認応答する応答メッセージを送信する段階を含む。さらに、方法は、アプリケーションサーバーによって、ＵＥにネットワークサービスを提供する段階を含む。

【0015】

一実施例によれば、ＵＥから受信されたサービス要請は、無線ネットワークにおいて認証サーバーによって設定されたＵＥのサービス特定識別子間のマッピングに基づいて認可される。

【0016】

したがって、一実施例によれば、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のための無線ネットワークを開示する。無線ネットワークは、ネットワーク機能エンティティ及びアプリケーションサーバーを含む。ネットワーク機能エンティティは、メモリ及びプロセッサに結合されたアプリケーション特定認証制御器を含む。アプリケーション特定認証制御器は、無線ネットワークにおいてネットワークサービスに対するアクセスを提供するために、ＵＥのサービス特定識別子間のマッピングを設定し、マッピングをメモリに保存するように設定される。アプリケーションサーバーは、メモリ及びプロセッサに結合されたアプリケーション特定認証制御器を含む。

【0017】

アプリケーションサーバーのアプリケーション特定認証制御器は、無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスにアクセスするためにＵＥからサービス要請を受信し、保安チャネルを介してアプリケーションサーバーへのサービス要請にサービス特定識別子又はＵＥ特定識別子を含むように設定される。ネットワーク機能エンティティのアプリケーション特定認証制御器は、無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスに対するアクセスを提供する前にＵＥを認証するように設定される。ネットワーク機能エンティティのアプリケーション特定認証制御器は、無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスに対するアクセスを許容するために、要請のサービス特定識別子とＵＥの既に認証されたＩＤ間のマッピングを検証するように設定される。

【0018】

したがって、一実施例によれば、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のためのＵＥを開示する。ＵＥは、メモリ及びプロセッサに結合されたアプリケーション特定認証制御器を含む。アプリケーション特定認証制御器は、無線ネットワークのアプリケーションサーバーによって提供されるネットワークサービスにアクセスするために無線ネットワークのアプリケーションサーバーに要請を送信するように設定される。さらに、アプリケーション特定認証制御器は、アプリケーションサーバーによるＵＥの成功的な相互認証以後にＵＥとアプリケーションサーバーとの間に保安チャネルを確立するように設定される。

【0019】

さらに、アプリケーション特定認証制御器は、保安チャネルを介してアプリケーションサーバーにサービス要請を送信するように設定される。さらに、アプリケーション特定認証制御器は、保安チャネルを介してアプリケーションサーバーへのサービス要請にサービス特定識別子又はＵＥ特定識別子を含めるように設定される。さらに、アプリケーション特定認証制御器は、アプリケーションサーバーによって要請されたサービスに対する認可成功を確認応答する応答メッセージを受信するように設定される。さらに、アプリケーション特定認証制御器は、アプリケーションサーバーからネットワークサービスにアクセスするように設定される。

【0020】

したがって、一実施例によれば、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のためのアプリケーションサーバーを開示する。アプリケーションサーバーは、メモリ及びプロセッサに結合されたアプリケーション特定認証制御器を含む。アプリケーション特定認証制御器は、無線ネットワークにおいてＵＥからサービス要請を受信するように設定される。さらに、アプリケーション特定認証制御器は、サービス要請を受信することに応答して、要請に含まれたＵＥ ＩＤを認証するように設定される。さらに、アプリケーション特定認証制御器は、成功的な相互認証の後にＵＥとアプリケーションサーバー（例えば、エッジサーバー又はＭＳＧｉｎ５Ｇサーバー）との間に保安チャネルを確立するように設定される。さらに、アプリケーション特定認証制御器は、ＵＥ及びアプリケーションサーバーの成功的な認証を確認応答する応答メッセージを送信するように設定される。さらに、アプリケーション特定認証制御器は、ＵＥにネットワークサービスを提供するように設定される。

【発明の効果】

【0021】

本願の実施例の主要目的は、無線ネットワークにおいて５Ｇサービスに対する最適化されたアプリケーション特定認証のための方法及び無線ネットワークを提供することである。

【0022】

本願の実施例の他の目的は、ＵＥがサービスアクセスを要請するときに、ＵＥの認可（連関の検査）を検証するためにＵＥのＩＤを管理することである。

【0023】

本願の実施例の他の目的は、ＵＥの連関ＩＤをＡＦに提供し、ＡＦはプライバシーを保護するためにＰＬＭＮの内部又は外部に配置される。

【0024】

本願の実施例の他の目的は、ＯＡｕｔｈサーバー、認証サーバー又はアイデンティティー管理サーバーでＵＥ識別子の連関／マッピングを維持することである。

【0025】

本願の実施例の上記の及び他の態様は、次の説明及び添付の図面と共に考慮されるときによりよく認識されて理解されるであろう。ただし、次の説明が、好ましい実施例及びそれに対する様々な特定細部事項を示すが、制限ではなく例示のために提供されることが理解されるべきである。多くの変更及び修正が本願の実施例の範囲内でなされてよく、本願の実施例はそのような全ての修正を含む。

【0026】

下記の詳細な説明に先立ち、本特許文書全般にわたって使われる所定の単語及び語句の定義を説明することが有利であり得：「含む（ｉｎｃｌｕｄｅ及びｃｏｍｐｒｉｓｅ）」という用語及びその派生語は、制限なく含むことを意味し；「又は」という用語は、及び／又はを意味し；「～と連関された（ａｓｓｏｃｉａｔｅｄ ｗｉｔｈ及びａｓｓｏｃｉａｔｅｄ ｔｈｅｒｅｗｉｔｈ）」という用語及びその派生語は、含む（ｉｎｃｌｕｄｅ、ｃｏｎｔａｉｎ）、含まれる（ｉｎｃｌｕｄｅｄ ｗｉｔｈｉｎ、ｃｏｎｔａｉｎｅｄ ｗｉｔｈｉｎ）、～と相互連結する、～に又は～と連結する、～に又は～と結合する、～と通信する、～と協調する、交互配置する、併置する、近接する、～に又は～と境界をなす、所有する、などを意味でき；「制御器」という用語は、少なくとも１つの動作を制御する任意のデバイス、システム又はその一部を意味し、このようなデバイスは、ハードウェア、ファームウェア又はソフトウェア、又はこれらのうち少なくとも２個の一部の組合せにより具現されてよい。任意の特定制御器と連関された機能はローカルであろうと遠隔であろうと中央集中化又は分散されることに留意すべきである。

【0027】

なお、以下に説明される様々な機能は、１つ以上のコンピュータプログラムによって具現又は支援されてよく、１つ以上のコンピュータプログラムのそれぞれは、コンピュータ可読プログラムコードから形成され、コンピュータ可読媒体により実行される。「アプリケーション」及び「プログラム」という用語は、１つ以上のコンピュータプログラム、ソフトウェア構成要素、命令のセット、手順、機能、客体、クラス、インスタンス、関連データ又は適切なコンピュータ可読プログラムコードによって具現するために適応されたその一部のことを指す。「コンピュータ可読プログラムコード」という語句は、ソースコード、客体コード及び実行可能なコードを含む任意の類型のコンピュータコードを含む。「コンピュータ可読媒体」という語句は、ＲＯＭ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ハードディスクドライブ、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｉｄｅｏ Ｄｉｓｃ）又は任意の他の類型のメモリのように、コンピュータでアクセス可能な任意の類型の媒体を含む。「非一時的」コンピュータ可読媒体は、一時的な電気の又は他の信号を伝達する有線、無線、光学又は他の通信リンクを除外する。非一時的コンピュータ可読媒体は、データを永久的に保存可能な媒体と再記録可能な光ディスク又は消去可能なメモリデバイスのように、データを保存し、後で上書き可能な媒体を含む。

【0028】

所定の単語又は語句に対する定義は、本特許文書を通じて提供され、通常の技術者は、大部分ではないが多くの場合に、そのような定義が、当該定義された単語及び語句の以前の使用だけでなく未来の使用にも適用されることを理解すべきである。

【0029】

本開示は、添付の図面に例示され、図面全体を通じて同一の参照符号は、様々な図面の対応部分を示す。本願の実施例は、図面を参照した次の説明からよりよく理解されるであろう。

【図面の簡単な説明】

【0030】

【図1】従来技術に係るＡＫＭＡの基本ネットワークモデルと、ＡＫＭＡの基本ネットワークモデル間のインターフェースを例示する。

【図2a】従来技術に係る参照ポイント表現を使用したＡＫＭＡアーキテクチャーを例示する。

【図2b】従来技術に係る参照ポイント表現を使用したＡＫＭＡアーキテクチャーを例示する。

【図3】本願に開示された実施例に係る、ＵＥと任意のＡＦとの間のアクセストークンに基づく認証のための一般化された方法に対するシーケンス流れ図を例示し、ここで、ＡＦは、ＥＤＧＥサーバー／ＭＳＧｉｎ５Ｇサーバー／任意のＶＡＬサーバーのことを指す。

【図4】本願に開示された実施例によって、ＡＦが運営者又は第３者によってホストされるＰＬＭＮの外部にあるとき、Ａ－ＫＩＤを提供することによるＵＥの認証のためのシーケンス流れ図を例示する。

【図5】本願に開示された実施例によってＡＦがＰＬＭＮの内部、すなわち運営者ドメインでホストされるとき、Ａ－ＫＩＤを提供することによるＵＥの認証のためのシーケンス流れ図を例示する。

【図6】本願に開示された実施例に係るＮＦエンティティ（例えば、認証サーバー）の様々なハードウェア構成要素を例示する。

【図7】本願に開示された実施例に係るＵＥの様々なハードウェア構成要素を例示する。

【図8】本願に開示された実施例に係るアプリケーションサーバー（例えば、エッジサーバー又はＭＳＧｉｎ５Ｇサーバー）の様々なハードウェア構成要素を例示する。

【図9】本願に開示された実施例によって無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のための方法の流れ図を例示する。

【図10】本願に開示された実施例によって無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のためにＵＥによって具現される方法の流れ図を例示する。

【図11】本願に開示された実施例によって無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のためにアプリケーションサーバー（例えば、エッジサーバー又はＭＳＧｉｎ５Ｇサーバー）によって具現される方法の流れ図を例示する。

【図12】本願に開示された実施例によって無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のためにＭＳＧｉｎ５Ｇサーバー又はエッジサーバーによって具現される方法のシーケンス流れ図を例示する。

【発明を実施するための形態】

【0031】

以下に述べられる図１～図１２、及びこの特許文書で本開示の原理を説明するために用いられる様々な実施例は、例示のためのものに過ぎず、いかなる方式でも本開示の範囲を制限するものと解釈されてはならない。通常の技術者は、本開示の原理が、任意の適切に配列された任意のシステム又はデバイスにより具現され得ることが理解できよう。

【0032】

本願の実施例とその様々な特徴及び有利な細部事項は、添付の図面に例示され、次の説明において詳細に説明される非制限的な実施例を参照してより完全に説明される。よく知られた構成要素及びプロセシング手法に関する説明は、本願の実施例を却って曖昧にすることを避けるために省略される。また、本願に説明された様々な実施例は、一部の実施例が１つ以上の他の実施例と結合して新しい実施例を形成でき、よって、必ずしも相互排他的なものではない。本願で使われた用語「又は」は、特に断らない限り、非排他的な「又は」を意味する。本願で用いられる例は単に、本願の実施例が実施され得る方式の理解を容易にし、さらに通常の技術者が本願の実施例を実施できるようにするためのものである。したがって、実施例は、本願の実施例の範囲を制限するものと解釈されてはならない。

【0033】

この分野では伝統的であるように、実施例は、説明された機能又は機能を有するブロックの観点で説明及び例示されてよい。本願においてユニット又はモジュールと呼ばれ得るこのようなブロックは、論理ゲート、集積回路、マイクロプロセッサ、マイクロ制御器、メモリ回路、受動電子構成要素、能動電子構成要素、光学構成要素、ハードワイヤード回路などのようなアナログ及び／又はデジタル回路によって物理的に具現され、選択的にファームウェアによって駆動されてよい。回路は、例えば、１つ以上の半導体チップにより具現されるか、印刷回路基板などのような基板支持部に具現されてよい。ブロックを構成する回路は、専用ハードウェア、プロセッサ（例えば、１つ以上のプログラミングされたマイクロプロセッサ及び連関回路）、又はブロックの一部機能を実行する専用ハードウェアとブロックの他の機能を実行するプロセッサとの組合せにより具現されてよい。実施例のそれぞれのブロックは、本開示の範囲から逸脱することなく２個以上の相互作用する離散ブロックとして物理的に分離されてよい。同様に、実施例のブロックは、本開示の範囲から逸脱することなく、より複雑なブロックとして物理的に結合されてよい。

【0034】

添付する図面は、様々な技術的特徴を容易に理解することを助けるために使われ、本願に提示された実施例が添付の図面によって制限されないということが理解されるべきである。したがって、本開示は、添付の図面に特に説明されたものの他にも、その変更、均等物及び代替物まで拡張されるものと解釈されるべきである。本願において、「第１」及び「第２」などの用語が様々な要素を説明するために使われてよいが、このような要素が当該用語によって制限されてはならない。当該用語は一般に、一つの要素を他の要素と区別するために使われるだけである。

【0035】

「ＮＦエンティティ」及び「認証サーバー」という用語は、特許開示において互いに取り替えて使われる。「アプリケーションサーバー」、「エッジサーバー」、及び「ＭＳＧｉｎ５Ｇサーバー」という用語は、特許開示において互いに取り替えて使われる。

【0036】

したがって、本願の実施例は、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のための方法を開示する。方法は、無線ネットワークのネットワーク機能エンティティによって、無線ネットワークのネットワークサービスに対するアクセスを提供するためにユーザ装置（ＵＥ）のサービス特定識別子間のマッピングを設定する段階を含む。さらに、方法は、アプリケーションサーバーによって、無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスにアクセスするために、ＵＥからサービス要請を受信する段階を含む。さらに、方法は、ＮＦエンティティによって、（サービス要請に対するアクセスを提供する前に）ＵＥの少なくとも１つのアイデンティティー（ＩＤ）を認証する段階を含む。さらに、方法は、ＮＦエンティティによって、無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスに対するアクセスを許容するためにサービス要請のサービス特定識別子とＵＥの既に認証されたＩＤ間のマッピングを検証する段階を含む。

【0037】

実施例において、ＵＥからサービスアクセス要請メッセージ（アプリケーションＩＤ、例えばＵＥサービスＩＤを有する。）を受信すると、ＡＦは、認証サーバーにＵＥの連関情報を提供するように要請する。ＡＦの要請メッセージは、真偽性検証アイデンティティー（例えば、ＡＫＭＡの成功的な完了後に取得されたＵＥのＳＵＰＩ）を含む。

【0038】

認証サーバーはＵＥのＳＵＰＩを用いて連関情報を検索し、ＡＦに連関情報を提供する。連関情報を受信時に、ＡＦは、サービス要請において受信されたアプリケーションＩＤが、連関情報のＵＥの真偽性検証アイデンティティーと連関されるか否かを検証する。検証に成功すると、すなわち、サービス要請において受信されたアプリケーションＩＤが連関情報のＵＥの真偽性検証アイデンティティーと連関されると、ＡＦは、サービスに対するアクセスを提供する。検証に失敗すると、すなわち、サービス要請において受信されたアプリケーションＩＤが連関情報のＵＥの真偽性検証アイデンティティーと連関されないと、ＡＦは、サービスに対するアクセスを拒否する。サービスを獲得するためのアプリケーション層ＩＤを使用するために、ＵＥ（又は加入者又はユーザ）に割り当てられたアプリケーション層ＩＤは、１つ以上の永久ＩＤ（ＳＵＰＩ、ＩＭＳＩ、ＩＭＰＩなどのようなＭＮＯによって割り当てられた固有且つ永久的に割り当てられたグローバルアイデンティティー）と連関される。

【0039】

提供された方法は、連関情報を用いて、ＭＳＧｉｎ５Ｇクライアント／ＶＡＬクライアントとＭＳＧｉｎ５Ｇサーバー／ＶＡＬサーバーとの間の認証をイネーブルする。

【0040】

提供された方法はさらに、サービスアクセス要請において送信されたＵＥ特定識別子及び／又はサービス特定識別子に基づいてＵＥ要請の検証をイネーブルする。

【0041】

提供される方法は、５Ｇサービスに最適化されたアプリケーション特定認証に用いられてよい。方法は、ＵＥがサービスアクセスを要請するときにＵＥの認証を検証するためにＵＥのＩＤを管理する段階を含む。さらに、方法は、ＡＦが公衆陸上移動ネットワーク（ＰＬＭＮ）の内部又は外部に配置される間に、認可されたＩＤを提供する段階を含む。さらに、方法は、ＯＡｕｔｈサーバーや認証サーバー、又はＩＤ管理サーバーにおいて関連識別子のマッピングを維持する段階を含む。

【0042】

本開示は、実施例において、サービスを獲得するためのアプリケーション層ＩＤを使用するために、ＵＥ１１０（又は加入者又はユーザ）に割り当てられたアプリケーション層ＩＤは、１つ以上の永久ＩＤ（ＳＵＰＩ、ＩＭＳＩ、ＩＭＰＩなどのようなＭＮＯによって割り当てられた固有且つ永久的に割り当てられたグローバルアイデンティティー）と連関される。永久ＩＤの真偽性がネットワークによって検証されると、ネットワークは、連関を検査／検証し、連関されたアプリケーション層ＩＤを用いてサービスを獲得するようにＵＥ１１０を許容／認可できる。

【0043】

「サービス要請」と「登録要請」の用語は、互いに取り替えて使われ、サービスにアクセスするためにＵＥからアプリケーションサーバーへの初期メッセージを意味する。

【0044】

一般に、３ＧＰＰ（登録商標）（３世代パートナーシッププロジェクト）は、ＴＳ ３３．５０１に定義されている通りに、５Ｇシステムの加入資格証に基づいてアプリケーションに対する認証及びキー管理の態様を支援する保安特徴及びメカニズムを定義している。図１は、本願に開示された従来技術に係るアプリケーションに対する認証及びキー管理（ＡＫＭＡ）の基本ネットワークモデルだけでなく、ＡＫＭＡの基本ネットワークモデル間のインターフェースを例示する。図２ａ及び図２ｂは、従来技術に係る参照ポイント表現を使用したＡＫＭＡアーキテクチャーを例示する。

【0045】

ＡＫＭＡフレームワークは、５ＧＣのエッジコンピューティング（ＥＤＧＥ）、近接基盤サービス（ＰｒｏＳｅ）、ＭＳＧｉｎ５Ｇサービスのような様々なサービスに活用されている。現在、ＡＫＭＡフレームワークは、ＡＦ１７０（例えば、ＡＫＭＡ ＡＦなど）がＵＥ１１０を認可するために（例えば、課金及び／又はサービス認可の目的で）、ＵＥ識別子がＡＫＭＡ ＡＦに提供される必要がある静的認証を定義する。ＡＫＭＡ ＡＦが運営者ネットワークにある場合に、ＡＫＭＡアンカー機能（ＡＡｎＦ）１３０は、ＳＵＰＩ（Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｐｅｒｍａｎｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）をＡＫＭＡ ＡＦに直接提供する。ＡＫＭＡ ＡＦが運営者ネットワークの外部にある場合に、ＡＡｎＦ１３０はネットワーク露出機能（ＮＥＦ）１２０にＳＵＰＩを提供する。ＮＥＦ１２０は、ＳＵＰＩをＧＰＳＩ（ｇｅｎｅｒｉｃ ｐｕｂｌｉｃ ｓｕｂｓｃｒｉｐｔｉｏｎ ｉｄｅｎｔｉｆｉｅｒ）（外部ＩＤ）に変換し、ＧＰＳＩを運営者ネットワークの外部のＡＦに送信する。しかしながら、ＡＫＭＡフレームワークによって提供される認可手順は、サービス特定アイデンティティーを用いてサービス特定認証を有するのには十分でない。それぞれの使用事例の問題は、下記に与えられる。

【0046】

ＥＤＧＥサービスでは、現在ＥＤＧＥイネーブラクライアントとＥＤＧＥ設定サーバーとの間の認証のために、静的認可が用いられる。

【0047】

ＡＫＭＡによって提供される認可フレームワークを使用しても、ＵＥ識別子が特定サービス及び／又はアプリケーション及び／又はＥＤＧＥイネーブラクライアントとどのように連関又はリンクされ得るかは明確でない。

【0048】

ネットワークは、加入データの一部としてＥＥＣ ＩＤ又はＶＡＬ ＩＤをハンドリングすることが現在の技術の範囲に属しないため、ネットワークはＥＥＣ ＩＤを保存しない。

【0049】

ＭＳＧｉｎ５Ｇサービスでは、ＭＳＧｉｎ５Ｇサービスは、認証及び認可の間に、ＵＥサービスＩＤ（ＴＳ ２３．４３４のＶＡＬユーザＩＤと同一）を活用する。ＡＫＭＡによって提供される認可フレームワークを用いて、ＵＥ識別子が特定サービス及び／又はアプリケーション及び／又はＭＳＧクライアントとどのように連関又はリンクされ得るかは明確でない。

【0050】

図１、図２ａ、及び図２ｂに示すように、ＡＫＭＡアンカー機能（ＡＡｎＦ）１３０は、独立型機能として配置される。配置は、運営者の配置シナリオによってＡＡｎＦ１３０を認証サーバー機能（ＡＵＳＦ）１５０又はＮＥＦ１２０と共に配置するように選択できる。ＡＫＭＡサービスは、ＡＫＭＡアンカー機能（ＡＡｎＦ）１３０という新しい論理的エンティティを必要とする。ＡＡｎＦ１３０は、Ｈｏｍｅ ＰＬＭＮ ＨＰＬＭＮのアンカー機能である。ＡＡｎＦ１３０は、ＵＥ１１０が成功的な５Ｇ基本認証を完了した後にＡＵＳＦ１５０から受信したＡＫＭＡアンカーキー（ＫＡＫＭＡ）とＡＫＭＡサービスのためのＳＵＰＩを保存する。ＡＡｎＦ１３０は、ＵＥ１１０とアプリケーション機能（ＡＦ）１７０との間に使用されるキー資料を生成し、ＵＥ ＡＫＭＡコンテクストを維持する。ＡＡｎＦ１３０は、ＵＥ１１０のＳＵＰＩを、運営者ネットワークの内部に位置しているＡＦ１７０又はＮＥＦ１２０に送信する。

【0051】

ＡＦ１７０は追加機能と共にＴＳ ２３．５０１に定義される。ＡＫＭＡサービスを有するＡＦ１７０はＡ－ＫＩＤを用いて、ＡＡｎＦ１３０から、ＫＡＦと呼ばれるＡＫＭＡアプリケーションキーに対する要請を可能にする。ＡＦ１７０は、ＫＡＦをＡＦ１７０に提供する前に、運営者ネットワークによって認証及び認可されてよい。運営者ネットワークの内部に位置しているＡＦ１７０は、ＡＡｎＦ選択を行う。

【0052】

ＮＥＦ１２０は追加機能と共にＴＳ ２３．５０１に定義される。ＮＥＦ１２０はＡＫＭＡサービスを評価する外部ＡＦをイネーブル及び認可し、ＡＡｎＦ１３０に向けて要請をフォワードする。ＮＥＦ１２０はＡＡｎＦ選択を行う。ＡＵＳＦ１５０は追加機能と共にＴＳ ２３．５０１に定義される。ＡＵＳＦ１５０は、ＵＥ１１０のＳＵＰＩ及びＡＫＭＡキー資料（Ａ－ＫＩＤ、ＫＡＫＭＡ）を、ＡＡｎＦ１３０に提供する。ＡＵＳＦ１５０はＡＡｎＦ選択を行う。ＵＤＭ１４０は追加機能と共にＴＳ ２３．５０１に定義される。ＵＤＭ１４０は加入者のＡＫＭＡ加入データを保存する。

【0053】

次のインターフェースはＡＫＭＡネットワークアキテクチャーに含まれる：
－ Ｎｎｅｆ：ＮＥＦ１２０によって示されるサービスベースインターフェース、
－ Ｎｕｄｍ：ＵＤＭ１４０によって示されるサービスベースインターフェース、及び
－ Ｎａａｎｆ：ＡＡｎＦ１３０によって示されるサービスベースインターフェース。

【0054】

ＡＫＭＡアーキテクチャーは、基本認証手順の実行のために５ＧＣの次の参照ポイントを再使用する：
－ Ｎ１：ＵＥ１１０とアクセス及び移動性管理機能（ＡＭＦ）１６０との間の参照ポイント；
Ｎ２：（Ｒ）ＡＮ１８０とＡＭＦ１６０との間の参照ポイント；
－ Ｎ１２：ＡＭＦ１６０とＡＵＳＦ１５０との間の参照ポイント；
－ Ｎ１３：ＵＤＭ１４０とＡＵＳＦ１５０との間の参照ポイント；及び
－ Ｎ３３：ＮＥＦ１２０と外部ＡＦとの間の参照ポイント。

【0055】

ＡＫＭＡアーキテクチャーは、次の参照ポイントを定義する：
－ Ｎ６１：ＡＡｎＦ１３０とＡＵＳＦ１５０との間の参照ポイント；
－ Ｎ６２：ＡＡｎＦ１３０と内部ＡＦとの間の参照ポイント；
－ Ｎ６３：ＡＡｎＦ１３０とＮＥＦ１２０との間の参照ポイント；及び
－ Ｕａ＊：ＵＥ１１０とＡＦ１７０との間の参照ポイント。

【0056】

したがって、５Ｇサービスに最適化されたアプリケーション特定認証（連関の検査）のための有用な代案を提供することが好ましい。

【0057】

次に、図面を参照して、特に、図３～図１２を参照して、好ましい実施例を示す。

【0058】

図３は、本願に開示された実施例に係る、ＵＥ１１０と任意のアプリケーション機能（ＡＦ）１７０との間の認証のための一般化された方法のシーケンス流れ図を例示する。ここで、ＡＦ１７０は、ＥＤＧＥサーバー２１０／ＭＳＧｉｎ５Ｇサーバー２００／全てのＶＡＬサーバーなどを指す。

【0059】

段階０で、認証サーバー１９０は、ＳＵＰＩ（ＵＥの全域固有５Ｇ加入永久識別子）（のマッピング／間の）ＵＥの連関されたアイデンティティーで事前設定される：ＧＰＳＩ（外部ＩＤ）：ＥＥＣ ＩＤ（１つ以上のＥＤＧＥクライアントＩＤ）：ＵＥサービスＩＤ（ＭＳＧｉｎ５ＧクライアントＩＤ）：Ｖ２ＸサービスＩＤ：ＣＡＡレベルＵＡＶ ＩＤ：ＶＡＬユーザＩＤ（ＳＥＡＬフレームワークが支援される場合に、全てのＶＡＬ ＩＤ）。

【0060】

実施例において、例示のために、サービス特定識別子は、ＥＥＣ ＩＤ（ＥＤＧＥの場合）及び／又はＵＥサービスＩＤ（ＭＳＧｉｎ５Ｇサービスの場合）及び／又はＶＡＬユーザＩＤ（ＳＥＡＬイネーブラ保安フレームワークを活用する業種の場合）及び／又はＶＡＬサービスＩＤ（ＶＡＬサービス用）及び／又はＭＳＧｉｎ５ＧサービスＩＤ（ＭＳＧｉｎ５Ｇサービス用）であり得るということを提案する。

【0061】

他の実施例において、ＧＰＳＩはサービス特定識別子であってよく、ここで、ＧＰＳＩ類型は、それが用いられているサービスに対して示す。

【0062】

「クライアントＩＤ」、「外部ＩＤ」、「サービスＩＤ」、「公用ＩＤ」及び「アプリケーションＩＤ」という用語は、本開示全般にわたって互いに取り替えて使われ、アプリケーションプロバイダードメインのクライアントを固有に識別するために、アプリケーション層でＵＥによって用いられるアイデンティティーを意味する。モバイルネットワーク運営者（ＭＮＯ）及び／又はサービス／アプリケーションプロバイダー（第３者でよい。）は、サービス／アプリケーション識別子の割り当てを担当する。

【0063】

ＯＡｕｔｈサーバーは第３者エンティティであってもよく、モバイルネットワーク運営者によってホストされるエンティティであってもよい。実施例において、ＯＡｕｔｈサーバーは、ＥＤＧＥサービスプロバイダー（ＥＤＧＥの場合）及び／又はＳＥＡＬフレームワーク又はＭＮＯによってホストされるアイデンティティー管理サーバー及び／又はＮＦ消費者とＮＦ生産者との間のサービスベースの認証のためにＴＳ ３３．５０１に指定されたＮＲＦ及び／又はＮＥＦ１２０及び／又は認証サーバー１９０及び／又はＡＫＭＡアンカー機能（ＡＡｎＦ）１３０及び／又はＡＵＳＦ１５０であってよい。

【0064】

実施例において、アプリケーションに対するアイデンティティーマッピングは、適切なＯＡｕｔｈサーバーによってのみ維持され、これは、複数のエンティティがネットワークにおいて加入ＩＤとアプリケーションＩＤの対応の連関／バインディング（ｂｉｎｄｉｎｇ）を維持し、ＵＥ（アプリケーションクライアント）がアプリケーションアクセスを獲得するために関連トークンを提供することを、適切なＯＡｕｔｈサーバーに要請することを意味する。

【0065】

他の実施例において、ＡＫＭＡ又はサービス／アプリケーションがＣＡＰＩＦフレームワークを支援する場合に、ＣＡＰＩＦコア機能はＯＡｕｔｈサーバーであってよい。

【0066】

実施例において、段階１で、ＵＥ１１０は、ＥＤＧＥサーバー２１０及び／又はＭＳＧｉｎ５Ｇサーバー２００によって提供されるサービスにアクセスするために、認証サーバー１９０にアクセストークンを提供するように要請する。

【0067】

段階２で、受信したアクセストークン要請に基づいて、認証サーバー１９０はＵＥ１１０との認証を開始する。クライアント－サーバー認証書ベースＴＬＳ認証は、例示の目的で用いられる。本開示は、ＵＥ１１０と認証サーバー１９０との間に用いられる認証方法を制限しない。

【0068】

段階３で、認証に成功すれば、認証サーバー１９０は、受信した要請とＳＵＰＩ（ＵＥ ＩＤ）間の事前設定された連関／マッピング；ＧＰＳＩ（外部ＩＤ）：ＥＥＣ ＩＤ（ＥＤＧＥクライアントＩＤ）：ＵＥサービスＩＤ（ＭＳＧｉｎ５ＧクライアントＩＤ）：ＶＡＬユーザＩＤ（ＳＥＡＬフレームワークが支援される場合に全てのＶＡＬ ＩＤ）：ＶＡＬサービスＩＤ（ＶＡＬサービス用）：ＭＳＧｉｎ５ＧサービスＩＤ（ＭＳＧｉｎ５Ｇサービス用）：Ｖ２ＸサービスＩＤ；ＣＡＡレベルＵＡＶ ＩＤに基づいてアクセストークンを生成する。

【0069】

実施例において、ＵＥサービスＩＤはＶＡＬユーザＩＤとして作動する。

【0070】

他の実施例において、ＭＳＧｉｎ５Ｇサービスのサービス識別子はＶＡＬサービスＩＤとして作動する。

【0071】

アクセストークン（Ｔｏｋｅｎ－Ａ）は、サービス特定請求、すなわち、ＳＵＰＩ（ＵＥ ＩＤ）：ＧＰＳＩ（外部ＩＤ）：ＥＥＣ ＩＤ（ＥＤＧＥクライアントＩＤ）：ＵＥサービスＩＤ（ＭＳＧｉｎ５ＧクライアントＩＤ）：ＶＡＬユーザＩＤ（ＳＥＡＬフレームワークが支援される場合に全てのＶＡＬ ＩＤ）間の連関を含む。実施例において、このアクセストークンは、トークン検証がサーバー／ネットワーク／サービスプロバイダードメインで成功的である場合に、ＥＤＧＥ、ＭＳＧｉｎ５Ｇ又は任意の業種サービスからサービスにアクセスするためにクライアントによって活用される。認証サーバー１９０は、応答メッセージでアクセストークンをＵＥ１１０に送信する。実施例において、メッセージ１～３のシーケンスは、すなわち、成功的な認証ＵＥ１１０がトークンを要請した後に交換されてよい。

【0072】

例示の目的で、ＵＥ１１０がＭＳＧｉｎ５Ｇサービスにアクセスすることを所望する場合に、ＵＥ１１０はＭＳＧサーバーにサービス要請を送信する。

【0073】

受信したアクセストークン（Ｔｏｋｅｎ－Ａ）をＭＳＧサーバーに提示する前に、保安チャネルはＵＥ１１０とＭＳＧサーバーとの間に確立される。事前共有キー（ＰＳＫ）に基づくＴＬＳ保安トンネルは、一つのオプションであってよい。ＵＥ１１０とＭＳＧサーバー２００との間の認証は、ＴＬＳに基づいて完了される。

【0074】

段階４で、成功的な認証（ＳＵＰＩの真偽性検証）時に、クライアントはサービスアクセス要請を開始する。認証サーバー１９０から受信されたアクセストークンは要請で送信される。

【0075】

段階５で、ＭＳＧサーバーは、ローカル政策で利用可能な事前設定されたマッピング情報に基づいてアクセストークン（Ｔｏｋｅｎ－Ａ）を検査する。他の実施例において、認証サーバー１９０はトークン検査機能を提供し、ＭＳＧサーバーはこのサービスを活用する。実施例において、ＭＳＧサーバーは、アクセストークンの（認可）請求に対してＵＥ１１０によって送信された要請を検証する（要請メッセージに含まれたＩＤがＳＵＰＩと連関されるか否かを検証）。より具体的には、要請内のクライアントＩＤがＵＥ１１０のトークンに存在するか否か（すなわち、ＵＥのＳＵＰＩとクライアントＩＤのマッピング／連関があるか否か）がＡ－ＫＩＤ及び／又はＳＵＰＩ及び／又はＧＰＳＩにマップされる。

【0076】

他の実施例において、ＭＳＧサーバーはコアネットワークエンティティとの専用インターフェースを有する。ＭＳＧサーバーは、受信したアクセストークンを検査するためにＵＤＭ１４０／ＮＲＦ／ＮＥＦ１２０／ＡＡｎＦ１３０／ＡＭＦ１６０／ＡＵＳＦ１５０に接触する。実施例において、ＵＤＭ１４０はそれぞれのサービスの加入データにマッピング情報を保存する。他の実施例において、ＮＲＦ／ＮＥＦ１２０／ＡＡｎＦ１３０／ＡＭＦ１６０／ＡＵＳＦ１５０は、自分のローカル政策にマッピング情報（ＵＥのＩＤ連関）を保存する。

【0077】

クライアントのアクセストークン及び認可要請の成功的な検証後に（ＩＤ連関の検査）、ＭＳＧサーバーは、ＭＳＧサーバーの成功的な認証を確認応答する応答メッセージを送信する。

【0078】

他の実施例において、ＵＥ１１０は、ＥＤＧＥサーバー２１０によって提供されるサービスにアクセスするために、認証サーバー１９０にアクセストークンを提供するように要請する。

【0079】

Ａ－ＫＩＤ及びトークン要請がＥＤＧＥサービスに対するものであることを示すサービス名／コードを含むアクセストークンに対する受信した要請に基づいて、認証サーバー１９０はＵＥ１１０との認証を開始する。ＵＥ１１０は、５Ｇネットワークに登録し、５ＧＣからＡＫＭＡ能力情報を検索する。ＡＫＭＡ能力は、ＡＦ１７０がＡＫＭＡ使用を支援するので、ＵＥ１１０と５ＧＣがＴＳ ３３．５３５に明示されている通りにＫＡＫＭＡを生成するということを示す。ＡＫＭＡサービスは例示の目的で使われるだけである。ＡＫＭＡサービスに対する代案として、ＧＢＡが使用されるか、クライアントサーバー認証書ベースＴＬＳ認証が用いられる。本開示は、ＵＥ１１０と認証サーバー１９０との間に用いられる認証方法を制限しない。他の実施例において、ＵＥ１１０はサービス名／コードを使用する。サービス名／コードは、「ＥＤＧＥ」、「ＭＳＧｉｎ５Ｇ」及び「ＶＡＬサービス名」のようなフォーマットを取ることができる（ここで、ＶＡＬはＶ２Ｘなどのような任意の業種サービスのことを指す。）。

【0080】

成功的な認証（ＡＫＭＡサービスを用いたＡ－ＫＩＤ及びＳＵＰＩの真偽性検証）時に、認証サーバー１９０は、受信した要請及びＳＵＰＩ（ＵＥ ＩＤ）：ＧＰＳＩ（外部ＩＤ）：ＥＥＣ ＩＤ（ＥＤＧＥクライアントＩＤ）：Ａ－ＫＩＤ（ＡＫＭＡから）：ＶＡＬサービスＩＤ（ＶＡＬサービス用）：ＭＳＧｉｎ５ＧサービスＩＤ（ＭＳＧｉｎ５Ｇサービス用）：Ｖ２ＸサービスＩＤ：ＣＡＡレベルＵＡＶ ＩＤ間の事前設定された連関／マッピングに基づいてアクセストークン（Ｔｏｋｅｎ－Ｂ）を生成する。

【0081】

他の実施例において、ＵＥサービスＩＤはＶＡＬユーザＩＤとして作動する。

【0082】

他の実施例において、ＭＳＧｉｎ５Ｇサービスのサービス識別子はＶＡＬサービスＩＤとして作動する。

【0083】

アクセストークン（Ｔｏｋｅｎ－Ｂ）は、サービス特定請求、すなわち、ＥＤＧＥサービスと関連したマッピング：ＳＵＰＩ（ＵＥ ＩＤ）：ＧＰＳＩ（外部ＩＤ）：ＥＥＣ ＩＤ（ＥＤＧＥクライアントＩＤ）：Ａ－ＫＩＤ（ＡＫＭＡから）：ＶＡＬサービスＩＤ（ＶＡＬサービス用）：ＭＳＧｉｎ５ＧサービスＩＤ（ＭＳＧｉｎ５Ｇサービス用）間の連関のみを含む。認証サーバー１９０は、応答メッセージでアクセストークンをＵＥ１１０に送信する。

【0084】

実施例において、メッセージ９～１１のシーケンスは、すなわち、成功的な認証ＵＥ１１０がトークンを要請した後に交換されてよい。

【0085】

ＵＥ１１０はＥＤＧＥサーバー２１０にサービス要請を送信する。

【0086】

受信したアクセストークン（Ｔｏｋｅｎ－Ｂ）をＥＤＧＥサーバー２１０に提示する前に、保安チャネルは、ＵＥ１１０とＥＤＧＥサーバー２１０との間に設定される。事前共有キー（ＡＫＭＡサービスの一部として生成されたアプリケーションキー）に基づくＴＬＳ保安トンネルは、一つのオプションであってよい。ＵＥ１１０とＥＤＧＥサーバー２１０との間の認証は、ＴＬＳに基づいて完了される。成功的な認証時に、クライアントはサービスアクセス要請（アプリケーションＩＤ含む。）を開始する。

【0087】

認証サーバー１９０から受信したアクセストークン（Ｔｏｋｅｎ－Ｂ）は、要請で送信される。

【0088】

ＥＤＧＥサーバー２１０は、事前設定された保安認証書（例えば、ルート認証書）に基づいてアクセストークン（Ｔｏｋｅｎ－Ｂ）を検査する。他の実施例において、認証サーバー１９０はトークン検査機能を提供し、ＥＤＧＥサーバー２１０は検査機能を活用する。実施例において、ＥＤＧＥサーバー２１０は、アクセストークンの認可請求に対してＵＥ１１０によって送信された要請を検証する。より具体的には、要請内のクライアントＩＤがＵＥ１１０のトークンに存在するか否か（すなわち、ＵＥのＳＵＰＩとクライアントＩＤとのマッピング／連関があるか否か）は、Ａ－ＫＩＤ及び／又はＳＵＰＩ及び／又はＧＰＳＩ及び／又はＶＡＬサービスＩＤ及び／又はＭＳＧｉｎ５ＧサービスＩＤ及び／又はＵＥサービスＩＤにマップされる。

【0089】

他の実施例において、ＥＤＧＥサーバー２１０はコアネットワークエンティティとの専用インターフェースを有する。ＭＳＧサーバーは、受信したアクセストークンを検査するためにＵＤＭ１４０／ＮＲＦ／ＮＥＦ１２０に接触する。実施例において、ＵＤＭ１４０は、それぞれのサービスの加入データにマッピング情報を保存する。

【0090】

他の実施例において、ＮＲＦ／ＮＥＦ１２０は、マッピング情報を自分のローカル政策に保存する。

【0091】

クライアントのアクセストークン及び認可請求の成功的な検証後に、ＥＤＧＥサーバー２１０は、ＥＤＧＥサーバー２１０の成功的な認証を確認応答する応答メッセージを送信する。

【0092】

図４は、本願に開示された実施例によって、ＡＦ１７０が運営者又は第３者によってホストされるＰＬＭＮの外部にあるときのシーケンス流れ図を例示する。

【0093】

段階０で、前提条件として、ＯＡｕｔｈサーバーがＡ－ＫＩＤ、ＳＵＰＩ、ＧＰＳＩ、及びクライアントＩＤ間のマッピングで事前設定されることが必要である。

【0094】

実施例において、提供された例示のために、クライアントＩＤは、ＥＥＣ ＩＤ（ＥＤＧＥの場合）及び／又はＵＥサービスＩＤ（ＭＳＧｉｎ５Ｇサービスの場合）及び／又はＶＡＬユーザＩＤ（ＳＥＡＬイネーブラ保安フレームワークを活用する業種の場合）であってよい。

【0095】

「クライアントＩＤ」、「外部ＩＤ」、及び「アプリケーションＩＤ」という用語は、本開示全般にわたって互いに取り替えて使われ、アプリケーションプロバイダードメインのクライアントを固有に識別するために、アプリケーション層でＵＥ１１０によって用いられるアイデンティティーを意味する。

【0096】

ＯＡｕｔｈサーバーは第３者エンティティであるか、モバイルネットワーク運営者によってホストされるエンティティであってよい。実施例において、ＯＡｕｔｈサーバーは、ＥＤＧＥサービスプロバイダー（ＥＤＧＥの場合）及び／又はＳＥＡＬフレームワークによってホストされるアイデンティティー管理サーバー及び／又はＮＦ消費者とＮＦ生産者間のサービスベースの認証のためにＴＳ ３３．５０１に指定されたＮＲＦ及び／又はＮＥＦ１２０及び／又は認証サーバー１９０であってよい。

【0097】

実施例において、アプリケーションに対するＩＤマッピングは、適切なＯＡｕｔｈサーバーによってのみ維持され、これは、複数のエンティティがネットワークにおいて加入ＩＤとアプリケーションＩＤの対応バインディングを維持し、ＵＥ（アプリケーションクライアント）がアプリケーションアクセスを獲得するために関連トークンを提供することを適切なＯＡｕｔｈサーバーに要請することを意味する。

【0098】

他の実施例において、ＡＫＭＡ又はサービス／アプリケーションがＣＡＰＩＦフレームワークを支援する場合に、ＣＡＰＩＦコア機能はＯＡｕｔｈサーバーであってよい。

【0099】

０ｂで、ＵＥ１１０は、５Ｇネットワークに登録し、５ＧＣからＡＫＭＡ能力情報を検索する。ＡＫＭＡ能力は、ＡＦ１７０がＡＫＭＡ使用を支援するので、ＵＥ１１０と５ＧＣがＴＳ ３３．５３５に明示されている通りにＫＡＫＭＡを生成するということを示す。ＡＫＭＡサービスは例示の目的で使われるだけである。ＡＫＭＡサービスに対する代案として、ＧＢＡが用いられるか、クライアントサーバー認証書ベースＴＬＳ認証が用いられる。

【0100】

クライアントとＯＡｕｔｈサーバーとの間にＴＬＳを用いて確立されたクライアント及びサーバー認証書に基づく相互認証が開始される。

【0101】

ＴＬＳセッションの成功的な確立後に、クライアントは、ＯＡｕｔｈ ２．０仕様によってＯＡｕｔｈサーバーにアクセストークン要請メッセージを送信する。実施例において、要請は、段階０ｂの一部として導出されたＡ－ＫＩＤを含む。

【0102】

ＯＡｕｔｈサーバーは、ＯＡｕｔｈ ２．０仕様に指定されている通りにアクセストークン要請を検証する。他の実施例において、ＯＡｕｔｈサーバーは、Ａ－ＫＩＤとＳＵＰＩ又はＧＰＳＩ又はクライアントＩＤとの事前設定されたマッピングに基づく要請を検証する。実施例において、クライアントがアクセストークンを獲得する前に、まずＯＡｕｔｈサーバーに登録されてよい。実施例において、クライアントは、クライアント識別子が発行される。クライアント識別子は、ＯＡｕｔｈサーバーにクライアント登録を示し、アクセストークンが要請されるときにＯＡｕｔｈサーバーが当該クライアント登録と連関されたパラメータを参照できるようにする。

【0103】

実施例において、アクセストークンは、ＯＡｕｔｈサーバーによって生成される。アクセストークンは、クライアントにとって不透明であり、アプリケーション機能（例えば、ＥＤＧＥ設定サーバー、ＭＳＧｉｎ５Ｇサーバー２００、又は任意の業種アプリケーション層サーバー）によって消費される。アクセストークンはＩＥＴＦ ＲＦＣ ７５１９に定義されている通りにＪＳＯＮウェブトークンとしてエンコードされてよい。アクセストークンは、ＩＥＴＦ ＲＦＣ ７５１５に定義されたＪＳＯＮウェブデジタル署名プロファイルを含む。実施例において、ＩＥＴＦ ＲＦＣ ７６６２に定義された標準請求を、下表１に示す追加請求で拡張することが提供される。

【0104】

表１．パラメータ及び説明

【0105】

【表1】

【0106】

ＯＡｕｔｈサーバーは、生成されたアクセストークンをトークン応答メッセージで送信する。

【0107】

ＵＥ１１０は、アプリケーションセッション確立手順を開始する。ＵＥ１１０はＡＦ１７０と通信し、ＵＥとＡＦ１７０の両方が所有しているＫＡＦキーを交渉する。ＵＥ１１０及びＡＦ１７０は、キーＫＡＦに基づいてＴＬＳ保安トンネルを確立する。ＵＥ１１０とＡＦ１７０との間の認証はＴＬＳに基づいて完了される。

【0108】

成功的な認証時に、クライアントはサービスアクセス要請を開始する。ＯＡｕｔｈサーバーから受信されたアクセストークンは要請で送信される。

【0109】

ＡＦ１７０は、ＡＡｎＦ１３０から受信したＳＵＰＩ又はＧＰＳＩに基づいてアクセストークンを検査する。他の実施例において、ＯＡｕｔｈサーバーはトークン検査機能を提供する。実施例において、ＡＦ１７０は、アクセストークンの認可請求に対してクライアントによって送信された要請を検証する。より具体的には、要請内のクライアントＩＤがＵＥ１１０のトークンに存在するか否か（すなわち、ＵＥのＳＵＰＩとクライアントＩＤとのマッピングがあるか否か）が、Ａ－ＫＩＤ及び／又はＳＵＰＩ及び／又はＧＰＳＩにマップされる。

【0110】

クライアントのアクセストークン及び認可請求の成功的な検証後に、ＡＦ１７０は、ＡＦ１７０の成功的な認証を確認応答する応答メッセージを送信する。

【0111】

図５は、本願に開示された実施例によってＡＦ１７０がＰＬＭＮの内部、すなわち運営者ドメインにホストされるときのシーケンス流れ図を例示する。

【0112】

段階０ａで、前提条件として、ＯＡｕｔｈサーバーがＡ－ＫＩＤ、ＳＵＰＩ、ＧＰＳＩ、及びクライアントＩＤ間のマッピングで事前設定されることが必要である。

【0113】

実施例において、クライアントＩＤは、ＥＥＣ ＩＤ（ＥＤＧＥの場合）又はＵＥサービスＩＤ（ＭＳＧｉｎ５Ｇサービスの場合）又はＶＡＬユーザＩＤ（ＳＥＡＬイネーブラ保安フレームワークを活用する業種の場合）であってよい。

【0114】

実施例において、ＵＥサービスＩＤはＶＡＬユーザＩＤとして作動する。

【0115】

他の実施例において、ＭＳＧｉｎ５Ｇサービスのサービス識別子はＶＡＬサービスＩＤとして作動する。

【0116】

ＯＡｕｔｈサーバーは第３者エンティティであってよいか、運営者ネットワークによってホストされるエンティティであってよい。実施例において、ＯＡｕｔｈサーバーは、ＥＤＧＥサービスプロバイダー（ＥＤＧＥの場合）又はＳＥＡＬフレームワークによってホストされるアイデンティティー管理サーバー又はＮＦ消費者とＮＦ生産者間のサービスベースの認証のためにＴＳ ３３．５０１に指定されたＮＲＦであってよい。

【0117】

他の実施例において、ＡＫＭＡ又はサービス／アプリケーションがＣＡＰＩＦフレームワークを支援する場合に、ＣＡＰＩＦコア機能はＯＡｕｔｈサーバーであってよい。

【0118】

段階０ｂで、ＵＥ１１０は５Ｇネットワークに登録し、５ＧＣからＡＫＭＡ能力情報を検索する。ＡＫＭＡ能力は、ＡＦ１７０がＡＫＭＡ使用を支援するので、ＵＥ１１０と５ＧＣがＴＳ ３３．５３５に明示されている通りにＫＡＫＭＡを生成するということを示す。ＡＫＭＡサービスは例示の目的で使われるだけである。ＡＫＭＡサービスに対する代案として、ＧＢＡが用いられるか、クライアントサーバー認証書ベースＴＬＳ認証が用いられる。

【0119】

クライアントとＯＡｕｔｈサーバーとの間にＴＬＳを用いて確立されたクライアント及びサーバー認証書に基づく相互認証が開始される。

【0120】

ＴＬＳセッションの成功的な確立後に、クライアントは、ＯＡｕｔｈ ２．０仕様によってＯＡｕｔｈサーバーにアクセストークン要請メッセージを送信する。実施例において、要請はクライアントＩＤを含む。実施例において、クライアントがアクセストークンを獲得する前に、まずＯＡｕｔｈサーバーに登録されてよい。実施例において、クライアントは、本開示に指定されていない手段でクライアント識別子が発行される。クライアント識別子は、ＯＡｕｔｈサーバーにクライアント登録を示し、アクセストークンが要請されるときにＯＡｕｔｈサーバーが当該クライアント登録と連関されたパラメータを参照できるようにする。

【0121】

ＯＡｕｔｈサーバーは、ＯＡｕｔｈ ２．０仕様に指定されている通りにアクセストークン要請を検証する。他の実施例において、ＯＡｕｔｈサーバーは、ＳＵＰＩ又はＧＰＳＩとクライアントＩＤとの事前設定されたマッピングに基づく要請を検証する。

【0122】

実施例において、アクセストークンはＯＡｕｔｈサーバーによって生成される。アクセストークンは、クライアントにとって不透明であり、アプリケーション機能（例えば、ＥＤＧＥ設定サーバー、ＭＳＧｉｎ５Ｇサーバー２００又は任意の業種アプリケーション層サーバー）によって消費される。アクセストークンは、ＩＥＴＦ ＲＦＣ ７５１９に定義されている通りにＪＳＯＮウェブトークンとしてエンコードされてよい。アクセストークンは、ＩＥＴＦ ＲＦＣ ７５１５に定義されたＪＳＯＮウェブデジタル署名プロファイルを含む。実施例において、ＩＥＴＦ ＲＦＣ ７６６２に定義された標準請求を、下表２に示す追加請求で拡張することが提供される。

【0123】

表２．パラメータ及び説明

【0124】

【表2】

【0125】

ＯＡｕｔｈサーバーは、生成されたアクセストークンをトークン応答メッセージで送信する。

【0126】

ＵＥ１１０はアプリケーションセッション確立手順を開始する。ＵＥ１１０はＡＦ１７０と通信し、ＵＥとＡＦ１７０の両方が所有しているＫＡＦキーを交渉する。ＵＥ１１０及びＡＦ１７０は、キーＫＡＦに基づいてＴＬＳ保安トンネルを確立する。ＵＥ１１０とＡＦ１７０間の認証はＴＬＳに基づいて完了される。

【0127】

成功的な認証時に、クライアントはサービスアクセス要請を開始する。ＯＡｕｔｈサーバーから受信されたアクセストークンは要請で送信される。

【0128】

ＡＦ１７０は、ＡＡｎＦ１３０から受信されたＳＵＰＩ又はＧＰＳＩに基づいてアクセストークンを検査する。他の実施例において、ＯＡｕｔｈサーバーはトークン検査機能を提供する。実施例において、ＡＦ１７０がトークンを検証するために必要な資格認証書（例えば、ルート認証書）を所有している場合に、ＡＦ１７０は、アクセストークンの認可請求に対してクライアントによって送信された要請を検証する。

【0129】

クライアントのアクセストークン及び認可請求の成功的な検証後に、ＡＦ１７０は、ＡＦ１７０の成功的な認証を確認応答する応答メッセージをＵＥ１１０に送信する。

【0130】

実施例において、プライバシー保護のために、ＡＦ１７０がＰＬＭＮの外部に位置する場合に、トークン－Ｂは、永久ＩＤ（例えば、ＳＵＰＩ）を含まなくてよく、トークン請求は、Ａ－ＫＩＤのような臨時ＩＤ及び連関されたアプリケーションＩＤ（ＧＰＳＩ（外部ＩＤ）：ＥＥＣ ＩＤ（ＥＤＧＥクライアントＩＤ））、ＶＡＬユーザＩＤのみを含む。

【0131】

実施例において、ＡＦ１７０がＰＬＭＮの外部にあるのか或いは内部にあるのかに関する情報は、サービスコードを用いるか、ＡＦ ＩＤ（クライアントによってトークン要請メッセージで提供）又はアプリケーションＩＤに基づいて、ＯＡｕｔｈサーバーによって識別される。

【0132】

実施例において、ＡＦ１７０がＰＬＭＮの外部に位置する場合に、トークンを用いて連関されたＩＤの検査が行われる。この場合、トークン請求は、ＵＥの永久ＩＤ（例えば、ＳＵＰＩ）を含まず、連関されたアプリケーションＩＤ（例えば、ＧＰＳＩ）及び真偽性検証されたＩＤ（例えば、Ａ－ＫＩＤ）を含む。連関されたＩＤを検証しなければならないＡＦ１７０は、認証サーバー１９０にトークンの請求を検証することを要請する。認証サーバー１９０は、真偽性の検証されたアイデンティティー（例えば、Ａ－ＫＩＤ）を用いてＩＤ連関情報を検索する。

【0133】

実施例において、連関されたＩＤの検査は、ＡＦ１７０がＰＬＭＮの内部に位置する場合に、連関情報を用いて行われる。この場合、連関情報は認証サーバー１９０によってＡＦ１７０に提供され、ＡＦサーバーは、サービス要請メッセージで連関の有効性を検証する。ＵＥ１１０からサービスアクセス要請メッセージ（アプリケーションＩＤ、例えばＵＥサービスＩＤを有する。）を受信すると、ＡＦ１７０は、認証サーバー１９０にＵＥ１１０の連関情報を提供するように要請する。ＡＦ１７０の要請メッセージは、真偽性検証アイデンティティー（例えば、ＡＫＭＡの成功的な完了後に獲得されたＵＥのＳＵＰＩ）を含む。

【0134】

認証サーバー１９０は、ＵＥ１１０のＳＵＰＩを用いて連関情報を検索し、ＡＦ１７０に連関情報を提供する。連関情報の受信時に、ＡＦ１７０は、サービス要請において受信されたアプリケーションＩＤが連関情報のＵＥの真偽性検証アイデンティティーと連関されるか否かを検証する。検証に成功すると、すなわち、サービス要請において受信されたアプリケーションＩＤが連関情報のＵＥの真偽性検証アイデンティティーと連関されると、ＡＦ１７０は、サービスに対するアクセスを提供する。検証に失敗すると、すなわち、サービス要請において受信されたアプリケーションＩＤが連関情報のＵＥの真偽性検証アイデンティティーと連関されないと、ＡＦ１７０は、サービスに対するアクセスを拒否する。

【0135】

図６は、本願に開示された実施例に係るＮＦエンティティ又は認証サーバー６００の様々なハードウェア構成要素を例示する。認証サーバー６００は、例えば、ＵＤＭエンティティ、ＡＡＡエンティティ、ＡＵＳＦエンティティ、Ｃｏｎｆ管理サーバー、及びＭＳＧｉｎ５Ｇ設定機能エンティティであってよいが、これに制限されるものではない。実施例において、認証サーバー６００は、プロセッサ６１０、通信器６２０、メモリ６３０及びアプリケーション特定認証制御器６４０を含む。プロセッサ６１０は、通信器６２０、メモリ６３０及びアプリケーション特定認証制御器６４０と結合される。

【0136】

アプリケーション特定認証制御器６４０は、無線ネットワーク１０００においてネットワークサービスに対するアクセスを提供するためにＵＥ１１０のサービス特定識別子間のマッピングを設定し、マッピングをメモリ６３０に保存する。さらに、アプリケーション特定認証制御器６４０は、アプリケーションサーバーが無線ネットワークにおいてアプリケーションサーバーによって提供されるネットワークサービスにアクセスするためにＵＥ１１０からサービス要請を受信することにより、無線ネットワーク１０００においてアプリケーションサーバーによって提供されるネットワークサービスに対するアクセスを提供する前にＵＥ１１０を認証する。アプリケーション特定認証制御器６４０は、無線ネットワーク１０００においてアプリケーションサーバーによって提供されるネットワークサービスに対するアクセスを許容するために、要請に含まれたサービス特定識別子と既に認証されたＵＥ１１０のＩＤとのマッピングを検証する。

【0137】

アプリケーション特定認証制御器６４０は、論理ゲート、集積回路、マイクロプロセッサ、マイクロ制御器、メモリ回路、受動電子構成要素、能動電子構成要素、光学構成要素、ハードワイヤード回路などのようなアナログ及び／又はデジタル回路により物理的に具現され、選択的にファームウェアによって駆動されてよい。

【0138】

さらに、プロセッサ６１０は、メモリ６３０に保存された命令を実行し、様々なプロセスを行うように設定される。通信器６２０は、１つ以上のネットワークを通じて内部ハードウェア構成要素間及び外部デバイスと内部的に通信するように設定される。メモリ６３０は、また、プロセッサ６１０によって実行される命令を保存する。メモリ６３０は、不揮発性保存要素を含んでよい。このような不揮発性保存要素の例には、磁気ハードディスク、光ディスク、フロッピーディスク、フラッシュメモリ、電気的にプログラミング可能なメモリ（ＥＰＲＯＭ）、又は電気的に消去及びプログラミング可能な（ＥＥＰＲＯＭ）メモリの形態を含んでよい。なお、メモリ６３０は一部の例において、非一時的保存媒体と見なされてよい。「非一時的」という用語は、保存媒体が搬送波又は伝搬された信号により具現されないことを意味できる。しかし、「非一時的」という用語は、メモリ６３０が移動不可能であることと解釈されてはならない。所定の例において、非一時的保存媒体は、時間が経過するにつれて変更され得るデータを保存することができる（例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）又はキャッシュ）。

【0139】

たとえ図６が認証サーバー６００の様々なハードウェア構成要素を示していても、他の実施例がこれに制限されないということが理解されるべきである。他の実施例において、認証サーバー６００は、より少ないか或いはより多い数の構成要素を含んでよい。さらに、構成要素のラベルや名称は例示の目的で使われるだけで、本開示の範囲を制限しない。１つ以上の構成要素が共に結合され、認証サーバー６００において同一の又は実質的に類似の機能を果たすことができる。

【0140】

図７は、本願に開示された実施例に係るＵＥ１１０の様々なハードウェア構成要素を例示する。実施例において、ＵＥ１１０は、プロセッサ７１０、通信器７２０、メモリ７３０、及びアプリケーション特定認証制御器７４０を含む。プロセッサ７１０は、通信器７２０、メモリ７３０及びアプリケーション特定認証制御器７４０と結合される。

【0141】

アプリケーション特定認証制御器７４０は、無線ネットワークのアプリケーションサーバーによって提供されるネットワークサービスにアクセスするために無線ネットワーク１０００のアプリケーションサーバーに要請を送信する。さらに、アプリケーション特定認証制御器７４０は、アプリケーションサーバーによるＵＥ１１０の成功的な相互認証後に、ＵＥ１１０とアプリケーションサーバーとの間に保安チャネルを確立する。さらに、アプリケーション特定認証制御器７４０は、保安チャネルを介してアプリケーションサーバーにサービス要請を送信する。さらに、アプリケーション特定認証制御器７４０は、保安チャネルを介してアプリケーションサーバーへのサービス要請にサービス特定識別子又はＵＥ特定識別子を含む。さらに、アプリケーション特定認証制御器７４０は、アプリケーションサーバーによって要請されたサービスに対する認可成功を確認応答する応答メッセージを受信する。さらに、アプリケーション特定認証制御器７４０は、アプリケーションサーバーからネットワークサービスにアクセスする。

【0142】

アプリケーション特定認証制御器７４０は、論理ゲート、集積回路、マイクロプロセッサ、マイクロ制御器、メモリ回路、受動電子構成要素、能動電子構成要素、光学構成要素、ハードワイヤード回路などのようなアナログ及び／又はデジタル回路により物理的に具現され、選択的にファームウェアにより駆動されてよい。

【0143】

さらに、プロセッサ７１０は、メモリ７３０に保存された命令を実行し、様々なプロセスを実行するように設定される。通信器７２０は、１つ以上のネットワークを通じて内部ハードウェア構成要素間及び外部デバイスと内部的に通信するように設定される。メモリ７３０は、また、プロセッサ７１０によって実行される命令を保存する。メモリ７３０は不揮発性保存要素を含んでよい。このような不揮発性保存要素の例には、磁気ハードディスク、光ディスク、フロッピーディスク、フラッシュメモリ、電気的にプログラミング可能なメモリ（ＥＰＲＯＭ）、又は電気的に消去及びプログラミング可能な（ＥＥＰＲＯＭ）メモリの形態を含んでよい。なお、メモリ７３０は一部の例において、非一時的保存媒体と見なされてよい。「非一時的」という用語は、保存媒体が搬送波又は伝搬された信号により具現されないことを意味できる。しかし、「非一時的」という用語は、メモリ７３０が移動不可能であることと解釈されてはならない。所定の例において、非一時的保存媒体は、時間が経過するにつれて変更され得るデータを保存することができる（例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）又はキャッシュ）。

【0144】

たとえ図７がＵＥ１１０の様々なハードウェア構成要素を示していても、他の実施例がこれに制限されないということが理解されるべきである。他の実施例において、ＵＥ１１０は、より少ないか或いはより多い数の構成要素を含んでよい。さらに、構成要素のラベルや名称は例示の目的で使われるだけで、本開示の範囲を制限するものではない。１つ以上の構成要素が共に結合され、ＵＥ１１０において同一の又は実質的に類似の機能を果たすことができる。

【0145】

図８は、本願に開示された実施例に係るアプリケーションサーバー（例えば、エッジサーバー２１０又はＭＳＧｉｎ５Ｇサーバー２００）の様々なハードウェア構成要素を例示する。アプリケーションサーバーは、例えば、エッジサーバー、ＭＳＧｉｎ５Ｇサーバー、Ｖ２Ｘサーバー、ＵＡＳサーバー、及びＳＥＡＬサーバーであるが、これに制限されるものではない。実施例において、エッジサーバー２１０又はＭＳＧｉｎ５Ｇサーバー２００は、プロセッサ８１０、通信器８２０、メモリ８３０及びアプリケーション特定認証制御器８４０を含む。プロセッサ８１０は、通信器８２０、メモリ８３０及びアプリケーション特定認証制御器８４０と結合される。

【0146】

アプリケーション特定認証制御器８４０は、無線ネットワーク１０００においてＵＥ１１０からサービス要請を受信する。さらに、アプリケーション特定認証制御器８４０は、サービス要請を受信することに応答して、要請に含まれたＵＥ ＩＤを認証する。さらに、アプリケーション特定認証制御器８４０は、成功的な相互認証後に、ＵＥ１１０とアプリケーションサーバーとの間に保安チャネルを確立する。さらに、アプリケーション特定認証制御器８４０は、ＵＥ１１０とアプリケーションサーバーとの成功的な認証を確認応答する応答メッセージを送信する。さらに、アプリケーション特定認証制御器８４０は、ＵＥ１１０にネットワークサービスを提供する。

【0147】

アプリケーション特定認証制御器２４０は、論理ゲート、集積回路、マイクロプロセッサ、マイクロ制御器、メモリ回路、受動電子構成要素、能動電子構成要素、光学構成要素、ハードワイヤード回路などのようなアナログ及び／又はデジタル回路により物理的に具現され、選択的にファームウェアにより駆動されてよい。

【0148】

さらに、プロセッサ８１０は、メモリ８３０に保存された命令を実行し、様々なプロセスを実行するように設定される。通信器８２０は、１つ以上のネットワークを通じて内部ハードウェア構成要素間及び外部デバイスと内部的に通信するように設定される。メモリ８３０は、また、プロセッサ８１０によって実行される命令を保存する。メモリ８３０は、不揮発性保存要素を含んでよい。このような不揮発性保存要素の例には、磁気ハードディスク、光ディスク、フロッピーディスク、フラッシュメモリ、電気的にプログラミング可能なメモリ（ＥＰＲＯＭ）、又は電気的に消去及びプログラミング可能な（ＥＥＰＲＯＭ）メモリの形態を含んでよい。しかも、メモリ８３０は一部の例において、非一時的保存媒体と見なされてよい。「非一時的」という用語は、保存媒体が搬送波又は伝搬された信号により具現されないことを意味できる。しかし、「非一時的」という用語は、メモリ８３０が移動不可能であることと解釈されてはならない。所定の例において、非一時的保存媒体は、時間が経過するにつれて変更され得るデータを保存することができる（例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）又はキャッシュ）。

【0149】

たとえ図８がエッジサーバー２１０又はＭＳＧｉｎ５Ｇサーバー２００の様々なハードウェア構成要素を示していても、他の実施例がこれに制限されないということが理解されるべきである。他の実施例において、エッジサーバー２１０又はＭＳＧｉｎ５Ｇサーバー２００は、より少ないか或いはより多い数の構成要素を含んでよい。さらに、構成要素のラベルや名称は例示の目的で使われるだけで、本開示の範囲を制限するものではない。１つ以上の構成要素は共に結合され、エッジサーバー２１０又はＭＳＧｉｎ５Ｇサーバー２００において同一の又は実質的に類似の機能を果たすことができる。

【0150】

図９は、本願に開示された実施例による、無線ネットワーク１０００におけるネットワークサービスに対するアプリケーション特定認証のための方法の流れ図（Ｓ９００）を例示する。

【0151】

Ｓ９０２で、方法は、無線ネットワークにおいてネットワークサービスに対するアクセスを提供するために、ネットワーク機能エンティティ６００によってＵＥのサービス特定識別子間のマッピングを設定する段階を含む。Ｓ９０４で、方法は、無線ネットワーク１０００においてアプリケーションサーバーによって提供されるネットワークサービスにアクセスするために、アプリケーションサーバーによってＵＥ１１０からサービス要請を受信する段階を含む。Ｓ９０６で、方法は、サービス要請に対するアクセスを提供する前に、ＮＦエンティティによってＵＥ１１０の少なくとも１つのＩＤを認証する段階を含む。段階Ｓ９０８で、方法は、ＮＦエンティティによって、無線ネットワーク１０００においてアプリケーションサーバーによって提供されるネットワークサービスに対するアクセスを許容するために、サービス要請のサービス特定識別子とＵＥの既に認証されたＩＤとのマッピングを検証する段階を含む。

【0152】

図１０は、本願に開示された実施例によって、無線ネットワーク１０００においてネットワークサービスに対するアプリケーション特定認証のためにＵＥ１１０によって具現される方法の流れ図（Ｓ１０００）を例示する。動作（Ｓ１００２～Ｓ１０１２）は、アプリケーション特定認証制御器７４０によってハンドリングされてよい。

【0153】

Ｓ１００２で、方法は、無線ネットワーク１０００のアプリケーションサーバーによって提供されるネットワークサービスにアクセスするための要請を、無線ネットワーク１０００のアプリケーションサーバーに送信する段階を含む。Ｓ１００４で、方法は、ＵＥ１１０とアプリケーションサーバーの少なくとも１つのアイデンティティーに対する成功的な相互認証後に、ＵＥ１１０とアプリケーションサーバーとの間に保安チャネルを確立する段階を含む。Ｓ１００６で、方法は、保安チャネルを介してアプリケーションサーバーにサービス要請を送信する段階を含む。Ｓ１００８で、方法は、保安チャネルを介してアプリケーションサーバーに対するサービス要請にサービス特定識別子又はＵＥ特定識別子を含める段階を含む。Ｓ１０１０で、方法は、アプリケーションサーバーによって含まれたサービス特定識別子又はＵＥ特定識別子に基づいて、要請されたサービスに対する成功的な認証を確認応答する応答メッセージを受信する段階を含む。Ｓ１０１２で、方法は、アプリケーションサーバーからのネットワークサービスにアクセスする段階を含む。

【0154】

図１１は、本願に開示された実施例によって、無線ネットワーク１０００においてネットワークサービスに対するアプリケーション特定認証のために、アプリケーションサーバー（例えば、エッジサーバー２１０又はＭＳＧｉｎ５Ｇサーバー２００）により具現される方法の流れ図（Ｓ１１００）を例示する。動作（Ｓ１１０２～Ｓ１１１０）は、アプリケーション特定認証制御器８４０によってハンドリングされてよい。

【0155】

Ｓ１１０２で、方法は、無線ネットワークのＵＥ１１０からサービス要請を受信する段階を含む。Ｓ１１０４で、方法は、サービス要請を受信することに応答して、サービス要請に含まれたＵＥ ＩＤを認証する段階を含む。Ｓ１１０６で、方法は、成功的な相互認証後に、ＵＥ１１０とアプリケーションサーバーとの間に保安チャネルを確立する段階を含む。Ｓ１１０８で、方法は、アプリケーションサーバーによってＵＥ１１０の成功的な認証及び認証を確認応答する応答メッセージを送信する段階を含む。Ｓ１１１０で、方法は、ＵＥ１１０にネットワークサービスを提供する段階を含む。

【0156】

図１２は、本願に開示された実施例によって、無線ネットワークにおいてネットワークサービスに対するアプリケーション特定認証のためにＭＳＧｉｎ５Ｇサーバー又はエッジサーバーにより具現される方法のシーケンス流れ図を例示する。

【0157】

ＭＳＧｉｎ５ＧサービスがＳＥＡＬと共に用いられる場合に、ＴＳ ２３．５５４に説明されたアプリケーションアーキテクチャーが続く。この場合、ＭＳＧｉｎ５ＧサーバーによるＭＳＧｉｎ５Ｇ ＵＥの認可は、ＵＥサービスＩＤとＵＥ ＩＤ（ＳＵＰＩ／ＧＰＳＩ）との連関を検査することによって行われる。ＵＥサービスＩＤは、ＭＳＧｉｎ５Ｇ登録要請によって取得される。設定管理サーバー又はＭＳＧｉｎ５Ｇ設定機能は、割り当てられたＵＥサービスＩＤとＵＥ ＩＤとの連関を維持する。ＭＳＧｉｎ５Ｇサーバーは、ＡＡｎＦから受信されたＵＥ ＩＤを用いて、設定管理サーバー又はＭＳＧｉｎ５Ｇ設定機能から連関を検索し、登録要請メッセージで受信したＵＥサービスＩＤが検索された連関情報のＵＥ ＩＤと連関される否かを検証する。

【0158】

ＥＤＧＥサービスにおいて、ＥＣＳ（Ｅｄｇｅ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｓｅｒｖｅｒ）又はＥＥＳ（Ｅｄｇｅ Ｅｎａｂｌｅｒ Ｓｅｒｖｅｒ）によるＥＥＣ（Ｅｄｇｅ Ｅｎａｂｌｅｒ Ｃｌｉｅｎｔ）認可は、ＥＥＣ ＩＤとＵＥ ＩＤ（ＳＵＰＩ／ＧＰＳＩ）間の連関を検査して行われる。ＥＥＣ ＩＤは、セッション設定要請及び／又は登録要請によって取得される。認証サーバーは、ＥＥＣ ＩＤとＵＥ ＩＤとの連関を維持する。ＥＣＳ又はＥＥＳは、ＡＡｎＦから受信されたＵＥ ＩＤを用いて、認証サーバーから連関を検索し、登録要請メッセージで受信されたＥＥＣ ＩＤが検索された連関情報の認証されたＵＥ ＩＤと連関されるか否かを検証する。実施例において、ＩＤの連関は、ＡＦ自体で維持される。ＡＦはＥＣＳ及び／又はＥＥＳである。

【0159】

流れ図（Ｓ９００～Ｓ１１００）において様々な動作、行為、ブロック、段階などは、提示された順序で、異なる順序で、又は同時に行われてよい。さらに、一部の実施例において、動作、行為、ブロック、段階などの一部は、本開示の範囲を逸脱することなく省略、追加、修正、スキップなどされてよい。

【0160】

本願に開示された実施例は、少なくとも１つのハードウェアデバイスで使用し、要素を制御するために、ネットワーク管理機能を実行して具現されてよい。

【0161】

特定の実施例の前述した説明は、他の人たちが現在の知識を適用することによって、一般的な概念から逸脱することなくこのような特定の実施例を様々なアプリケーションに対して容易に修正及び／又は適応させ得るように、本願の実施例の一般的な特性を完全に示すはずであり、したがって、そのような適応及び修正は、開示された実施例の等価物の意味及び範囲内で理解されるべきであり、そのように意図される。本願に使われた語法又は用語は、制限ではなく説明のためのものであることが理解されるべきである。したがって、本願の実施例は、好ましい実施例の観点で説明されたが、通常の技術者は、本願の実施例が本願に説明された実施例の範囲内で修正されて実施可能であるということが認識できよう。

【符号の説明】

【0162】

１１０ ユーザ装置（ＵＥ）
１２０ ネットワーク露出機能（ＮＥＦ）
１３０ アンカー機能（ＡＡｎＦ）
１５０ 認証サーバー機能（ＡＵＳＦ）
１６０ 移動性管理機能（ＡＭＦ）
１７０ アプリケーション機能（ＡＦ）
１８０ （Ｒ）ＡＮ
１９０ 認証サーバー
２００ ＭＳＧサーバー
２１０ ＥＤＧＥサーバー
２２０ ＯＡｕｔｈサーバー
２４０ アプリケーション特定認証制御器
６００ ネットワーク機能エンティティ
６１０ プロセッサ
６２０ 通信器
６３０ メモリ
６４０ アプリケーション特定認証制御器
７１０ プロセッサ
７２０ 通信器
７３０ メモリ
７４０ アプリケーション特定認証制御器
８１０ プロセッサ
８２０ 通信器
８３０ メモリ
８４０ アプリケーション特定認証制御器
１０００ 無線ネットワーク

【図1】

【図2a】

【図2b】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【国際調査報告】