特表 2024-544879 非仮想マシンベースのネットワーク要素のための証明書登録システム及び方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-12-05

(54)【発明の名称】非仮想マシンベースのネットワーク要素のための証明書登録システム及び方法

(51)【国際特許分類】

   G06F 21/44 20130101AFI20241128BHJP

   G06F 21/64 20130101ALI20241128BHJP

【ＦＩ】

G06F21/44

G06F21/64

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024527254

(86)(22)【出願日】2022-04-13

(85)【翻訳文提出日】2024-05-08

(86)【国際出願番号】 US2022024596

(87)【国際公開番号】W WO2023154070

(87)【国際公開日】2023-08-17

(31)【優先権主張番号】63/309,877

(32)【優先日】2022-02-14

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】319010088

【氏名又は名称】楽天モバイル株式会社

(74)【代理人】

【識別番号】100109380

【弁理士】

【氏名又は名称】小西 恵

(74)【代理人】

【識別番号】100109036

【弁理士】

【氏名又は名称】永岡 重幸

(74)【代理人】

【識別番号】100188879

【弁理士】

【氏名又は名称】渡邉 未央子

(72)【発明者】

【氏名】リベラ，フランチェスカ

(72)【発明者】

【氏名】カレ，リテッシュ クマル

(57)【要約】

モバイル通信ネットワークにおいて証明書の完全自動化登録を実行するためのシステムは、証明書を要求するように構成されたネットワーク要素と、ネットワーク要素を認証し、認証局（ＣＡ）情報をネットワーク要素に提供するように構成された、少なくとも１つのサーバと、要求された証明書の事前構成されたポリシーを取得し、事前構成されたポリシーに基づいて証明書を取得し、ネットワーク要素に証明書を発行するように構成された、証明書マネージャと、を含み、ネットワーク要素は、少なくとも１つのサーバに、証明書マネージャに関する情報を取得するための要求を送信することと、少なくとも１つのサーバから、証明書マネージャに関する情報を取得することと、証明書マネージャに関する取得した情報に基づいて、証明書マネージャに、証明書を要求するための証明書署名要求（ＣＳＲ）を送信することと、証明書マネージャから、証明書マネージャのＣＡサーバによって生成された要求された証明書を受信することと、を行うように構成される。

【特許請求の範囲】

【請求項1】

モバイル通信ネットワークにおいて証明書の完全自動化登録を実行するためのシステムであって、前記システムは、
証明書を要求するように構成されたネットワーク要素と、
前記ネットワーク要素を認証し、認証局（ＣＡ）情報を前記ネットワーク要素に提供するように構成された、少なくとも１つのサーバと、
前記要求された証明書の事前構成されたポリシーを取得し、前記事前構成されたポリシーに基づいて前記証明書を取得し、前記ネットワーク要素に前記証明書を発行するように構成された、証明書マネージャと、
を備え、
前記ネットワーク要素は、
前記少なくとも１つのサーバに、前記証明書マネージャに関する情報を取得するための要求を送信することと、
前記少なくとも１つのサーバから、前記証明書マネージャに関する前記情報を取得することと、
前記証明書マネージャに関する前記取得した情報に基づいて、前記証明書マネージャに、前記証明書を要求するための証明書署名要求（ＣＳＲ）を送信することと、
前記証明書マネージャから、前記証明書マネージャのＣＡサーバによって生成された前記要求された証明書を受信することと、
を行うように構成される、
システム。

【請求項2】

前記少なくとも１つのサーバが、動的ホスト構成プロトコル（ＤＨＣＰ）サーバ及び認証サーバを含み、
前記ＤＨＣＰサーバが、
前記ネットワーク要素によって送信された、前記証明書マネージャに関する情報を取得するための前記要求であって、少なくとも１つのセキュリティパラメータを含む、前記要求を受信することと、
前記ネットワーク要素の認証を実行するために、前記少なくとも１つのセキュリティパラメータを前記認証サーバに送信することと、
前記認証サーバから前記認証の結果を受信することと、
前記ネットワーク要素に、認証の成功を示す前記認証の前記結果に基づいて、前記証明書マネージャに関する前記情報を送信することと、
を行うように構成される、
請求項１に記載のシステム。

【請求項3】

前記少なくとも１つのセキュリティパラメータが、前記ネットワーク要素と前記認証サーバとの両方に予めインストールされたデバイス証明書を含み、
前記認証サーバが、そこに予めインストールされた前記デバイス証明書を使用して、前記少なくとも１つのセキュリティパラメータに含まれる前記デバイス証明書を検証することによって前記認証を実行するように構成される、
請求項２に記載のシステム。

【請求項4】

前記デバイス証明書が、前記ネットワーク要素のベンダのＣＡによって発行されたベンダ証明書であり、前記認証サーバが、前記モバイル通信ネットワークに含まれるネットワーク要素のベンダの複数のＣＡによってそれぞれ発行された複数のベンダ証明書を記憶するように構成される、請求項３に記載のシステム。

【請求項5】

前記証明書マネージャが、登録局（ＲＡ）サーバ及び前記ＣＡサーバを含み、
前記ＲＡサーバが、
前記ネットワーク要素によって送信された前記ＣＳＲを受信し、前記ネットワーク要素を認証することと、
前記ＣＳＲに所定のプロファイル識別子（ＩＤ）を割り当てることと、
前記ＣＳＲ及び前記プロファイルＩＤを前記ＣＡサーバに送信することと、
を行うように構成され、
前記ＣＡサーバが、
前記ＲＡサーバによって送信された前記ＣＳＲ及び前記プロファイルＩＤを受信することと、
前記プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、
前記決定された事前構成されたポリシーに従って前記証明書を生成することと
を行うように構成される、
請求項１に記載のシステム。

【請求項6】

前記証明書マネージャに関する前記情報が、前記ＣＡサーバの完全修飾ドメイン名（ＦＱＤＮ）及びポートのうちの少なくとも１つを含む、請求項５に記載のシステム。

【請求項7】

前記ＣＡサーバと通信して、前記ＣＡサーバからの証明書の半自動化登録を実行するように構成された証明書ライフサイクル管理システム（ＣＬＭＳ）をさらに備える、請求項１に記載のシステム。

【請求項8】

別のＣＳＲを生成して前記ＣＬＭＳに入力し、前記ＣＬＭＳを介して、前記ＣＡサーバによって生成された別の証明書をダウンロードするように構成された別のネットワーク要素
をさらに備え、
前記ＣＬＭＳが、
それを介して前記ＣＡサーバが複数のＣＡサーバの中から選択され、それを介して前記他のＣＳＲが入力される、グラフィカルユーザインタフェース（ＧＵＩ）を提供することと、
前記他のＣＳＲを前記ＣＡサーバに送信することと、
前記送信された他のＣＳＲに基づいて前記ＣＡサーバによって生成された前記他の証明書を受信することと、
前記他の証明書が前記他のネットワーク要素によってダウンロードされることを可能にすることと、
を行うように構成される、
請求項７に記載のシステム。

【請求項9】

前記ＣＡサーバが、
前記ＣＬＭＳによって送信された前記他のＣＳＲを受信することと、
前記他のＣＳＲに対応するプロファイルＩＤを決定することと、
前記プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、
前記決定された事前構成されたポリシーに基づいて前記他の証明書を生成することと、
を行うように構成される、請求項８に記載のシステム。

【請求項10】

前記完全自動化登録が１つ又は複数のネットワーク要素に対して実行できない場合、証明書の前記半自動化登録が、前記完全自動化登録の代替として前記システムによって提供される、請求項１に記載のシステム。

【請求項11】

モバイル通信ネットワークにおいて証明書の完全自動化登録を実行するための方法であって、前記方法は、
ネットワーク要素によって、少なくとも１つのサーバに、証明書マネージャに関する情報を取得するための要求を送信することと、
前記ネットワーク要素によって、前記少なくとも１つのサーバから、前記少なくとも１つのサーバによって認証されている前記ネットワーク要素に基づいて前記証明書マネージャに関する前記情報を取得することと、
前記ネットワーク要素によって、前記証明書マネージャに関する前記取得した情報に基づいて、前記証明書マネージャに、前記証明書を要求するための証明書署名要求（ＣＳＲ）を送信することと、
前記ネットワーク要素によって、前記証明書マネージャから、前記要求された証明書に対して前記証明書マネージャのＣＡサーバによって取得された事前構成されたポリシーに基づいて、前記ＣＡサーバによって生成された前記要求された証明書を受信することと、
を含む、方法。

【請求項12】

前記少なくとも１つのサーバのうちのＤＨＣＰサーバによって、前記ネットワーク要素によって送信された、前記証明書マネージャに関する情報を取得するための前記要求であって、少なくとも１つのセキュリティパラメータを含む、前記要求を受信することと、
前記ＤＨＣＰサーバによって、前記ネットワーク要素の認証を実行するために、前記少なくとも１つのセキュリティパラメータを認証サーバに送信することと、
前記ＤＨＣＰサーバによって、前記認証サーバから前記認証の結果を受信することと、
前記ＤＨＣＰサーバによって、前記ネットワーク要素に、認証の成功を示す前記認証の前記結果に基づいて、前記証明書マネージャに関する前記情報を送信することと、
をさらに含む、請求項１１に記載の方法。

【請求項13】

前記少なくとも１つのセキュリティパラメータが、前記ネットワーク要素と前記認証サーバとの両方に予めインストールされたデバイス証明書を含み、
前記方法が、前記認証サーバによって、そこに予めインストールされた前記デバイス証明書を使用して、前記少なくとも１つのセキュリティパラメータに含まれる前記デバイス証明書を検証することによって前記認証を実行することをさらに含む、
請求項１２に記載の方法。

【請求項14】

前記デバイス証明書が、前記ネットワーク要素のベンダのＣＡによって発行されたベンダ証明書であり、前記認証サーバが、前記モバイル通信ネットワークに含まれるネットワーク要素のベンダの複数のＣＡによってそれぞれ発行された複数のベンダ証明書を記憶するように構成される、請求項１３に記載の方法。

【請求項15】

前記証明書マネージャに含まれる登録局（ＲＡ）サーバによって、前記ネットワーク要素によって送信された前記ＣＳＲを受信し、前記ＲＡサーバによって、前記ネットワーク要素を認証することと、
前記ＲＡサーバによって、前記ＣＳＲに所定のプロファイル識別子（ＩＤ）を割り当てることと、
前記ＲＡサーバによって、前記ＣＳＲ及び前記プロファイルＩＤを前記ＣＡサーバに送信することと、
前記ＣＡサーバによって、前記ＲＡサーバによって送信された前記ＣＡサーバに基づいて、前記プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、
前記ＣＡサーバによって、前記決定された事前構成されたポリシーに従って前記証明書を生成することと
をさらに含む、請求項１１に記載の方法。

【請求項16】

前記証明書マネージャに関する前記情報が、前記ＣＡサーバの完全修飾ドメイン名（ＦＱＤＮ）及びポートのうちの少なくとも１つを含む、請求項１５に記載の方法。

【請求項17】

証明書の半自動登録を実行するための証明書ライフサイクル管理システム（ＣＬＭＳ）によって、前記ＣＡサーバと通信することをさらに含む、請求項１１に記載の方法。

【請求項18】

前記ＣＬＭＳによって、それを介して前記ＣＡサーバが複数のＣＡサーバの中から選択され、それを介して別のＣＳＲが入力される、グラフィカルユーザインタフェース（ＧＵＩ）を提供することと、
別のネットワーク要素によって、前記他のＣＳＲを生成して前記ＣＬＭＳに入力することと、
前記ＣＬＭＳによって、前記他のＣＳＲを前記ＣＡサーバに送信することと、
前記ＣＬＭＳによって、前記送信された他のＣＳＲに基づいて前記ＣＡサーバによって生成された別の証明書を受信することと、
前記他のネットワーク要素によって、前記ＣＬＭＳから前記他の証明書をダウンロードすることと、
をさらに含む、請求項１７に記載の方法。

【請求項19】

前記ＣＡサーバによって、前記ＣＬＭＳによって送信された前記他のＣＳＲを受信することと、
前記ＣＡサーバによって、前記他のＣＳＲに対応するプロファイルＩＤを決定することと、
前記ＣＡサーバによって、前記プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、
前記ＣＡサーバによって、前記決定された事前構成されたポリシーに基づいて前記他の証明書を生成することと、
をさらに含む、請求項１８に記載の方法。

【請求項20】

ネットワーク要素の少なくとも１つのプロセッサによって実行可能な命令であり、前記少なくとも１つのプロセッサに、モバイル通信ネットワークにおける証明書の完全自動化登録のための方法を実行させる、命令を記録した非一時的なコンピュータ可読記録媒体であって、前記方法は、
少なくとも１つのサーバに、証明書マネージャに関する情報を取得するための要求を送信することと、
前記少なくとも１つのサーバから、前記少なくとも１つのサーバによって認証されている前記ネットワーク要素に基づいて前記証明書マネージャに関する前記情報を取得することと、
前記証明書マネージャに関する前記取得した情報に基づいて、前記証明書マネージャに、前記証明書を要求するための証明書署名要求（ＣＳＲ）を送信することと、
前記証明書マネージャから、前記要求された証明書に対して前記証明書マネージャのＣＡサーバによって取得された事前構成されたポリシーに基づいて、前記ＣＡサーバによって生成された前記要求された証明書を受信することと、
を含む、非一時的なコンピュータ可読記録媒体。

【発明の詳細な説明】

【背景技術】

【0001】

無線アクセスネットワーク（ＲＡＮ）は、エンドユーザデバイス（又はユーザ機器）をネットワークの他の部分に接続するので、電気通信システムにおける重要な構成要素である。ＲＡＮは、エンドユーザをコアネットワークに接続する様々なネットワーク要素（ｎｅｔｗｏｒｋ ｅｌｅｍｅｎｔ（ＮＥ））の組合せを含む。従来、特定のＲＡＮのハードウェア及び／又はソフトウェアはベンダ固有である。

【0002】

複数のベンダがハードウェア及び／又はソフトウェアを電気通信システムに提供することを可能にするために、オープンＲＡＮ（Ｏ－ＲＡＮ）技術が登場した。異なるベンダが関与するため、提供されるハードウェア及び／又はソフトウェアのタイプも異なり得る。すなわち、異なるタイプのＮＥが異なるベンダによって提供されてもよく、特定のサービスに応じて、ＮＥはソフトウェア形態（例えば、仮想マシン（ＶＭ）ベース）で仮想化されてもよく、又は物理ハードウェア形態（例えば、非ＶＭベース）であってもよい。したがって、特定のベンダによって提供されるＮＥをサポートするように設計された従来のネットワークアーキテクチャは、もはや適切ではない。さらに、ネットワークに関与する当事者の数が増加しているため、ベンダ固有のＮＥを認証及び検証する従来の方法によるネットワーク通信の確保は、マルチベンダ環境ではもはや適切ではない。

【発明の概要】

【発明が解決しようとする課題】

【0003】

上記を考慮して、複数のタイプのＮＥの展開をサポートするシステムを提供する必要がある。この目的のために、異なるベンダによって提供されるＮＥを効率的かつ安全に認証し、それによってＮＥ間の安全な接続を提供することができるシステムを提供する必要がある。

【課題を解決するための手段】

【0004】

例示的な実施形態によれば、無線アクセスネットワーク（ｒａｄｉｏ ａｃｃｅｓｓ ｎｅｔｗｏｒｋ（ＲＡＮ））内の非仮想マシン（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ（ＶＭ））ベースのネットワーク要素（ＮＥ）が認証局（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ（ＣＡ））サーバを介して証明書登録を実行することを可能にするシステム及び方法が提供される。

【0005】

例示的な実施形態によれば、ＲＡＮ内の非ＶＭベースのＮＥに対する証明書の完全自動化登録（ｆｕｌｌｙ ａｕｔｏｍａｔｅｄ ｅｎｒｏｌｌｍｅｎｔ）を可能にし、ＲＡＮ内の非ＶＭベースのＮＥに対する証明書の半自動化登録（ｓｅｍｉ－ａｕｔｏｍａｔｅｄ ｅｎｒｏｌｌｍｅｎｔ）を可能にするシステム及び方法が提供される。

【0006】

例示的な実施形態によれば、ＮＥを安全に認証し、ＣＡサーバの情報をＮＥに安全に提供するシステム及び方法が提供される。

【0007】

例示的な実施形態によれば、１つ又は複数のベンダからの異なるタイプのＮＥが１つのＣＡサーバからの証明書を登録することを可能にするシステム及び方法が提供される。

【0008】

例示的な実施形態によれば、例えば、完全自動化登録のためのコンポーネントが失敗した場合、又は特定のＮＥが自動登録をサポートしていない場合、フォールバック証明書登録方法として証明書の半自動化登録を可能にするシステム及び方法が提供される。

【0009】

例示的な実施形態によれば、モバイル通信ネットワークにおいて証明書の完全自動化登録を実行するためのシステムは、証明書を要求するように構成されたネットワーク要素と、ネットワーク要素を認証し、認証局（ＣＡ）情報をネットワーク要素に提供するように構成された、少なくとも１つのサーバと、要求された証明書の事前構成されたポリシーを取得し、事前構成されたポリシーに基づいて証明書を取得し、ネットワーク要素に証明書を発行するように構成された、証明書マネージャと、を含み、ネットワーク要素は、少なくとも１つのサーバに、証明書マネージャに関する情報を取得するための要求を送信することと、少なくとも１つのサーバから、証明書マネージャに関する情報を取得することと、証明書マネージャに関する取得した情報に基づいて、証明書マネージャに、証明書を要求するための証明書署名要求（ｃｅｒｔｉｆｉｃａｔｅ ｓｉｇｎｉｎｇ ｒｅｑｕｅｓｔ（ＣＳＲ））を送信することと、証明書マネージャから、証明書マネージャのＣＡサーバによって生成された要求された証明書を受信することと、を行うように構成される。

【0010】

少なくとも１つのサーバは、動的ホスト構成プロトコル（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ（ＤＨＣＰ））サーバ及び認証サーバを含み得、ＤＨＣＰサーバは、ネットワーク要素によって送信された、証明書マネージャに関する情報を取得するための要求であって、少なくとも１つのセキュリティパラメータを含む、要求を受信することと、ネットワーク要素の認証を実行するために、少なくとも１つのセキュリティパラメータを認証サーバに送信することと、認証サーバから認証の結果を受信することと、ネットワーク要素に、認証の成功を示す認証の結果に基づいて、証明書マネージャに関する情報を送信することと、を行うように構成され得る。

【0011】

少なくとも１つのセキュリティパラメータは、ネットワーク要素と認証サーバとの両方に予めインストールされたデバイス証明書を含み得、認証サーバは、そこに予めインストールされたデバイス証明書を使用して、少なくとも１つのセキュリティパラメータに含まれるデバイス証明書を検証することによって認証を実行するように構成され得る。

【0012】

デバイス証明書は、ネットワーク要素のベンダのＣＡによって発行されたベンダ証明書であってもよく、認証サーバは、モバイル通信ネットワークに含まれるネットワーク要素のベンダの複数のＣＡによってそれぞれ発行された複数のベンダ証明書を記憶するように構成されてもよい。

【0013】

証明書マネージャは、登録局（Ｒｅｇｉｓｔｒａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ（ＲＡ））サーバ及びＣＡサーバを含み得、ＲＡサーバは、ネットワーク要素によって送信されたＣＳＲを受信し、ネットワーク要素を認証することと、ＣＳＲに所定のプロファイル識別子（ＩＤ）を割り当てることと、ＣＳＲ及びプロファイルＩＤをＣＡサーバに送信することと、を行うように構成され得、ＣＡサーバは、ＲＡサーバによって送信されたＣＳＲ及びプロファイルＩＤを受信することと、プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、決定された事前構成されたポリシーに従って証明書を生成することと、を行うように構成され得る。

【0014】

証明書マネージャに関する情報は、ＣＡサーバの完全修飾ドメイン名（ｆｕｌｌｙ ｑｕａｌｉｆｉｅｄ ｄｏｍａｉｎ ｎａｍｅ（ＦＱＤＮ））及びポートのうちの少なくとも１つを含み得る。

【0015】

システムは、ＣＡサーバと通信して、ＣＡサーバからの証明書の半自動化登録を実行するように構成された証明書ライフサイクル管理システム（Ｃｅｒｔｉｆｉｃａｔｅ Ｌｉｆｅｃｙｃｌｅ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ（ＣＬＭＳ））をさらに含み得る。

【0016】

システムは、別のＣＳＲを生成してＣＬＭＳに入力し、ＣＬＭＳを介して、ＣＡサーバによって生成された別の証明書をダウンロードするように構成された別のネットワーク要素をさらに含むことができ、ＣＬＭＳは、それを介してＣＡサーバが複数のＣＡサーバの中から選択され、それを介して他のＣＳＲが入力される、グラフィカルユーザインタフェース（ＧＵＩ）を提供することと、他のＣＳＲをＣＡサーバに送信することと、送信された他のＣＳＲに基づいてＣＡサーバによって生成された他の証明書を受信することと、他の証明書が他のネットワーク要素によってダウンロードされることを可能にすることと、を行うように構成され得る。

【0017】

ＣＡサーバは、ＣＬＭＳによって送信された他のＣＳＲを受信することと、他のＣＳＲに対応するプロファイルＩＤを決定することと、プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、決定された事前構成されたポリシーに基づいて他の証明書を生成することと、を行うように構成され得る。

【0018】

完全自動化登録が１つ又は複数のネットワーク要素に対して実行できない場合、証明書の半自動化登録が、完全自動化登録の代替としてシステムによって提供され得る。

【0019】

例示的な実施形態によれば、モバイル通信ネットワークにおいて証明書の完全自動化登録を実行するための方法は、ネットワーク要素によって、少なくとも１つのサーバに、証明書マネージャに関する情報を取得するための要求を送信することと、ネットワーク要素によって、少なくとも１つのサーバから、少なくとも１つのサーバによって認証されているネットワーク要素に基づいて証明書マネージャに関する情報を取得することと、ネットワーク要素によって、証明書マネージャに関する取得した情報に基づいて、証明書マネージャに、証明書を要求するための証明書署名要求（ＣＳＲ）を送信することと、ネットワーク要素によって、証明書マネージャから、要求された証明書に対して証明書マネージャのＣＡサーバによって取得された事前構成されたポリシーに基づいて、ＣＡサーバによって生成された要求された証明書を受信することと、を含む。

【0020】

本方法は、少なくとも１つのサーバのうちのＤＨＣＰサーバによって、ネットワーク要素によって送信された、証明書マネージャに関する情報を取得するための要求であって、少なくとも１つのセキュリティパラメータを含む、要求を受信することと、ＤＨＣＰサーバによって、ネットワーク要素の認証を実行するために、少なくとも１つのセキュリティパラメータを認証サーバに送信することと、ＤＨＣＰサーバによって、認証サーバから認証の結果を受信することと、ＤＨＣＰサーバによって、ネットワーク要素に、認証の成功を示す認証の結果に基づいて、証明書マネージャに関する情報を送信することと、をさらに含み得る。

【0021】

少なくとも１つのセキュリティパラメータは、ネットワーク要素と認証サーバとの両方に予めインストールされたデバイス証明書を含み得、本方法は、認証サーバによって、そこに予めインストールされたデバイス証明書を使用して、少なくとも１つのセキュリティパラメータに含まれるデバイス証明書を検証することによって、認証を実行することをさらに含むことができる。

【0022】

デバイス証明書は、ネットワーク要素のベンダのＣＡによって発行されたベンダ証明書であってもよく、認証サーバは、モバイル通信ネットワークに含まれるネットワーク要素のベンダの複数のＣＡによってそれぞれ発行された複数のベンダ証明書を記憶するように構成されてもよい。

【0023】

本方法は、証明書マネージャに含まれる登録局（ＲＡ）サーバによって、ネットワーク要素によって送信されたＣＳＲを受信し、ＲＡサーバによって、ネットワーク要素を認証することと、ＲＡサーバによって、ＣＳＲに所定のプロファイル識別子（ＩＤ）を割り当てることと、ＲＡサーバによって、ＣＳＲ及びプロファイルＩＤをＣＡサーバに送信することと、ＣＡサーバによって、ＲＡサーバによって送信されたＣＡサーバに基づいて、プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、ＣＡサーバによって、決定された事前構成されたポリシーに従って証明書を生成することと、をさらに含み得る。

【0024】

証明書マネージャに関する情報は、ＣＡサーバの完全修飾ドメイン名（ＦＱＤＮ）及びポートのうちの少なくとも１つを含み得る。

【0025】

本方法は、証明書の半自動登録を実行するための証明書ライフサイクル管理システム（ＣＬＭＳ）によって、ＣＡサーバと通信することをさらに含み得る。

【0026】

本方法は、ＣＬＭＳによって、それを介してＣＡサーバが複数のＣＡサーバの中から選択され、それを介して別のＣＳＲが入力される、グラフィカルユーザインタフェース（ＧＵＩ）を提供することと、別のネットワーク要素によって、他のＣＳＲを生成してＣＬＭＳに入力することと、ＣＬＭＳによって、他のＣＳＲをＣＡサーバに送信することと、ＣＬＭＳによって、送信された他のＣＳＲに基づいてＣＡサーバによって生成された別の証明書を受信することと、他のネットワーク要素によって、ＣＬＭＳから他の証明書をダウンロードすることと、をさらに含み得る。

【0027】

本方法は、ＣＡサーバによって、ＣＬＭＳによって送信された他のＣＳＲを受信することと、ＣＡサーバによって、他のＣＳＲに対応するプロファイルＩＤを決定することと、ＣＡサーバによって、プロファイルＩＤにマッピングされた事前構成されたポリシーを決定することと、ＣＡサーバによって、決定された事前構成されたポリシーに基づいて他の証明書を生成することと、をさらに含み得る。

【0028】

例示的な実施形態によれば、非一時的なコンピュータ可読記録媒体は、ネットワーク要素の少なくとも１つのプロセッサによって実行可能な命令であり、少なくとも１つのプロセッサに、モバイル通信ネットワークにおける証明書の完全自動化登録のための方法を実行させる、命令を記録しており、方法は、少なくとも１つのサーバに、証明書マネージャに関する情報を取得するための要求を送信することと、少なくとも１つのサーバから、少なくとも１つのサーバによって認証されているネットワーク要素に基づいて証明書マネージャに関する情報を取得することと、証明書マネージャに関する取得した情報に基づいて、証明書マネージャに、証明書を要求するための証明書署名要求（ＣＳＲ）を送信することと、証明書マネージャから、要求された証明書に対して証明書マネージャのＣＡサーバによって取得された事前構成されたポリシーに基づいて、ＣＡサーバによって生成された要求された証明書を受信することと、を含む。

【図面の簡単な説明】

【0029】

これより、添付の図面を参照しながら本開示の例示的な実施形態の特徴、利点、及び重要性を説明し、図面において、同様の符号は同様の要素を示す。

【0030】

【図1】１つ又は複数の実施形態による、モバイル通信ネットワークの非仮想マシン（ＶＭ）ベースのネットワーク要素に対して完全自動化証明書登録を実行するためのシステムのブロック図である。

【図2】１つ又は複数の実施形態による、モバイル通信ネットワークの非ＶＭベースのネットワーク要素に対して完全自動化証明書登録を実行するための通信フローを含むシステムアーキテクチャの図である。

【図3】１つ又は複数の実施形態による、非ＶＭベースのネットワーク要素に対して完全自動化証明書登録を実行するための方法のフローチャートである。

【図4】１つ又は複数の実施形態による、非ＶＭ ＮＥにＣＡサーバ識別情報を提供する方法のフローチャートである。

【図5】１つ又は複数の実施形態による、証明書を生成する方法のフローチャートである。

【図6】１つ又は複数の実施形態による、ＣＡサーバ識別情報を取得するためのメッセージフロー図である。

【図7】１つ又は複数の実施形態による、モバイル通信ネットワークの非仮想マシン（ＶＭ）ベースのネットワーク要素に対して半自動化証明書登録を実行するためのシステムのブロック図である。

【図8】１つ又は複数の実施形態による、モバイル通信ネットワークの非ＶＭベースのネットワーク要素に対して半自動化証明書登録を実行するための通信フローを含むシステムアーキテクチャの図である。

【図9】１つ又は複数の実施形態による、非ＶＭベースのネットワーク要素に対して半自動化証明書登録を実行するための方法のフローチャートである。

【図10】一実施形態による、１つ又は複数のデバイスの構成要素の図である。

【発明を実施するための形態】

【0031】

例示的な実施形態の以下の詳細な説明は、添付図面を参照する。様々な図面における同じ参照番号は、同じ又は類似の要素を特定し得る。

【0032】

前述の開示は、例示及び説明を提供するが、網羅的であること、又は実装形態を開示した正確な形態に限定すること、を意図しない。上記の開示に照らして変更及び変形が可能であり、又は実装形態の実施から取得され得る。さらに、一実施形態の１つ又は複数の特徴又は構成要素は、別の実施形態（又は別の実施形態の１つ又は複数の特徴）に組み込まれてもよく、又は別の実施形態（又は別の実施形態の１つ又は複数の特徴）と組み合わせられてもよい。加えて、以下に提供される作業のフローチャート及び説明では、１つ又は複数の作業が省略されてもよく、１つ又は複数の作業が追加されてもよく、１つ又は複数の作業が（少なくとも部分的に）同時に実行されてもよく、１つ又は複数の作業の順序が差し替えられてもよいことは理解される。

【0033】

本明細書に記載のシステム及び／又は方法は、ハードウェア、ファームウェア、又はハードウェアとソフトウェアとの組合せの様々な形態で実装されてもよいことは明らかである。これらのシステム及び／又は方法を実装するために使用される実際の専用の制御ハードウェア又はソフトウェアコードは、実装形態を限定するものではない。したがって、システム及び／又は方法の動作及び挙動は、特定のソフトウェアコードを参照することなく本明細書に記載されている。ソフトウェア及びハードウェアは、本明細書の記載に基づいてシステム及び／又は方法を実装するように設計され得ることが理解される。

【0034】

特徴の特定の組合せを、特許請求の範囲に記載し、及び／又は本明細書に開示しているが、これらの組合せは、可能な実装形態の開示を限定することを意図しない。実際、これらの特徴の多くは、特許請求の範囲に具体的に記載してない、及び／又は本明細書に開示していない方法で組み合わされてもよい。以下に列挙する各従属請求項は１つの請求項のみに直接依存し得るが、可能な実装形態の開示は、各従属請求項を請求項セット内の他の全ての請求項と組み合わせて含んでいる。

【0035】

本明細書で使用する要素、動作、又は命令は、そのように明示的に記載されていない限り、重要又は必須であると解釈されるべきではない。また、本明細書で使用される場合、冠詞「１つの（ａ）」及び「１つの（ａｎ）」は、１つ又は複数の項目を含むことが意図され、「１つ又は複数の」と交換可能に使用され得る。１つの項目のみが意図される場合、「１つ」という用語又は同様の用語を使用する。また、本明細書で使用する場合、「有する（ｈａｓ）」、「有する（ｈａｖｅ）」、「有している（ｈａｖｉｎｇ）」、「含む（ｉｎｃｌｕｄｅ）」、「含んでいる（ｉｎｃｌｕｄｉｎｇ）」などの用語は、非限定的な用語であることを意図している。さらに、「～に基づいて」という語句は、特に明記しない限り、「～に少なくとも部分的に基づいて」を意味することを意図している。さらに、「［Ａ］及び［Ｂ］のうちの少なくとも１つ」や「［Ａ］又は［Ｂ］のうちの少なくとも１つ」などの表現は、Ａのみ、Ｂのみ、又はＡとＢとの両方を含むと理解されるべきである。

【0036】

本開示の例示的な実施形態は、無線アクセスネットワーク（ＲＡＮ）におけるネットワーク要素（ＮＥ）のゼロトラスト自動化相互認証を提供する。この点に関して、ゼロトラストとは「決して信頼せず、常に検証する」の原理を指し、相互認証とは２つのエンティティを互いに認証してそれらの間にセキュアな接続をセットアップすることを指す。例えば、実施形態によれば、ＮＥ（例えば、無線ユニット（ＲＵ）、集中ユニット（ＣＵ）、分配ユニット（ＤＵ）など）が別のＮＥとの接続を確立しようとするときはいつでも、両方のＮＥは、認証局（ＣＡ）サーバからの証明書を登録し、証明書を使用して互いに認証し、それによって接続を確保する。

【0037】

本開示の例示的な実施形態は、非仮想マシン（ＶＭ）ベースのＮＥ（例えば、ハードウェアベースの物理ＮＥ）に対して証明書を登録する完全自動化方法、及びそれを実行するためのシステムを提供し、方法は、動的ホスト構成プロトコル（ＤＨＣＰ）サーバ及び認証サーバを使用して、ＮＥを認証し、（ＮＥが証明書署名要求（ＣＳＲ）を生成し、提供された情報に基づいてＣＳＲをＣＡサーバに送信することができるように）認証局（ＣＡ）サーバの情報を提供することと、Ｅｎｒｏｌｌｍｅｎｔ ｏｖｅｒ Ｓｅｃｕｒｅ Ｔｒａｎｓｐｏｒｔ（ＥＳＴ）サーバなどの登録局（ＲＡ）サーバを使用して、ＣＳＲにプロファイル識別子（ＩＤ）を割り当て、（ＮＥとＣＡサーバとの間の接続を確保するために）プロファイルＩＤと共にＣＳＲをＣＡサーバに転送することと、ＣＡサーバを使用して、プロファイルＩＤに基づいてＣＳＲに対応するポリシーをマッピングし、決定されたポリシーに基づいて証明書を生成又は取得することと、を含む。登録は、例示的な実施形態では完全に自動化されているため、ユーザは、証明書を（例えば、証明書の登録、再登録、又は更新時に）登録するために、情報（例えば、ＣＡサーバに関する情報、ポリシー情報、ＣＳＲパラメータなど）を手動で提供する必要はなく、それによってネットワークオペレータの負担及び（例えば、ヒューマンエラーによる）情報漏洩のリスクを低減する。

【0038】

本開示の例示的な実施形態は、非ＶＭベースのＮＥに対して証明書を登録する半自動化方法及びそれを実行するためのシステムを提供し、方法は、証明書ライフサイクル管理システム（ＣＬＭＳ）を使用して、ユーザがグラフィカルユーザインタフェース（ＧＵＩ）を介して非ＶＭベースのＮＥのＣＳＲを入力し、そのＣＳＲをＣＡサーバに登録することを可能にすることと、ＣＡサーバを使用して、ポリシーＩＤを割り当て、ポリシーＩＤに基づいてＣＳＲに対応するポリシーをマッピングし、それに基づいて証明書を生成し、それをＣＬＭＳに送信することと、を含む。例示的な実施形態によれば、ユーザは、次いで、ＣＬＭＳを介して非ＶＭベースのＮＥに証明書をダウンロードすることができる。さらに、例示的な実施形態によれば、ユーザは、ＣＬＭＳのＧＵＩを使用して、それを介して証明書が登録されるＣＡサーバを選択することができる。

【0039】

１つ又は複数の例示的な実施形態では、上記の完全自動化方法に加えて、証明書の半自動化登録のためのシステム及び方法を提供することができる。結果として、例示的な実施形態は、証明書の自動登録をサポートしないＮＥを、証明書の自動登録をサポートするＮＥと共に展開することを可能にし、それによってネットワークシステムを構成する際のより大きな柔軟性を可能にする（すなわち、ネットワークシステムが同じ又は異なるベンダからのより多くのタイプのＮＥをサポートすることを可能にする）。加えて、証明書を登録するためのＣＬＭＳ及び半自動化方法を含むことにより、例示的な実施形態は、自動登録又は自動更新が実行できない状況（例えば、ＤＨＣＰ障害、認証サーバ障害、ＲＡサーバ障害など）でのフォールバック又はバックアップ証明書登録プロセスを提供する。その結果、ネットワーク安定性が改善され、システムコンポーネントの障害の影響が低減される。

【0040】

本開示の例示的な実施形態は、ＤＨＣＰサーバとは別個の認証サーバを使用してＮＥを認証する（例えば、含まれるＮＥのセキュリティパラメータをＤＨＣＰ要求により検証する）、非ＶＭベースのＮＥに対して証明書を登録するシステム及び方法を提供する。その結果、１つ又は複数の例示的な実施形態では、ＤＨＣＰサーバは、認証又は検証プロセスのためのパラメータ（例えば、ベンダの証明書など）を記憶する必要がなく、それによってＤＨＣＰサーバの負荷が低減される。さらに、ＤＨＣＰサーバは認証又は検証パラメータを記憶する必要がないので、１つのＤＨＣＰサーバは、異なるベンダ及び／又は異なるタイプ（例えば、Ｏ－ＲＵ、加入者端末装置（ＳＴＵ）、無線インタフェース装置（ＲＩＵ）など）からの複数のＮＥにＣＡ情報を提供することができる。例えば、例示的な実施形態によるＯ－ＲＡＮベースの電気通信システムでは、多数のベンダからのＮＥが含まれてもよい。全てのＮＥを認証するために、大量の対応する認証情報（例えば、ベンダ証明書など）を予めインストールする必要がある。そのような情報がＤＨＣＰサーバに記憶された場合、コストと同様に、ＤＨＣＰサーバの負荷が増加するであろう（すなわち、より多くのデータ記憶及び処理能力が使用されるであろう）。１つ又は複数の実施形態では、認証を別個の認証サーバにオフロードすることにより、システムのスケーラビリティが改善し、ＤＨＣＰサーバの負荷が低減される。

【0041】

例示的な実施形態によれば、各ＣＳＲにプロファイルＩＤを割り当て、対応するポリシーをプロファイルＩＤにマッピングし、ポリシーに基づいて証明書を生成するシステム及び方法が提供される。ＣＡサーバは対応するポリシーに基づいて証明書を生成するため、システムは、１つのＣＡサーバを使用して、複数のタイプのＮＥ（異なるタイプのＮＥは異なるポリシーを有する）に対するオペレータ（例えば、電気通信会社又はモバイルネットワークオペレータ）証明書登録をサポートすることができる。１つのＣＡサーバを使用する（又はＣＡサーバの数を減らす）ことにより、実装コスト及びネットワーク構築時間が削減され、（ＣＡサーバの数が減ることを考慮して）ネットワーク全体の電力消費が削減される。

【0042】

図１は、１つ又は複数の実施形態による、モバイル通信ネットワークの非ＶＭベースのネットワーク要素に対して完全自動化証明書登録を実行するためのシステムのブロック図である。図１を参照すると、本システムは、ネットワーク要素１００と、ＤＨＣＰサーバ２００と、認証サーバ３００と、登録局（ＲＡ）サーバ４００と、認証局（ＣＡ）サーバ５００とを含む。

【0043】

ネットワーク要素（ＮＥ）１００は、モバイル通信（すなわち、電気通信）ネットワーク（例えば、第５世代（５Ｇ）モバイルネットワーク、ロングタームエボリューション（ＬＴＥ）ネットワークなど）に含まれる任意のネットワーク要素であってもよい。例えば、ＮＥ１００は、ＲＵ、ＳＴＵ、ＲＩＵなどであってもよい。さらに、ネットワークは、オープンＲＡＮ（Ｏ－ＲＡＮ）ベースのネットワークであってもよく、ＮＥ１００は、Ｏ－ＲＡＮベースのＮＥ（例えば、Ｏ－ＲＵなど）であってもよい。この目的のために、ＮＥ１００は、複数のタイプのいずれかであってもよく、また複数のベンダのうちのいずれかからのものであってもよい。以下でさらに詳細に説明するように、ＮＥ１００は、ＤＨＣＰサーバ２００からＣＡサーバ５００の情報（例えば、アドレスなど）を取得し、証明書署名要求（ＣＳＲ）を生成し、取得した情報に基づいてＣＡサーバ５００に向けて証明書署名要求を送信し、ＣＳＲに基づいてＣＡサーバ５００によって生成された証明書を受信するように構成される。証明書を使用して、ＮＥ１００は、例えば、別の非ＶＭベースのＮＥ又はＶＭベースのＮＥ（例えばＣＵ、ＤＵなど）と、ネットワーク内でセキュアな通信を実行することができる。

【0044】

ＤＨＣＰサーバ２００は、ＮＥ１００にインターネットプロトコル（ＩＰ）アドレスを提供し割り当て、ＮＥ１００にＣＡサーバ５００の情報を提供するように構成されている。ここで、ＤＨＣＰサーバ２００は、認証サーバ３００によって検証及び／又は認証されているＮＥ１００に基づいて、ＣＡサーバ５００のＩＰアドレス及び情報を提供する。ＣＡサーバ５００の情報は、ＣＡサーバ５００の識別情報（例えば、完全修飾ドメイン名（ＦＱＤＮ））、ＣＡサーバのアドレス（例えば、ＩＰアドレス）、及びＣＡサーバ５００のセキュリティパラメータ（例えば、ＣＡサーバ５００のルート証明書）のうちの少なくとも１つを含み得る。

【0045】

認証サーバ３００は、ＮＥ１００を認証するように構成される。さらに、認証サーバ３００は、ＮＥ１００を認証又は検証するためのセキュリティパラメータを記憶する記憶部を含む。例えば、モバイル通信ネットワーク内のネットワーク要素の複数のベンダのベンダ証明書（又はサードパーティ証明書）が、認証サーバ３００に予めインストールされる。この場合、認証サーバ３００は、ＮＥ１００からセキュリティパラメータ（例えば、ＮＥのベンダデバイス証明書、シリアル番号及び／又はノンスなどの署名付きパラメータ、ベンダ識別子など）を受信し、予めインストールされたＮＥベンダの証明書を使用して、受信したセキュリティパラメータが正しいかどうかをチェックする。ここで、セキュリティパラメータは、ＮＥ１００によって、ＤＨＣＰ要求（例えば、ＤＨＣＰｖ６要求メッセージ）によりＤＨＣＰサーバ２００に送信されてもよい。加えて、１つ又は複数の例示的な実施形態によれば、ＮＥ１００によって登録されている証明書（例えば、中間証明書）とは異なる１つ又は複数のオペレータ証明書（例えば、ネットワークオペレータのルートＣＡからのルート証明書）が、ベンダ証明書に加えて（又はその代わりに）認証サーバ３００に予めインストールされてもよい。この場合、認証サーバ３００は、ＮＥ１００から受信したオペレータデバイス証明書（例えば、オペレータのルートＣＡからＮＥ１００に事前に発行されたルート証明書）又はベンダ（又はサードパーティ）デバイス証明書（例えば、ＮＥベンダのＣＡからＮＥ１００に予めインストールされた、又は事前に発行されたデバイス証明書）のいずれかを使用して、ＮＥ１００を認証することができる。

【0046】

ＲＡサーバ４００は、ＮＥ１００からＣＳＲを受信し、ＮＥ１００を認証又は検証し、ＣＡサーバ５００にＣＳＲを転送するように構成される。例えば、ＲＡサーバ４００は、ＣＳＲに含まれる又はＣＳＲと共に含まれる情報（例えば、ベンダ証明書、サードパーティ証明書、オペレータルート証明書など）と、ＲＡサーバ４００に予めインストールされている情報（例えば、ベンダ証明書、サードパーティ証明書、オペレータルート証明書など）とに基づいて、ＮＥ１００を検証してもよい。例示的な実施形態によれば、ＲＡサーバ４００は、ＥＳＴプロトコルに基づいて（すなわち、ＲＦＣ７０３０で定義されているように）ＮＥ１００とＣＡサーバ５００との間のセキュアな接続を確立するＥＳＴサーバとすることができる。例えば、ＮＥ１００は、ベンダ証明書（すなわち、ＮＥベンダのＣＡによって発行された証明書）を、ＣＳＲと共に及び／又はトランスポート層セキュリティ（ＴＬＳ）証明書要求メッセージに応答して、ＥＳＴサーバに送信することができ、ＥＳＴサーバは、ベンダ証明書を検証し、それに応じてＣＳＲを許可する。ＥＳＴサーバは単なる例であり、１つ又は複数の他の実施形態はこれに限定されないことが理解される。例えば、様々な他の実施形態におけるＲＡサーバ４００は、限定はしないが、単純証明書登録プロトコル（ＳＣＥＰ）、証明書管理プロトコル（ＣＭＰ）、暗号メッセージ構文を介した証明書管理（ＣＭＣ）などを含む、証明書プロビジョニングのための異なるセキュリティプロトコルを実装し得る。

【0047】

さらに、例示的な実施形態によれば、ＲＡサーバ４００（例えば、ＥＳＴサーバ）は、ＣＳＲにプロファイルＩＤを割り当てるか又はマッピングし、ＣＳＲ（すなわち、正当なＣＳＲ）と、（例えば、それと共に）プロファイルＩＤとをＣＡサーバ５００に転送するように構成される。ＲＡサーバ４００は、ネットワーク内の複数のＮＥと複数のプロファイルＩＤとの対応関係によって事前に構成されていてもよい。例えば、ＲＡサーバ４００は、プロファイルＩＤのリスト、又はＮＥデバイスタイプ（例えば、ＲＵ、ＣＵ、ＤＵなど）、予めインストールされたベンダ証明書、ベンダ識別情報、ＮＥデバイス識別子（例えば、シリアル番号）などのうちの少なくとも１つへのプロファイルＩＤのマッピングを含むか、又は記憶し得る。例として、ＲＡサーバ４００は、各々が対応するプロファイルＩＤを有する、予めインストールされたベンダ証明書のリストを含み得る。別の例として、ＲＡサーバ４００は、各々が事前に割り当てられた対応するプロファイルＩＤを有する、ＣＡサーバ５００に登録されるべきデバイス（ＮＥ）又はデバイスタイプのリストを含み得る。ここで、プロファイルＩＤは、ＣＡサーバ５００に登録されるか又はネットワークにインストールされる新しいデバイスがあるときに、ユーザ（例えば、システム管理者）によって手動で割り当てられてもよい。具体的には、証明書を取得するために新しいデバイスがＣＡサーバ５００に登録される場合、ユーザは、そのデバイスのプロファイルＩＤを割り当て、ＣＡサーバ５００においてそのデバイス／プロファイルＩＤに対応するポリシーを構成することができる（例えば、鍵使用、鍵の有効期間などを定義することができる）。プロファイルＩＤは、そのＮＥ１００に一意に割り当てられてもよいし（例えば、ＮＥシリアル番号）、又は、他のＮＥ（例えば、タイプ、目的、ベンダなどのうちの少なくとも１つが同じである他のＮＥ）に割り当てられた同じプロファイルＩＤであってもよい。後者の場合、新しいポリシーは、そのプロファイルＩＤに対して既に設定されているため、ＮＥに対して構成される必要はない。加えて、１つ又は複数の実施形態では、対応するポリシーは、プロファイルＩＤの範囲（割り当てられたものと割り当てられていないものの両方）に対してＣＡサーバ５００に事前に構成及び設定されてもよく、例えば、特定のタイプのＮＥ（ＲＵ又はＳＴＵなど）に対する特定のポリシーは、そのタイプのＮＥに対応するプロファイルＩＤの範囲（例えば、ＲＵの場合は６０００～６９９９、ＳＴＵの場合は７０００～７９９９など）に対して事前構成されてもよい。この場合、一意のプロファイルＩＤをデバイス（例えば、ネットワークに追加される新しいＲＵ）に割り当てる際に、対応するポリシーは、既に事前構成されており、新たに割り当てられたプロファイルＩＤを含むプロファイルＩＤの範囲にマッピングされているため、その時点で構成される必要はない。

【0048】

ＣＡサーバ５００は、ＲＡサーバ４００からＣＳＲを受信し、ＣＳＲに基づく証明書を生成し、その証明書をＮＥ１００に（すなわち、ＲＡサーバ４００を介して）提供するように構成される。例示的な実施形態によれば、ＣＡサーバ５００は、ＲＡサーバ４００（例えば、ＥＳＴサーバ）からＣＳＲ及びプロファイルＩＤを受信し、プロファイルＩＤに従ってＣＳＲに対応するポリシー（すなわち、所定の又は事前定義されたポリシー）をマッピングするように構成される。ＣＡサーバは、各々が特定のＮＥ（例えば、ＮＥシリアル番号）、特定のタイプのＮＥ、特定のベンダなどに対応するプロファイルＩＤ（すなわち、事前に設定されたプロファイルＩＤ）のリストを記憶することができる。例えば、第１のＩＤ又はＩＤの第１のセット（例えば、「６ｘｘｘ」）は、第１のタイプのＮＥ（例えば、ＲＵ）に対応し、第２のＩＤ又はＩＤの第２のセット（例えば、「７ｘｘｘ」）は、第２のタイプのＮＥ（例えば、ＳＴＵ）に対応する、などである。ＣＡサーバ５００はまた、各々がプロファイルＩＤ又はＮＥのタイプに対応する複数のポリシーを記憶することもできる。ポリシーは、ポリシーを定義するための様々なユーザ入力フィールド（例えば、有効期間及び有効期間オプション、鍵使用、失効パラメータなど）を含むグラフィカルユーザインタフェースを介してユーザ（例えば、管理者）によって事前構成されてもよい。次いで、ＣＡサーバ５００は、ＣＳＲのプロファイルＩＤに対応するポリシーを決定し、決定されたポリシーに従って証明書を生成することができる。この場合、生成された証明書は、証明書により、ＮＥ１００が有効期間内に指定された使用を実行することのみが可能になるように、鍵使用、有効期間などを含むことができる。

【0049】

上述したように、ポリシーは、サブジェクト名フォーマット（Ｃ、Ｏ、ＣＮフィールド）、鍵使用（例えば、デジタル署名、鍵証明書署名、証明書失効リスト署名など）、拡張鍵使用、有効期間、失効情報などのうちの少なくとも１つなど、証明書を構成又は生成するための情報を含む。ポリシーは、ＮＥタイプ（例えば、ＲＵのデフォルト又は標準の有効期間は６ヶ月であってもよく、非ＲＵデバイスのデフォルト又は標準の有効期間は３年であってもよい）に基づいて定義されてもよいが、１つ又は複数の他の実施形態はそれに限定されず、ポリシーは、ユーザの（例えば、管理者の）要望、ニーズなどに従って定義されてもよいことが理解される。例えば、特定のポリシーは、テスト中の又は証明書更新のテスト中のＮＥ（すなわち、ＮＥのプロファイルＩＤ）に対して比較的短い有効期間でユーザによって構成されてもよい。

【0050】

図２は、１つ又は複数の実施形態による、モバイル通信ネットワークの非ＶＭベースのネットワーク要素に対して完全自動化証明書登録を実行するための通信フローを含むシステムアーキテクチャの図である。図２を参照すると、システムアーキテクチャは、ＮＥ１００と中央データセンタ（ｃｅｎｔｒａｌ ｄａｔａ ｃｅｎｔｅｒ（ＣＤＣ））６００とを含む。ＣＤＣ７００は、モバイル通信ネットワーク又は電気通信会社のオペレータのデータセンタであってもよく、ＤＨＣＰサーバ２００と、認証サーバ３００と、証明書マネージャ（ｃｅｒｔｉｆｉｃａｔｅ ｍａｎａｇｅｒ（ＣＭ））７００とを含む。これは単なる例であり、他の実施形態では、様々なデバイスの少なくとも幾つかは、複数の場所又はデータセンタにわたって分散されてもよいことが理解される。ＣＭ７００は、ＲＡサーバ４００（例えば、ＥＳＴサーバ）と、ＣＡサーバ５００（例えば、モバイルネットワークオペレータのＣＡサーバ）とを含む。ＮＥ１００、ＤＨＣＰサーバ２００、認証サーバ３００、ＲＡサーバ４００、及びＣＡサーバ５００は、図１を参照して上述したものと同じか又は実質的に同様であってよく、以下では、それらについて重複する説明を繰り返さないことがある。

【0051】

図２を参照すると、［１］において、ＮＥ１００は、要求（例えば、ＤＨＣＰ要求）をＤＨＣＰサーバ２００に送信する。ＮＥ１００は、ＤＨＣＰサーバ２００からＩＰアドレス及びＣＡ情報を取得するために、要求を送信する。要求は、ＮＥ１００のベンダに関する識別情報、ＮＥ１００のシリアル番号、ＮＥデバイス証明書、署名付きシリアル番号、署名付きノンスなどのうちの少なくとも１つを含んでもよい。ここで、ＮＥデバイス証明書は、ＮＥ１００に予めインストールされたＮＥのベンダデバイス証明書（又はベンダＣＡ証明書）であってもよいし、又は、ＮＥ１００が既に有しているオペレータ（例えば、モバイルネットワークオペレータ又は電気通信会社）デバイス証明書（又はオペレータＣＡ証明書）（例えば、ルートＣＡ証明書）であってもよい。さらに、ノンスは、ＤＨＣＰサーバ２００からＮＥ１００によって事前に受信されていてもよい。

【0052】

［２］において、ＤＨＣＰサーバ２００は、検証及び認証のためにＮＥ１００のセキュリティパラメータを認証サーバ３００に送信する（又は転送する）。セキュリティパラメータは、受信されたＮＥ１００のシリアル番号、受信されたＮＥデバイス証明書、受信された署名付きシリアル番号、受信された署名付きノンス、ノンス自体などのうちの少なくとも１つを含むことができる。

【0053】

認証サーバ３００は、受信したセキュリティパラメータを検証し、認証する。例えば、認証サーバ３００は、ＮＥデバイス証明書、署名付きシリアル番号、及び署名付きノンスが正しいことを、予めインストールされた対応するベンダ又はオペレータ証明書、受信したシリアル番号、及び受信したノンスをそれぞれ使用して検証する。［３］において、認証サーバ３００は、認証及び検証の結果（例えば、成功応答又は失敗応答）をＤＨＣＰサーバ２００に送信する。

【0054】

［４］において、認証／検証に成功したことを示す認証及び検証の結果に基づいて、ＤＨＣＰサーバ２００は、ＮＥのＩＰアドレス及びＣＡサーバ５００の情報（例えば、ＦＱＤＮ／ＩＰ、ポート）を含むメッセージ（例えば、ＤＨＣＰ応答メッセージ）を生成し、ＮＥ１００に送信する。メッセージはまた、ドメインネームシステム（ＤＮＳ）情報、オペレータＣＡルート証明書などを含み得る。１つ又は複数の例示的な実施形態では、トップオブラック（ＴＯＲ）スイッチ又はトランスポートネットワーク機器（ＴＮＥ）が、ＤＨＣＰサーバ２００とＮＥ１００との間の通信経路に含まれ得、それらの間でメッセージを転送し得る。

【0055】

［５］において、ＮＥ１００は、受信したＣＡサーバ５００の情報に基づいて、ＣＳＲ及びデバイス証明書（例えば、予めインストールされたベンダ証明書）をＣＭ７００に送信する。ここで、ＮＥ１００によって生成されたＣＳＲは、公開鍵（例えば、要求された証明書に含まれるようにＮＥ１００によって生成された公開鍵）、共通名フィールド（例えば、デバイスのホスト名）、組織名フィールド（例えば、モバイルネットワークオペレータの名前）を含み得、含まれる公開鍵に対応する秘密鍵で署名されていてもよい。ＣＳＲ及びデバイス証明書は、ＨＴＴＰ要求メッセージで送信されてもよい。

【0056】

ＣＳＲ及びデバイス証明書は、ＲＡサーバ４００（例えば、ＥＳＴサーバ）によって受信され、ＲＡサーバ４００はＮＥ１００を検証する。例えば、ＲＡサーバ４００は、受信したデバイス証明書と、予めインストールされている対応するデバイス証明書（例えば、ベンダ証明書）とを使用して、ＮＥ１００を検証確認する。ＲＡサーバ４００はまた、上述したように、対応するプロファイルＩＤをＮＥ１００／ＣＳＲに割り当てるか又はマッピングし、［６］において、ＣＳＲをプロファイルＩＤと共にＣＡサーバ５００に送信する（又は転送する）。

【0057】

ＣＡサーバ５００は、上述したように、ＲＡサーバ４００からプロファイルＩＤと共にＣＳＲを受信し、そのプロファイルＩＤに基づいてＣＳＲに対するポリシー（例えば、事前に構成されたポリシー）を決定する。ＣＡサーバ５００は、ＣＳＲ及び決定されたポリシーに基づいて証明書を生成する。証明書は、Ｘ．５０９などの事前定義された規格に従ってフォーマットすることができる。［７］において、ＣＡサーバ５００は、ＲＡサーバ４００に証明書を送信し、ＲＡサーバ４００は次いで、［８］において、それをＮＥ１００に送信する。ＲＡサーバ４００は、証明書（例えば、ＣＡ署名付きデバイス証明書）をＨＴＴＰ応答メッセージでＮＥ１００に送信し得る。

【0058】

図３は、１つ又は複数の実施形態による、非ＶＭベースのネットワーク要素に対して完全自動化証明書登録を実行するための方法のフローチャートである。図３の方法は、図１又は図２を参照して上述したＮＥ１００によって実行されてもよい。例えば、本方法は、メモリに記憶された命令を実行する少なくとも１つのプロセッサによって実行されてもよい。

【0059】

図３を参照すると、動作Ｓ３０１において、ＮＥ１００は、ＣＡサーバ識別情報を取得するために、第１のサーバ（例えば、ＤＨＣＰサーバ２００）に要求（例えば、ＤＨＣＰ要求）を送信する。要求は、ＮＥ１００のベンダに関する識別情報、ＮＥ１００のシリアル番号、ＮＥデバイス証明書、署名付きシリアル番号、署名付きノンスなどのうちの少なくとも１つを含んでもよい。ここで、ＮＥデバイス証明書は、ＮＥ１００に予めインストールされたＮＥのベンダデバイス証明書（又はベンダＣＡ証明書）であってもよいし、ＮＥ１００が既に有しているオペレータ（例えば、モバイルネットワークオペレータ又は電気通信会社）デバイス証明書（又はオペレータＣＡ証明書）であってもよい。さらに、ノンスは、第１のサーバからＮＥ１００によって事前に受信されていてもよい。

【0060】

動作Ｓ３０２において、ＮＥ１００は、サーバ（例えば、ＤＨＣＰサーバ２００）からＣＡサーバ識別情報を取得する。例えば、非ＶＭ ＮＥがサーバ、又はサーバ（例えば、ＤＨＣＰサーバ２００）に通信可能に接続された許可サーバ３００によって認証／検証されることに基づいて、ＮＥデバイス証明書、署名付きシリアル番号、署名付きノンスなどに従って、ＮＥ１００は、サーバからＣＡサーバ識別情報（例えば、ＦＱＤＮ／ＩＰ、ポート）を受信する。ＮＥ１００は、サーバからＩＰアドレス及び追加情報（例えば、ＤＮＳなど）を受信してもよい。

【0061】

ＮＥ１００は、動作Ｓ３０３において、ＣＳＲを生成し、ＣＡサーバ５００に向けて送信する。ここで、ＣＳＲは、様々な実施形態において、動作Ｓ３０１の前、後、又は同時に生成されてもよい。さらに、動作Ｓ３０３において、ＮＥ１００は、認証されるために、少なくとも１つのセキュリティパラメータ（例えば、ベンダ証明書などのデバイス証明書）と共にＣＳＲを送信することができる。例えば、ＮＥ１００は、ＣＳＲ及びセキュリティパラメータをＲＡサーバ４００（例えば、ＥＳＴサーバ）に送信することができ、ＲＡサーバ４００は、セキュリティパラメータ（及び自身が所有する対応するセキュリティパラメータ）を使用してＮＥ１００を認証し、次いで、ＣＡサーバ５００にＣＳＲを転送する。

【0062】

ＣＡサーバ５００は、ＣＳＲに基づいて証明書を生成し、動作Ｓ３０４において、ＮＥ１００は、生成された証明書を受信する。

【0063】

図４は、１つ又は複数の実施形態による、非ＶＭ ＮＥにＣＡサーバ識別情報を提供する方法のフローチャートである。図４の方法は、図１又は図２を参照して上述したＤＨＣＰサーバ２００によって実行されてもよく、図３の動作Ｓ３０１に応答して実行されてもよい。例えば、本方法は、メモリに記憶された命令を実行する少なくとも１つのプロセッサによって実行されてもよい。

【0064】

図４を参照すると、動作Ｓ４０１において、サーバ（例えば、ＤＨＣＰサーバ２００）は、ＮＥ１００からＣＡ情報（例えば、ＣＡサーバ識別情報）を取得するための要求を受信する。要求はまた、ＩＰアドレスを受信するためのものであってもよい。要求は、ＮＥ１００のベンダに関する識別情報、ＮＥ１００のシリアル番号、ＮＥデバイス証明書、署名付きシリアル番号、署名付きノンスなどのうちの少なくとも１つを含んでもよい。ノンスは、（例えば、初期メッセージに応答して）サーバによってＮＥ１００に事前に送信されてもよい。

【0065】

動作Ｓ４０２において、サーバは、ＮＥ１００を認証する（例えば、ＮＥ１００が真正であるかどうかを決定する）。例えば、サーバ（例えば、ＤＨＣＰサーバ２００）は、１つ又は複数のセキュリティパラメータ（例えば、受信したシリアル番号、受信したＮＥデバイス証明書、受信した署名付きシリアル番号、受信した署名付きノンス、及びノンス）を、別のサーバ（例えば、認証サーバ３００）に送信することができ、別のサーバは、１つ又は複数のセキュリティパラメータを（例えば、対応する予めインストールされた証明書を使用して）検証し、検証の結果（例えば、成功又は失敗）をサーバに返す。あるいは、サーバは、ＮＥ１００自体を直接認証してもよい（すなわち、１つ又は複数のセキュリティパラメータ自体を検証してもよい）。

【0066】

動作Ｓ４０３において、サーバは、認証／検証結果に基づいてＣＡサーバ識別情報（例えば、ＦＱＤＮ／ＩＰ、ポート）をＮＥ１００に送信する。サーバはまた、動作Ｓ４０３において、ＩＰアドレス及び追加情報（例えば、ＤＮＳなど）をＮＥ１００に割り当てて送信することができる。

【0067】

図５は、１つ又は複数の実施形態による、証明書を生成する方法のフローチャートである。図５の方法は、図２を参照して上述したＣＭ７００によって実行されてもよく、図３の動作Ｓ３０３に応答して実行されてもよい。例えば、本方法は、メモリに記憶された命令を実行する少なくとも１つのプロセッサによって実行されてもよい。

【0068】

図５を参照すると、動作Ｓ５０１において、第１のサーバ（例えば、ＲＡサーバ４００）は、ＮＥ１００からＣＳＲを受信する。ＣＳＲは、公開鍵（例えば、要求された証明書に含まれるようにＮＥ１００によって生成された公開鍵）、共通名フィールド（例えば、デバイスのホスト名）、及び組織名フィールド（例えば、モバイルネットワークオペレータの名前）を含み得、含まれる公開鍵に対応する秘密鍵で署名されていてもよい。また、第１のサーバは、動作Ｓ５０１において、ＮＥ１００からデバイス証明書（例えば、ＮＥのベンダ証明書）を受信してもよい。

【0069】

動作Ｓ５０２において、第１のサーバはＮＥ１００を認証する。例えば、第１のサーバは、事前定義されたプロトコル（例えば、ＥＳＴプロトコル、ＳＣＥＰ、ＣＭＰ、ＣＭＣプロトコルなど）に従ってＮＥ１００を認証することができる。この目的のために、ＮＥ１００から受信したデバイス証明書に対応する証明書を第１のサーバに予めインストールし、デバイス証明書を検証するために使用することができる。

【0070】

動作Ｓ５０３において、第１のサーバは、ＣＳＲ１００にプロファイルＩＤをマッピングするか又は割り当てる。例えば、第１のサーバ（例えば、ＲＡサーバ４００）は、ネットワーク内の複数のＮＥと複数のプロファイルＩＤとの対応関係によって事前に構成されていてもよい。例えば、第１のサーバは、プロファイルＩＤのリスト、又はＮＥデバイスタイプ（例えば、ＲＵ、ＣＵ、ＤＵなど）、予めインストールされたベンダ証明書、ベンダ識別情報、ＮＥデバイス識別子などのうちの少なくとも１つへのプロファイルＩＤのマッピングを含むか、又は記憶し得る。例として、第１のサーバは、各々が対応するプロファイルＩＤを有する、予めインストールされたベンダ証明書のリストを含み得る。別の例として、第１のサーバは、各々が事前に割り当てられた対応するプロファイルＩＤを有する、ＣＡサーバ５００に登録されるべきデバイス（ＮＥ）又はデバイスタイプのリストを含み得る。

【0071】

動作Ｓ５０４において、第１のサーバは、プロファイルＩＤをもつＣＳＲを第２のサーバ（すなわち、ＣＡサーバ５００）に送信する。

【0072】

動作Ｓ５０５において、第２のサーバは、プロファイルＩＤに従ってＣＳＲに対応するポリシーを決定するか又はマッピングする。ここで、ポリシーは、第２のサーバに事前構成及び設定されて、証明書を構成するための情報（例えば、サブジェクト名フォーマット（Ｃ、Ｏ、ＣＮフィールド）、鍵使用、拡張鍵使用、有効期間などのうちの少なくとも１つ）を含む。例えば、動作Ｓ５０５において、第２のサーバは、プロファイルＩＤに従ってＮＥ１００のデバイスタイプを決定することができ、デバイスタイプに基づいて事前構成されたポリシーを決定することができる。

【0073】

動作Ｓ５０６において、第２のサーバは、ＣＳＲ及び決定されたポリシーに基づいて証明書を生成する。証明書は、Ｘ．５０９などの事前定義された規格に従ってフォーマットすることができ、決定されたポリシーに基づいて値（例えば、有効期間、鍵使用など）を有することができる。

【0074】

動作Ｓ５０７において、第２のサーバ（例えば、ＣＡサーバ５００）は、証明書をＮＥ１００に向けて送信する。例えば、第２のサーバは証明書を第１のサーバ（例えば、ＲＡサーバ４００）に送ってもよく、第１のサーバは次いで、証明書をＮＥ１００に転送する（又は別のデバイス、例えば、ＴＯＲスイッチ又はＴＮＥ、に転送し、次いでその別のデバイスは証明書をＮＥ１００に送信する）。

【0075】

図３～図５の方法は、自動的に、すなわち、証明書登録（又は再登録、更新など）時に手動入力又は人間の介入を必要とせずに実行され得ることが理解される。

【0076】

図６は、一実施形態による、ＣＡサーバ識別情報を取得するためのメッセージフロー図である。図６のメッセージフロー図は、図１を参照して上述したもののような、ＮＥ１００、ＤＨＣＰサーバ２００、及び認証サーバ３００の間で送信されるメッセージを含む。１つ又は複数の他の実施形態は、図６に示すメッセージフロー及びシステムデバイスに限定されないことが理解される。例えば、１つ又は複数の他の実施形態では、デバイスのうちの少なくとも２つの間（例えば、ＮＥ１００とＤＨＣＰサーバ２００との間）にＴＯＲスイッチ又は他のＴＮＥが含まれてもよい。

【0077】

図６を参照すると、Ｓ６０１において、ＮＥ１００は、ＤＨＣＰサーバ２００にＤＨＣＰ要請メッセージを送信する。これに応じて、Ｓ６０２において、ＤＨＣＰサーバ２００は、ＤＨＣＰアドバタイズメッセージでノンスをＮＥ１００に送信する。ここで、ノンスは、例えば、ＤＨＣＰ要請メッセージを受信したことに応答して、ＤＨＣＰサーバ１００によって（例えば、１回の使用のために）生成され得る。ＮＥ１００は、Ｓ６０３において、ベンダ情報、ＮＥのシリアル番号、ＮＥのデバイス証明書、署名付きシリアル番号、及び署名付きノンスを含むＤＨＣＰ要求メッセージを生成し、ＤＨＣＰサーバ２００に送信する。ここで、ＤＨＣＰ応答メッセージは、ＮＥ１００に予めインストールされたＮＥのベンダデバイス証明書（無効なオペレータデバイス証明書と呼ばれることがある）、又はＮＥ１００が既に有しているオペレータ（例えば、モバイルネットワークオペレータ又は電気通信会社）デバイス証明書（又はオペレータＣＡ証明書）（有効なオペレータデバイス証明書と呼ばれることがある）、例えば、オペレータのＣＡからのルート証明書、のいずれかを含むことができる。ＤＨＣＰサーバ２００は、Ｓ６０４で、検証要求メッセージでセキュリティパラメータ（シリアル番号、デバイス証明書、署名付きシリアル番号、署名付きノンス、及びノンス）を認証サーバ３００に送信する。認証サーバ３００は、予めインストールされた対応するベンダ又はオペレータＣＡ証明書を使用してデバイス証明書を検証し、署名付きシリアル番号及び署名付きノンスを検証する。この検証に基づいて、認証サーバ３００は、Ｓ６０５において、成功又は失敗を示す検証応答メッセージをＤＨＣＰサーバ２００に送信する。成功を示す検証応答メッセージに基づいて、ＤＨＣＰサーバ２００は、Ｓ６０６において、ＮＥ１００にＤＨＣＰ応答を送信する。ＮＥ１００によって受信されるＤＨＣＰ応答は、ＮＥのＩＰアドレス及びＣＡサーバの情報（例えば、ＣＡサーバのＦＱＤＮ、ポート、及び／又はＩＰ）を含む。さらに、ＤＨＣＰ応答は、オペレータＣＡルート証明書、ＤＮＳ、及び他の詳細などのうちの少なくとも１つなどの追加情報を含むことができる。

【0078】

図７は、１つ又は複数の実施形態による、モバイル通信ネットワークの非仮想マシン（ＶＭ）ベースのネットワーク要素に対して半自動化証明書登録を実行するためのシステムのブロック図である。図７を参照すると、システムは、ネットワーク要素（ＮＥ）８００と、ユーザ端末９００と、証明書ライフサイクル管理システム（ＣＬＭＳ）１０００と、認証局（ＣＡ）サーバ５００とを含む。

【0079】

ＮＥ８００は、モバイル通信（すなわち、電気通信）ネットワーク（例えば、５Ｇモバイルネットワーク、ＬＴＥネットワークなど）に含まれる任意のネットワーク要素であってもよい。例えば、ＮＥ８００は、ＲＵ、ＳＴＵ、ＲＩＵなどであってもよい。さらに、ネットワークは、オープンＲＡＮ（Ｏ－ＲＡＮ）ベースのネットワークであってもよく、ＮＥ８００は、Ｏ－ＲＡＮベースのＮＥ（例えば、Ｏ－ＲＵなど）であってもよい。この目的のために、ＮＥ８００は、複数のタイプのいずれかであってもよく、また複数のベンダのうちのいずれかからのものであってもよい。ＮＥ８００は、ＣＬＭＳ１０００に接続し、ＣＳＲを生成してＣＬＭＳ１０００にアップロードし、ＣＬＭＳ１０００を介して取得したＣＡサーバ５００の証明書（例えば、モバイルネットワーク又は電気通信会社オペレータデバイス証明書）（例えば、アドレスなど）をダウンロードしてインストールするように構成されている。ＣＳＲは、証明書登録のためにＣＬＭＳによって提供されるグラフィカルユーザインタフェース（ＧＵＩ）に、ユーザ（例えば、ＮＥ８００の所有者、システム又はネットワーク管理者など）によって入力され得る。例えば、ユーザは、ＧＵＩを介してＣＳＲを登録するためのＣＡサーバ（例えば、それぞれ、ネットワーク内の異なるタイプのＮＥの証明書に署名するか又はそれを登録するための複数の中間ＣＡのうちの１つ）を選択することができる。ＮＥ８００は、図１～図６を参照して上述したように、完全自動化証明書登録をサポートしていることもしていないこともある。１つ又は複数の実施形態では、ＮＥ８００は、図１～図６を参照して上述した完全自動化方法によって証明書を取得することができないことがある（例えば、ＮＥ８００は、完全自動化証明書登録をサポートしないことがある、完全自動化証明書を実行するためのシステムのコンポーネントに障害が発生することがあるなど）。これに代えて又は加えて、システム自体は、完全自動化証明書登録をサポートしなくてもよく、又は本開示の一実施形態による半自動化証明書登録のために特に構成されてもよい。

【0080】

ユーザ端末９００は、ＣＬＭＳ１０００に接続し、ＣＬＭＳ１０００のグラフィカルユーザインタフェースを受信して表示するように構成される。さらに、ユーザ端末９００は、ユーザがそれを通してＣＬＭＳ１０００のユーザインタフェースに入力を提供することができる入力デバイス（例えば、キーボード、マウス、タッチスクリーンなどのうちの少なくとも１つ）を含む。具体的には、ユーザ端末９００は、ユーザ（例えば、管理者）がネットワーク要素８００によってアップロードされたＣＳＲを承認又は拒否することを可能にし、ネットワーク（例えばＯ－ＲＡＮ）にわたって展開された証明書のライフサイクルの１つ又は複数の部分を管理するように構成され得る。例えば、ユーザは、ユーザ端末９００に表示されたＣＬＭＳ１０００のグラフィカルユーザインタフェースを介して、証明書を手動で失効させること、証明書のパラメータ又はフィールドを変更すること、展開された証明書に関するダッシュボード又は情報を表示することなどができる。ユーザ端末９００は、任意のコンピューティングデバイス（例えば、パーソナルコンピュータ、ラップトップコンピュータ、ワークステーション、モバイルデバイスなど）であってもよい。

【0081】

ＣＬＭＳ１０００は、ネットワークにおいてＣＡ証明書のライフサイクルを登録及び管理するためのシステム（例えば、１つ又は複数のサーバ又はコンピューティングデバイス）である。上述したように、ＣＬＭＳ１０００は、ＮＥ８００がそれを通してＣＳＲをアップロードすることができる、証明書登録のためのＧＵＩを提供する。例えば、ユーザ（例えば、ＮＥ８００の所有者、管理者など）は、証明書登録のためのＣＡサーバをＧＵＩを介して選択することができる。加えて、ＣＬＭＳ１０００は、ユーザ（例えば、管理者）がＣＬＭＳ１０００にアップロード又は入力されたＣＳＲを承認又は拒否し、ネットワーク全体に展開された証明書に関するダッシュボード及び情報を表示し、展開された証明書のライフサイクルを管理することを可能にするためのＧＵＩをユーザ端末に提供することができる。加えて、ＣＬＭＳ１０００は、特定のポリシー、例えば、電気通信会社又はモバイル通信ネットワークオペレータの承認済み暗号化ポリシーに準拠しているかどうか、任意のＣＳＲをチェックすること、自動証明書更新を実行すること、などができる。

【0082】

ＣＬＭＳ１０００は、表現状態転送（ＲＥＳＴ又はＲＥＳＴｆｕｌ）ＡＰＩなどのアプリケーションプログラミングインタフェース（ＡＰＩ）を介してＣＡサーバ５００に通信可能に結合又は接続され、ＮＥ８００によってアップロードされたＣＳＲをＣＡサーバ５００に提出するか又は送信する。さらに、ＣＬＭＳ１０００は、証明書をダウンロードする準備ができたときにＣＡサーバ５００から通知を受信し、証明書をダウンロードする準備ができていることをユーザ（例えば、ＮＥ８００の所有者又は管理者）に通知し、ＣＡサーバ５００から証明書を受信し、ユーザが証明書をＮＥ８００にダウンロードすることを可能にするように構成され得る。

【0083】

ＣＡサーバ５００は、ＮＥ８００によって生成されたＣＳＲをＣＬＭＳ１０００から受信し、ＣＳＲの（例えば、ユーザによって）事前に設定されたプロファイルＩＤを（例えば、ＮＥ８００のタイプ又はベンダに基づいて）決定し、図１及び図２を参照して上述したようにプロファイルＩＤにマッピングされた対応するポリシーを決定し、ＣＳＲ及びポリシーに従って証明書を生成するように構成される。さらに、ＣＡサーバ５００は、ユーザがそれを通してＮＥ８００に証明書をダウンロードすることができるＣＬＭＳ１０００に証明書を送信するように構成される。１つ又は複数の実施形態では、ＣＡサーバ５００は、証明書をダウンロードする準備ができていることをユーザに通知するために、ＣＬＭＳに通知を送信するようにさらに構成されてもよい。

【0084】

図８は、１つ又は複数の実施形態による、モバイル通信ネットワークの非ＶＭベースのネットワーク要素に対して半自動化証明書登録を実行するための通信フローを含むシステムアーキテクチャの図である。図８に示すシステムは、ＣＬＭＳ１０００に加えて、図１～図６を参照して上述した完全自動化登録をサポートするための構成要素を含む。したがって、本実施形態では、システムは、完全自動化証明書登録と、（例えば、ＮＥ８００に対して完全自動化登録を実行することができないバックアップ又はフォールバック登録として）の半自動化証明書登録との両方をサポートするが、１つ又は複数の他の実施形態はこれに限定されないことが理解される。

【0085】

図８を参照すると、［１］において、ＮＥ８００は、ＣＳＲを生成し、ＣＬＭＳ１０００にアップロードする。例えば、認可されたユーザ（例えば、ＮＥ８００の所有者、システム又はネットワーク管理者など）は、ＣＬＭＳのＧＵＩを介して複数の利用可能なＣＡサーバ（例えば、ＮＥデバイスタイプに基づいて証明書を登録するための中間ＣＡサーバなどのＣＡサーバ）の中からＣＡサーバ５００を選択することができ、ＮＥ８００は、選択されたＣＡサーバに登録するためにＣＳＲを生成してＣＬＭＳ１０００にアップロードすることができる。例えば、ユーザ（例えば、システム管理者、管理ユーザなど）は、ユーザ端末を利用して、ＮＥ８００にリモートでログイン又はアクセスし、ＮＥ８００からＣＳＲを生成及び提出することができる。これに加えて又は代えて、ＣＳＲを生成してＣＬＭＳ１０００に提出するために、（例えば、ユーザがＮＥ８００に直接、ユーザがリモートで、又はイベントの発生によって）命令がトリガされて、実行（例えば、自動的に実行）されてもよい。例えば、ＮＥ８００にインストールされた命令又はスクリプトは、定期的に、又はイベントに応答して（例えば、ＮＥ８００によって登録された既存の証明書のポリシーで定義された、期限切れまでＸ日などの更新トリガポイントに基づいて）、ＣＳＲを生成及び提出するために自動的に実行することができる。

【0086】

［２］において、ＣＬＭＳ１０００は、ユーザ（例えば、管理者）が、それを通して、ＮＥ８００によってアップロードされたＣＳＲを承認又は拒否することができるＧＵＩをユーザ端末９００に提供する。［３］において、ユーザ端末９００は、ユーザの入力に基づいてＣＳＲの承認（又は拒否）を提出する。

【0087】

［４］において、ＣＬＭＳ１００は、ＡＰＩ（例えば、ＲＥＳＴ ＡＰＩ）を介して選択されたＣＡサーバ５００に承認済みＣＳＲを送信する。ＣＡサーバ５００は、ＣＳＲを受信し、ＣＳＲに対して（又はＮＥ８００に対して）事前に設定されたプロファイルＩＤを決定し、上述のように事前に構成された対応するポリシーを決定する。ＣＳＲ及び決定されたポリシーに基づいて、ＣＡサーバ５００は、ＮＥ８００に対する証明書を生成する。［５］において、ＣＡサーバ５００は、ＡＰＩを介して証明書をＣＬＭＳ１０００に送信する。［６］において、証明書がＮＥ８００によってダウンロードされる。

【0088】

図９は、１つ又は複数の実施形態による、非ＶＭベースのネットワーク要素に対して半自動化証明書登録を実行するための方法のフローチャートである。図９の方法は、図８又は図９に示すシステムによって実行されてもよい。

【0089】

図９を参照すると、動作Ｓ９０１において、ＣＳＲが生成され、ＣＬＭＳ１０００に入力される。例えば、ＣＳＲは、ＣＬＭＳ１０００のＧＵＩを介して、ユーザ（例えば、ＮＥ８００の所有者又はシステム管理者）によって入力されてもよい。加えて、ユーザは、ＣＳＲが登録される特定のＣＡサーバを選択又は入力することができる。

【0090】

動作Ｓ９０２において、ＣＳＲは、ＡＰＩ（例えば、ＲＥＳＴ ＡＰＩ）を介してＣＬＭＳ１０００からＣＡサーバ５００に送信される。例示的な実施形態によれば、ＣＬＭＳ１０００は、ユーザ（例えば、システム管理者）による承認及びコンプライアンスチェックの成功（例えば、ＣＳＲがネットワークオペレータの所定のポリシーに準拠していることを確認すること）のうちの少なくとも一方を受けて、ＣＡサーバ５００にＣＳＲを送信することができる。

【0091】

動作Ｓ９０３において、ＣＡサーバ５００は、ＣＳＲに（又はＮＥ８００に）対応する事前構成又は設定されたプロファイルＩＤを決定する。ここで、プロファイルＩＤは、ＣＡサーバ５００に登録される新しいデバイスがあるときに、ユーザ（例えば、システム管理者）によって手動で割り当てられてもよい。具体的には、証明書を取得するために新しいデバイスがＣＡサーバ５００に登録される場合、ユーザは、そのデバイスのプロファイルＩＤを割り当て、ＣＡサーバ５００においてそのデバイス／プロファイルＩＤに対応するポリシーを構成することができる（例えば、鍵使用の有効期間、鍵の有効期間などを定義することができる）。したがって、ＣＡサーバは、各々が特定のＮＥ（例えば、シリアル番号）、特定のタイプのＮＥ、ＮＥのベンダなどに対応するプロファイルＩＤ（すなわち、事前に設定されたプロファイルＩＤ）のリストを記憶することができる。例えば、第１のＩＤ又はＩＤの第１のセット（例えば、「６ｘｘｘ」）は、第１のタイプのＮＥ（例えば、ＲＵ）に対応し、第２のＩＤ又はＩＤの第２のセット（例えば、「７ｘｘｘ」）は、第２のタイプのＮＥ（例えば、ＳＴＵ）に対応する、などである。

【0092】

動作Ｓ９０４において、ＣＡサーバ５００は、プロファイルＩＤに従って事前構成されたポリシーを決定する。ポリシーは、サブジェクト名フォーマット（Ｃ、Ｏ、ＣＮフィールド）、鍵使用、拡張鍵使用、有効期間などのうちの少なくとも１つなど、証明書を構成又は生成するための情報を含む。ポリシーは、ＮＥタイプ（例えば、ＲＵのデフォルト又は標準の有効期間は６ヶ月であってもよく、非ＲＵデバイスのデフォルト又は標準の有効期間は３年であってもよい）に基づいて定義されてもよいが、１つ又は複数の他の実施形態はそれに限定されないことが理解される。ＣＡサーバ５００は、例えば、プロファイルＩＤに従ってＮＥ１００のデバイスタイプを、及びデバイスタイプに基づいて事前構成されたポリシーを決定することによって、ＣＳＲのプロファイルＩＤに対応するポリシーを決定することができる。

【0093】

動作Ｓ９０５において、ＣＡサーバ５００は、決定されたポリシーに従って証明書を生成する。この場合、生成された証明書は、証明書により、ＮＥ８００が有効期間内に指定された使用を実行することのみが可能になるように、鍵使用、有効期間などを含むことができる。

【0094】

動作Ｓ９０６において、証明書は、ＣＬＭＳを介してＮＥ８００に送信される。例えば、ＣＡサーバ５００は、証明書をダウンロードする準備ができていることをユーザに通知するためにＣＬＭＳに通知を送信することができ、ユーザは次いで、ＣＬＭＳを使用して証明書をダウンロードし、それをＮＥ８００にインストールすることができる。

【0095】

上記の例示的な実施形態は、証明書の登録を参照して説明されているが、上記の実施形態のうちの１つ、幾つか、又は全ては、証明書の再登録又は更新にも適用可能であることが理解される。証明書の再登録又は更新は、１つ又は複数の実施形態では、例えば、以下の式に従って決定された、閾値を超える現在のシステム日時に基づいてトリガされ得る。
証明書発行データ＋更新閾値^＊証明書有効期間

【0096】

例えば、上記の式を使用すると、証明書の有効期間が１００日であり、更新閾値が６０％である場合、証明書の更新は、現在のシステム日付が証明書の発行日から６０日後に達するか又はそれを超えるときにトリガされる。証明書有効期間及び更新閾値のうちの１つ又は複数は、ユーザ（例えば、システム管理者）によって構成可能であり、証明書ごと、ＮＥごと、ＮＥデバイスタイプごとなどに異なり得ることが理解される。さらに、１つ又は複数の実施形態では、アラーム又は通知（例えば、「オペレータ証明書はＸ日で期限切れになります」）は、デバイス（例えば、証明書が登録されている対応するＮＥ、ＮＥに接続された別のＮＥ、ＣＬＭＳなど）によって生成され、アラームがクリアされる（例えば、証明書の更新が成功する際）まで毎日（又は定期的に）更新され得る。

【0097】

図１０は、一実施形態による、１つ又は複数のデバイスの構成要素の図である。

【0098】

デバイス１１００は、上述のデバイス（例えば、ネットワーク要素１００又は８００、ＤＨＣＰサーバ２００、認証サーバ３００、ＲＡサーバ４００、ＣＡサーバ５００、ユーザ端末９００、ＣＬＭＳ１０００など）のいずれかに対応し得る。

【0099】

図１０に示すように、デバイス１１００は、バス１１１０と、プロセッサ１１２０と、メモリ１１３０と、記憶コンポーネント１１４０と、通信インタフェース１１５０とを含み得る。構成要素のうちの１つ若しくは複数が省略されてもよく、及び／又は１つ若しくは複数の追加の構成要素が含まれてもよいことが理解される。

【0100】

バス１１１０は、デバイス１１００の構成要素間の通信を可能にする構成要素を含む。プロセッサ１１２０は、ハードウェア、ファームウェア、又はハードウェアとソフトウェアとの組合せで実装される。プロセッサ１１２０は、中央処理装置（ＣＰＵ）、グラフィック処理装置（ＧＰＵ）、加速処理装置（ＡＰＵ）、マイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、又は別のタイプの処理コンポーネントである。プロセッサ１１２０は、機能を実行するようにプログラムすることができる１つ又は複数のプロセッサを含む。

【0101】

メモリ１１３０は、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、及び／又はプロセッサ１１２０が使用するための情報及び／又は命令を記憶する別のタイプの動的又は静的記憶デバイス（例えば、フラッシュメモリ、磁気メモリ、及び／又は光メモリ）を含む。

【0102】

記憶コンポーネント１１４０は、デバイス１１００の動作及び使用に関連する情報及び／又はソフトウェアを記憶する。例えば、記憶コンポーネント１１４０は、対応するドライブと共に、ハードディスク（例えば、磁気ディスク、光ディスク、光磁気ディスク、及び／又はソリッドステートディスク）、コンパクトディスク（ＣＤ）、デジタル多用途ディスク（ＤＶＤ）、フロッピーディスク、カートリッジ、磁気テープ、及び／又は別のタイプの非一時的コンピュータ可読媒体を含んでもよい。

【0103】

通信インタフェース１１５０は、デバイス９００が有線接続、無線接続、又は有線接続と無線接続との組合せなどを介して他のデバイスと通信することを可能にするトランシーバのような構成要素（例えば、トランシーバ及び／又は別個の受信機及び送信機）を含む。通信インタフェース１１５０は、デバイス１１００が別のデバイスから情報を受信すること、及び／又は別のデバイスに情報を提供することを可能にし得る。例えば、通信インタフェース１１５０は、イーサネットインタフェース、光インタフェース、同軸インタフェース、赤外線インタフェース、無線周波数（ＲＦ）インタフェース、ユニバーサルシリアルバス（ＵＳＢ）インタフェース、Ｗｉ－Ｆｉインタフェース、セルラーネットワークインタフェースなどを含んでもよい。

【0104】

デバイス１１００は、本明細書に記載した１つ又は複数のプロセスを実行し得る。デバイス１１００は、メモリ１１３０及び／又は記憶構成要素１１４０などの非一時的コンピュータ可読媒体によって記憶されたソフトウェア命令を実行するプロセッサ１１２０に基づいて動作を実行し得る。コンピュータ可読媒体は、本明細書では非一時的メモリデバイスとして規定される。メモリデバイスは、単一の物理記憶デバイス内のメモリ空間、又は複数の物理記憶デバイスにわたるメモリ空間を含む。

【0105】

ソフトウェア命令は、別のコンピュータ可読媒体から、又は通信インタフェース１１５０を介して別のデバイスから、メモリ１１３０及び／又は記憶構成要素１１４０に読み込まれてもよい。実行されると、メモリ１１３０及び／又は記憶構成要素１１４０に記憶されたソフトウェア命令は、プロセッサ１１２０に本明細書に記載の１つ又は複数のプロセスを実行させ得る。

【0106】

これに加えて又は代えて、ハードワイヤード回路をソフトウェア命令の代わりに、又はソフトウェア命令と組み合わせて使用して、本明細書に記載の１つ又は複数のプロセスを実行してもよい。したがって、本明細書に記載の実施形態は、ハードウェア回路とソフトウェアとの任意の特定の組合せに限定されない。

【0107】

前述の開示は、例示及び説明を提供するが、網羅的であること、又は実装形態を開示した正確な形態に限定すること、を意図しない。上記の開示に照らして変更及び変形が可能であり、又は実装形態の実施から取得され得る。

【0108】

幾つかの実施形態は、任意の可能な技術的詳細レベルの統合におけるシステム、方法、及び／又はコンピュータ可読媒体に関し得る。さらに、上述した上記の構成要素のうちの１つ又は複数は、コンピュータ可読媒体に記憶される、及び少なくとも１つのプロセッサによって実行可能な、命令として実装されてよい（及び／又は少なくとも１つのプロセッサを含んでよい）。コンピュータ可読媒体は、プロセッサに動作を実行させるためのコンピュータ可読プログラム命令を有するコンピュータ可読非一時的記憶媒体（複数可）を含むことができる。

【0109】

コンピュータ可読記憶媒体は、命令実行デバイスによる使用のための命令を保持及び記憶することができる有形のデバイスとすることができる。コンピュータ可読記憶媒体は、例えば、電子記憶デバイス、磁気記憶デバイス、光記憶デバイス、電磁記憶デバイス、半導体記憶デバイス、又はこれらの任意の適切な組合せであってもよいが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な例の非網羅的なリストには、ポータブルコンピュータディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能プログラマブル読み出し専用メモリ（ＥＰＲＯＭ又はフラッシュメモリ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ポータブルコンパクトディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリスティック、フロッピーディスク、パンチカード又は溝に命令が記録された隆起構造などの機械的に符号化されたデバイス、及び上記の任意の適切な組合せが含まれる。本明細書で使用されるコンピュータ可読記憶媒体は、それ自体が、電波若しくは他の自由に伝搬する電磁波、導波路若しくは他の伝送メディアを通って伝搬する電磁波（例えば、光ファイバケーブルを通過する光パルス）、又はワイヤを通って伝送される電気信号などの一時的な信号であると解釈されるべきではない。

【0110】

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれのコンピューティング／処理デバイスに、又はネットワーク、例えばインターネット、ローカルエリアネットワーク、ワイドエリアネットワーク、及び／若しくは無線ネットワークを介して、外部コンピュータ若しくは外部記憶デバイスに、ダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータ及び／又はエッジサーバを含むことができる。各コンピューティング／処理デバイス内のネットワークアダプタカード又はネットワークインタフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、コンピュータ可読プログラム命令を転送して、それぞれのコンピューティング／処理デバイス内のコンピュータ可読記憶媒体に記憶する。

【0111】

動作を実行するためのコンピュータ可読プログラムコード／命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路の構成データ、又はＳｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、及び「Ｃ」プログラミング言語又は同様のプログラミング言語などの手続き型プログラミング言語を含む、１つ又は複数のプログラミング言語の任意の組合せで記述されたソースコード又はオブジェクトコードのいずれかであり得る。コンピュータ可読プログラム命令は、完全にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、スタンドアロンソフトウェアパッケージとして、部分的にユーザのコンピュータ上及び部分的にリモートコンピュータ上で、又は完全にリモートコンピュータ若しくはサーバ上で実行することができる。後者のシナリオでは、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）又はワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、又は（例えば、インターネットサービスプロバイダを使用してインターネットを介して）外部コンピュータに接続されてもよい。幾つかの実施形態では、例えば、プログラマブル論理回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、又はプログラマブルロジックアレイ（ＰＬＡ）を含む電子回路は、態様又は動作を実行するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路をパーソナライズすることによってコンピュータ可読プログラム命令を実行することができる。

【0112】

これらのコンピュータ可読プログラム命令は、コンピュータ又は他のプログラム可能なデータ処理装置のプロセッサを介して実行する命令が、フローチャート及び／又はブロック図の１つ以上のブロックで指定された機能／動作を実施するための手段を作成するように、機械を製造するために、汎用コンピュータ、専用コンピュータ、又は他のプログラム可能なデータ処理装置のプロセッサに提供されてもよい。これらのコンピュータ可読プログラム命令はまた、コンピュータ、プログラム可能なデータ処理装置、及び／又は他のデバイスに特定の方法で機能するように指示することができるコンピュータ可読記憶媒体に記憶されてもよく、その結果、命令が記憶されたコンピュータ可読記憶媒体は、フローチャート及び／又はブロック図の１つ以上のブロックで指定された機能／動作の態様を実施する命令を含む製品を含む。

【0113】

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラム可能な装置、又は他のデバイス上で実行する命令がフローチャート及び／又はブロック図の１つ以上のブロックで指定された機能／動作を実施するように、コンピュータ、他のプログラム可能な装置、又は他のデバイス上で一連の動作ステップを実行させてコンピュータ実装プロセスを生成するために、コンピュータ、他のプログラム可能なデータ処理装置、又は他のデバイス上にロードされてもよい。

【0114】

図のフローチャート及びブロック図は、様々な実施形態に係るシステム、方法、及びコンピュータ可読媒体の可能な実装形態のアーキテクチャ、機能、及び動作を示す。これに関して、フローチャート又はブロック図の各ブロックは、指定された論理機能を実装するための１つ又は複数の実行可能な命令を含むモジュール、セグメント、又は命令の一部を表すことができる。方法、コンピュータシステム、及びコンピュータ可読媒体は、図に示されたものよりも追加のブロック、より少ないブロック、異なるブロック、又は異なる配置のブロックを含むことができる。幾つかの代替実装形態では、ブロックに記載された機能は、図に記載された順序とは異なる順序で行われてもよい。例えば、連続して示されている２つのブロックは、実際には、同時に又は実質的に同時に実行されてもよく、又はブロックは、関連する機能に応じて、時には逆の順序で実行されてもよい。また、ブロック図及び／又はフローチャート図の各ブロック、並びにブロック図及び／又はフローチャート図のブロックの組合せは、指定された機能若しくは動作を実行するか、又は専用ハードウェアとコンピュータ命令との組合せを実行する専用ハードウェアベースのシステムによって実装できることにも留意されたい。

【0115】

本明細書に記載のシステム及び／又は方法は、ハードウェア、ファームウェア、又はハードウェアとソフトウェアとの組合せの様々な形態で実装されてもよいことは明らかである。これらのシステム及び／又は方法を実装するために使用される実際の専用の制御ハードウェア又はソフトウェアコードは、実装形態を限定するものではない。したがって、システム及び／又は方法の動作及び挙動は、特定のソフトウェアコードを参照することなく本明細書に記載されており、ソフトウェア及びハードウェアは、本明細書の記載に基づいてシステム及び／又は方法を実装するように設計され得ることが理解される。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【国際調査報告】