JP6349579B2 - 条件付きログインプロモーション - Google Patents

Description

本明細書に記載されている実施形態は、概して、コンピューティングの分野に関し、より具体的には、条件付きログインプロモーションに関する。

ストリーミングビデオサービスなどのネットワークベースサービスは、ますます人気になっている。これらのネットワークベースサービスのプロバイダは、多くの場合、それらのサービスへのアクセスを許可する前に、ユーザが、ユーザによって識別及び認証されることを必要とする。ユーザは通常、アクセスを許可される前に、ユーザ名及びパスワードなどの１又は複数の認証資格情報を特定のプロバイダへ提供する必要がある。多くの場合、ユーザは、面倒で冗長な独立したログインを要求する各サービスのための別個の認証資格情報を保持する必要があり、それらは、ユーザによって各サービスへ提供される。

添付の図面の図において、限定のためではなく例として、実施形態が示されている。同様の参照符号は、同様の要素を示す。

一実施形態に係る、クライアント側及びサーバ側コンポーネントを含む、条件付きログインプロモーションのための高レベルアーキテクチャを示す。

一実施形態に係る条件付きログインプロモーションのための通信システムを示す。

一実施形態に係る、ローカルオペレーティングシステム（ＯＳ）ログインプロモーションのためのプロセスフローの例を示す。 一実施形態に係る、ローカルオペレーティングシステム（ＯＳ）ログインプロモーションのためのプロセスフローの例を示す。

一実施形態に係る、ローカルＯＳログインプロモーションに関連する動作の例を示す、簡略化されたフロー図である。

図２のクライアントデバイスの実施形態の簡略ブロック図である。

図２の認証サーバの実施形態の簡略ブロック図である。

一実施形態に係る、バイオメトリック及びダイナミックデバイス識別子認証を使用して、リライングパーティエンティティに対して認証するための通信システムを示す。

一実施形態に係る、認証サーバへのクライアントデバイスの登録のためのプロセスフローの例を示す。

一実施形態に係る、認証サーバに対するクライアントデバイスの認証のためのプロセスフローの例を示す。

一実施形態に係る、クライアントデバイスの登録及び認証に関連する動作の例を示す、簡略化されたフロー図。 一実施形態に係る、クライアントデバイスの登録及び認証に関連する動作の例を示す、簡略化されたフロー図。

一実施形態に係る、ネットワークセキュリティプラットフォーム（ＮＳＰ）におけるネットワークセキュリティリソースのポリシー管理のための通信システムを示す。

従来のネットワークセキュリティプラットフォームのＧＵＩにおける保護プロファイルインタフェース管理ページを示す。 従来のネットワークセキュリティプラットフォームのＧＵＩにおける保護プロファイルインタフェース管理ページを示す。

一実施形態に係る、ネットワークセキュリティプラットフォームのためのポリシー管理ＧＵＩページを示す。

一実施形態に係る、フィルタリング動作を実行するためのネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページを示す。

一実施形態に係る、一括編集動作を実行するためのネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページを示す。 一実施形態に係る、一括編集動作を実行するためのネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページを示す。

一実施形態に係るポリシー定義を実行、表示、編集、生成するためのネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページを示す。 一実施形態に係るポリシー定義を実行、表示、編集、生成するためのネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページを示す。

１又は複数の例示的な実施形態は、リライングパーティ（ＲＰ）エンティティに関連する１又は複数のサーバによって行われる、クラウドネットワークなどのネットワーク内のリソースを提供する１又は複数のＲＰエンティティに対する、クライアントデバイスに関連するユーザによるローカルオペレーティングシステム（ＯＳ）ログインの条件付きプロモーションに関する。１又は複数の実施形態において、ＲＰエンティティに関連する、１又は複数のサーバによって提供されるリソースは、サービス及び／又はアプリケーションを含み得る。いくつかの実施形態において、リライングパーティエンティティについてユーザを認証するべく、クラウド内のリライングパーティエンティティに対してローカルＯＳのＷｉｎｄｏｗｓ（登録商標）ログインをプロモーションするのに、クラウドベースのポリシーエンジンが使用され、これにより、ローカルＯＳレベル、及び、ＲＰエンティティの両方での冗長なログインの必要性を無くす。１又は複数の実施形態において、ＲＰエンティティは、それらのリソースへユーザがアクセスする前にユーザの識別及び認証を必要とする、ウェブサイト、ベンダー、並びに、データ及びサービスの他のプロバイダなどのエンティティである。ＲＰエンティティの例には、Ｎｅｔｆｌｉｘ（登録商標）、Ｆａｃｅｂｏｏｋ（登録商標）、ＬｉｎｋｅｄＩｎ（登録商標）、Ｆｅｄｅｘ（登録商標）、ＤｒｏｐＢｏｘ（登録商標）などのネットワークベースサービスが含まれる。

様々な実施形態において提供される認証フレームワークでは、ローカルＯＳログインを利用することに加えて、個別サービスへ繰り返しログインする必要を無くしつつ、バイオメトリックを含む複数の認証因子を使用して、ユーザのクラウドサービスへのアクセスを提供するための、ユーザから取得される追加的な認証因子を利用する。本明細書に記載されている１又は複数の実施形態は、ローカルＯＳログインによって、リライングパーティエンティティについてユーザを認証することを可能にするべく、ユーザにクラウドサービスを提供するリライングパーティエンティティに対してローカルＯＳログインをプロモーションすることに関する。

図１は、一実施形態に係る、クライアント側及びサーバ側のコンポーネントを含む、条件付きログインプロモーションのための高レベルアーキテクチャ１００を示す。図１に示されている特定の実施形態において、アーキテクチャ１００は、認証コンポーネント１０２、及び、登録／管理コンポーネント１０４を含む。認証コンポーネント１０２は、本明細書で後述されているように、クライアントデバイスからの認証要求を処理するよう構成されている１又は複数の認証モジュールを含む。示されている実施形態において、認証コンポーネント１０２の認証モジュールは、フロー・アンド・アクションハンドラモジュール、管理構成用アプリケーションプログラミングインタフェース（ＡＰＩ）、構成保存部、Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ（ＲＥＳＴ）サーバ、セッション保存部、及び、ＲＥＳＴ ＡＰＩを含む。特定の実施形態において、認証モジュールは、ＯＡｕｔｈオープン規格に従って構成される。登録／管理コンポーネント１０４は、コンテキストデータモジュール、リライングパーティ管理ツール、ユーザ／アプリケーションポリシー管理モジュール、及び、プライベートＲＥＳＴ ＡＰＩを含む。

認証コンポーネント１０２及び登録／管理コンポーネント１０４は各々、クラウドサービス１０６、サーバ１０８、及び、身元認証サービス１１０と更に通信する。クラウドサービス１０６は更に、データ抽象化層（ＤＡＬ）、コンテキストモジュール、ユーザプロファイルモジュール、リスク分析エンジン、及び、ＲＥＳＴ ＡＰＩを含む。サーバ１０８は、ハードウェア登録／検証モジュール、証明モジュール、及び、ＲＥＳＴ ＡＰＩを含む。身元認証サービス１１０は、アーキテクチャ１００内の他のコンポーネントとの通信を容易にするよう構成されているＲＥＳＴ ＡＰＩを含む。クラウドサービス１０６は、１又は複数のデータベース１１２と更に通信する。示されている特定の実施形態において、データベース１１２は、セッションデータベース、バイオメトリックデータベース、認証データベースを含む。

アーキテクチャ１００は更に、１又は複数のリライングパーティエンティティに関連する１又は複数のサーバ上に存在する、リライングパーティウェブサイト１１４、及び、リライングパーティアプリケーション１１６を含む。リライングパーティウェブサイト１１４、及び、リライングパーティアプリケーション１１６の各々は、認証コンポーネント１０２と通信する。リライングパーティウェブサイトは、ウェブソフトウェア開発キット（ＳＤＫ）を含み、認証ウェブインタフェース１１８と更に通信する。認証ウェブインタフェース１１８は、登録／管理コンポーネント１０４と更に通信する。リライングパーティアプリケーション１１６は、認証クライアントアプリケーション１２０と更に通信する。認証クライアントアプリケーション１２０は、登録／管理コンポーネント１０４と更に通信する。アーキテクチャ１００は更に、登録／管理コンポーネント１０４と通信する認証ＯＳログインコンポーネント１２２を含む。認証クライアントアプリケーション１２０、及び、認証ＯＳログインコンポーネント１２２の各々は、ユーザからバイオメトリックデータを取得することを容易にするローカルバイオメトリックライブラリを含む。

認証コンポーネント１０２は、認証機能のための認証要求を処理するように構成され、認証要求を処理するべく、ユーザプロファイル、ポリシー、バイオメトリックコンポーネントなどのコンポーネントとインタラクトする、認証固有のフロー・アンド・アクションハンドラを生成するように構成されている。登録手順中、登録／管理コンポーネント１０４は、プライベートＲＥＳＴ ＡＰＩを介して、様々なコンポーネントとインタフェース接続され、特定のユーザのためのユーザプロファイルを生成し、特定のリライングパーティ（ＲＰ）クライアントを識別するＲＰクライアント識別子（ＩＤ）にユーザプロファイルを関連付ける。１又は複数の実施形態において、ユーザプロファイル及びＲＰクライアントポリシーが生成され、１又は複数データベース（ＤＢ）１１２内に保存される。特定の実施形態において、ユーザプロファイル、ＲＰアプリケーションポリシー、及び、コンテキストデータのためのＤＢ構造は、認証要求のために、認証モジュール１０２と共有される。

例示的な一実施形態において、１又は複数の認証サーバにおけるポリシーエンジンは、１又は複数のＲＰエンティティへのログインプロモーションについてのポリシーを管理する。特定の実施形態において、ユーザに関連するポリシーは、加入しているＲＰエンティティと、ＲＰエンティティによって提供されるリソースに対するユーザによるアクセスを制御するためのユーザ自身のセキュリティ設定との両方によって構成できる。特定の実施形態において、認証因子の使用について最低限のセキュリティレベルが設定され、ユーザ及び／又はＲＰエンティティは、認証のための因子のレベル及び数を増加させ得るが、減らすことはない。ポリシーエンジンは、ユーザがローカルログインに対して認証するのに使用する認証因子に基づいて、ローカルＯＳログインのプロモーションをクラウドベースアプリケーションに適用できるかどうか判定するように構成され得る。考慮される認証因子には、（顔及び／又はまばたきを提示するなどの行動を取るようユーザに要求する）能動認証因子及び（ユーザが接続している信頼済みのクライアントデバイスのアイデンティティなど、ユーザに対して透過的な）受動認証因子の両方が含まれ得る。結果として生じるプロモーションは、ユーザの認証を容易にするだけでなく、ＲＰエンティティ、ユーザ、又はその両方の、いずれかによって義務付けられる、必要なセキュリティ設定、及び、追加的な認証因子を有効にする。

１又は複数の実施形態は、全てのログイン及び認証要件を一か所に集中できるという点、並びに、様々なアプリケーションのための別個の認証資格情報を保持する必要性を無くし、これら複数のサービスに対する冗長で独立したログインの必要性を無くすという点で、既存のソリューションより優れた認証ソリューションを提供し得る。１又は複数の実施形態では、認証処理及び認証因子をローカルセキュア設定内に集中化及び保持し、これにより、クラウド内にこれらの認証因子を送信及び複製することを回避して、認証データのセキュリティを向上させる。本明細書に記載されている１又は複数の実施形態では、複数の能動認証因子及び受動認証因子の使用を提供し、加えて、ユーザによって提供される認証因子が、信頼を他のアプリケーションへプロモーションするのに必要なセキュリティレベルを満たしたかどうかの判定を提供する。

１又は複数の実施形態において、認証アーキテクチャは、ユーザ認証及び識別メカニズムを簡素化し、複数のサービスのための認証要件を１つのツール内に統合する。特定の実施形態において、認証アーキテクチャは、２種類のクラウドベースサービス、すなわち、（１）リライングパーティ（認証の必要性のための認証機能に加入して利用するサービス）、及び、（２）まだ認証が有効化されていないサービスに役立つ。特定の実施形態において、認証アーキテクチャは、ユーザがローカルでＷｉｎｄｏｗｓ（登録商標） ＯＳにログインすることを可能にして、ローカルログインが成功した場合、及び、ユーザが認証のためのクラウドアカウントを構成した場合、認証アーキテクチャは、新しいセッションを生成し、クラウドプロモーションが可能かどうか判定するべくチェックする。クラウドプロモーションが可能であることを示し得る条件の例には、インターネット接続がある場合、他のいかなるアクティブセッションも存在しないこと、及び、他の境界チェックが含まれる。成功した場合、認証アーキテクチャは、（パスワードボックスＧＵＩなどの）クラウドのダッシュボード型グラフィカルユーザインタフェース（ＧＵＩ）を提示し得て、ユーザのＲＰエンティティへの接続を可能にする。そして、ユーザが要件を満たしている場合、ＯＳログインセッション情報をクラウド内のＲＰへプロモーションする。特定の実施形態において、認証アーキテクチャは、ユーザのためのクラウドセッションを生成し、２つのセッション内のデータがマッチすることを確認し、成功した場合、他の認証対応サービスにユーザをログインさせる。

より具体的な実施形態において、認証アーキテクチャは、パスワード及び／又は他のいずれかの認証因子（様々なバイオメトリックなどの、及び、他の能動認証因子、それと共に、特に信頼済みデバイス、信頼済みネットワーク、又は、信頼済み地理位置情報の使用など、追加的な受動認証因子）で、ユーザのローカルマシンにユーザをログインさせる。１又は複数の実施形態において、認証アーキテクチャは、クラウドログインを使用してユーザをクラウド内に直接ログインさせるのではなく、ローカルログインの効果をプロモーションして、クラウドベースアプリケーションへの透過的アクセスを可能にする。本明細書に記載されている１又は複数の方式の様々な実施形態は、能動認証因子を使用する、ユーザのローカル検証を活用し、特に、信頼済みデバイス、ネットワーク、位置情報、近接性、及び、安全ゾーン（信頼済みＷｉ−Ｆｉ位置情報）に基づいて計算されたデバイスＩＤなどの受動認証因子を利用し、次に、信頼をクラウドへプロモーションすることで、それを強化する。能動認証因子／受動認証因子の使用の結果の一例において、ユーザがバイオメトリックで信頼済みデバイスからローカルＯＳへログインしている場合でも、ユーザが安全ゾーンからログインしていない（例えば、未知のＷｉ−Ｆｉネットワークなどからログインしている）とポリシーエンジンが判定する場合、クラウドのログインプロモーションは発生しない。

１又は複数の実施形態において、結果として生じるクラウドプロファイルは、ユーザの最近のアプリケーション使用を追跡し、自動的にユーザを自身のアプリケーションへログインさせる。特定の実施形態において、ユーザは自身のダッシュボードを構成することで、ユーザがＷｉｎｄｏｗｓ（登録商標）にログインするときに自動的にユーザをアプリケーションへログインさせるようにできる。特定の実施形態において、認証アーキテクチャは、マスターパスワードの代わりに、又は、マスターパスワードに加えて、認証因子として顔認識を利用し得る。１又は複数の特定の実施形態において、ポリシーエンジンは、ＪａｖａＳｃｒｉｐｔ（登録商標）を使用して、ログインを透過的に処理する。特定の実施形態において、ユーザは、異なるレベルのセキュリティ設定を自分で構成でき、認証対応アプリケーションに関連するＲＰは、これらの設定を増加させることができる。認証に使用される複数の因子を構成できることに加えて、１又は複数の実施形態において、ユーザは、自身のデバイスを、アウトオブバンド（ＯＯＢ）認証因子として使用される信頼済みリストへ追加する選択肢を有する。例えば、ユーザが認証アーキテクチャに最初に登録するときに使用するデバイスは、信頼済みデバイス、及び、ユーザがリストに追加し得るモバイルデバイスと見なされ得る。追加機能は、信頼済みネットワーク及び信頼済み位置情報が追加されること、及び、追加的な認証／識別因子として利用されることを可能にし得る。

特定の実施形態において、ユーザが受動認証因子の一部としてローカルログインを実行するとき、一意の信頼済みデバイスＩＤが計算され、ユーザに関連付けられる。デバイスＩＤ及び構成可能な認証因子のこの組み合わせによって、ポリシーエンジンは、クラウド内のＲＰへのローカルログインのプロモーションを有効化すべきかどうかについて判定することが可能となる。

様々な実施形態において、アクセスレベルはクラウド内のポリシーエンジンによって定義される。１又は複数の実施形態において、ポリシーによって決定されるとおりに、複数のレベルの認証強度が許容され得る。いくつかのアプリケーションは、アプリケーションの要件に基づいて、追加の因子を必要とし得る。特定の実施形態において、リライングパーティは、アプリケーションの特定の要件を設定し得て、レベルもユーザ設定によって上昇され得る。１又は複数の実施形態において、リライングパーティは、何の認証因子（例えば、顔認識、信頼済みデバイス、信頼済みネットワーク、及び、その他）がＲＰサイト及び／又はアプリケーションへのアクセスに必要であるかなど、リライングパーティに関連する特定のアプリケーションに必要なセキュリティのレベルを選択する。この情報は、リライングパーティのためのプロファイル内に保存され得る。特定の実施形態において、ユーザは、アウトオブバンド因子などの追加因子（例えば、ユーザの信頼済みデバイスの１つ）を追加し得る。特定の実施形態において、ユーザはセキュリティを強化できるが、リライングパーティの要件より下へ低減させることはできない。リライングパーティのウェブサイト及び／又はアプリケーションへのアクセスを得るのに、ユーザは認証として何の認証因子を提示する必要があるかは、セキュリティレベルによって決定する。１又は複数の実施形態において、認証に使用するべく、プロファイルはユーザに関連付けられる。特定の例において、ユーザプロファイルは、所定のテンプレートに従って生成される。更に、リライングパーティのサイトの１又は複数の部分について、セキュリティアクセスの追加的な要件があり得る。１又は複数の実施形態において、ユーザプロファイルとリライングパーティとの間で関係が確立される。ユーザプロファイルとリライングパーティとの間の関係を設定する前に、ポリシーエンジンは、関係の性質を決定するべく、ユーザ設定がリライングパーティ要件とどのようにインタラクトするか決定する。このメカニズムにより、ユーザ及びデータのプロバイダの両方は、必要な認証のレベルの指定を共有することが可能となる。

図２は、一実施形態に係る条件付きログインプロモーションのための通信システム２００を示す。通信システム２００には、１又は複数のアクセスネットワーク２０４を介して認証サーバ２０６と通信する第１クライアントデバイス２０２ａ及び第２クライアントデバイス２０２ｂを含む。認証サーバ２０６は、インターネット２０８を介して、第１リライングパーティサーバ２１０ａ、第２リライングパーティサーバ２１０ｂ、及び、第３リライングパーティサーバ２１０ｃと更に通信する。第１クライアントデバイス２０２ａ及び第２デバイス２０２ｂの各々は、ローカルログインがリライングパーティサーバ２１０ａ−２１０ｃのうち１又は複数にプロモーションされるべきかどうか判定するべく、デバイスのユーザがローカルログイン及び認証情報を認証サーバ２０６に提供することを可能にするユーザインタフェースを含む。アクセスネットワーク２０４は、クライアントデバイス２０２ａ−２０２ｂが認証サーバ２０６と通信することを可能にする、モバイルアクセスネットワーク、インターネット、又は、他のいずれかの好適なアクセスネットワークのうち、１又は複数を含み得る。認証サーバ２０６は、図１に関連して上述した認証コンポーネント１０２及び登録コンポーネント１０４を含む。特定の実施形態において、認証サーバ２０６は、サービスプロバイダの基幹ネットワーク内に配置され得る。図２に示されていないが、特定の実施形態において、認証サーバは、クラウドサービス１０６、サーバ１０８、身元認証サービス１１０、及び、データベース１１２のうち、１又は複数を含み得る、又は、それと通信し得ることを理解すべきである。

第１クライアントデバイス２０２ａ及び第２クライアントデバイス２０２ｂの各々は、それぞれ、本明細書で後述されるように、リライングパーティ（ＲＰ）サーバ２１０ａ−２１０ｃのうち１又は複数に関連するユーザのログイン及び認証を容易にするように構成された第１ユーザインタフェース（ＵＩ）２１２ａ及び第２ユーザインタフェース（ＵＩ）２１２ｂを含む。クライアントデバイス２０２ａ−２０２ｂは、リライングパーティサーバ２１０ａ−２１０ｃのうち１又は複数によって提供されるサービス又はアプリケーションへのアクセスが可能な、いずれかの電子デバイス又はコンピューティングデバイスを含み得る。これらのクライアントデバイスは、例えば、携帯電話、デスクトップＰＣ、ラップトップコンピュータ、タブレットコンピュータ、携帯情報端末（ＰＤＡ）、スマートフォン、ポータブルメディアファイルプレーヤ、電子書籍リーダー、ポータブルコンピュータ、ヘッドマウントディスプレイ、インタラクティブキオスク、携帯電話、ネットブック、シングルボードコンピュータ（ＳＢＣ）、組み込みコンピュータシステム、ウェアラブルコンピュータ（例えば、スマートウォッチ又はスマートグラス）、ゲームコンソール、ホームシアターＰＣ（ＨＴＰＣ）、テレビ、ＤＶＤプレイヤー、デジタルケーブルボックス、デジタルビデオレコーダー（ＤＶＲ）、ウェブブラウザを実行可能なコンピュータシステム、又は、これらのうち２つ若しくはより多くの組み合わせを含み得る。コンピューティングデバイスは、これらに限定されないが、Ａｎｄｒｏｉｄ（登録商標）、Ｂｅｒｋｅｌｅｙ Ｓｏｆｔｗａｒｅ Ｄｉｓｔｒｉｂｕｔｉｏｎ（ＢＳＤ）（登録商標）、ｉＰｈｏｎｅ（登録商標） ＯＳ（ｉＯＳ）、Ｌｉｎｕｘ（登録商標）、ＯＳ−Ｘ、Ｕｎｉｘ（登録商標）系リアルタイムオペレーティングシステム（例えば、ＱＮＸ）、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｗｉｎｄｏｗ Ｐｈｏｎｅ（登録商標）、及び、ＩＢＭ ｚ／ＯＳ（登録商標）を含むオペレーティングシステムを使用し得る。

リライングパーティ（ＲＰ）サーバ２１０ａ−２１０ｃは、ウェブサイト、ベンダー、並びに、その他、データ、サービス、及び、アプリケーションのプロバイダなどのエンティティに関連するサーバであり、これらのエンティティは、自身のリソースにアクセスする前に識別及び認証を受けるようユーザに要求するものである。

例示的な実装において、第１クライアントデバイス２０２ａ、第２クライアントデバイス２０２ｂ、認証サーバ２０６、第１ＲＰサーバ２１０ａ、第２ＲＰサーバ２０１ｂ、及び、第３ＲＰサーバ２１０ｃは、ネットワーク要素であり、ネットワーク機器、サーバ、ルータ、スイッチ、ゲートウェイ、ブリッジ、ロードバランサ、プロセッサ、モジュール、又は、ネットワーク環境内で情報を交換するように動作できる他のいずれかの好適なデバイス、コンポーネント、要素、又は、オブジェクトを包含することが意図されている。ネットワーク要素は、それらの動作を容易にする、いずれかの好適なハードウェア、ソフトウェア、コンポーネント、モジュール、又は、オブジェクト、並びに、ネットワーク環境内でデータ又は情報を受信、送信、及び／又は、その他の手段で伝達するための好適なインタフェースを含み得る。これは、データ又は情報の効果的な交換を可能にする適切なアルゴリズム及び通信プロトコルを含み得る。

通信システム２００に関連する内部構造に関して、第１クライアントデバイス２０２ａ、第２クライアントデバイス２０２ｂ、認証サーバ２０６、第１ＲＰサーバ２１０ａ、第２ＲＰサーバ２０１ｂ、及び、第３ＲＰサーバ２１０ｃの各々は、本明細書に記載されている動作において使用される情報を保存するためのメモリ要素を含み得る。第１クライアントデバイス２０２ａ、第２クライアントデバイス２０２ｂ、認証サーバ２０６、第１ＲＰサーバ２１０ａ、第２ＲＰサーバ２０１ｂ、及び、第３ＲＰサーバ２１０ｃの各々は、適切である場合に、特定の必要性に基づいて、いずれかの好適なメモリ要素（例えば、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、消去可能プログラマブルＲＯＭ（ＥＰＲＯＭ）、電気的消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、特定用途向け集積回路（ＡＳＩＣ）など）、ソフトウェア、ハードウェア、ファームウェア、又は、いずれかの他の好適なコンポーネント、デバイス、要素、又は、オブジェクト内に情報を保持し得る。本明細書に記載されているいずれかのメモリアイテムは、「メモリ要素」という広義の用語に包含されると解釈されるべきである。更に、通信システム２００において使用、追跡、送信、又は、受信される情報は、いずれかのデータベース、レジスタ、キュー、テーブル、キャッシュ、制御リスト、又は、他のストレージ構造内に提供できるであろう。それらは全て、いずれかの好適な間隔で参照できる。そのようなストレージの選択肢のいずれも、本明細書に使用される「メモリ要素」という広義の用語内に含まれ得る。

特定の例示的な実装において、本明細書に記載されている機能は、不揮発性コンピュータ可読媒体を含み得る１又は複数の有形媒体内に符号化されている論理（例えば、ＡＳＩＣ内に提供される組み込み論理、デジタル信号プロセッサ（ＤＳＰ）命令、プロセッサによって実行される（場合によっては、オブジェクトコード及びソースコードを含む）ソフトウェア、又は、他の同様のマシンなど）によって実装され得る。これらの例のいくつかにおいて、メモリ要素は、本明細書に記載されている動作に使用されるデータを保存できる。これは、本明細書に記載されているアクティビティを遂行するべく実行されるソフトウェア、論理、コンピュータコード、又は、プロセッサ命令を保存できるメモリ要素を含む。

例示的な実装において、第１クライアントデバイス２０２ａ、第２クライアントデバイス２０２ｂ、認証サーバ２０６、第１ＲＰサーバ２１０ａ、第２ＲＰサーバ２０１ｂ、第３ＲＰサーバ２１０ｃなどの通信システム２００のネットワーク要素は、本明細書に記載されている動作を実現又は助長するためのソフトウェアモジュールを含み得る。これらのモジュールは、特定の構成及び／又はプロビジョニングの必要性に基づき得る、いずれかの適切な手法で好適に組み合わせられ得る。特定の実施形態において、そのような動作は、ハードウェアによって遂行されるか、これらの要素の外部で実装されるか、又は、意図された機能を実現する他の何らかのネットワークデバイス内に含まれ得る。更に、モジュールは、ソフトウェア、ハードウェア、ファームウェア、又は、それらのいずれかの好適な組み合わせとして実装できる。これらの要素は、本明細書に記載されているような動作を実現するべく他のネットワーク要素と連携できるソフトウェア（又はレシプロケーティングソフトウェア）も含み得る。

加えて、第１クライアントデバイス２０２ａ、第２クライアントデバイス２０２ｂ、認証サーバ２０６、第１ＲＰサーバ２１０ａ、第２ＲＰサーバ２０１ｂ、及び第３ＲＰサーバ２１０ｃの各々は、本明細書に記載されているアクティビティを実行するためのソフトウェア又はアルゴリズムを実行できるプロセッサを含み得る。プロセッサは、本明細書に詳しく記載されている動作を実現するためのデータに関連する任意の種類の命令を実行できる。一例において、プロセッサは、１つの状態又は物から、別の状態又は物へと、要素又は品目（例えば、データ）を変換できるであろう。別の例において、本明細書に記載されているアクティビティは、固定論理又はプログラマブル論理（例えば、プロセッサによって実行されるソフトウェア／コンピュータ命令）によって実装され得る。本明細書において特定されている要素は、デジタル論理、ソフトウェア、コンピュータコード、電子命令、又は、それらのいずれかの好適な組み合わせを含む、何らかの種類のプログラマブルプロセッサ、プログラマブルデジタル論理（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ）、又は、ＡＳＩＣであり得る。本明細書に記載されている、潜在的な処理要素、モジュール、マシンのいずれも、「プロセッサ」という広義の用語に包含されると解釈されるべきである。

図３Ａ−図３Ｂは、一実施形態に係るローカルＯＳログインプロモーションのプロセスフロー３００の例を示す。３０２において、クライアントデバイス２０２ａのユーザは、ローカルオペレーティングシステム（ＯＳ）ログイン手順を開始して、クライアントデバイス２０２ａのグラフィカルユーザインタフェース（ＧＵＩ）などのユーザインタフェース（ＵＩ）を介して、ユーザから、クライアントデバイス２０２ａのローカルＯＳに関連するローカルログイン情報を受信する。特定の実施形態において、ローカルログイン情報は、ユーザ識別子、パスワード、個人識別番号（ＰＩＮ）、又は、クライアントデバイス２０２ａのローカルＯＳへログインするのに必要な他のいずれかの好適な情報のうち１又は複数を含み得る。３０４において、クライアントデバイス２０２ａは、ユーザから１又は複数の認証因子を受信する。１又は複数の実施形態において、認証因子は、指紋又は顔認識など、ユーザから取得された１又は複数のバイオメトリック認証因子を含み得る。特定の実施形態において、ユーザから受信された認証因子は、能動認証因子、及び／又は、受動認証因子を含み得る。特定の実施形態において、能動認証因子は、クライアントデバイス２０２ａに関連するカメラに向かってユーザの顔及び／又はユーザの眼のまばたきを提示するなどの行動をとるようにユーザに要求することを含み得る。更に他の特定の実施形態において、受動認証因子は、認証サーバ２０６によって信頼済みのクライアントデバイス２０２ａを示す、クライアントデバイス２０２ａのアイデンティティなど、ユーザに対して透過的である認証因子を含み得る。

３０６において、クライアントデバイス２０２ａは、ユーザによって提供されたローカルログイン情報が、ユーザに関連する保存済みローカルログイン情報とマッチするかどうか判定するべく、ローカルログインマッチ手順を実行する。特定の実施形態において、保存済みローカルログイン情報は、クライアントデバイス２０２ａ内に保存され得る。更に他の特定の実施形態において、保存済みローカルログイン情報は、クライアントデバイス２０２ａに関連するサーバ内に保存され得る。マッチが成功した場合、３０８において、クライアントデバイス２０２ａは、ローカルオペレーティングシステムログイン成功の通知、及び、１又は複数の認証因子を認証サーバ２０６へ送信する。３１０において、認証サーバ２０６は、ローカルログイン及び認証情報の受信に応じて、クライアントデバイス２０２ａのための新規セッションを生成する。

３１２において、認証サーバ２０６は、ローカルＯＳログインが、ＲＰサーバ２１０に関連するＲＰサービス及び／又はアプリケーションへローカルＯＳログインをプロモーションするための１又は複数のＯＳプロモーション条件を満たすかどうか検証する。１又は複数の実施形態において、ＯＳプロモーション条件は、セッションフラグがクライアントデバイス２０２ａとのアクティブセッションを示していないかどうか判定すること、ネットワーク接続があるかどうか判定すること、リモートユーザテーブルにおける現在のユーザ数が、所定の閾値である［ＯＳ ＬＯＧＩＮ ＮＵＭＢＥＲ ＯＦ ＵＳＥＲＳ ＴＯ ＰＲＯＭＯＴＥ］より小さいかどうか判定すること、リモートユーザテーブル及びローカルユーザテーブル内の情報が同一であるかどうか判定すること、ユーザのための最後のプロモーションが所定期間を超えたかどうか判定すること、人間であることを示すものなどの１又は複数の認証因子が、ユーザを認証するのに必要なセキュリティレベルを満たしているかどうか判定することのうち、１又は複数を含み得る。特定の実施形態において、アクティブセッションフラグが偽に設定され、インターネットへのネットワーク接続が存在し、リモートユーザテーブル内の現在のユーザ数が所定の閾値より小さく、リモートユーザテーブル内のユーザデータ及びローカルユーザテーブルが同一であり、このユーザの最後のプロモーションが少なくとも２４時間前であり、ユーザのまばたきの検出など、ユーザが人間であることのチェックが成功した場合、ローカルＯＳログインは、ＲＰサーバ２１０ａにプロモーションされる。

プロモーションを実行すべき場合、認証サーバ２０６コンポーネントは、クライアントデバイス２０２ａを介した、ユーザのローカルＯＳログインをＲＰサーバ２１０ａへプロモーションすべきことを示す認証メッセージを認証コンポーネント１０２へ送信する。１又は複数の実施形態において、認証メッセージは、リライングパーティに関連する識別子、ユーザに関連する識別子、及び、クライアントデバイス２０２ａについてのアクティブセッションが確立されているという通知を含む。特定の実施形態において、認証メッセージは、Ａｕｔｈｅｎｔｉｃａｔｅ（ＲＰｉｄ，ｅｍａｉｌ，Ｐｒｏｃｅｓｓｅｄ Ｆｒａｍｅ，Ａｃｔｉｖｅ＝ｔｒｕｅ）という形式である。ここで、ＲＰｉｄはＲＰ識別子であり、ｅｍａｉｌはユーザを識別する電子メールアドレスであり、Ｐｒｏｃｅｓｓｅｄ Ｆｒａｍｅは現在処理されているフレームであり、Ａｃｔｉｖｅ＝ｔｒｕｅは、アクティブセッションが確立されたことを示すものである。

３１６において、認証コンポーネント１０２に関連するキャッシュ内に保存される、要求されたリライングパーティ情報を認証コンポーネント１０２がまだ有していない場合、認証コンポーネント１０２は、要求されたＲＰサービス及び／又はＲＰアプリケーションに関連するＲＰサーバ２１０ａからのリライングパーティ情報を要求する。特定の実施形態において、リライングパーティ情報は、リライングパーティ、リライングパーティサーバ２１０ａ、リライングパーティサービス、及び／又は、リライングパーティアプリケーションに関連するアイデンティティを含み得る。３１８において、認証コンポーネント１０２は、要求されたリライングパーティ情報をＲＰサーバ２１０ａから受信する。３２０において、認証コンポーネント１０２は、リライングパーティのサービス及び／又はアプリケーションが有効であるかどうか判定するべく、ホワイトリストを使用してＲＰ情報を検証する。ＲＰが有効である場合、３２２において、認証コンポーネント１０２は、クライアントデバイス１０２ａを識別するトランザクションデバイスＩＤと、ＲＰサーバ２１０ａによって提供される特定のＲＰサービス及び／又はアプリケーションを識別するＲＰアプリケーションＩＤとを生成する。

３２４において、認証コンポーネント１０２は、ＲＰサーバ２１０ａによって提供されるサービス及び／又はアプリケーションにアクセスするべく、クライアントデバイス１０２ａに関連するユーザを認証する認証メッセージをＲＰサーバ２１０ａへ送信する。特定の実施形態において、認証メッセージは、「ａｕｔｈｏｒｉｚｅ ｕｓｅｒ」という形式（Ｕｓｅｒｄａｔａ（ＯＡｕｔｈＴｒａｎｓｉｄ，ｅｍａｉｌ，Ｆｒａｍｅｓ），ＲｐＤａｔａ）であり、Ｕｓｅｒｄａｔａフィールドは、ＯＡｕｔｈトランザクションＩＤ、ユーザの電子メールアドレス、処理されるフレームを含み、ＲｐＤａｔａフィールドは、ＲＰサーバ２１０へ送信されるデータを含む。３２６において、ＲＰサーバ２１０ａは、要求されたＲＰサービス及び／又はアプリケーションへのアクセスをユーザに許可するかどうか判定するためのリスク分析を実行する。３２８において、ＲＰサーバ２１０ａは、リスク分析結果を示す第１動作結果メッセージを認証コンポーネント１０２へ送信する。第１動作結果メッセージは、ＲＰサーバ２１０ａによって提供されるＲＰサービス及び／又はアプリケーションへのアクセスをユーザに許可することをリスク分析の結果が示しているかどうか示す。第１動作結果において、アクセスが許可されるべきことが示されている場合、３３０において、認証コンポーネント１０２は、ユーザセッションを生成する。３３２において、認証コンポーネント１０２は、ユーザセッションの生成が成功したかどうかを示す第２動作結果メッセージを認証サーバ２０６へ送信する。成功した場合、認証サーバ２０６は、３３４において、セッション情報を更新し、３３６において、アクティブセッションを真に設定する。上述の手順が完了すると、ＲＰサーバ２１０ａによって提供される１又は複数のサービス及び／又はアプリケーションにクライアントデバイス２０２ａがアクセスすることを可能にするべく、クライアントデバイス２０２ａとＲＰサーバ２１０ａとの間でアクティブセッションが確立される。

図４は、一実施形態に係るローカルＯＳログインプロモーションに関連する動作の例を示す、簡略化されたフロー図４００である。４０２において、認証サーバ２０６は、ユーザに関連するクライアントデバイス２０２ａから、ユーザによるローカルオペレーティングシステムログインの通知を受信する。４０４において、認証サーバ２０６は、クライアントデバイス２０２ａから、ユーザに関連する１又は複数の認証因子を受信する。４０６において、認証サーバ２０６は、ユーザに関連する１又は複数の認証因子に基づいて、ローカルオペレーティングシステムログインをＲＰサーバ２１０ａなどのリライングパーティエンティティへプロモーションすべきかどうか判定する。１又は複数の実施形態において、ローカルオペレーティングシステムログインをリライングパーティエンティティへプロモーションすべきかどうか判定することは、１又は複数の認証因子が必要なセキュリティレベルを満たしているかどうか判定することを含む。１又は複数の実施形態において、１又は複数の認証因子は、少なくとも１つの能動認証因子及び少なくとも１つの受動認証因子のうち、１又は複数を含む。特定の実施形態において、少なくとも１つの能動認証因子は、バイオメトリック認証因子を含む。更に他の特定の実施形態において、バイオメトリック認証因子は、ユーザの顔認識を含む。更に他の特定の実施形態において、少なくとも１つの能動認証因子は、ユーザが人間であることを示すものを含む。他の特定の実施形態において、少なくとも１つの受動認証因子は、クライアントデバイスに関連するデバイス識別子を含む。

認証因子が所定のセキュリティレベルを満たしていないと判定された場合、動作は終了する。認証因子が所定のセキュリティレベルを満たしていると判定された場合、４０８において、認証サーバ２０６は、認証因子が必要なセキュリティレベルを満たしているという判定に応じて、ローカルオペレーティングシステムログインをリライングパーティエンティティへプロモーションする。特定の実施形態において、ローカルオペレーティングシステムログインをリライングパーティエンティティへプロモーションすることは、リライングパーティエンティティに関連する１又は複数のリソースに対するクライアントデバイス２０２ａのアクセスの認証を含む。特定の実施形態において、１又は複数のリソースは、リライングパーティエンティティによって提供されるサービス、又は、リライングパーティエンティティによって提供されるアプリケーションのうち、少なくとも１つを含む。４１０において、認証サーバ２０６は、ローカルオペレーティングシステムログインをリライングパーティエンティティへプロモーションすることに応じて、クライアントデバイス２０２ａとリライングパーティエンティティとの間にアクティブセッションを確立する。

ここで、図５を参照する。図５は、図２のクライアントデバイス２０２ａの実施形態の簡略ブロック図である。クライアントデバイス２０２ａは、プロセッサ５０２、メモリ要素５０４、グラフィカルユーザインタフェース５０６、認証モジュール５０８、及び、１又は複数のバイオメトリックセンサーを含む。プロセッサ５０２は、本明細書に記載されているように、クライアントデバイス２０２ａの様々な動作を実行するべく、ソフトウェア命令を実行するよう構成されている。メモリ要素５０４は、クライアントデバイス２０２ａに関連するソフトウェア命令及びデータを保存するように構成され得る。プロセッサ５０２は、マイクロプロセッサ、組み込みプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、ネットワークプロセッサ、又は、コードを実行する他のデバイスなど、任意の種類のプロセッサであり得る。図５には１つのプロセッサ５０２のみが示されているが、いくつかの実施形態において、クライアントデバイス２０２ａは、１つより多くのプロセッサを含み得ることを理解すべきである。

グラフィカルユーザインタフェース５０６は、本明細書に記載されているようなローカルＯＳログイン手順を容易にするべく、クライアントデバイス２０２ａのユーザにグラフィカルユーザインタフェースを提供するように構成されている。認証モジュール５０８は、本明細書に記載されているような、クライアントデバイス２０２ａに関連する認証機能を実行するように構成されている。バイオメトリックセンサー５１０は、本明細書に記載されているように、ユーザからバイオメトリック認証因子を収集するように構成されている。特定の実施形態において、バイオメトリックセンサー５１０は、カメラ、指紋、センサ、又は、マイクのうち、１又は複数を含み得る。

ここで、図６を参照する。図６は、図２の認証サーバ２０６の実施形態の簡略ブロック図である。認証サーバ２０６は、プロセッサ６０２、メモリ要素６０４、認証コンポーネント１０２、及び、登録コンポーネント１０４を含む。プロセッサ６０２は、本明細書に記載されているような、認証サーバ２０６の様々な動作を実行するためのソフトウェア命令を実行するように構成されている。メモリ要素６０４は、認証サーバ２０６に関連するソフトウェア命令及びデータを保存するように構成され得る。プロセッサ６０２は、マイクロプロセッサ、組み込みプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、ネットワークプロセッサ、又は、コードを実行する他のデバイスなど、任意の種類のプロセッサであり得る。図６には１つのプロセッサ６０２のみが示されているが、いくつかの実施形態において、認証サーバ２０６は、１つより多くのプロセッサを含み得ることを理解すべきである。

認証コンポーネント１０２は、本明細書に記載されているような認証サーバ２０６の認証及びローカルＯＳログインプロモーション機能を容易にするよう構成され、登録コンポーネント１０４は、本明細書に記載されているような、認証サーバ２０６の登録、管理、ポリシー管理機能を容易にするように構成されている。

１又は複数の実施形態では、様々なリモートアプリケーションの各々について認証処理を繰り返す必要なく、複数の受動因子（例えば、信頼済みデバイスＩＤ）で強化され、ローカルで処理及びセキュアに保持され、異なるリソースへのアクセスを透過的に許可するべくリモートでプロモーションされる、複数の能動認証因子（例えば、バイオメトリック）の使用を提供することと、単一メカニズムを使用するのではなく、認証因子を掛け合わせることと、スプーフィングの試行から防護するべく異なる性質（能動／受動）の因子を組み合わせることと、実際の資格情報を、それを必要とするクラウド又はクラウドサービスにアップロードせず、クラウドサービスへの直接ログイン及び必要な資格情報の要求された送信の自動化も試行しないことと、ユーザ及びサービスプロバイダの両方に対し、サービスへのアクセスが許可される前に満たすべきセキュリティ基準を設定及び強化する機会を与えることと、セキュア環境内で保持され得る、ユーザの、及び、ローカルレベル内の信頼の基礎を保持することと、確立された信頼に基づいて、複数のリモートサービスに対してユーザを透過的に認証するのに使用されるユーザプロファイルを生成することのうち、１又は複数の有益な効果を提供し得る。

既存のシングルサインオンのソリューションは通常、バイオメトリックを伴わず、単一因子認証メカニズムであることが多い。シングルサインオンのソリューションにおいて、信頼の基礎は、複数ウェブサイト間で保持される。本明細書に記載されている様々な実施形態において、信頼の基礎は、ユーザに関連し、ローカルのセキュア設定内で保持され、決して多くのエンティティ間で配付されない。

他の実施形態は、クラウドベースエンティティなど、１又は複数のリライングパーティエンティティへの認証を強化するべく、バイオメトリック認証をダイナミックデバイス識別子と組み合わせることに関する。ユーザにアクセスを許可する前にユーザを認証するのにウェブサイトが利用する、複数の既存のメカニズムが存在する。これらのメカニズムのいくつかは、ユーザ名／パスワード、ワンタイムパスワード（ＯＴＰ）などの第２因子を含み、おそらくバイオメトリックも含む。しかしながら、これらの因子の各々は現在、互いに独立しているので、悪意のあるエンティティは、様々な既知のメカニズムを通して、これらの因子を独立的に取得すること、及び、それらの認証のスプーフィングを試行することが可能である。

本明細書に記載されている様々な実施形態は、リライングパーティエンティティへ送信される認証及びコンテキスト因子が互いに関連していること、及び、ユーザのアカウントに関連付けられたデバイスから生成されていることを一意に確認するバイオメトリック、デバイス識別情報、及び、デバイスベース証明を組み合わせるメカニズムを提供する。１又は複数の特定の実施形態において、ワンタイムパスワード（ＯＴＰ）がデバイス識別子として使用されるので、追跡又は再使用できない、常に変化する短寿命の識別子が可能になる。したがって、悪意のあるエンティティは、認証上でスプーフィングするには、「あなたは何を持っているか」、「あなたは何を知っているか」、「あなたは何か」という種類の因子を含む、複数の種類の因子を取得する必要がある。しかしながら、１又は複数の実施形態において、実際には、ユーザに負担をかけないように、これらの項目の全てを証明する必要はない。１又は複数の実施形態において、これらの項目のいくつかを暗黙に提供することを容易にして、それにより、良好な使用性と、高いセキュリティとの間のバランスを実現するシステムが提供されている。

１又は複数の実施形態において、ウェブサイト、又は、他のクラウドホスト型リライングパーティエンティティなどのリライングパーティエンティティに対する従来のユーザ名／パスワードベース認証メカニズムに代わる手段が提供されている。少なくとも一実施形態による例示的な処理において、ユーザは最初に、リライングパーティエンティティに関連するクライアントデバイスに登録する。特定の実施形態において、クライアントデバイスに登録する処理は、デバイス識別子の生成をクライアントデバイス内のセキュア要素内に転送することで強化され得る。ユーザは次に、リライングパーティエンティティに、顔などのバイオメトリック認証因子を登録する。特定の実施形態において、リライングパーティは、ユーザのためのパスワード、又は、単純なＰＩＮなどの追加的な認証因子をセットアップすることも選択し得る。

認証中、ユーザは、関連するバイオメトリック認証因子を提供し、システムは、ユーザがリライングパーティエンティティに登録した特定のクライアントデバイスのアイデンティティがクライアントデバイスのアイデンティティと同一であるという証明を透過的に提供する。また、リライングパーティエンティティは、ユーザに対し、追加的な認証因子（例えば、ＰＩＮ）を入力するように要求し、更に、システムに対し、認証のためにバイオメトリックデータが送信される前にバイオメトリックデータに一意に署名するように要求し得る。クライアントデバイスによる、リライングパーティエンティティのリソースへのアクセスを許可するべく、これらの認証因子の全ては、互いに紐付けられ、リライングパーティエンティティによって、まとめて検証される。

図７は、一実施形態に係る、バイオメトリック及びダイナミックデバイス識別子認証を使用して、リライングパーティエンティティに対して認証するための通信システム７００を示す。通信システム７００は、１又は複数のアクセスネットワーク２０４を介して認証サーバ７１０と通信するクライアントデバイス７０２を含む。認証サーバ７１０は、インターネット２０８を介して、リライングパーティ（ＲＰ）サーバ７１６と更に通信する。特定の実施形態において、認証サーバ７１０は、認証サービスプロバイダに関連付けられている。クライアントデバイス７０２は、セキュア要素７０４、認証クライアント７０６、及び、ユーザインタフェース（ＵＩ）７０８を含む。セキュア要素７０４は、クライアントデバイス７０２に関連付けられたダイナミックデバイス識別子をセキュアに生成及び保存するよう構成されている。ユーザインタフェース（ＵＩ）７０８は、本明細書で後述されているように、リライングパーティ（ＲＰ）サーバ７１６に対する、クライアントデバイス７０２に関連するユーザの登録及び認証を容易にするよう構成されている。認証クライアント７０６は、登録及び認証情報を認証サーバ７１０へ伝達することを容易にするよう構成されている。

アクセスネットワーク２０４は、モバイルアクセスネットワーク、インターネット、又は、他のいずれかの好適なアクセスネットワークのうち１又は複数を含み得て、これにより、クライアントデバイス２０２ａ−２０２ｂが認証サーバ２０６と通信することを可能にする。認証サーバ７１０は本明細書に記載されている認証機能を提供するよう構成されている認証コンポーネント７１２、及び、本明細書に記載されている登録機能を提供するよう構成されている登録コンポーネント７１４を含む。特定の実施形態において、認証サーバ７１０は、サービスプロバイダの基幹ネットワーク内に配置され得る。

クライアントデバイス７０２は、リライングパーティサーバ７１６によって提供されるサービス又はアプリケーションにアクセス可能な任意の電子デバイス、又は、コンピューティングデバイスを含み得る。これらのクライアントデバイスは、例えば、携帯電話、デスクトップＰＣ、ラップトップコンピュータ、タブレットコンピュータ、携帯情報端末（ＰＤＡ）、スマートフォン、ポータブルメディアファイルプレーヤ、電子書籍リーダー、ポータブルコンピュータ、ヘッドマウントディスプレイ、インタラクティブキオスク、携帯電話、ネットブック、シングルボードコンピュータ（ＳＢＣ）、組み込みコンピュータシステム、ウェアラブルコンピュータ（例えば、スマートウォッチ又はスマートグラス）、ゲームコンソール、ホームシアターＰＣ（ＨＴＰＣ）、テレビ、ＤＶＤプレイヤー、デジタルケーブルボックス、デジタルビデオレコーダー（ＤＶＲ）、ウェブブラウザを実行可能なコンピュータシステム、又は、これらのうち２つ若しくはより多くの組み合わせを含み得る。コンピューティングデバイスは、これらに限定されないが、Ａｎｄｒｏｉｄ（登録商標）、Ｂｅｒｋｅｌｅｙ Ｓｏｆｔｗａｒｅ Ｄｉｓｔｒｉｂｕｔｉｏｎ（ＢＳＤ）（登録商標）、ｉＰｈｏｎｅ（登録商標） ＯＳ（ｉＯＳ）、Ｌｉｎｕｘ（登録商標）、ＯＳ−Ｘ（登録商標）、Ｕｎｉｘ（登録商標）系リアルタイムオペレーティングシステム（例えば、ＱＮＸ）、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｗｉｎｄｏｗ Ｐｈｏｎｅ（登録商標）、及び、ＩＢＭ ｚ／ＯＳ（登録商標）を含むオペレーティングシステムを使用し得る。

リライングパーティ（ＲＰ）サーバ７１６は、それらのリソースにアクセスする前に識別及び認証を受けるようクライアントデバイス７０２のユーザに要求する、ウェブサイト、ベンダー、並びに、その他、データ、サービス、及び、アプリケーションのプロバイダなど、リソースを提供するリライングパーティエンティティに関連するサーバである。

例示的な実装において、クライアントデバイス７０２、認証サーバ７１０、ＲＰサーバ７１６はネットワーク要素であり、ネットワーク機器、サーバ、ルータ、スイッチ、ゲートウェイ、ブリッジ、ロードバランサ、プロセッサ、モジュール、又は、ネットワーク環境内で情報を交換するよう動作できる、他の好適なデバイス、コンポーネント、要素、若しくは、オブジェクトを包含することが意図されている。ネットワーク要素は、それらの動作を容易にする、いずれかの好適なハードウェア、ソフトウェア、コンポーネント、モジュール、又は、オブジェクト、並びに、ネットワーク環境内でデータ又は情報を受信、送信、及び／又は、その他の手段で伝達するための好適なインタフェースを含み得る。これは、データ又は情報の効果的な交換を可能にする適切なアルゴリズム及び通信プロトコルを含み得る。

通信システム７００に関連する内部構造に関して、クライアントデバイス７０２、認証サーバ７１０、及び、ＲＰサーバ７１６の各々は、本明細書に記載されている動作において使用される情報を保存するためのメモリ要素を含み得る。クライアントデバイス７０２、認証サーバ７１０、及び、ＲＰサーバ７１６の各々は、適切である場合に、特定の必要性に基づいて、いずれかの好適なメモリ要素（例えば、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、消去可能プログラマブルＲＯＭ（ＥＰＲＯＭ）、電気的消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、特定用途向け集積回路（ＡＳＩＣ）など）、ソフトウェア、ハードウェア、ファームウェア、又は、いずれかの他の好適なコンポーネント、デバイス、要素、又は、オブジェクト内に情報を保持し得る。本明細書に記載されているいずれかのメモリアイテムは、「メモリ要素」という広義の用語に包含されると解釈されるべきである。更に、通信システム７００において使用、追跡、送信、又は、受信される情報は、いずれかのデータベース、レジスタ、キュー、テーブル、キャッシュ、制御リスト、又は、他のストレージ構造内に提供できるであろう。それらは全て、いずれかの好適な間隔で参照できる。そのようなストレージの選択肢のいずれも、本明細書に使用される「メモリ要素」という広義の用語内に含まれ得る。

特定の例示的な実装において、本明細書に記載されている機能は、不揮発性コンピュータ可読媒体を含み得る１又は複数の有形媒体内に符号化されている論理（例えば、ＡＳＩＣ内に提供される組み込み論理、デジタル信号プロセッサ（ＤＳＰ）命令、プロセッサによって実行される（場合によっては、オブジェクトコード及びソースコードを含む）ソフトウェア、又は、他の同様のマシンなど）によって実装され得る。これらの例のいくつかにおいて、メモリ要素は、本明細書に記載されている動作に使用されるデータを保存できる。これは、本明細書に記載されているアクティビティを遂行するべく実行されるソフトウェア、論理、コード、又は、プロセッサ命令を保存できるメモリ要素を含む。

例示的な実装において、クライアントデバイス７０２、認証サーバ７１０、ＲＰサーバ７１６などの通信システム２００のネットワーク要素は、本明細書に記載されている動作を実現又は助長するためのソフトウェアモジュールを含み得る。これらのモジュールは、特定の構成及び／又はプロビジョニングの必要性に基づき得る、いずれかの適切な手法で好適に組み合わせられ得る。特定の実施形態において、そのような動作は、ハードウェアによって遂行されるか、これらの要素の外部で実装されるか、又は、意図された機能を実現する他の何らかのネットワークデバイス内に含まれ得る。更に、モジュールは、ソフトウェア、ハードウェア、ファームウェア、又は、それらのいずれかの好適な組み合わせとして実装できる。これらの要素は、本明細書に記載されているような動作を実現するべく他のネットワーク要素と連携できるソフトウェア（又はレシプロケーティングソフトウェア）も含み得る。

加えて、クライアントデバイス７０２、認証サーバ７１０、及び、ＲＰサーバ７１６の各々は、本明細書に記載されているアクティビティを実行するためのソフトウェア又はアルゴリズムを実行できるプロセッサを含み得る。プロセッサは、本明細書に詳しく記載されている動作を実現するためのデータに関連する任意の種類の命令を実行できる。一例において、プロセッサは、１つの状態又は物から、別の状態又は物へと、要素又は品目（例えば、データ）を変換できるであろう。別の例において、本明細書に記載されているアクティビティは、固定論理又はプログラマブル論理（例えば、プロセッサによって実行されるソフトウェア／コンピュータ命令）によって実装され得る。本明細書において特定されている要素は、デジタル論理、ソフトウェア、コード、電子命令、又は、それらのいずれかの好適な組み合わせを含む、何らかの種類のプログラマブルプロセッサ、プログラマブルデジタル論理（例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ）、又は、ＡＳＩＣであり得る。本明細書に記載されている、潜在的な処理要素、モジュール、マシンのいずれも、「プロセッサ」という広義の用語に包含されると解釈されるべきである。

図８は、一実施形態に係る、クライアントデバイス７０２を認証サーバ７１０に登録するためのプロセスフロー８００の例を示す。クライアントデバイス７０２の登録によって、後の認証の試行元が検証されることが可能になる。デバイス登録は、デバイス識別子の登録、及び、デバイス識別子の後における生成が、クライアントデバイス７０２のセキュア要素７０４内で実行される場合に、大幅に強化される。登録は更に、ユーザ認証の一部として、ユーザからのバイオメトリック認証因子の登録を含む。

８０２において、認証クライアント７０６は、認証サーバ７１０へのデバイス登録を開始する。８０４において、クライアントデバイス７０２は、セキュア要素７０４内でトークンを生成する。特定の実施形態において、トークンは、公開鍵暗号化アルゴリズムに基づいて生成される。８０６において、クライアントデバイス７０２は、デバイス登録の一部として、セキュア要素７０４から認証サーバ７１０へトークンを送信する。８０８において、クライアントデバイス７０２の認証クライアント７０６は、クライアントデバイス７０２に関連するユーザから、１又は複数の第１バイオメトリック認証因子を受信する。８１０において、クライアントデバイス７０２の認証クライアント７０６は、第１バイオメトリック認証因子を登録し、第１バイオメトリック認証因子をクライアントデバイス７０２に関連付ける。８１２において、クライアントデバイス７０２の認証クライアント７０６は、トークン、及び、関連付けられた第１バイオメトリック認証因子を認証サーバ７１０へ送信する。８１４において、認証サーバ７１０は、トークンをユーザバイオメトリックに関連付ける。したがって、クライアントデバイス７０２は認証サーバ７１０に登録され、認証サーバ７１０によるクライアントデバイス７０２の後の認証が可能となる。

図９は、一実施形態に係る、認証サーバ７１０によってクライアントデバイス７０２を認証するためのプロセスフロー９００の例を示す。９０２において、クライアントデバイス７０２の認証クライアント７０６は、クライアントデバイス７０２に関連するユーザから第２バイオメトリック認証因子を取得する。９０４において、認証クライアント７０６は、セキュア要素７０４からデバイス識別子を読み出すための要求を送信する。９０６において、クライアントデバイス７０２は、セキュア要素７０４内のトークンからデバイス識別子を生成する。９０８において、クライアントデバイス７０２は、生成されたデバイス識別子を認証クライアント７０６へ送信する。９１０において、認証クライアント７０６は、デバイス識別子で第２バイオメトリック認証因子をデジタル署名する。特定の実施形態において、第２バイオメトリック認証因子は、デバイス識別子から導出された鍵を使用して署名される。更に別の実施形態において、ユーザバイオメトリックは、デバイス登録処理中に構築された別の鍵を使用して署名される。

９１２において、認証クライアント７０６は、署名済みの第２バイオメトリック認証因子及びデバイス識別子を認証サーバ７１０へ送信する。９１４において、認証サーバ７１０は、以前受信したトークンを使用して、デバイス識別子を検証する。９１６において、認証サーバ７１０は、デバイス識別子に基づいて、署名済みの第１バイオメトリック認証因子を検証する。特定の実施形態において、第２バイオメトリック認証因子が第１バイオメトリック認証因子とマッチする場合、認証サーバ７１０は、第２バイオメトリック認証因子を検証する。特定の実施形態において、署名済みユーザバイオメトリックは、デバイス識別子から導出された鍵を使用して検証される。９１８において、検証後、認証サーバ７１０は、ＲＰサーバ７１６へのアクセスを許可するべく、クライアントデバイス７０２に関連するユーザが認証されたという通知をクライアントデバイス７０２の認証クライアント７０６へ送信する。９２０において、クライアントデバイス７０２とＲＰサーバ７１６との間でセッションが確立され、クライアントデバイス７０２は、ＲＰサーバ７１６に関連するリライングパーティエンティティによって提供される１又は複数のリソースへアクセスすることが可能となる。

１又は複数の実施形態において、ユーザバイオメトリック及びデバイス識別子を組み合わせることによって、認証要求が登録済みデバイスから来ていること、及び、認証要求と登録済みデバイスとの間がバインドされていることの信頼性を提供する。この組み合わせを使用することで、認証サーバ７１０は、認証要求が真正であるという高い信頼性を獲得し得る。１又は複数の実施形態において、生成されたデバイス識別子は、ワンタイムパスワードとして機能する。特に、使用中に追跡され得る静的識別子がある場合、どの形式の（ユーザ又はデバイスの）識別も、多くのプライバシー上の問題をもたらし得る。ワンタイムパスワードとして生成されたデバイス識別子の使用には、次の特性のうち１又は複数があり得る。（１）一旦生成されると、短期間のみ有効である。（２）認証サーバによって一旦検証されると、無用になる。

様々な実施形態において、デバイス識別子は本質的にワンタイムパスワードであるので、これにより、デバイス識別子は、全ての認証セッションで一意となることが可能である。デバイス識別子が窃取された場合、後の認証セッションに再使用できないので、無用になる。更に、デバイス識別子は一旦生成されると、非常に短期間中に使用される必要がある。さもないと、デバイス識別子はやはり無用になる。

図１０Ａ−図１０Ｂは、一実施形態に係る、クライアントデバイスの登録及び認証に関連する例示的な動作を示す、簡略化されたフロー図１０００である。１００２において、クライアントデバイス７０２など、ユーザに関連するクライアントデバイスは、認証サーバ７１０などのサーバによるデバイス登録を開始する。１００４において、クライアントデバイスは、ユーザに関連するクライアントデバイスのセキュア要素（セキュア要素７０４など）内にトークンを生成する。１００６において、クライアントデバイスは、トークンをサーバへ送信する。１００８において、クライアントデバイスは、ユーザに関連する１又は複数の第１バイオメトリック認証因子を受信する。１０１０において、クライアントデバイスは、１又は複数の第１バイオメトリック認証因子をサーバへ送信し、サーバは、１又は複数のバイオメトリック認証因子にトークンを関連付けるよう構成されている。

１０１２において、クライアントデバイスは、１又は複数の第２バイオメトリック認証因子をユーザから取得する。１０１４において、クライアントデバイスは、クライアントデバイスに関連するデバイス識別子をトークンから生成する。１０１６において、クライアントデバイスは、１又は複数の第２バイオメトリック認証因子をデバイス識別子でデジタル署名する。特定の実施形態において、デバイス識別子は、セキュア要素内で生成される。他の特定の実施形態において、１又は複数の第２バイオメトリック認証因子は、デバイス識別子から導出された鍵を使用して署名される。

１０１８において、クライアントデバイスは、署名済みバイオメトリック認証因子及びデバイス識別子をサーバへ送信する。１又は複数の実施形態において、サーバは、デバイス識別子及び署名済みバイオメトリック認証因子を検証するよう構成されている。サーバがデバイス識別子及び署名済みバイオメトリック認証因子を検証したことに応じて、１０２０において、クライアントデバイスは、クライアントデバイスに関連するユーザが認証されたという通知をサーバから受信する。１０２２において、クライアントデバイスは、リライングパーティエンティティに関連する１又は複数のリソースへアクセスするべく、クライアントデバイスとリライングパーティエンティティとの間のセッションを確立する。動作はこれで終了する。

別の実施形態は、複数のオブジェクトが複数のリソースに割り当てられる、ネットワークセキュリティプラットフォーム（ＮＳＰ）内のネットワークセキュリティリソースのポリシー管理のためのグラフィカルユーザインタフェースに関する。１又は複数の実施形態は、全ての侵入防止システムセンサの全てのネットワークインタフェースをシングル・ペイン・オブ・グラス上で公開することで、ポリシー管理を提供し、ユーザがユーザインタフェースとの最低限のインタラクションで一度に１又は複数のインタフェース上でポリシーを表示、生成、編集、及び、割り当てることを可能にする。様々な実施形態において、「シングル・ペイン・オブ・グラス」とは、多くのポリシー管理機能を実行するのに単一の制御パネルを使用することを指す。

現代における多くのネットワークセキュリティ製品の文脈におけるポリシーは、実際には、複数のポリシータイプの集合であることを理解することが重要である。例えば、特定のネットワークインタフェースに割り当てられた「ポリシー」は、（１）侵入防止、（２）高度なマルウェア分析、（３）トラフィック検査、（４）ファイアウォール／アクセス制御、（５）帯域制限／タグ付けルール、（６）接続制限／サービス妨害（ＤｏＳ）防止というポリシータイプの各々の定義／分類を含み得る。この本質的な複雑性により、従来のシステムの管理が困難になる。なぜなら、ポリシーを単一インタフェースに割り当てるような、単純に見えるものには、実際には６組の定義の割り当てが含まれているからである。各々が１０のインタフェースを含んでいる１０のデバイスを管理者が有する、一般的な使用事例において、６００の割り当てを管理する必要がある。更に、複雑性のレベルがインタフェースごとに異なるので、ネットワークセキュリティプラットフォームは従来、インタフェースごとの管理を公開してきた。つまり、管理者は、一度に単一インタフェースのための割り当てを管理せざるを得ない。それら６００の割り当てを管理するべく、１００の異なるＵＩページを移動する必要があり得、各ページ上で、割り当てが更新され、変更が保存される必要がある。１又は複数の実施形態において、インタフェースを「シングル・ペイン・オブ・グラス」上で公開することにより、１２回より少ないクリックで、例えば、１００のインタフェース全体でのポリシー割り当ての潜在的な更新を可能にし、その過程において高い確率でヒューマンエラーが発生することを回避する。

ネットワークセキュリティの文脈における集中型ポリシー管理のための主要な使用事例には、以下が含まれる。
１．現在のポリシータイプ割り当てを複数のインタフェース全体で比較及び対比する。
２．既存の割り当て及び／又はインタフェースのメタデータに基づいて、インタフェースを入力又は出力についてフィルタリングする。
３．１又は複数のインタフェースのための割り当てを更新する。
４．特定のポリシー定義のための詳細を表示する。
５．特定のポリシー定義のための詳細を編集する。
６．新しいポリシー定義を生成する。

図１１は、一実施形態に係る、ネットワークセキュリティプラットフォーム（ＮＳＰ）内のネットワークセキュリティリソースのポリシー管理のための通信システム１１００を示す。通信システム１１００は、ポリシー管理モジュール１１０４、第１侵入防止センサ（ＩＰＳ）１１０６ａ、第２ＩＰＳ１１０６ｂ、第３ＩＰＳ１１０６ｃを含むネットワークセキュリティプラットフォーム１１０２を備える。通信システム１１００は更に、ネットワークセキュリティプラットフォーム１１０２と各々通信する、クライアントモジュール１１０８、及び、管理デバイス１１１０を含む。ネットワークセキュリティプラットフォーム１１０２は更に、インターネット２０８と通信する。１又は複数の実施形態において、第１ＩＰＳ１１０６ａ、第２ＩＰＳ１１０６ｂ、第３ＩＰＳ１１０６ｃの各々は、ネットワークトラフィック、及び／又は、通信ネットワーク１１００内のクライアントデバイス１１０８などのネットワーク要素に対する侵入及びその他の攻撃を検出及び防止するよう構成されている、ネットワーク要素、ハードウェアデバイス、及び／又は、ソフトウェアモジュールである。

ポリシー管理モジュール１１０４は、第１ＩＰＳ１１０６ａ、第２ＩＰＳ１１０６ｂ、第３ＩＰＳ１１０６ｃの各々で構成されている１又は複数のポリシーを管理するよう構成されている。ポリシーは、ユーザが構成できるセキュリティルールであり、侵入の検出をどのように実行するか、クライアントデバイス１１０８とインターネット２０８との間のトラフィックは、通信ネットワーク１１００内の第１ＩＰＳ１１０６ａ、第２ＩＰＳ１１０６ｂ、第３ＩＰＳ１１０６ｃの各々によってどのように処理されるか判定する。第１ＩＰＳ１１０６ａ、第２ＩＰＳ１１０６ｂ、第３ＩＰＳ１１０６ｃのうち１又は複数によって実行され得る機能の例には、ステートフルトラフィック検査、署名検出、異常検出、サービス妨害（ＤｏＳ）検出、侵入防止、及び、暗号化攻撃防護などが含まれるが、これらに限定されない。

管理デバイス１１１０は、ポリシー管理グラフィカルユーザインタフェース（ＧＵＩ）を管理デバイス１１１０の管理者又は他のユーザへ提供するよう構成されている、管理デバイス１１１０に接続されているディスプレイ１１１２を有する。ポリシー管理ＧＵＩは、管理者がネットワークセキュリティプラットフォーム１１０２のポリシー管理モジュール１１０４にインタフェース接続することを可能にするよう構成され、これにより、本明細書で後述されるように、第１ＩＰＳ１１０６ａ、第２ＩＰＳ１１０６ｂ、第３ＩＰＳ１１０６ｃの構成が可能となる。クライアントデバイス１１０８及び／又は管理デバイス１１１０は、ネットワークセキュリティプラットフォーム１１０２と通信可能な任意の電子デバイス又はコンピューティングデバイスを有し得て、例えば、携帯電話、デスクトップＰＣ、ラップトップコンピュータ、タブレットコンピュータ、携帯情報端末（ＰＤＡ）、スマートフォン、ポータブルメディアファイルプレーヤ、電子書籍リーダー、ポータブルコンピュータ、ヘッドマウントディスプレイ、インタラクティブキオスク、携帯電話、ネットブック、シングルボードコンピュータ（ＳＢＣ）、組み込みコンピュータシステム、ウェアラブルコンピュータ（例えば、スマートウォッチ又はスマートグラス）、ゲームコンソール、ホームシアターＰＣ（ＨＴＰＣ）、テレビ、ＤＶＤプレイヤー、デジタルケーブルボックス、デジタルビデオレコーダー（ＤＶＲ）、ウェブブラウザを実行可能なコンピュータシステム、又は、これらのうち２つ若しくはより多くの組み合わせを含み得る。コンピューティングデバイスは、これらに限定されないが、Ａｎｄｒｏｉｄ（登録商標）、Ｂｅｒｋｅｌｅｙ Ｓｏｆｔｗａｒｅ Ｄｉｓｔｒｉｂｕｔｉｏｎ（ＢＳＤ）（登録商標）、ｉＰｈｏｎｅ（登録商標） ＯＳ（ｉＯＳ）、Ｌｉｎｕｘ（登録商標）、ＯＳ−Ｘ（登録商標）、Ｕｎｉｘ（登録商標）系リアルタイムオペレーティングシステム（例えば、ＱＮＸ）、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ｗｉｎｄｏｗ Ｐｈｏｎｅ（登録商標）、及び、ＩＢＭ ｚ／ＯＳ（登録商標）を含むオペレーティングシステムを使用し得る。

図１２Ａ及び図１２Ｂは、従来のネットワークセキュリティプラットフォームＧＵＩ内の保護プロファイルインタフェース管理ページ１２００を示す。単一インタフェースのための割り当てのユーザ管理を可能にする、ネットワークセキュリティプラットフォームＧＵＩ内の保護プロファイルページ１２００が示されている。保護プロファイルページの欠点のいくつかには、以下が含まれる。
１．単一インタフェースの割り当てのみが一度に公開されるので、複数のインタフェースにわたって割り当てを比較／対比することができない。
２．１つより多くのインタフェースに対する割り当てを一度に変更することができない。
３．ネットワークセキュリティプラットフォームは従来、ポリシー定義をポリシー割り当てから分離させてきたので、ポリシー定義を表示、編集、又は、生成するための整合的な選択肢が無い。

本明細書に記載されている様々な実施形態は、これらの欠点のうち１又は複数に対処し得る。

図１３は、一実施形態に係る、ネットワークセキュリティプラットフォームのためのポリシー管理ＧＵＩページ１３００を示す。１又は複数の実施形態において、ポリシーの追加、編集、及び、割り当てなど、主要なポリシー管理タスクを実行するのに、図１３のページ１３００が使用され得る。ポリシー管理ＧＵＩページ１３００は、インタフェースタブ１３０２及びデバイスタブ１３０４を含む。ここでは、インタフェースタブ１３０２が選択状態として示されている。インタフェースタブ１３０２は、デバイス名フィールド、インタフェース名フィールド、ポリシーグループフィールド、個別ポリシー割り当てフィールドを含むグリッド表示を有する。個別ポリシー割り当てフィールドは、ＩＰＳフィールド、高度マルウェアフィールド、検査オプションフィールド、接続制限フィールド、ファイアウォールフィールド、サービス品質（ＱｏＳ）フィールドを含む。図１３の例において、３つのインタフェースを含む１つのデバイスが示されている。図１３に示されているように、全てのインタフェース及び割り当ては、グリッド上に表示されるので、割り当ての比較及び対比を容易に実行できることが分かる。

図１４は、一実施形態による、フィルタリング動作を実行するネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページ１４００を示す。ポリシー管理ＧＵＩページ１４００は、現在のフィルタリングの設定を容易にする「Ｑｕｉｃｋ Ｓｅａｒｃｈ」フィールド１４０２と、現在のフィルタを消去する「Ｃｌｅａｒ Ａｌｌ Ｆｉｌｔｅｒｓ」フィールド１４０４を含む。グリッド表示では、検索、フィルタリングは容易である。例えば、ユーザは、インタフェース名又は割り当てポリシーに基づいて、容易にフィルタリングできる。

図１５Ａ及び図１５Ｂは、一実施形態による一括編集動作を実行するネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページ１５００を示す。一括編集動作は、複数のインタフェースにわたって同時にポリシー割り当てを編集する機能を提供する。ＧＵＩ内で複数のインタフェースが選択されているとき、ページ１５００は、選択されたインタフェースのためのポリシーグループが割り当てられ得る「Ｍｕｌｔｉｐｌｅ Ｉｎｔｅｒｆａｃｅｓ Ｓｅｌｅｃｔｅｄ」パネル１５０２を提供することによって、ポリシータイプに至るまでの粒度を提供する一括編集モードに入る。また、モードでは、各インタフェースについて、個別ポリシー割り当て（例えば、ＩＰＳ、高度マルウェア、検査オプション、接続制限、ファイアウォール、及び、サービス品質（ＱｏＳ））全ての同時設定が提供される。例えば、ユーザは、各インタフェースへ現在割り当てられているＩＰＳポリシーに影響を与えることなく、同一の接続制限ポリシーを、選択された全てのインタフェースへ割り当てることを選択できる。

図１６Ａ及び図１６Ｂは、一実施形態に係る、ポリシー定義の表示、編集、及び、生成を実行するためのネットワークセキュリティプラットフォームのポリシー管理ＧＵＩページ１６００を示す。１又は複数のインタフェース１６０２を選択すると、ポリシー編集パネル１６０４が開くように構成されている。ポリシー編集パネル１６０４では、個別ポリシー割り当てのうち１又は複数に対する（新しいポリシーの生成、既存ポリシーの表示、既存ポリシーの編集を含む）操作が行われ得る。例えば、通常のＩＰＳポリシーは、数千の攻撃の定義を含み、ファイアウォールポリシーは、数十から数千のルールを含み得る。したがって、割り当てとは別にポリシー定義の管理を維持することは有益であるが、ＧＵＩページ１６００は、２つのワークフロー間での容易な移行を可能にする。具体的には、選択されたポリシーの詳細の表示／編集には、クリックでアクセス可能である。必要なときに新しいポリシーを生成する機能についても同様である。

Claims (15)

1. 少なくとも１つのプロセッサと、少なくとも１つのメモリ要素とを備える、認証用のシステムであって、
   ユーザによるローカルオペレーティングシステムログインの通知を前記ユーザに関連するクライアントデバイスから受信する段階と、
   前記ユーザに関連する１又は複数の認証因子を前記クライアントデバイスから受信する段階と、
   前記ローカルオペレーティングシステムログインをリライングパーティエンティティへプロモーションすべきかどうか、前記ユーザに関連する前記１又は複数の認証因子に基づいて判定する段階と
   を実行し、
   前記ローカルオペレーティングシステムログインを前記リライングパーティエンティティへプロモーションすべきかどうか判定する段階は、前記１又は複数の認証因子が必要なセキュリティレベルを満たしているかどうか判定する段階を含み、
   前記システムは更に、前記１又は複数の認証因子が前記必要なセキュリティレベルを満たしているという判定に応じて、前記ローカルオペレーティングシステムログインを前記リライングパーティエンティティへプロモーションする、
   システム。
2. 前記ローカルオペレーティングシステムログインを前記リライングパーティエンティティへプロモーションする段階は、前記リライングパーティエンティティに関連する１又は複数のリソースへアクセスするべく前記クライアントデバイスを認証する段階を含む、請求項１に記載のシステム。
3. 前記１又は複数のリソースは、前記リライングパーティエンティティによって提供されるサービス、又は、前記リライングパーティエンティティによって提供されるアプリケーションのうち、少なくとも１つを含む、請求項２に記載のシステム。
4. 前記システムは更に、前記ローカルオペレーティングシステムログインの前記リライングパーティエンティティへのプロモーションに応じて、前記クライアントデバイスと前記リライングパーティエンティティとの間のアクティブセッションを確立する、請求項３に記載のシステム。
5. 前記１又は複数の認証因子は、少なくとも１つの能動認証因子及び少なくとも１つの受動認証因子のうち１又は複数を含む、請求項４に記載のシステム。
6. 前記少なくとも１つの能動認証因子は、バイオメトリック認証因子を含む、請求項５に記載のシステム。
7. 前記バイオメトリック認証因子は、前記ユーザの顔認識を含む、請求項６に記載のシステム。
8. ユーザによるローカルオペレーティングシステムログインの通知を前記ユーザに関連するクライアントデバイスから受信するコンピュータコードと、
   前記クライアントデバイスから、前記ユーザに関連する１又は複数の認証因子を受信するコンピュータコードと、
   前記ユーザに関連する前記１又は複数の認証因子に基づいて、前記ローカルオペレーティングシステムログインをリライングパーティエンティティへプロモーションすべきかどうか判定するコンピュータコードと、
   を含むコンピュータコードであって、
   更に、前記ローカルオペレーティングシステムログインを前記リライングパーティエンティティへプロモーションすべきかどうか判定する段階は、前記１又は複数の認証因子が必要なセキュリティレベルを満たしているかどうか判定する段階を含む、コンピュータコード。
9. 更に、前記１又は複数の認証因子が前記必要なセキュリティレベルを満たしているという判定に応じて、前記ローカルオペレーティングシステムログインを前記リライングパーティエンティティへプロモーションする、請求項８に記載のコンピュータコード。
10. 前記ローカルオペレーティングシステムログインを前記リライングパーティエンティティへプロモーションする段階は、前記リライングパーティエンティティに関連する１又は複数のリソースにアクセスするべく、前記クライアントデバイスを認証する段階を含む、請求項８に記載のコンピュータコード。
11. 前記１又は複数のリソースは、前記リライングパーティエンティティによって提供されるサービス、又は、前記リライングパーティエンティティによって提供されるアプリケーションのうち、少なくとも１つを含む、請求項１０に記載のコンピュータコード。
12. 更に、前記ローカルオペレーティングシステムログインの前記リライングパーティエンティティへのプロモーションに応じて、前記クライアントデバイスと前記リライングパーティエンティティとの間のアクティブセッションを確立する、請求項８から１１のいずれか一項に記載のコンピュータコード。
13. 前記１又は複数の認証因子は、少なくとも１つの能動認証因子及び少なくとも１つの受動認証因子のうち１又は複数を含む、請求項８から１２のいずれか一項に記載のコンピュータコード。
14. 前記少なくとも１つの能動認証因子はバイオメトリック認証因子を含む、請求項１３に記載のコンピュータコード。
15. 前記バイオメトリック認証因子は、前記ユーザの顔認識を含む、請求項１４に記載のコンピュータコード。

Images