JP2024501752A - 鍵付きハッシュメッセージ認証コードの鍵マテリアルとしての属性ベースの暗号化鍵ユーザ認証および認可 - Google Patents

Abstract

リソースユーザ認証及び認可が提供される。認証コードは、ネットワークを介してリソースユーザのクライアント装置から受信した保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として、取得された属性ベースの暗号化ユーザ鍵を使用することに基づいて生成される。生成された認証コードは、保護されたリソースアクセス要求の埋め込まれたヘッダフィールド内で読み取られた認証コードと比較される。生成された認証コードと、埋め込まれたヘッダフィールド内で読み取られた認証コードとの間に一致が存在するかどうかが判定される。一致が存在すると判定したことに応答して、リソースユーザが認証される。リソースユーザの認証に応答して、リソースユーザに対応する取得された属性ベースの暗号化ユーザ鍵を使用して、保護されたリソースアクセス要求に対応する暗号化され保護されたリソースの復号が実行される。【選択図】図８Ａ

Description

本開示は、一般に、ユーザ認証および認可に関し、より具体的には、リソースユーザに対応する属性ベースの暗号化ユーザ鍵を、ユーザ認証および認可のためにリソースユーザによって行われる保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として使用することに関する。

ユーザ認証および認可は、ネットワークセキュリティの重要な構成要素である。例えば、ユーザのアイデンティティを認証することは、ユーザによる安全なユーザアカウントへのアクセス、安全な取引の実行、安全なネットワークリソースへのアクセスなどの制御を行うための最初のステップである。認証は、ユーザの身元を確認することを意味し、認可は、ユーザに許可を与えることを意味する。つまり、認証はユーザが誰であるかを確認するプロセスであり、認可はユーザが何を実行し、何にアクセスすることができるかを確認するプロセスである。認可は、安全または保護されたリソースへのアクセス権または特権を指定する機能であり、アクセス制御と関連している。認可は、アクセス制御ポリシーによって定義される。認可操作の間、コンピュータシステムは、アクセス制御ポリシーを使用して、認証されたユーザからの保護されたリソースへのアクセス要求が承認されるか（すなわち、アクセスが許可されるか）、不承認とされるか（すなわち、アクセスが拒否されるか）を判定する。保護されたリソースには、例えば、秘密情報または機密情報を含むデータ、ファイル、文書、ソフトウェアアプリケーションおよびプログラム、ストレージ、プロセッサ、メモリ、ネットワークリソースなどを含めることができる。論理的には、認証は認可に先行する。

ネットワークセキュリティは、ネットワークにアクセス可能な保護されたリソースへの無許可のアクセス、誤用、変更、または拒否を防止および監視するために採用されるこれらのアクセス制御ポリシーからなる。通常、ユーザは、ユーザ名およびパスワード、またはその他の認証情報などの識別子を選択するか、割り当てられ、それにより、ユーザの権限内でネットワークにアクセス可能な保護されたリソースにユーザがアクセスできるようにする。例えば、認証されると、ファイアウォールは、各ユーザがネットワーク上のどの保護されたリソースにアクセスすることができるかを定義するアクセス制御ポリシーを実施する。

１つの例示的な実施形態によれば、リソースユーザ認証および認可のためのコンピュータ実装方法が提供される。コンピュータは、ネットワークを介してリソースユーザのクライアント装置から受信した保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として、取得された属性ベースの暗号化ユーザ鍵を使用することに基づいて、認証コードを生成する。コンピュータは、生成された認証コードと、保護されたリソースアクセス要求の埋め込まれたヘッダフィールド内で読み取られた認証コードとを比較する。コンピュータは、生成された認証コードと、埋め込まれたヘッダフィールド内で読み取られた認証コードとの間に一致が存在するかどうかを判定する。生成された認証コードと、埋め込まれたヘッダフィールド内で読み取られた認証コードとの間に一致が存在するとコンピュータが判定したことに応答して、コンピュータは、リソースユーザを認証する。コンピュータは、リソースユーザの認証に応答して、リソースユーザに対応する取得された属性ベースの暗号化ユーザ鍵を使用して、保護されたリソースアクセス要求に対応する暗号化され保護されたリソースの復号を実行する。他の例示的な実施形態によれば、リソースユーザ認証および認可のためのコンピュータシステムおよびコンピュータプログラム製品が提供される。

例示的な実施形態が実装され得るデータ処理システムのネットワークを示す絵図である。 例示的な実施形態が実装され得るデータ処理システムの図である。 例示的な実施形態が実装され得るクラウドコンピューティング環境を例示する図である。 例示的な実施形態によるクラウドコンピューティング環境の抽象化レイヤの一例を示す図である。 例示的な実施形態による保護されたリソースアクセス制御システムの一例を示す図である。 例示的な実施形態による保護されたリソースアクセス要求ヘッダの一例を示す図である。 例示的な実施形態による保護されたリソースアクセス制御プロセスの一例を示す図である。 例示的な実施形態によるリソースサーバのプロセスを示すフローチャートである。 例示的な実施形態によるリソースサーバのプロセスを示すフローチャートである。 例示的な実施形態によるクライアントリソースアプリケーションの処理を示すフローチャートである。

本発明は、任意の可能な技術詳細レベルで統合されたシステム、方法もしくはコンピュータプログラム製品またはそれらの組み合せとすることができる。コンピュータプログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を記憶したコンピュータ可読記憶媒体を含んでよい。

コンピュータ可読記憶媒体は、命令実行装置によって使用される命令を保持し、記憶することができる有形の装置とすることができる。コンピュータ可読記憶媒体は、一例として、電子記憶装置、磁気記憶装置、光学記憶装置、電磁記憶装置、半導体記憶装置またはこれらの適切な組み合わせであってよいが、これらに限定されない。コンピュータ可読記憶媒体のより具体的な一例としては、ポータブルコンピュータディスケット、ハードディスク、ＲＡＭ、ＲＯＭ、ＥＰＲＯＭ（またはフラッシュメモリ）、ＳＲＡＭ、ＣＤ－ＲＯＭ、ＤＶＤ、メモリスティック、フロッピーディスク、パンチカードまたは溝内の***構造などに命令を記録した機械的に符号化された装置、およびこれらの適切な組み合せが挙げられる。本明細書で使用されるコンピュータ可読記憶装置は、電波もしくは他の自由に伝播する電磁波、導波管もしくは他の伝送媒体を介して伝播する電磁波（例えば、光ファイバケーブルを通過する光パルス）、またはワイヤを介して送信される電気信号のような、一過性の信号それ自体として解釈されるべきではない。

本明細書に記載のコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれのコンピューティング／処理装置に、または、ネットワーク（例えば、インターネット、ローカルエリアネットワーク、ワイドエリアネットワーク、もしくはワイヤレスネットワークまたはその組み合わせ）を介して外部コンピュータまたは外部記憶装置にダウンロードすることができる。ネットワークは、銅線伝送ケーブル、光伝送ファイバー、無線伝送、ルーター、ファイアウォール、スイッチ、ゲートウェイコンピュータ、もしくはエッジサーバーまたはその組み合わせで構成される。各コンピューティング／処理装置のネットワークアダプタカードまたはネットワークインターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、それぞれのコンピューティング／処理装置内のコンピュータ可読記憶媒体に格納するためにコンピュータ可読プログラム命令を転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、統合回路のための構成データ、またはＳｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語と「Ｃ」プログラミング言語や類似のプログラミング言語などの手続き型プログラミング言語を含む、１つ以上のプログラミング言語の任意の組み合わせで記述されたソースコードまたはオブジェクトコードのいずれかであってよい。コンピュータ可読プログラム命令は、スタンドアロンソフトウェアパッケージとして、完全にユーザのコンピュータ上で、または部分的にユーザのコンピュータ上で実行可能である。あるいは、部分的にユーザのコンピュータ上でかつ部分的にリモートコンピュータ上で、または完全にリモートコンピュータまたはサーバ上で実行可能である。後者のシナリオでは、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）またはワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続され、または（例えば、インターネットサービスプロバイダーを使用したインターネット経由で）外部コンピュータに接続されてよい。いくつかの実施形態では、例えば、プログラマブルロジック回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、またはプログラマブルロジックアレイ（ＰＬＡ）を含む電子回路は、本発明の態様を実行するために、コンピュータ可読プログラム命令の状態情報を利用してパーソナライズすることにより、コンピュータ可読プログラム命令を実行することができる。

本発明の態様は、本発明の実施形態による方法、装置（システム）、およびコンピュータプログラム製品のフローチャート図もしくはブロック図またはその両方を参照して本明細書に記載されている。フローチャート図もしくはブロック図またはその両方の各ブロック、およびフローチャート図もしくはブロック図またはその両方のブロックの組み合わせは、コンピュータ可読プログラム命令によって実装できることが理解されよう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令がフローチャートもしくはブロック図またはその両方の１つまたは複数のブロックで指定された機能／動作を実装するための手段を生成するように、機械を生成するためにコンピュータのプロセッサまたは他のプログラム可能なデータ処理装置に提供されることができる。これらのコンピュータ可読プログラム命令はまた、フローチャートもしくはブロック図またはその両方の１つまたは複数のブロックで指定された機能／行為の態様を実装する命令を含む生成品の１つを命令が記憶されたコンピュータ可読プログラム命令が構成するように、コンピュータ、プログラム可能なデータ処理装置、もしくは特定の方法で機能する他のデバイスまたはその組み合わせに接続可能なコンピュータ可読記憶媒体の中に記憶されることができる。

コンピュータ、他のプログラム可能な装置、または他のデバイス上でフローチャートもしくはブロック図またはその両方の１つまたは複数のブロックで指定された機能／行為を実行する命令のように、コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラム可能なデータ処理装置、または他のデバイスにロードされ、コンピュータ、他のプログラム可能な装置、または他のデバイス上で一連の操作ステップを実行し、コンピュータ実装された過程を生成することができる。

図中のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータプログラム製品が実行可能な実装の構成、機能、および動作を示している。これに関して、フローチャートまたはブロック図の各ブロックは、モジュール、セグメント、または命令の一部を表してよく、これは、指定された論理機能を実装するための１つまたは複数の実行可能命令を構成する。いくつかの代替の実施形態では、ブロックに示されている機能は、図に示されている順序とは異なる場合がある。例えば、連続して示される２つのブロックは、実際には、１つのステップとして達成される場合があり、同時に、実質的に同時に、部分的または全体的に時間的に重複する方法で実行されるか、またはブロックは、関係する機能に応じて逆の順序で実行される場合がある。ブロック図もしくはフローチャート図またはその両方の各ブロック、およびブロック図もしくはフローチャート図またはその両方のブロックの組み合わせは、指定された機能または動作を実行する、または特別な目的のハードウェアとコンピュータ命令の組み合わせを実行する特別な目的のハードウェアベースのシステムによって実装できることにも留意されたい。

ここで図を参照し、特に図１～５を参照すると、例示的な実施形態が実施され得るデータ処理環境の図が提供される。図１～５は、例として意図されているだけであり、異なる実施形態が実装され得る環境に関して、いかなる限定も主張または暗示することを意図していないことを理解されたい。描かれた環境に対する多くの変更がなされ得る。

図１は、例示的な実施形態が実装され得るデータ処理システムのネットワークの絵図を示す。ネットワークデータ処理システム１００は、例示的な実施形態が実装され得るコンピュータ、データ処理システム、および他のデバイスのネットワークである。ネットワークデータ処理システム１００は、ネットワーク１０２を含み、ネットワーク１０２はネットワークデータ処理システム１００内で一緒に接続されたコンピュータ、データ処理システム、および他のデバイスの間の通信リンクを提供するために使用される媒体である。ネットワーク１０２は、例えば、有線通信リンク、無線通信リンク、光ファイバーケーブルなどの接続を含み得る。

描かれた例では、サーバ１０４とサーバ１０６は、ストレージ１０８とともにネットワーク１０２に接続する。サーバ１０４およびサーバ１０６は、例えば、ネットワーク１０２への高速接続を有するリソースサーバコンピュータであってもよい。さらに、サーバ１０４およびサーバ１０６は、クライアント装置による保護されたリソース１１０へのアクセス管理サービスを提供することができる。保護されたリソース１１０は、サーバ１０４およびサーバ１０６によってホストされる保護されたリソースのセットを表す。保護されたリソース１１０は、無許可のユーザアクセスから安全なまたは保護された任意のタイプのリソースを表すことができる。例えば、保護されたリソース１１０は、制限されたアクセスデータ、ファイル、文書、ソフトウェアアプリケーションおよびプログラム、プロセッサ、メモリ、ストレージ、ネットワークリソースなどのうちの少なくとも１つを含む。さらに、保護されたリソース１１０は、セキュリティを高めるために暗号化され、または保護されたリソース１１０に対応するメタデータが暗号化される。

また、サーバ１０４およびサーバ１０６はそれぞれ、保護されたリソースアクセス管理サービスプロバイダによって管理される１または複数のクラウド環境における複数のコンピューティングノードを表すことができることに留意されたい。あるいは、サーバ１０４およびサーバ１０６はそれぞれ、サービスをホストする１または複数のデータセンターにおけるサーバのクラスタを表すことがある。さらに、サーバ１０４およびサーバ１０６は、例えば、アプリケーション、プログラム、ソフトウェアアップデート、ソフトウェア修正、ファイル、データなどの情報をクライアント装置に提供してもよい。

クライアント１１２、クライアント１１４、およびクライアント１１６もネットワーク１０２に接続する。クライアント１１２、１１４、および１１６は、サーバ１０４およびサーバ１０６のクライアント装置である。この例では、クライアント１１２、１１４、および１１６は、ネットワーク１０２への有線通信リンクを有するデスクトップまたはパーソナルコンピュータとして示されている。しかしながら、クライアント１１２、１１４、および１１６は例示に過ぎず、例えば、ネットワーク１０２への有線または無線通信リンクを有するラップトップコンピュータ、ハンドヘルドコンピュータ、スマートフォン、スマートウォッチ、スマートテレビ、スマートグラス、スマート家電、ゲーム装置などの他のタイプのデータ処理システムを表すことができることに留意されたい。クライアント１１２、１１４、および１１６のユーザは、サーバ１０４もしくはサーバ１０６またはその両方がユーザを認証し、次にユーザが保護されたリソース１１０へのアクセスを許可されているかどうかを判定する際に、クライアント１１２、１１４、および１１６を利用して保護されたリソース１１０にアクセスおよび利用することができる。

ストレージ１０８は、構造化フォーマットまたは非構造化フォーマットで任意のタイプのデータを格納することができるネットワーク記憶装置である。さらに、ストレージ１０８は、複数のネットワーク記憶装置を表すことができる。さらに、ストレージ１０８は、複数の異なるクライアント装置の識別子およびネットワークアドレス、複数の異なるリソースユーザの識別子、保護されたリソースのアクセス制御ポリシーなどを記憶してもよい。

さらに、ネットワークデータ処理システム１００は、任意の数の追加のサーバ、クライアント、記憶装置、および図示しない他のデバイスを含むことができることに留意されたい。ネットワークデータ処理システム１００に位置するプログラムコードは、コンピュータ可読記憶媒体に格納され、使用のためにコンピュータまたは他のデータ処理装置にダウンロードされる場合がある。例えば、プログラムコードは、サーバ１０４上のコンピュータ可読記憶媒体に格納され、クライアント１１２で使用するためにネットワーク１０２を介してクライアント１１２にダウンロードされてもよい。

描かれた例では、ネットワークデータ処理システム１００は、例えば、インターネット、イントラネット、ワイドエリアネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、電気通信ネットワーク、またはそれらの任意の組み合わせなどの、多数の異なるタイプの通信ネットワークとして実装され得る。図１は、例示としてのみ意図されており、異なる例示的な実施形態に対するアーキテクチャ上の制限として意図されていない。

本明細書において、項目に関して使用される場合、「多数の」は、項目のうちの１または複数を意味する。例えば、「多数の異なるタイプの通信ネットワーク」は、１または複数の異なるタイプの通信ネットワークを意味する。同様に、項目に関して使用される場合、「のセット」は、１または複数の項目を意味する。

さらに、用語「少なくとも１つ」は、項目のリストと共に使用される場合、リストされた項目の１または複数の異なる組み合わせが使用されてもよく、リスト内の各項目の１つだけが必要であってもよいことを意味する。言い換えれば、「少なくとも１つ」は、リストから任意の項目の組み合わせと数を使用することができるが、リスト内のすべての項目が必要なわけではないことを意味する。項目は、特定の物体、物、またはカテゴリであってもよい。

例えば、限定するものではないが、「項目Ａ、項目Ｂ、または項目Ｃのうちの少なくとも１つ」は、項目Ａ、項目Ａおよび項目Ｂ、または項目Ｂを含み得る。この例は、項目Ａ、項目Ｂ、および項目Ｃまたは項目Ｂおよび項目Ｃも含み得る。もちろん、これらの項目の任意の組み合わせが存在し得る。いくつかの例示的な例では、「少なくとも１つの」は、例えば、限定されないが、項目Ａの２つ、項目Ｂの１つ、および項目Ｃの１０個、項目Ｂの４つおよび項目Ｃの７つ、または他の適切な組合せであり得る。

ここで図２を参照すると、例示的な実施形態によるデータ処理システムの図が描かれている。データ処理システム２００は、図１のサーバ１０４などのコンピュータの一例であり、例示的な実施形態の保護されたリソースアクセス管理プロセスを実装するコンピュータ可読プログラムコードまたは命令が配置されることがある。この例では、データ処理システム２００は、プロセッサユニット２０４、メモリ２０６、永続ストレージ２０８、通信ユニット２１０、入力／出力（Ｉ／Ｏ）ユニット２１２、およびディスプレイ２１４間の通信を提供する通信ファブリック２０２を含む。

プロセッサユニット２０４は、メモリ２０６にロードされ得るソフトウェアアプリケーションおよびプログラムのための命令を実行する役割を果たす。プロセッサユニット２０４は、特定の実装に依存して、１または複数のハードウェアプロセッサデバイスのセットであってもよいし、マルチコアプロセッサであってもよい。

メモリ２０６および永続ストレージ２０８は、記憶装置２１６の例である。本明細書で使用されるように、コンピュータ可読記憶装置またはコンピュータ可読記憶媒体は、例えば、限定されないが、データ、機能形態のコンピュータ可読プログラムコード、もしくは他の適切な情報、またはその組み合わせなどの情報を一過性ベースまたは持続性ベースのいずれかで記憶することができるハードウェアの任意の部分である。さらに、コンピュータ可読記憶装置またはコンピュータ可読記憶媒体は、一過性の信号のような伝搬媒体を除外する。メモリ２０６は、これらの例では、例えば、ランダムアクセスメモリ（ＲＡＭ）、またはフラッシュメモリなどの任意の他の適切な揮発性または不揮発性の記憶装置であってもよい。永続ストレージ２０８は、特定の実装に依存して、様々な形態をとることができる。例えば、永続ストレージ２０８は、１または複数の装置を含むことができる。例えば、永続ストレージ２０８は、ディスクドライブ、ソリッドステートドライブ、書き換え可能な光ディスク、書き換え可能な磁気テープ、または上記のいくつかの組み合わせであってもよい。永続ストレージ２０８によって使用される媒体は、取り外し可能であってよい。例えば、リムーバブルハードドライブが永続ストレージ２０８に使用されることがある。

この例では、永続ストレージ２０８は、保護されたリソースアクセスマネージャ２１８を記憶する。しかしながら、保護されたリソースアクセスマネージャ２１８が永続ストレージ２０８に常駐するように図示されているにもかかわらず、代替の例示的実施形態では、保護されたリソースアクセスマネージャ２１８はデータ処理システム２００の別のコンポーネントであり得ることに留意されたい。例えば、保護されたリソースアクセスマネージャ２１８は、通信ファブリック２０２に結合されたハードウェアコンポーネント、またはハードウェアおよびソフトウェアコンポーネントの組合せであってもよい。別の代替的な例示的実施形態では、保護されたリソースアクセスマネージャ２１８のコンポーネントの第１のセットは、データ処理システム２００に配置されてよく、保護されたリソースアクセスマネージャ２１８のコンポーネントの第２のセットは、例えば、図１のサーバ１０６などの第２のデータ処理システムに配置されてもよい。

保護されたリソースアクセスマネージャ２１８は、例えば、図１の保護されたリソース１１０などの保護されたリソースのセットへのリソースユーザアクセスを制御する。保護されたリソースアクセスマネージャ２１８は、属性ベースの暗号化ユーザ鍵を秘密暗号鍵として利用し、保護されたリソースのセット内の特定の保護されたリソースへのアクセス権を要求するリソースユーザによってなされる保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名を生成する。保護されたリソースアクセスマネージャ２１８は、生成された認証コードデジタル署名と、リソースユーザを認証するために保護されたリソースアクセス要求の埋め込まれたヘッダフィールドにおいて受信された認証コードデジタル署名とを比較する。認証コードデジタル署名の間に一致が存在すると判定することによるリソースユーザの認証の際に、保護されたリソースアクセスマネージャ２１８は、要求され保護されたリソースまたは要求され保護されたリソースに対応するメタデータを復号するために、保護されたリソースアクセス要求の埋め込まれたヘッダフィールドで受信した認証コードデジタル署名の生成に使用した同じ属性ベースの暗号化ユーザ鍵を利用する。その特定の属性ベースの暗号化ユーザ鍵を使用して復号が成功した場合、保護されたリソースアクセスマネージャ２１８は、リソースユーザがその特定の保護されたリソースにアクセスする権限を有していると判定し、アクセスを許可する。

その結果、データ処理システム２００は、データ処理システム２００内の保護されたリソースアクセスマネージャ２１８が、ネットワーク上の保護されたリソースへのアクセス制御およびセキュリティのレベルの向上を可能にする特別な目的のコンピュータシステムとして動作する。特に、保護されたリソースアクセスマネージャ２１８は、保護されたリソースアクセスマネージャ２１８を有しない現在利用可能な一般的なコンピュータシステムと比較して、データ処理システム２００を特別な目的のコンピュータシステムに変換する。

通信ユニット２１０は、この例では、図１のネットワーク１０２などのネットワークを介して、他のコンピュータ、データ処理システム、およびデバイスとの通信を提供する。通信ユニット２１０は、物理的通信リンクおよび無線通信リンクの両方の使用を通じて通信を提供することができる。物理的通信リンクは、例えば、データ処理システム２００の物理的通信リンクを確立するために、ワイヤ、ケーブル、ユニバーサルシリアルバス、または任意の他の物理技術を利用することができる。無線通信リンクは、例えば、短波、高周波、超高周波、マイクロ波、ワイヤレスフィデリティ（ｗｉ－ｆｉ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）技術、移動通信用グローバルシステム（ＧＳＭ）、符号分割多重接続（ＣＤＭＡ）、第２世代（２Ｇ）、第３世代（３Ｇ）、第４世代（４Ｇ）、４Ｇロングタームエヴォリューション（ＬＴＥ）、LTE Advanced、第５世代（５Ｇ）、または任意の他の無線通信技術または標準を利用して、データ処理システム２００の無線通信リンクを構築することができる。

入力／出力ユニット２１２は、データ処理システム２００に接続され得る他のデバイスとのデータの入力および出力を可能にする。例えば、入力／出力ユニット２１２は、キーパッド、キーボード、マウス、マイクロフォン、もしくは他の何らかの適切な入力デバイス、またはその組み合わせを介したユーザ入力のための接続を提供し得る。ディスプレイ２１４は、ユーザに情報を表示する機構を提供し、例えば、ユーザがユーザインタフェースまたは入力データを介して画面上の選択を行うことを可能にするためのタッチスクリーン機能を含むことができる。

オペレーティングシステム、アプリケーション、もしくはプログラム、またはその組み合わせのための命令は、通信ファブリック２０２を介してプロセッサユニット２０４と通信している記憶装置２１６に配置されることがある。この例示的な例では、命令は、永続ストレージ２０８上の機能的な形態である。これらの命令は、プロセッサユニット２０４による実行のためにメモリ２０６にロードされ得る。異なる実施形態のプロセスは、メモリ２０６などのメモリに配置され得るコンピュータ実装命令を使用して、プロセッサユニット２０４によって実行されてもよい。これらのプログラム命令は、プロセッサユニット２０４内のプロセッサによって読み取られ実行され得るプログラムコード、コンピュータ使用可能プログラムコード、またはコンピュータ可読プログラムコードと称される。プログラム命令は、異なる実施形態では、メモリ２０６または永続ストレージ２０８などの異なる物理的なコンピュータ可読記憶装置上に実装されることがある。

プログラムコード２２０は、選択的に取り外し可能であり、プロセッサユニット２０４による実行のためにデータ処理システム２００にロードまたは転送され得るコンピュータ可読媒体２２２上に機能形態で配置される。プログラムコード２２０およびコンピュータ可読媒体２２２は、コンピュータプログラム製品２２４を形成する。一例では、コンピュータ可読媒体２２２は、コンピュータ可読記憶媒体２２６またはコンピュータ可読信号媒体２２８であり得る。

これらの例示的な例では、コンピュータ可読記憶媒体２２６は、プログラムコード２２０を伝播または伝送する媒体ではなく、プログラムコード２２０を記憶するために使用される物理的または有形記憶装置である。コンピュータ可読記憶媒体２２６は、例えば、永続ストレージ２０８の一部であるハードドライブなどの記憶装置上に転送するために永続ストレージ２０８の一部であるドライブやほかの装置に挿入または配置される光ディスクまたは磁気ディスクを含むことができる。コンピュータ可読記憶媒体２２６はまた、データ処理システム２００に接続されるハードドライブ、サムドライブ、またはフラッシュメモリなどの永続ストレージの形態をとることもできる。

あるいは、プログラムコード２２０は、コンピュータ可読信号媒体２２８を使用してデータ処理システム２００に転送されてもよい。コンピュータ可読信号媒体２２８は、例えば、プログラムコード２２０を含む伝搬データ信号であってもよい。例えば、コンピュータ可読信号媒体２２８は、電磁信号、光信号、または任意の他の適切なタイプの信号であってもよい。これらの信号は、無線通信リンク、光ファイバケーブル、同軸ケーブル、ワイヤ、または任意の他の適切なタイプの通信リンクなどの通信リンクを介して伝送されてもよい。

さらに、本明細書で使用する場合、「コンピュータ可読媒体２２２」は単数または複数であり得る。例えば、プログラムコード２２０は、単一の記憶装置またはシステムの形態でコンピュータ可読媒体２２２に配置することができる。別の例では、プログラムコード２２０は、複数のデータ処理システムに分散されたコンピュータ可読媒体２２２に配置することができる。言い換えれば、プログラムコード２２０の一部の命令は１つのデータ処理システムに配置され、プログラムコード２２０の他の命令は１または複数の他のデータ処理システムに配置されることが可能である。例えば、プログラムコード２２０の一部は、サーバコンピュータ内のコンピュータ可読媒体２２２に配置することができ、一方、プログラムコード２２０の別の一部は、クライアントコンピュータのセットに配置されるコンピュータ可読媒体２２２に配置することができる。

データ処理システム２００について例示された異なる構成要素は、異なる実施形態が実装され得る方法に対するアーキテクチャ上の制限を提供することを意味しない。いくつかの例示的な例では、構成要素のうちの１または複数が、別の構成要素に組み込まれるか、さもなければ、その一部を形成することができる。例えば、メモリ２０６、またはその一部は、いくつかの例示的な例では、プロセッサユニット２０４に組み込まれることがある。異なる例示的な実施形態は、データ処理システム２００について例示された構成要素に加えて、またはその代わりに構成要素を含むデータ処理システムで実施することができる。図２に示された他の構成要素は、示された例示的な例から変化させることができる。異なる実施形態は、プログラムコード２２０を実行することができる任意のハードウェアデバイスまたはシステムを使用して実装することができる。

別の例では、通信ファブリック２０２を実装するためにバスシステムを使用することができ、システムバスまたは入力／出力バスなどの１または複数のバスで構成することができる。もちろん、バスシステムは、バスシステムに接続された異なるコンポーネントまたはデバイス間のデータの転送を提供する任意の適切なタイプのアーキテクチャを使用して実装されてもよい。

本開示はクラウドコンピューティングに関する詳細な説明を含むが、本明細書に記載した教示の実装形態はクラウドコンピューティング環境に限定されない。むしろ、説明される実施形態は、現在公知のまたは将来開発される他の任意の種類のコンピュータ環境と共に実施することができる。クラウドコンピューティングは、設定可能なコンピューティングリソースの共有プール（例えばネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、記憶装置、アプリケーション、仮想マシンおよびサービス）へ、簡便かつオンデマンドのネットワークアクセスを可能にするためのサービス提供のモデルであり、リソースは、最小限の管理労力または最小限のサービスプロバイダとのやり取りによって速やかに準備（provision）およびリリースできるものである。このクラウドモデルは、少なくとも５つの特性、少なくとも３つのサービスモデル、および少なくとも４つの実装モデルを含むことがある。

この特性には、例えば、オンデマンド・セルフサービス、ブロード・ネットワークアクセス、リソースプーリング、迅速な柔軟性、および測定されるサービスなどが含まれる場合がある。オンデマンド・セルフサービスは、クラウドの消費者が、サービスプロバイダとの人的な対話を必要することなく、必要に応じて自動的に、サーバ時間やネットワークストレージなどのコンピューティング能力を一方的に準備することを可能にする。ブロード・ネットワークアクセスは、ネットワーク経由で利用可能であり、また、標準的なメカニズムを介してアクセスできるコンピューティング能力を提供する。それにより、異種のシンまたはシッククライアントプラットフォーム（例えば、携帯電話、ラップトップ、パーソナルデジタルアシスタント）による利用が促進される。リソースプーリングは、プロバイダのコンピューティングリソースがプールされ、マルチテナントモデルを利用して複数の消費者に提供されることを可能にする。様々な物理リソースおよび仮想リソースが、需要に応じて動的に割り当ておよび再割り当てされる。一般に消費者は、提供されたリソースの正確な位置を管理または把握していないため、位置非依存（location independence）の感覚がある。ただし消費者は、より高い抽象レベル（例えば、国、州、データセンタ）では場所を特定可能な場合がある。迅速な柔軟性（elasticity）は、迅速かつ柔軟に準備することができるコンピューティング能力を提供し、場合によっては自動的に、直ちにスケールアウトし、また、速やかにリリースされて直ちにスケールインすることができる。消費者にとって、準備に利用可能なコンピューティング能力は無制限に見える場合が多く、任意の時間に任意の数量で購入することができる。測定されるサービスは、クラウドシステムが、サービスの種類（例えば、ストレージ、処理、帯域幅、アクティブユーザアカウント）に適したある程度の抽象化レベルでの測定機能を活用して、リソースの使用を自動的に制御し最適化することを可能にする。リソース使用量を監視、制御、および報告して、利用されるサービスのプロバイダおよび消費者の両方に透明性を提供することができる。

サービスモデルはサービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのプラットフォーム（ＰａａＳ）、およびサービスとしてのインフラストラクチャ（ＩａａＳ）を含み得る。サービスとしてのソフトウェアは、クラウドインフラストラクチャ上で動作するプロバイダのアプリケーションを利用するために消費者に提供される機能である。当該そのアプリケーションは、ウェブブラウザ（例えばウェブメール）などのシンクライアントインタフェースを介して、各種のクライアント装置からアクセスできる。消費者は、ネットワーク、サーバ、オペレーティングシステム、ストレージや、個別のアプリケーション機能さえも含めて、基礎となるクラウドインフラストラクチャの管理や制御は行わない。ただし、ユーザ固有の限られたアプリケーション構成の設定はその限りではない。サービスとしてのプラットフォームは、プロバイダによってサポートされるプログラム言語およびツールを用いて、消費者が作成または取得したアプリケーションを、クラウドインフラストラクチャに展開（deploy）するために消費者に提供される機能である。消費者は、ネットワーク、サーバ、オペレーティングシステム、ストレージを含む、基礎となるクラウドインフラストラクチャの管理や制御は行わないが、展開されたアプリケーションを制御でき、かつ場合によってはそのホスティング環境の構成も制御できる。サービスとしてのインフラストラクチャは、オペレーティングシステムやアプリケーションを含み得る任意のソフトウェアを消費者が展開および実行可能な、プロセッサ、ストレージ、ネットワーク、および他の基本的なコンピューティングリソースを準備するための消費者に提供される機能である。消費者は、基礎となるクラウドインフラストラクチャの管理や制御は行わないが、オペレーティングシステム、ストレージ、および展開されたアプリケーションを制御でき、かつ場合によっては一部のネットワークコンポーネント（例えばホストファイアウォール）を部分的に制御できる。

展開モデルは、例えば、プライベートクラウド、コミュニティクラウド、パブリッククラウド、およびハイブリッドクラウドを含み得る。プライベートクラウドは、特定の組織専用で運用されるクラウドインフラストラクチャである。プライベートクラウドは、当該組織または第三者によって管理することができ、オンプレミスまたはオフプレミスで存在することができる。コミュニティクラウドは、複数の組織によって共有され、共通の関心事（例えば、ミッション、セキュリティ要件、ポリシー、およびコンプライアンス）を持つ特定のコミュニティをサポートするクラウドインフラストラクチャである。コミュニティクラウドは、当該組織または第三者によって管理することができ、オンプレミスまたはオフプレミスで存在することができる。パブリッククラウドは、不特定多数の人々や大規模な業界団体に提供され、クラウドサービスを販売する組織によって所有されるクラウドインフラストラクチャである。ハイブリッドクラウドは、２つ以上のクラウドモデル（プライベート、コミュニティまたはパブリック）を組み合わせたクラウドインフラストラクチャである。それぞれのモデル固有の実体は保持するが、標準または個別の技術によってバインドされ、データとアプリケーションの可搬性（例えば、クラウド間の負荷分散のためのクラウドバースティング）を実現する。

クラウドコンピューティング環境は、ステートレス性（statelessness）、低結合性（low coupling）、モジュール性（modularity）および意味論的相互運用性（semantic interoperability）に重点を置いたサービス指向型環境である。クラウドコンピューティングの中核にあるのは、相互接続されたノードのネットワークを含むインフラストラクチャである。

ここで図３を参照すると、例示的な実施形態が実装され得るクラウドコンピューティング環境を例示する図が描かれている。この例示的な例では、クラウドコンピューティング環境３００は１つまたは複数のクラウドコンピューティングノード３１０を含む。これらに対して、クラウド消費者が使用するローカルコンピュータ装置（例えば、パーソナルデジタルアシスタントもしくは携帯電話３２０Ａ、デスクトップコンピュータ３２０Ｂ、ラップトップコンピュータ３２０Ｃ、もしくは自動車コンピュータシステム３２０Ｎまたはこれらの組み合わせなど）は通信を行うことができる。クラウドコンピューティングノード３１０は、例えば、図１におけるサーバ１０４およびサーバ１０６であってよい。ローカルコンピュータ装置３２０Ａ～３２０Ｎは、例えば、図１におけるクライアント１１２～１１６であってよい。

クラウドコンピューティングノード３１０は、互いに通信することができ、例えば、上述のプライベート、コミュニティ、パブリックもしくはハイブリッドクラウドまたはこれらの組み合わせなど、１つまたは複数のネットワークにおいて、物理的または仮想的にグループ化することができる。これにより、クラウドコンピューティング環境３００は、サービスとしてのインフラストラクチャ、プラットフォームもしくはソフトウェアまたはこれらの組み合わせを提供することができ、クラウド消費者はこれらについて、ローカルコンピュータ装置３２０Ａ～３２０Ｎのようなローカルコンピュータ装置上にリソースを維持する必要がない。なお、ローカルコンピュータ装置３２０Ａ～３２０Ｎの種類は例示に過ぎず、クラウドコンピューティングノード３１０およびクラウドコンピューティング環境３００は、任意の種類のネットワークもしくはネットワークアドレス指定可能接続（例えば、ウェブブラウザの使用）またはその両方を介して、任意の種類の電子装置と通信可能であることを理解されたい。

図４を参照すると、例示的な実施形態による例示的な抽象化モデルレイヤが示されている。この例示的な例に示される機能抽象化レイヤのセットは、図３のクラウドコンピューティング環境３００などのクラウドコンピューティング環境によって提供され得る。なお、図４に示すコンポーネント、レイヤおよび機能は例示に過ぎず、本発明の実施形態はこれらに限定されないことをあらかじめ理解されたい。図示するように、以下のレイヤおよび対応する機能が提供される。

クラウドコンピューティング環境の抽象化レイヤ４００は、ハードウェアおよびソフトウェアレイヤ４０２、仮想化レイヤ４０４、管理レイヤ４０６、およびワークロードレイヤ４０８を含む。ハードウェアおよびソフトウェアレイヤ４０２は、クラウドコンピューティング環境のハードウェアコンポーネントおよびソフトウェアコンポーネントを含む。ハードウェアコンポーネントの例には、メインフレーム４１０、縮小命令セットコンピュータ（ＲＩＳＣ）アーキテクチャベースのサーバ４１２、サーバ４１４、ブレードサーバ４１６、記憶装置４１８、ならびにネットワークおよびネットワークコンポーネント４２０が含まれる。いくつかの例示的な実施形態において、ソフトウェアコンポーネントは、ネットワークアプリケーションサーバソフトウェア４２２およびデータベースソフトウェア４２４を含む。

仮想化レイヤ４０４は、抽象化レイヤを提供する。当該レイヤから、例えば以下の仮想エンティティを提供することができる：仮想サーバ４２６、仮想ストレージ４２８、仮想プライベートネットワークを含む仮想ネットワーク４３０、仮想アプリケーションおよびオペレーティングシステム４３２、ならびに仮想クライアント４３４。

一例として、管理レイヤ４０６は以下の機能を提供することができる。リソース準備４３６は、クラウドコンピューティング環境内でタスクを実行するために利用されるコンピューティングリソースおよび他のリソースの動的な調達を可能にする。計量および価格設定４３８は、クラウドコンピューティング環境内でリソースが利用される際のコスト追跡、およびこれらのリソースの消費に対する請求またはインボイス送付を可能にする。一例として、これらのリソースはアプリケーションソフトウェアのライセンスを含んでよい。セキュリティは、データおよび他のリソースに対する保護のみならず、クラウドコンシューマおよびタスクの識別確認を可能にする。ユーザポータル４４０は、コンシューマおよびシステム管理者にクラウドコンピューティング環境へのアクセスを提供する。サービスレベル管理４４２は、要求されたサービスレベルが満たされるように、クラウドコンピューティングリソースの割り当ておよび管理を可能にする。サービス品質保証（ＳＬＡ）の計画および履行４４４は、ＳＬＡに従って将来必要になると予想されるクラウドコンピューティングリソースの事前手配および調達を可能にする。

ワークロードレイヤ４０８は、クラウドコンピューティング環境が利用可能な機能の例を提供する。ワークロードレイヤ４０８から提供可能なワークロードおよび機能の例には、マッピングおよびナビゲーション４４６、ソフトウェア開発およびライフサイクル管理４４８、仮想教室教育の配信４５０、データ分析処理４５２、取引処理４５４、ならびに、保護されたリソースアクセス管理４５６が含まれる。

機密データなどの保護されたリソースを、サービスプロバイダと顧客（すなわちリソースユーザ）の間で共有するコンピュータシステムは、今日のインターネット上に数多く存在する。このプロバイダ／顧客モデルの困難な問題の１つは、ユーザ認証と認可である。ユーザ認証と認可を実装する方法は数多くある。しかし、新しい方法の一部は、機能的な暗号化を用いて保護されたデータとともにアクセス制御ポリシーを暗号化することにより、アクセス制御ポリシーを保護する実装を可能にする。

これらの新しい方法の１つは、保護されたデータが暗号化され、任意のユーザが利用できるようになる属性ベースの暗号化であり、実装は、保護されたデータの無許可のユーザアクセスに対する保護として、暗号文内に暗号化された保護されたデータとブール述部（例えば、アクセス制御ポリシー）を難読化するアルゴリズムの暗号強度に依存している。属性ベースの暗号化は、公開鍵暗号化の一種であり、ユーザの秘密の暗号鍵と暗号文が、例えば、ユーザが働く地理的位置、ユーザの役職、ユーザの職務上の役割、ユーザが属するリソースグループ、ユーザのセキュリティレベルなど、ユーザの属性に依存する。属性ベースの暗号化では、ユーザ鍵の属性セットが暗号文の属性と一致する場合にのみ、暗号文の復号が可能となる。属性ベースの暗号化技術には、主要な２つのタイプがある：１）鍵ポリシー属性ベースの暗号化、２）暗号文ポリシー属性ベースの暗号化。

しかし、ネットワークセキュリティ業界の多くは、暗号化された形式であっても、保護されたリソースに対するより多くの制御を要求する。彼らの見解では、保護されたリソースは、暗号化されていようがいまいが、その特定の保護されたリソースにアクセスし使用することを許可されていない人にはアクセスできないようにすべきである。例示的な実施形態は、保護されたリソースが、それらの保護されたリソースを使用する権限のない誰にもアクセスできないことを保証する。

無許可のユーザがいかなる形式でも保護されたリソースにアクセスすることを防止すると、リソースユーザは、それらの保護されたリソースをホストするリソースサーバに資格証明を提示する必要が生じる。具体的には、ユーザは、特定の保護されたリソースにアクセスする権利が付与されていることを証明する資格証明を提示しなければならない。リソースユーザが所定の保護されたリソースにアクセスし使用する権限を与えられていることを証明する必要性には、多くの問題が発生する。例示的な実施形態は、ネットワーク上の保護されたリソースへのアクセスを制御するために、リソースユーザの資格証明をリソースサーバに安全に提示する方法を考慮に入れ、対処する。

例えば、ベーシック認証やOAuthなど、過去に使用された多数の既存の認証方法を考える。これらの既存の認証方法では、ネットワークセッションを開始するために、ユーザの資格証明をネットワーク上で渡す必要がある。その結果、これらの既存の認証方法は、ユーザによってネットワークセッションが開始されるたびに、ユーザの資格証明をネットワークに公開することになる。

しかし、ネットワーク上でのこの資格証明交換を保護するために、例えばトランスポート・レイヤー・セキュリティのような、他の多数の方法が生み出されてきた。アクセス制御に属性ベースの暗号化を使用するシステムでは、ユーザは単にユーザ鍵をいくつかの異なる方法のうちの１つで渡すことができ、リソースサーバはそのユーザ鍵を使用して特定の保護されたリソースのロックを解除しようとする。リソースサーバがその特定のユーザ鍵を使用して保護されたリソースのロックを解除（例えば、復号）できた場合、リソースサーバは、ユーザがその特定の保護されたリソースへのアクセスを許可する資格証明を所持していることを知ることができる。しかし、属性ベースの暗号化には、大きな欠点がある。属性ベースの暗号化では、ネットワークセッションごとにユーザ鍵がネットワークに公開される。例えば、Transport Layer Securityプロトコルに障害が発生した場合、ユーザ鍵がネットワーク上に公開され、その後、無許可のユーザによって利用される可能性がある。

リソースユーザが保護されたリソースにアクセスするための資格情報を所有していることを証明する他の既存の方法は、ネットワークセッションの開始時に保護されたリソースをネットワーク上で渡すことを必要としない。そのような方法の１つは、鍵付きハッシュメッセージ認証コードである。鍵付きハッシュメッセージ認証コード（ハッシュベースメッセージ認証コードとも呼ばれる）は、暗号ハッシュ関数と秘密の暗号鍵が関係する特定のタイプのメッセージ認証コードである。鍵付きハッシュメッセージ認証コードは、メッセージのデータの完全性と真正性を同時に検証するために使用されることがある。鍵付きハッシュメッセージ認証コードの計算には、セキュアハッシュアルゴリズム２やセキュアハッシュアルゴリズム３など、任意の暗号化ハッシュ関数を使用することができる。鍵付きハッシュメッセージ認証コードは、秘密鍵も所有するリソースサーバが、メッセージコンテンツのあらゆる変更を検出することを可能にする。言い換えれば、鍵付きハッシュメッセージ認証コードは、リソースユーザに対応するリソースアプリケーションに、保護されたリソースアクセス要求のネットワークヘッダフィールドのセットに対して鍵ハッシュメッセージ認証コードを計算させ、その鍵付きハッシュメッセージ認証コード（すなわち、暗号化デジタル署名）を保護されたリソースアクセス要求のヘッダ内の埋め込まれたフィールドに含めることによって、１つまたは複数の保護されたリソースをホストするリソースサーバに、リソースユーザが資格証明（すなわちユーザ鍵）を所有しているかどうかを検査する手段を提供する。

リソースユーザから保護されたリソースアクセス要求を受信すると、保護されたリソースをホストするリソースサーバは、リソースユーザのリソースアプリケーションと同じユーザ鍵を使用して、保護されたリソースアクセス要求の同じヘッダフィールドのセットに対して同じ鍵付きハッシュメッセージ認証コードを計算することができる。２つの鍵付きハッシュメッセージ認証コード（すなわち、暗号化デジタル署名）が一致する場合、リソースサーバは、ユーザがユーザ鍵を所有していること（すなわち、有効なユーザ資格証明）を暗号的に証明し、保護されたリソースへのアクセスを許可することになる。

したがって、例示的な実施形態は、リソースユーザが事前共有された属性ベースの暗号化ユーザ鍵を所有していることをリソースサーバに証明するために、保護されたリソースアクセス要求の同じヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コード暗号化デジタル署名の秘密鍵として、属性ベースの暗号化ユーザ鍵を利用する。例示的な実施形態は、鍵付きポリシー属性ベース暗号化、暗号文ポリシー属性ベース暗号化などの任意の形式の属性ベース暗号化を利用できることに留意されたい。

例示的な実施形態は、リソースユーザに、属性ベースの暗号化ユーザ鍵を、その特定のユーザ鍵に対応する一意のユーザ鍵識別子とともに、帯域外で発行する。例示的な実施形態は、リソースサーバ上でも、同じ属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子を提供する。例示的な実施形態は、任意のタイプの帯域外暗号化鍵共有技術を利用し得ることに留意されたい。帯域外暗号化鍵共有は、暗号化秘密鍵が、その暗号化秘密鍵が使用されるネットワークの内部からアクセスできない手段によって配信されるときに生じる。つまり、帯域外暗号鍵共有とは、暗号文の交換に使用する通信手段とは別の通信手段で暗号秘密鍵を送信することを意味する。

例示的な実施形態が、属性ベースの暗号化ユーザ鍵および対応する一意のユーザ鍵識別子をリソースユーザおよびリソースサーバと共有した後、例示的な実施形態は、標準の属性ベースの暗号化機能を利用して、暗号文に埋め込まれリソースサーバに置かれたアクセス制御ポリシーとともに保護されたリソースもしくはリソースメタデータを暗号化する。リソースサーバが、鍵付きハッシュメッセージ認証コードを使用して、保護されたリソースアクセス要求に対応するユーザを認証（すなわち、検証）すると、リソースサーバは、対応する属性ベースの暗号化ユーザ鍵を利用して、保護されたリソースまたは保護されたリソースに対応するメタデータの復号を試みる。その属性ベースの暗号化ユーザ鍵を使用して復号が成功した場合、リソースサーバは、保護されたリソースへのアクセス要求を行ったユーザが、その特定の保護されたリソースにアクセスする権限をユーザに与える属性ベースの暗号化ユーザ鍵を所持していることを知ることができる。

したがって、例示的な実施形態は、ネットワーク上の保護されたリソースへのアクセスを制御するためにリソースサーバにリソースユーザ資格証明を安全に提示することの技術的問題を克服する１つまたは複数の技術的解決策を提供する。その結果、これらの１または複数の技術的解決策は、ネットワークセキュリティの分野における技術的効果および実用的な応用を提供する。

ここで図５を参照すると、例示的な実施形態による保護されたリソースアクセス制御システムの一例を示す図が描かれている。保護されたリソースアクセス制御システム５００は、図１のネットワークデータ処理システム１００などのデータ処理システムのネットワーク、または図３のクラウドコンピューティング環境３００などのクラウドコンピューティング環境において実装され得る。保護されたリソースアクセス制御システム５００は、保護されたリソース５０２へのアクセスを制御するためのハードウェアおよびソフトウェアコンポーネントのシステムである。保護されたリソース５０２は、保護されたリソースのセットを表し、例えば、図１における保護されたリソース１１０であってもよい。

この例では、保護されたリソースアクセス制御システム５００は、リソースサーバ５０４およびクライアント装置５０６を含む。リソースサーバ５０４は、例えば、図１のサーバ１０４、図２のデータ処理システム２００、または図３のクラウドコンピューティングノード３１０のクラウドコンピューティングノードであってもよい。クライアント装置５０６は、例えば、図１のクライアント１１２、または図３のローカルコンピュータ装置３２０Ｂであってもよい。しかしながら、保護されたリソースアクセス制御システム５００は、例示としてのみ意図され、例示的な実施形態の制限として意図されないことに留意されたい。言い換えれば、保護されたリソースアクセス制御システム５００は、任意の数の保護されたリソース、リソースサーバ、クライアント装置、および図示しない他のデバイスおよびコンポーネントを含み得る。

ユーザ鍵プロビジョニングシステム５００はまた、可能なプロビジョニングエンティティの１セットと、属性ベースの暗号化ユーザ鍵を使用して制御され保護されたリソースアクセスを可能にする鍵付きハッシュメッセージ認証コードを可能にするワークフローを例示する。しかしながら、図５の例示的な実施例は、ユーザ鍵の共有を可能にするすべての方法を例示することを意図していないことに留意されたい。言い換えれば、代替の例示的な実施形態は、他のユーザ鍵共有方法論を利用することができる。

この例では、リソースサーバ５０４は、例えば、図２の保護されたリソースアクセスマネージャ２１８のような、保護されたリソースアクセスマネージャ５０５を含む。保護されたリソースアクセスマネージャ５０５は、リソースサーバ５０４によってホストされている保護されたリソース５０２へのユーザアクセスを制御する。クライアント装置５０６は、クライアントリソースアプリケーション５０７を含む。リソースユーザ５０８は、クライアントリソースアプリケーション５０７を利用して、保護されたリソース５０２の１または複数にアクセスし利用する。

リソース管理者５１０は、保護されたリソース５０２へのアクセスを管理者的に管理する責任を有する。５１２で、リソース管理者５１０は、どのリソースユーザまたはリソースユーザグループが保護されたリソース５０２のどの特定の保護されたリソースにアクセスできるかを定義するアクセス制御ポリシー定義を作成する。さらに、リソース管理者５１０は、保護されたリソース５０２へのアクセスを安全に制御するために、属性ベースの暗号化プロトコルのうちの１つを使用して、保護されたリソース５０２または保護されたリソース５０２に対応するメタデータを暗号化する。さらに、５１４において、リソース管理者５１０は、リソースユーザ５０８のための属性ベースの暗号化ユーザ鍵を生成し、リソースユーザ５０８は、保護されたリソース５０２の１または複数にアクセスするために暗号化ユーザ鍵を利用する。さらに、リソース管理者５１０は、一意のユーザ鍵識別子を生成し、このユーザ鍵識別子は、リソースユーザ５０８に対応する属性ベースの暗号化ユーザ鍵を一意に識別する。

リソース管理者５１０は、リソースユーザ５０８に対応する属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子を、認証およびユーザ鍵プロビジョニングサービス５１６に送信する。また、５１８において、リソース管理者５１０は、保護されたリソースアクセス要求のヘッダフィールドに埋め込まれた鍵付きハッシュメッセージ認証コードデジタル署名を検査するために、リソースサーバ５０４上の保護されたリソースアクセスマネージャ５０５の鍵ストア５２０に属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子を準備する。

５２２において、リソースユーザ５０８は、属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子を認証およびユーザ鍵プロビジョニングサービス５１６に要求する。５２４で、要求を受信したことに応答して、認証およびユーザ鍵プロビジョニングサービス５１６は、属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子をリソースユーザ５０８に帯域外で送信する。５２６において、リソースユーザ５０８は、クライアント装置５０６上のクライアントリソースアプリケーション５０７の鍵ストア５２８に属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子を準備する。

５３０において、リソースユーザ５０８は、保護されたリソース５０２のうちの１または複数へのアクセスを要求する保護されたリソースアクセス要求を、クライアントリソースアプリケーション５０７に入力する。保護されたリソースアクセス要求の入力を受信したことに応答して、クライアントリソースアプリケーション５０７は、鍵ストア５２８に準備された属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子を使用して、鍵付きハッシュメッセージ認証コードおよび一意のユーザ鍵識別子を含む、保護されたリソースアクセス要求を生成する。５３２で、クライアントリソースアプリケーション５０７は、鍵付きハッシュメッセージ認証コードおよび一意の鍵識別子を含む保護されたリソースアクセス要求をリソースサーバ５０４に送信する。

その後、リソースサーバ５０４の保護されたリソースアクセスマネージャ５０５は、保護されたリソースアクセス要求に含まれる一意のユーザ鍵識別子を使用して、保護されたリソースアクセスマネージャ５０５の鍵ストア５２０から事前共有された属性ベースの暗号化ユーザ鍵を取得する。保護されたリソースアクセスマネージャ５０５は、鍵ストア５２０から取得されたその属性ベースの暗号化ユーザ鍵を利用して、保護されたリソースアクセス要求の同じセットのヘッダフィールドに対して独自の鍵付きハッシュメッセージ認証コードを生成する。次に、保護されたリソースアクセスマネージャ５０５は、保護されたリソースアクセスマネージャ５０５によって生成された鍵付きハッシュメッセージ認証コードと、クライアントリソースアプリケーション５０７によって送信された保護されたリソースアクセス要求に含まれる鍵付きハッシュメッセージ認証コードとを比較する。

鍵付きハッシュメッセージ認証コードが一致しない場合、保護されたリソースアクセスマネージャ５０５は、リソースユーザ５０８が保護されたリソース５０２の１または複数の要求され保護されたリソースにアクセスすることを拒否する。両方の鍵付きハッシュメッセージ認証コードが一致する場合、保護されたリソースアクセスマネージャ５０５は、リソースユーザ５０８を認証する。保護されたリソースアクセスマネージャ５０５がリソースユーザ５０８を認証した後、保護されたリソースアクセスマネージャ５０５は、属性ベースの暗号化ユーザ鍵を利用して、リソースユーザ５０８の保護されたリソースアクセス要求に対応する保護されたリソース５０２の１または複数の保護されたリソースの復号を試みる。保護されたリソースアクセスマネージャ５０５が、属性ベースの暗号化ユーザ鍵を使用して１または複数の保護されたリソースを復号できる場合、保護されたリソースアクセスマネージャ５０５は、リソースユーザ５０８が１または複数の保護されたリソースにアクセスすることを許可されていると判定し、アクセスを許可される。保護されたリソースアクセスマネージャ５０５が１または複数の保護されたリソースを復号できない場合、保護されたリソースアクセスマネージャ５０５は、リソースユーザ５０８がそれら１または複数の保護されたリソースへのアクセスを許可されていないと判定し、アクセスを拒否される。

ここで図６を参照すると、例示的な実施形態による保護されたリソースアクセス要求ヘッダの一例を示す図が描かれている。保護されたリソースアクセス要求ヘッダ６００は、例えば、図２の保護されたリソースアクセスマネージャ２１８または図５の保護されたリソースマネージャ５０５などの保護されたリソースアクセスマネージャが、属性ベースの暗号化ユーザ鍵６０２を取得して、保護されたリソースアクセス要求の、認証コードおよびデジタル署名を含まないヘッダフィールドのセット上の鍵付きハッシュメッセージ認証コードデジタル署名６０４を生成するために読み取る保護されたリソースアクセス要求の埋め込まれたフィールドを示している。

しかし、保護されたリソースアクセス要求ヘッダ６００は、例示としてのみ意図されていることに留意されたい。言い換えれば、保護されたリソースアクセス要求ヘッダ６００は、例えば、悪意のあるユーザ動作（例えば、リプレイ攻撃）を抑制するフィールドなど、すべてのヘッダフィールドを図示しない。図示されていない他のヘッダフィールドのこのセットは、例示的な実施形態の保護されたリソースアクセスマネージャの機能性に悪影響を及ぼさない。埋め込まれたヘッダフィールドに加えて、この他のヘッダフィールドのセットは、ユーザ鍵識別子フィールド６０６の下の点線によって暗示される。さらに、ヘッダフィールドの名前は重要ではなく、フィールドのコンテンツのみが重要である。

保護されたリソースアクセスマネージャは、ユーザ鍵識別子フィールド６０６に含まれる一意の識別子６０８を利用して、属性ベースの暗号化ユーザ鍵６０２を取得する。属性ベースの暗号化ユーザ鍵６０２は、保護されたリソースアクセス要求を行うリソースユーザ（例えば、図５のリソースユーザ５０８）に対応し、保護されたリソースアクセスマネージャの図５の鍵ストア５２０などの鍵ストア内の、図５のリソース管理者５１０などのリソース管理者によって準備される。一意の識別子６０８は、鍵ストアにおける属性ベースの暗号化ユーザ鍵６０２を一意に識別する。保護されたリソースアクセスマネージャは、リソースユーザを認証するために、生成された鍵付きハッシュメッセージ認証コードデジタル署名６０４と、認証コードフィールド６１２に含まれるデジタル署名を有するＢａｓｅ６４符号化バイト配列６１０とを比較する。

ここで図７を参照すると、例示的な実施形態による保護されたリソースアクセス制御プロセスの一例を示す図が描かれている。保護されたリソースアクセス制御プロセス７００は、リソースサーバ７０２およびクライアントリソースアプリケーション７０４を含む。リソースサーバ７０２は、例えば、図５のリソースサーバ５０４であってもよい。クライアントリソースアプリケーション７０４は、例えば、図５のクライアント装置５０６にロードされたクライアントリソースアプリケーション５０７であってもよい。

保護されたリソースアクセス制御プロセス７００は、例えば図５のリソースユーザ５０８などのリソースユーザが、クライアントリソースアプリケーション７０４の例えば図５の鍵ストア５２８などの鍵ストアに属性ベースの暗号化ユーザ鍵および一意のユーザ鍵識別子を準備したときに開始する。その後、クライアントリソースアプリケーション７０４は、保護されたリソースアクセス要求を、リソースサーバ７０２によってホストされる保護されたリソースへのアクセスを要求するリソースユーザから受信する。応答として、７０６において、クライアントリソースアプリケーション７０４は、例えば、図６の保護されたリソースアクセス要求ヘッダ６００に埋め込まれたユーザ鍵識別フィールド６０６および認証コードフィールド６１２のような、保護されたリソースアクセス要求のヘッダにユーザ鍵識別フィールドおよび認証コードフィールドを埋め込む。

さらに、７０８において、クライアントリソースアプリケーション７０４は、属性ベースの暗号化鍵および一意のユーザ鍵識別子を、クライアントリソースアプリケーション７０４の鍵ストアから取得する。７１０で、クライアントリソースアプリケーション７０４は、保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として属性ベースの暗号化鍵を使用することに基づいて、認証コードを生成する。その後、クライアントリソースアプリケーション７０４は、認証コードを保護されたリソースアクセス要求ヘッダの認証コードフィールドに挿入し、一意のユーザ鍵識別子をユーザ鍵識別フィールドに挿入する。代替的な例示的実施形態は、一意のユーザ鍵識別子をデジタル署名されたヘッダフィールドにも配置し得ることに留意されたい。これは、一意のユーザ鍵識別子を保護し、一意のユーザ鍵識別子がデジタル署名されていないヘッダフィールドに含まれていない場合、認証コードを失敗させることになる。７１２において、クライアントリソースアプリケーション７０４は、認証コードおよび一意のユーザ鍵識別子を含む保護されたリソースアクセス要求をリソースサーバ７０２に送信する。

７１４において、保護されたリソースアクセス要求をリソースサーバ７０２が受信したことに応答して、リソースサーバ７０２は、属性ベースの暗号化ユーザ鍵に対応する一意のユーザ鍵識別子を見つけるためにヘッダフィールドをスキャンする。７１６で、リソースサーバ７０２は、一意のユーザ鍵識別子を使用して、リソースサーバ７０２の、例えば図５の鍵ストレージ５２０などの鍵ストレージから事前共有属性ベース暗号化ユーザ鍵を取得する。７１８において、リソースサーバ７０２は、事前共有属性ベースの暗号化ユーザ鍵を、クライアントリソースアプリケーション７０４が自身の認証コードを生成するために使用した保護されたリソースアクセス要求のヘッダフィールドの同じセットに対する自身の鍵ハッシュメッセージ認証コードデジタル署名のための秘密鍵として利用する。

７２０において、リソースサーバ７０２は、リソースサーバ７０２によって生成された認証コードと、クライアントリソースアプリケーション７０４によって送信された保護されたリソースアクセス要求のヘッダフィールドから読み取られた認証コードとを比較する。認証コードが一致する場合、リソースサーバ７０２は、リソースユーザがリソースサーバ７０２の鍵ストアに記憶された同じ属性ベースの暗号化ユーザ鍵を所持していることを知ることになる。認証コードが一致すると判定することによってリソースサーバ７０２がリソースユーザを認証した後、７２２において、リソースサーバ７０２は、属性ベースの暗号化ユーザ鍵を使用して、保護されたリソースアクセス要求に対応する保護されたリソースまたは保護されたリソースメタデータを復号することを試みる。リソースサーバ７０２が保護されたリソースまたは保護されたリソースメタデータを復号できる場合、リソースサーバ７０２は、リソースユーザが保護されたリソースにアクセスすることを許可されていることを知り、７２４においてアクセスを許可される。

保護されたリソースアクセス制御プロセス７００は、属性ベースの暗号化ユーザ鍵がネットワークに公開されるのを防ぎ、リソースサーバ７０２に、保護されたリソースの使用を認可する手段を提供することに留意されたい。保護されたリソースアクセス制御プロセス７００はまた、ダウンロードのための認可、および閲覧のための暗号化の両方を有する保護されたリソースアクセスを制御する手段を提供し得る。

ここで図８Ａ～８Ｂを参照すると、例示的な実施形態によるリソースサーバのプロセスを示すフローチャートが示されている。図８Ａ～８Ｂに示されるプロセスは、例えば、図１のサーバ１０４、図２のデータ処理システム２００、図３のクラウドコンピューティングノード３１０のクラウドコンピューティングノード、または図５のリソースサーバ５０４などのコンピュータにおいて実装され得る。例えば、図８Ａ～８Ｂに示されるプロセスは、図２の保護されたリソースアクセスマネージャ２１８または図３の保護されたリソースアクセスマネージャ５３４において実装され得る。

プロセスは、コンピュータが、リソースユーザに対応するクライアント装置のクライアントリソースアプリケーションから、ネットワークを介して、認証コードとユーザ鍵識別子を含むヘッダフィールドを持つ保護されたリソースアクセス要求を受信したときに開始する（ステップ８０２）。保護されたリソースアクセス要求は、コンピュータによってホストされる暗号化され保護されたリソースへのアクセス権を要求するものである。保護されたリソースアクセス要求の受信に応答して、コンピュータは、保護されたリソースアクセス要求内の認証コードおよびユーザ鍵識別子を含むヘッダフィールドを読み取る（ステップ８０４）。

その後、コンピュータは、保護されたリソースアクセス要求のヘッダフィールド内で読み取られたユーザ鍵識別子を使用して、コンピュータの鍵ストアからリソースユーザに対応する属性ベースの暗号化ユーザ鍵を取得する（ステップ８０６）。さらに、コンピュータは、保護されたリソースアクセス要求のヘッダフィールドに対する鍵付きハッシュメッセージ認証コードデジタル署名のための秘密鍵として、取得された属性ベースの暗号化ユーザ鍵を使用することに基づいて、認証コードを生成する（ステップ８０８）。コンピュータは、生成された認証コードと、保護されたリソースアクセス要求のヘッダフィールド内で読み取られた認証コードとを比較する（ステップ８１０）。

その後、コンピュータは、生成された認証コードと、ヘッダフィールドで読み取られた認証コードとの間に一致が存在するかどうかについての判定を行う（ステップ８１２）。生成された認証コードと、ヘッダフィールド内で読み取られた認証コードとの間に一致が存在しないとコンピュータが判定した場合、ステップ８１２でＮＯを出力し、コンピュータは、リソースユーザを認証せず、リソースユーザによる暗号化され保護されたリソースへのアクセスを拒否する（ステップ８１４）。その後、プロセスは終了する。生成された認証コードと、ヘッダフィールドで読み取られた認証コードとの間に一致が存在するとコンピュータが判断した場合、ステップ８１２でＹＥＳを出力し、次に、コンピュータは、リソースユーザを認証する（ステップ８１６）。

その後、コンピュータは、リソースユーザの認証に応答して、リソースユーザに対応する取得された属性ベースの暗号化ユーザ鍵を使用して、暗号化され保護されたリソースの復号を実行する（ステップ８１８）。コンピュータは、取得された属性ベースの暗号化ユーザ鍵を使用して、復号され保護されたリソースを形成するために、暗号化され保護されたリソースの復号が成功したかどうかについての判定を行う（ステップ８２０）。取得された属性ベースの暗号化ユーザ鍵を使用して暗号化され保護されたリソースの復号が失敗したとコンピュータが判定した場合、ステップ８２０でＮＯを出力し、プロセスはステップ８１４に戻り、コンピュータはリソースユーザが認可されていないと判定し、リソースユーザによる暗号化され保護されたリソースへのアクセスを拒否する。暗号化され保護されたリソースの復号が、取得された属性ベースの暗号化ユーザ鍵を使用して復号され保護されたリソースを形成することに成功したとコンピュータが判定した場合、ステップ８２０でＹＥＳを出力し、コンピュータは、リソースユーザが認可されていると判定し、リソースユーザによる復号され保護されたリソースへのアクセスを許可する（ステップ８２２）。その後、プロセスは終了する。

ここで図９を参照すると、例示的な実施形態によるクライアントリソースアプリケーションのプロセスを示すフローチャートが示されている。図９に示されるプロセスは、例えば、図５のクライアントリソースアプリケーション５０６または図７のクライアントリソースアプリケーション７０４のようなクライアントリソースアプリケーションにおいて実装されてもよい。クライアントリソースアプリケーションは、例えば、図２のクライアント１１２または図３のローカルコンピュータ装置３０２Ａのようなクライアント装置において実装されてもよい。

プロセスは、クライアント装置が、リソースユーザに対応するクライアント装置にロードされたクライアントリソースアプリケーションの鍵ストア内の属性ベースの暗号化ユーザ鍵およびユーザ鍵識別子を準備する入力を、リソースユーザから受信したときに開始する（ステップ９０２）。属性ベースの暗号化ユーザ鍵は、リソースユーザに対応する。また、ユーザ鍵識別子は、属性ベースの暗号化ユーザ鍵を一意に識別する。

その後、クライアント装置は、クライアントリソースアプリケーションを使用して、リソースサーバによってホストされる保護されたリソースへのアクセスを要求する保護されたリソースアクセス要求を送信するための入力をリソースユーザから受信する（ステップ９０４）。保護されたリソースアクセス要求を送信する入力を受信することに応答して、クライアント装置は、クライアントリソースアプリケーションを使用して、認証コードフィールドおよびユーザ鍵識別子フィールドを保護されたリソースアクセス要求のヘッダフィールド内に埋め込む（ステップ９０６）。さらに、クライアント装置は、クライアントリソースアプリケーションを使用して、属性ベースの暗号化ユーザ鍵およびユーザ鍵識別子を、クライアントリソースアプリケーションの鍵ストアから取得する（ステップ９０８）。

その後、クライアント装置は、クライアントリソースアプリケーションを使用して、保護されたリソースアクセス要求のヘッダフィールドに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として、取得された属性ベースの暗号化ユーザ鍵を使用することに基づいて、認証コードを生成する（ステップ９１０）。さらに、クライアント装置は、クライアントリソースアプリケーションを使用して、生成された認証コードを認証コードフィールドに、ユーザ鍵識別子を保護されたリソースアクセス要求のヘッダフィールド内に埋め込まれたユーザ鍵識別子フィールドに挿入する（ステップ９１２）。

クライアント装置は、クライアントリソースアプリケーションを使用して、生成された認証コードおよびユーザ鍵識別子を含む保護されたリソースアクセス要求を、ネットワークを介してリソースサーバに送信し、リソースサーバによってホストされる保護されたリソースにアクセスする（ステップ９１４）。その後、クライアント装置は、クライアントリソースアプリケーションを使用して、保護されたリソースへのアクセスが許可されるか拒否されるかに関する応答をリソースサーバから受信する（ステップ９１６）。その後、プロセスは終了する。

したがって、本発明の例示的な実施形態は、リソースユーザに対応する属性ベースの暗号化ユーザ鍵を、ユーザ認証および認可のためにリソースユーザによってなされる保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名のための秘密鍵として使用するためのコンピュータ実装方法、コンピュータシステム、およびコンピュータプログラム製品を提供する。本発明の様々な実施形態の説明は、例示の目的で提示されているが、網羅的であることを意図するものではなく、開示される実施形態に限定されることを意図するものでもない。説明される実施形態の範囲から逸脱することなく、多くの修正および変更が可能であることは当業者には明らかであろう。本明細書で使用される用語は、実施形態の原理、市場で見られる技術に対する実際の適用または技術的改善を最もよく説明するため、または当業者が本明細書に記載の実施形態を理解できるようにするために選択された。

ここで図８Ａ～８Ｂを参照すると、例示的な実施形態によるリソースサーバのプロセスを示すフローチャートが示されている。図８Ａ～８Ｂに示されるプロセスは、例えば、図１のサーバ１０４、図２のデータ処理システム２００、図３のクラウドコンピューティングノード３１０のクラウドコンピューティングノード、または図５のリソースサーバ５０４などのコンピュータにおいて実装され得る。例えば、図８Ａ～８Ｂに示されるプロセスは、図２の保護されたリソースアクセスマネージャ２１８または図５の保護されたリソースアクセスマネージャ５０５において実装され得る。

ここで図９を参照すると、例示的な実施形態によるクライアントリソースアプリケーションのプロセスを示すフローチャートが示されている。図９に示されるプロセスは、例えば、図５のクライアントリソースアプリケーション５０７または図７のクライアントリソースアプリケーション７０４のようなクライアントリソースアプリケーションにおいて実装されてもよい。クライアントリソースアプリケーションは、例えば、図１のクライアント１１２または図３のローカルコンピュータ装置３２０Ａのようなクライアント装置において実装されてもよい。

Claims (20)

1. リソースユーザ認証および認可のためのコンピュータ実装方法であって、前記コンピュータ実装方法は、
   コンピュータによって、ネットワークを介してリソースユーザのクライアント装置から受信した保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として、取得された属性ベースの暗号化ユーザ鍵を使用することに基づいて、認証コードを生成することと、
   前記コンピュータによって、前記生成された認証コードと、前記保護されたリソースアクセス要求の埋め込まれたヘッダフィールド内で読み取られた認証コードとを比較することと、
   前記生成された認証コードと、前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在するかどうかを、前記コンピュータによって判定することと、
   前記生成された認証コードと、前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在すると前記コンピュータが判定したことに応答して、前記コンピュータによって、前記リソースユーザを認証することと、
   前記コンピュータによって、前記リソースユーザの認証に応答して、前記リソースユーザに対応する前記取得された属性ベースの暗号化ユーザ鍵を使用して、前記保護されたリソースアクセス要求に対応する暗号化され保護されたリソースの復号を実行することと、
   を含むコンピュータ実装方法。
2. 前記取得された属性ベースの暗号化ユーザ鍵を使用して、復号され保護されたリソースを形成するために、前記暗号化され保護されたリソースの前記復号が成功したかどうかを、前記コンピュータによって判定することと、
   前記取得された属性ベースの暗号化ユーザ鍵を使用して、復号され保護されたリソースを形成するために、前記暗号化され保護されたリソースの前記復号が成功したと前記コンピュータが判定したことに応答して、前記コンピュータによって、前記リソースユーザが前記復号され保護されたリソースにアクセスする権限を有すると判定しアクセスを許可することと、
   前記取得された属性ベースの暗号化ユーザ鍵を使用して、前記暗号化され保護されたリソースの前記復号が失敗したと前記コンピュータが判定したことに応答して、前記コンピュータによって、前記リソースユーザが前記暗号化され保護されたリソースにアクセスする権限がないと判定しアクセスを拒否することと、
   をさらに含む、請求項１に記載のコンピュータ実装方法。
3. 前記コンピュータによって、ヘッダフィールドの前記セット、前記認証コードを含む埋め込まれた認証コードフィールド、およびユーザ鍵識別子を含む埋め込まれたユーザ鍵識別子フィールドを含む前記保護されたリソースアクセス要求を、前記ネットワークを介して前記リソースユーザに対応する前記クライアント装置から受信することと、
   前記コンピュータによって、前記保護されたリソースアクセス要求において、認証コードを含む前記埋め込まれた認証コードフィールドと、前記ユーザ鍵識別子を含む前記埋め込まれたユーザ鍵識別子フィールドを読み取ることと、
   前記コンピュータによって、前記保護されたリソースアクセス要求の前記埋め込まれたユーザ鍵識別子フィールド内で読み取られた前記ユーザ鍵識別子を使用して前記取得された属性ベースの暗号化ユーザ鍵を形成するために、前記コンピュータの鍵ストアから属性ベースの暗号化ユーザ鍵を取得することであって、前記ユーザ鍵識別子が前記鍵ストアにおいて前記属性ベースの暗号化ユーザ鍵を一意に識別する、取得することと、
   をさらに含む、請求項１に記載のコンピュータ実装方法。
4. 前記クライアント装置のクライアントリソースアプリケーションは、ヘッダフィールドの前記セットに加えて、前記保護されたリソースアクセス要求に、前記埋め込まれた認証コードフィールドおよび前記埋め込まれたユーザ鍵識別子フィールドを埋め込み、前記クライアントリソースアプリケーションは、前記保護されたリソースアクセス要求を前記コンピュータに送信する前に、前記埋め込まれた認証コードフィールドに前記認証コードを、前記埋め込まれたユーザ鍵識別子フィールドに前記ユーザ鍵識別子を挿入し、前記クライアントリソースアプリケーションは、前記コンピュータによる復号に成功した後に、前記暗号化され保護されたリソースを利用する、
   請求項３に記載のコンピュータ実装方法。
5. 前記保護されたリソースアクセス要求は、前記コンピュータによってホストされる前記暗号化され保護されたリソースへのアクセス権を要求するものである、請求項１に記載のコンピュータ実装方法。
6. 前記取得された属性ベースの暗号化ユーザ鍵は、前記リソースユーザに対応する、請求項１に記載のコンピュータ実装方法。
7. 前記生成された認証コードと前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在しないと前記コンピュータが判定したことに応答して、コンピュータによって、前記リソースユーザは認証されていないと判定され、前記リソースユーザによる前記暗号化され保護されたリソースへのアクセスが拒否されること、
   をさらに含む、請求項１に記載のコンピュータ実装方法。
8. リソースユーザ認証および認可のためのコンピュータシステムであって、前記コンピュータシステムは、
   バスシステムと、
   前記バスシステムに接続された記憶装置であって、前記記憶装置はプログラム命令を記憶する、記憶装置と、
   前記バスシステムに接続されたプロセッサとを含み、前記プロセッサは、
   ネットワークを介してリソースユーザのクライアント装置から受信した保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として、取得された属性ベースの暗号化ユーザ鍵を使用することに基づいて、認証コードを生成することと、
   前記生成された認証コードと、前記保護されたリソースアクセス要求の埋め込まれたヘッダフィールド内で読み取られた認証コードとを比較することと、
   前記生成された認証コードと、前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在するかどうかを判定することと、
   前記生成された認証コードと、前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在すると判定したことに応答して、前記リソースユーザを認証することと、
   前記リソースユーザの認証に応答して、前記リソースユーザに対応する前記取得された属性ベースの暗号化ユーザ鍵を使用して、前記保護されたリソースアクセス要求に対応する暗号化され保護されたリソースの復号を実行することと、
   を行う前記プログラム命令を実行する
   コンピュータシステム。
9. 前記プロセッサは、さらに、
   前記取得された属性ベースの暗号化ユーザ鍵を使用して、復号され保護されたリソースを形成するために、前記暗号化され保護されたリソースの前記復号が成功したかどうかを判定することと、
   前記取得された属性ベースの暗号化ユーザ鍵を使用して前記復号され保護されたリソースを形成するために、前記暗号化され保護されたリソースの前記復号が成功したと判定したことに応答して、前記リソースユーザが前記復号され保護されたリソースにアクセスする権限を有していると判定し、アクセスを許可することと、
   前記取得された属性ベースの暗号化ユーザ鍵を使用して、前記暗号化され保護されたリソースの前記復号が失敗したと判定したことに応答して、前記リソースユーザが前記暗号化され保護されたリソースにアクセスする権限を有していないと判定し、アクセスを拒否することと、
   を行う前記プログラム命令を実行する、請求項８に記載のコンピュータシステム。
10. 前記プロセッサは、さらに、
    ヘッダフィールドの前記セット、前記認証コードを含む埋め込まれた認証コードフィールド、およびユーザ鍵識別子を含む埋め込まれたユーザ鍵識別子フィールドを含む前記保護されたリソースアクセス要求を、前記ネットワークを介して前記リソースユーザに対応する前記クライアント装置から受信することと、
    前記保護されたリソースアクセス要求において、認証コードを含む前記埋め込まれた認証コードフィールドと、前記ユーザ鍵識別子を含む前記埋め込まれたユーザ鍵識別子フィールドを読み取ることと、
    前記保護されたリソースアクセス要求の前記埋め込まれたユーザ鍵識別子フィールド内で読み取られた前記ユーザ鍵識別子を使用して前記取得された属性ベースの暗号化ユーザ鍵を形成するために、前記コンピュータシステムの鍵ストアから属性ベースの暗号化ユーザ鍵を取得することであって、前記ユーザ鍵識別子が前記鍵ストアにおいて前記属性ベースの暗号化ユーザ鍵を一意に識別する、取得することと、
    を行う前記プログラム命令を実行する、請求項８に記載のコンピュータシステム。
11. 前記クライアント装置のクライアントリソースアプリケーションは、ヘッダフィールドの前記セットに加えて、前記保護されたリソースアクセス要求に、前記埋め込まれた認証コードフィールドおよび前記埋め込まれたユーザ鍵識別子フィールドを埋め込み、前記クライアントリソースアプリケーションは、前記保護されたリソースアクセス要求を前記コンピュータシステムに送信する前に、前記埋め込まれた認証コードフィールドに前記認証コードを、前記埋め込まれたユーザ鍵識別子フィールドに前記ユーザ鍵識別子を挿入し、前記クライアントリソースアプリケーションは、前記コンピュータシステムによる復号に成功した後に、前記暗号化され保護されたリソースを利用する、請求項１０に記載のコンピュータシステム。
12. 前記保護されたリソースアクセス要求は、前記コンピュータシステムによってホストされる前記暗号化され保護されたリソースへのアクセス権を要求するものである、請求項８に記載のコンピュータシステム。
13. 前記取得された属性ベースの暗号化ユーザ鍵は、前記リソースユーザに対応する、請求項８に記載のコンピュータシステム。
14. リソースユーザ認証および認可のためのコンピュータプログラム製品であって、前記コンピュータプログラム製品は、プログラム命令をその中に実装したコンピュータ可読記憶媒体を含み、前記プログラム命令は、コンピュータによって実行可能であり、前記コンピュータに、
    コンピュータによって、ネットワークを介してリソースユーザのクライアント装置から受信した保護されたリソースアクセス要求のヘッダフィールドのセットに対する鍵付きハッシュメッセージ認証コードデジタル署名の秘密鍵として、取得された属性ベースの暗号化ユーザ鍵を使用することに基づいて、認証コードを生成することと、
    前記コンピュータによって、前記生成された認証コードと、前記保護されたリソースアクセス要求の埋め込まれたヘッダフィールド内で読み取られた認証コードとを比較することと、
    前記生成された認証コードと、前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在するかどうかを、前記コンピュータによって判定することと、
    前記生成された認証コードと、前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在すると前記コンピュータが判定したことに応答して、前記コンピュータによって、前記リソースユーザを認証することと、
    前記コンピュータによって、前記リソースユーザの認証に応答して、前記リソースユーザに対応する前記取得された属性ベースの暗号化ユーザ鍵を使用して、前記保護されたリソースアクセス要求に対応する暗号化され保護されたリソースの復号を実行することと、
    の方法を実行させる、コンピュータプログラム製品。
15. 前記取得された属性ベースの暗号化ユーザ鍵を使用して、復号され保護されたリソースを形成するために、前記暗号化され保護されたリソースの前記復号が成功したかどうかを、前記コンピュータによって判定することと、
    前記取得された属性ベースの暗号化ユーザ鍵を使用して、復号され保護されたリソースを形成するために、前記暗号化され保護されたリソースの前記復号が成功したと前記コンピュータが判定したことに応答して、前記コンピュータによって、前記リソースユーザが前記復号され保護されたリソースにアクセスする権限を有すると判定しアクセスを許可することと、
    前記取得された属性ベースの暗号化ユーザ鍵を使用して、前記暗号化され保護されたリソースの前記復号が失敗したと前記コンピュータが判定したことに応答して、前記コンピュータによって、前記リソースユーザが前記暗号化され保護されたリソースにアクセスする権限がないと判定しアクセスを拒否することと、
    をさらに含む、請求項１４に記載のコンピュータプログラム製品。
16. 前記コンピュータによって、ヘッダフィールドの前記セット、前記認証コードを含む埋め込まれた認証コードフィールド、およびユーザ鍵識別子を含む埋め込まれたユーザ鍵識別子フィールドを含む前記保護されたリソースアクセス要求を、前記ネットワークを介して前記リソースユーザに対応する前記クライアント装置から受信することと、
    前記コンピュータによって、前記保護されたリソースアクセス要求において、認証コードを含む前記埋め込まれた認証コードフィールドと、前記ユーザ鍵識別子を含む前記埋め込まれたユーザ鍵識別子フィールドを読み取ることと、
    前記コンピュータによって、前記保護されたリソースアクセス要求の前記埋め込まれたユーザ鍵識別子フィールド内で読み取られた前記ユーザ鍵識別子を使用して前記取得された属性ベースの暗号化ユーザ鍵を形成するために、前記コンピュータの鍵ストアから属性ベースの暗号化ユーザ鍵を取得することであって、前記ユーザ鍵識別子が前記鍵ストアにおいて前記属性ベースの暗号化ユーザ鍵を一意に識別する、取得することと、
    をさらに含む、請求項１４に記載のコンピュータプログラム製品。
17. 前記クライアント装置のクライアントリソースアプリケーションは、ヘッダフィールドの前記セットに加えて、前記保護されたリソースアクセス要求に、前記埋め込まれた認証コードフィールドおよび前記埋め込まれたユーザ鍵識別子フィールドを埋め込み、前記クライアントリソースアプリケーションは、前記保護されたリソースアクセス要求を前記コンピュータに送信する前に、前記埋め込まれた認証コードフィールドに前記認証コードを、前記埋め込まれたユーザ鍵識別子フィールドに前記ユーザ鍵識別子を挿入し、前記クライアントリソースアプリケーションは、前記コンピュータによる復号に成功した後に、前記暗号化され保護されたリソースを利用する、請求項１６に記載のコンピュータプログラム製品。
18. 前記保護されたリソースアクセス要求は、前記コンピュータによってホストされる前記暗号化され保護されたリソースへのアクセス権を要求するものである、請求項１４に記載のコンピュータプログラム製品。
19. 前記取得された属性ベースの暗号化ユーザ鍵は、前記リソースユーザに対応する、請求項１４に記載のコンピュータプログラム製品。
20. 前記生成された認証コードと前記埋め込まれたヘッダフィールド内で読み取られた前記認証コードとの間に一致が存在しないと前記コンピュータが判定したことに応答して、コンピュータによって、前記リソースユーザは認証されていないと判定され、前記リソースユーザによる前記暗号化され保護されたリソースへのアクセスが拒否されること、
    をさらに含む、請求項１４に記載のコンピュータプログラム製品。