JP4195450B2 - 複数国運用事業者ネットワークをローミングするパケット無線ネットワークユーザのためのシングルサインオン方法 - Google Patents

Description

本発明は、一般にパケット無線ネットワークによるインターネットを介してサービスネットワークにアクセスする複数のユーザのためのシングルサインオンサービスに関する。より詳細には、本発明は、複数国ネットワーク運用事業者の所有するサービスネットワークのユーザに対して、当該ユーザがローミングしているパケット無線ネットワークを通じてシングルサインオンサービスを提供する通信システムおよび方法に関する。

シングルサインオン（以下、ＳＳＯ）は、今後広まるであろう原理であり、それぞれ特定の異なるサービスに対して、ユーザが、明示的に認証をすることなく、種々のサービスにアクセスできるようになるサービスのことである。インターネットの世界では、この原理をサポートすることで、所与のアイデンティティ（ＩＤ）プロバイダにおいて一度だけユーザがパスワードにより本人証明（ＩＤ）を準備すれば、他のサービスあるいはサービスプロバイダへ接続する際にも、このＩＤによる認証が有効となる。しかしながら移動通信の世界では、ＳＳＯの原理は、さらにアクセスネットワークにおいて一度ユーザが認証されれば、追加の明示的な認証を必要とすることなく、ユーザが加入するホームネットワークにおけるサービスにアクセスできることを意味する。

ここ数年の間、いくつかの移動ネットワーク運用事業者（以下、ＭＮＯ）は、各国内の運用事業者を吸収合併し、種々の国において新規事業を運用するためのライセンスを取得している。これにより、ＭＮＯは、国際的に知名度を高めてきた。従って、そのような運用事業者は、複数国にわたる移動ネットワークの運用事業者となった。特定の複数国ネットワーク事業者（ＭＮ−ＭＮＯ）の各々は、種々の国に分散するいくつかのローカルの会社、すなわち、いくつかの国内ネットワーク事業者（Ｎ−ＭＮＯ）を含む。

従って、複数国のネットワークを複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）が運用する方法に関する自然な展開として、それぞれのビジネスモデルを伴う２つの異なるシナリオが生じうる。第１のシナリオでは、各自国内ネットワーク運用事業者（Ｎ−ＭＮＯ）が、いわゆる柔軟な結束モデルにおいて、自己のローカルブランド、および独立性を維持するように、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）が機能する。一方、第２のシナリオでは、いわゆる緊密な結束モデルにおいて、種々の国に分散する国内ネットワーク運用事業者（Ｎ−ＭＮＯ）により運用されるネットワーク全体にまたがって、単一の共通ブランドおよび共通のユーザイクスペリエンスを維持するように、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）が機能する。

緊密な結束モデル下では、それぞれ特定の国内運用事業者が、その特定の国内ネットワークにおいて特定のサービスを依然として提供する可能性がある一方、加入者がそれぞれ加入する特定の国内ネットワーク運用事業者（Ｎ−ＭＮＯ）に係わらず複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）の加入者にはグローバルなサービス、すなわち、共通のサービスを提供する必要がある。しかしながら、柔軟な結束モデル下では、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）に含まれる全ての国内ネットワーク運用事業者（Ｎ−ＭＮＯ）は、類似の権限および責任を有し、そのそれぞれが互いに独立であり、従ってグローバルあるいは共通のサービスを提供する明確な場所がネットワークには存在しないことになる。

そのため、種々の国内ネットワーク運用事業者（Ｎ−ＭＮＯ）のネットワークをユーザがローミングする間に得た体験（イクスペリエンス）を統一することについて、緊密な結束の複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）は、関心を持つ可能性がある。このようなユーザは、シームレスに、適用可能な認証機構に関して共通の外見と理解に基づいてサービスへのアクセスと利用を試みであろうから、認証機構はできるだけユーザから見えないことが望ましい。サービスプロバイダ（ＳＰ）と複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）に含まれる各自国内運用事業者との間ではなく、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）と第３者サービスプロバイダ（ＳＰ）との間で、サービスレベルに関する契約（ＳＬＡ）が常に締結される。従って、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）の全てのユーザが、このサービスプロバイダ（ＳＰ）へのアクセス資格を得ることは、このモデルに関する一般的な前提となる。今日、大規模な複数国移動ネットワーク運用事業者間では、益々この緊密な結束による複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）モデルが受け入れられつつあるように見える。

シングルサインオン（ＳＳＯ）サービスに関しては、自由連合プロジェクト（ＬＡＰ）として知られる産業フォーラムがある。自由連合プロジェクト（ＬＡＰ）は、いくつかのビジネスエンティティ（すなわち本人確認プロバイダ（ＩｄＰ）あるいはサービスプロバイダ（ＳＰ）のいずれかとして動作するビジネスモデルのエンティティ）の間で、シングルサインオン（ＳＳＯ）サービスをサポートするシナリオを実現するための、１組のプロトコルを開発した。このプロトコルを用いることで、インターネットの種々のサービスにアクセスする際に、ＳＰおよびＩｄＰがユーザにＳＳＯを提供することが可能になる。ＳＰおよびＩｄＰは、事前に相互契約に締結し、いわゆる連合を形成するものと想定される。産業フォーラムは、特定の認証機構を規定してはいないものの、本人確認プロバイダ（ＩｄＰ）からサービスプロバイダ（ＳＰ）への認証コンテキストの転送方法については規定している。サービスプロバイダ（ＳＰ）が最終的にエンドユーザへのサービスを提供する。さらに自由連合プロジェクトは、ＩｄＰの内部動作の仕方、および異なる国内ネットワーク運用事業者間における可能な相互動作を規定してはいない。従って、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）内の異なる国内ネットワーク運用事業者間を、ユーザがローミングしている時のＳＳＯに関するソリューションは、自由連合プロジェクトの範囲外である。

汎用パケット無線サービス（ＧＰＲＳ）ネットワークのようなパケット無線ネットワークにおけるユーザのローミングに関しては、サービスプロバイダネットワークとの接続を提供するために割り当てられたゲートウエイＧＰＲＳサポートノード（ＧＧＳＮ）の位置に応じて、いくつかのシナリオがある。ＧＧＳＮは、コアネットワーク（ＣＮ）ドメインとサービスネットワーク（ＳＮ）ドメインとの間の境界に位置することが好ましい。

第１の従来のシナリオでは、割り当てられたゲートウエイＧＰＲＳサポートノード（ＧＧＳＮ）は、ホームネットワークに属す。例えば、現在、いわゆる「壁で囲まれた庭（walled garden）」のシナリオが存在する。このシナリオでは、ホームとなる国内ネットワーク運用事業者（Ｎ−ＭＮＯ）に属する汎用パケット無線サービス（ＧＰＲＳ）アクセスネットワークを通して、ユーザは、常にホームサービスネットワークに接続される。この「壁で囲まれた庭」シナリオでは、シングルサインオン（ＳＳＯ）サービスのサポートはいわゆる「ＭＳＩＳＤＮ転送」機構をベースとしている。ＭＳＩＳＤＮは、広義には加入者管理番号を意味するが、伝統的には移動加入者のＩＳＤＮ番号を表す。簡略に記せば、ユーザに対するＭＳＩＳＤＮおよびＩＰアドレスを含むＲＡＤＩＵＳアクセス要求メッセージを、ホームサービスネットワークドメインの「ホーム認証、認可および課金」（Ｈ−ＡＡＡ）サーバに送信することにより、ホームコアネットワークドメインのホームゲートウエイＧＰＲＳサポートノード（Ｈ−ＧＧＳＮ）から、「ＭＳＩＳＤＮ転送」機構が起動される。この情報により、Ｈ−ＡＡＡサーバは、ユーザにマスターセッションを確立することができ、その結果、ユーザがサービスへのアクセスを要求すればいつでも、マスターセッションが調べられ、ユーザが既に正しく認証されていることを確認する。さらに詳細には、本発明に最も近い技術と考えられる「壁で囲まれた庭のＳＳＯ」のシナリオにおいて、無線アプリケーションプロトコル（ＷＡＰ）ゲートウエイへＲＡＤＩＵＳ課金開始メッセージを送信する「ＭＳＩＳＤＮ転送」機構について、国際公開第０１／６７７１６号（ＷＯ０１／６７７１６Ａ１）による国際出願が記述している。
第０１／６７７１６号国際公開公報（ＷＯ０１／６７７１６Ａ１）

第２のシナリオによれば、割り当てられたゲートウエイＧＰＲＳサポートノード（ＧＧＳＮ）は、ユーザがローミングしている訪問先ネットワークに属している。そのような訪問先ネットワークは、ユーザアクセス認証の実行を引き受けることが好ましい。それ故に、上記の「ＭＳＩＳＤＮ転送」機構を利用することにより、訪問先コアネットワークドメインにおいて割り当てられた訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）は、ホームサービスネットワークの「ホーム認証、認可および課金」（Ｈ−ＡＡＡ）サーバと直接通信することが可能となる。

従って、上記でコメントした両方のシナリオにおいて、ユーザによって生成されたＩＰトラフィックは、ユーザのホームサービスネットワーク（ＳＮ）へと物理的にルーティング（経路制御）される。緊密な結束モデルに従って組織された任意の訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ）をローミングする加入者に、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）によって提供されるグローバルサービスへのアクセス、ならびに複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）傘下の所与の訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ）によって提供されるローカルサービスへのアクセスを、ユーザが希望するときは、ホームサービスネットワークを通じてこのユーザのＩＰトラフィックをルーティングすることは効率的ではない。さらにユーザがローミングしている特定の国内ネットワーク運用事業者（Ｎ−ＭＮＯ）のそのような訪問先サービスネットワークにおいて、グローバルサービスが実際に実行されるときは、この効率性の欠如はさらに深刻となる。

さらに現時点でＧＰＲＳローミングを提供するいくつかのソリューションが存在するが、緊密な結束モデルに従う複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のパケット無線ネットワークを、ユーザがローミングしている場合、シングルサインオン（ＳＳＯ）サービスを効率的にサポートするための要求条件を満たす、必要な全ての構造的手段を、いずれのソリューションも提供してはいない。

そのため、ＭＮ−ＭＮＯとの相互契約に締結している外部サービスプロバイダのサービス、ならびに複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のサービスネットワークのサービスへのアクセスを、ユーザに提供する手段および方法を提供することが、本発明の目的である。これにより、サービスが要求される度に、ユーザが明示的に認証を受ける必要はない。また、ＧＰＲＳコアネットワークへ、ユーザが最初にアクセスするときに実行された元の認証をサービスネットワークは信頼することになる。

また、種々の国内ネットワーク運用事業者（Ｎ−ＭＮＯ）間を、ユーザがローミングしている場合にもこのようなアクセスベースの認証が信頼されるようにすることが、本発明の別の目的である。Ｎ−ＭＮＯは、ＭＮ−ＭＮＯを構成しているため、パケット無線ネットワークをローミングする加入者にシングルサインオン（ＳＳＯ）サービスを享受させることが可能になる。

さらに、ユーザがローミングしている訪問先サービスネットワークを通じてユーザのＩＰトラフィックをルーティングする。従って、上記の緊密な結束モデルにより組織された複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）傘下の訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ）により提供されるシングルサインオンのグローバルサービスおよびローカルサービスに、ユーザがアクセスし、サービスを実行することを可能にする手段および方法を提供することが、本発明のさらなる目的である。

上記の目的および他の目的は、本発明に従って達成される。すなわち、本発明は、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のパケット無線ネットワーク（ＣＮ−１、ＳＮ−１；ＣＮ−２、ＳＮ−２）をローミングするユーザ（３）に、シングルサインオンサービスを提供する通信システムおよび方法に関する。ＭＮ−ＭＮＯは、国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ；Ｎ−ＭＮＯ−Ｂ）の連合を含む。国内ネットワーク運用事業者の１つ（Ｎ−ＭＮＯ−Ａ）に、ユーザは加入している。

従って、本発明による通信システムは、
−訪問先パケット無線ネットワーク（ＣＮ−１）においてユーザに割り当てられた訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）であって、ユーザはローミングしており、本発明の目的に従って、Ｖ−ＧＧＳＮは、ユーザの最初の認証に関するユーザの識別子をユーザのホームネットワークに送信する処理を担当する、訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）と、
−ユーザのホームサービスネットワーク（ＳＮ−２）におけるホーム認証、認可および課金（Ｈ−ＡＡＡ）サーバ（２３）であって、前記ユーザの識別子によりユーザのマスターセッションを維持する処理を担当する、ホーム認証、認可および課金（Ｈ−ＡＡＡ）サーバ（２３）と、
−訪問先サービスネットワーク（ＳＮ−１）の訪問先認証、認可および課金（Ｖ−ＡＡＡ）サーバ（１３）であって、Ｖ−ＧＧＳＮ（１４）とＨ−ＡＡＡ（２３）との間でプロキシとして動作し、Ｈ−ＡＡＡのアドレスを前記ユーザの識別子と関連付ける処理を担当する訪問先認証、認可および課金（Ｖ−ＡＡＡ）サーバ（１３）と、
−複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のシングルサインオンサービスへの単一のエントリーポイントとして動作することが意図されているグローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャ（３３）と
を含む。

また、この通信システムは、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）連合のグローバルディレクトリ（３１）を含んでもよい。このグローバルディレクトリ（３１）は、ユーザがローミングしている訪問先サービスネットワーク（ＳＮ−１）のＶ−ＡＡＡサーバ（１３）と協働するために、ユーザのホームサービスネットワーク（ＳＮ−２）のＨ−ＡＡＡサーバ（２３）の位置を探し出す。このグローバルディレクトリ（３１）は、ユーザの認証に関するユーザの識別子と対応するＨ−ＡＡＡサーバ（２３）のアドレスとの間の関連付けを記憶するために設けられたエンティティである。

この通信システムによれば、ユーザがローミングしている訪問先サービスネットワーク（ＳＮ−１）のＶ−ＡＡＡサーバ（１３）は、Ｈ−ＡＡＡサーバ（２３）のアドレスとユーザの識別子とのバインディング（結合関係）を、ローカルな動的ルーティングデータベース（ＬＤＲ ＤＢ）（１１）内に保持する。この観点によれば、上記のユーザの識別子は、ユーザの管理番号とユーザ（ＵＥ）（３）に割り当てられたＩＰアドレスとを含む。

また、この通信システムによればユーザのホームサービスネットワーク（ＳＮ−２）のＨ−ＡＡＡサーバ（２３）は、セッション関連情報の記憶を担当するシングルサインオンセッションデータベース（ＳＳＯ セッション ＤＢ）（２１）と協働して、ユーザのマスターセッションを維持する。このセッション関連情報は、ユーザ管理番号、ユーザに割り当てられたＩＰアドレス、選択した認証機構のインジケータ、および認証イベントのタイムスタンプを含んでもよい。

この通信システムは、さらに、連合に含まれる任意の国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ；Ｎ−ＭＮＯ−Ｂ）の加入者であるユーザに、シングルサインオンサービスを提供するために、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）連合とサービス提携契約に締結しているいくつかのサービスプロバイダ（２）を含んでもよい。従って、各サービスプロバイダ（２）は、
−連合へのエントリー（入場）ポイントとしてのグローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャ（３３）へとユーザをリダイレクトするリダイレクト手段と、
−認証アサーション、または、そのような認証アサーションが生成された場所のインジケータ（表示）と同様のリファレンス（参照）のいずれかであるトークンを、ユーザから受信する受信手段と、
−前記認証アサーションが生成されたサイトからの前記認証アサーションを検索する検索手段と、
−そのようなサイトが信頼できるサイトであることをチェックするチェック手段と
を含む。

この通信システムによれば、連合においてエントリーポイントとして動作するために、それぞれ特定のサービスプロバイダ（２）は、種々のグローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）（３３）を有してもよい。この観点において、１つのグローバル・シングルサインオン・フロントエンドから前、記連合のエントリーポイントとして動作する連合内の他のフロントエンドへと変更する変更手段が提供される。

従って、本発明による方法は、
−ユーザのホームサービスネットワーク（ＳＮ−２）に対して、訪問先パケット無線ネットワーク（ＣＮ−１、ＳＮ−１）をローミングしているユーザの最初の認証を実施する第１のステップと、
−シングルサインオンの関連データにより、ユーザのホームサービスネットワーク（ＳＮ−２）にマスターセッションを確立する第２のステップと、
−シングルサインオンの認証アサーションを得るために、連合のエントリーポイントとして動作するグローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャ（３３）を介して、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）とサービス提携契約に締結しているサービスプロバイダ（２）にアクセスするユーザを、ユーザのホームネットワーク（Ｎ−ＭＮＯ−Ａ）に向けてリダイレクトする第３のステップと、
−ユーザから、または認証アサーションを生成したエンティティから、シングルサインオンの認証アサーションを受信する第４のステップと
を含む。

この方法によれば、シングルサインオンの関連データによりユーザのホームサービスネットワーク（ＳＮ−２）にマスターセッションを確立する第２のステップは、さらに、
−シングルサインオンセッションデータベース（２１）に、セッション識別子、セッション状態、ユーザ管理番号、ユーザに割り当てられたＩＰアドレス、選択した認証機構のインジケータ、および認証イベントのタイムスタンプを含むシングルサインオン関連データを記憶するステップと、
−ユーザの訪問先サービスネットワーク（ＳＮ−１）において、ユーザのホームサービスネットワーク（ＳＮ−２）のそのようなユーザのマスターセッションを処理するエンティティのアドレスと、少なくともユーザ管理番号、およびユーザ（３）に割り当てられたＩＰアドレスを含む１組のユーザの識別子とをバインディングするステップと
をさらに含む。

この方法によれば、訪問先パケット無線ネットワーク（ＣＮ−１）をローミングするユーザの最初の認証を実施する第１のステップは、訪問先パケット無線ネットワークのユーザに対して、訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）が割り当てられていること、およびユーザのマスターセッションを維持するために、前記Ｖ−ＧＧＳＮ（１４）からユーザのホームサービスネットワーク（ＳＮ−２）のホーム認証、認可および課金（Ｈ−ＡＡＡ）サーバ（２３）に向けて、ユーザの最初の認証に関するユーザの識別子が送信されることを前提としている。また、ユーザの最初の認証を実施するこのステップは、この目的のために、訪問先パケット無線ネットワークの前記Ｖ−ＧＧＳＮ（１４）とユーザのホームサービスネットワーク（ＳＮ−２）のＨ−ＡＡＡサーバ（２３）との間に、プロキシとして動作する、訪問先サービスネットワーク（ＳＮ−１）の訪問先認証、認可および課金サーバ（Ｖ−ＡＡＡ）（１３）を中間配置するステップを含む。

この方法では、グローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャ（３３）を介して、ユーザのホームネットワーク（Ｎ−ＭＮＯ−Ａ）に向けてユーザをリダイレクトする第３のステップは、好ましくは、
−連合ネットワークにアクセスする際に、ユーザに現在のＩＰアドレスを割り当てた訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）を判別するステップと、
−ユーザのホームサービスネットワーク（ＳＮ−２）のユーザのマスターセッションを扱うエンティティのアドレスを訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）から取得するステップと
を含んでもよい。

とりわけ、現在の訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）にユーザをリダイレクトする（Ｓ−５４、Ｓ−５５）か、またはバックエンドプロトコルの支援によりグローバル・シングルサインオン・フロントエンド（３３）から訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）にそのようなアドレスを要求する（Ｓ−９０）ことにより、そのようなユーザのマスターセッションを扱うエンティティのアドレスを取得する上記のステップを実行してもよい。

また、所与のユーザに係るＩＰアドレスの割り当てを担当する国内ネットワーク運用事業者に関して、グローバルディレクトリ（３１）にクエリー（問い合わせ）を行うステップを、訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）を判別する上記のステップが含んでもよい。

さらに正確には、そのようなアサーションが生成されたエンティティからシングルサインオンの認証アサーションを受信するこの方法の上記第４ステップは、
−ユーザからそのようなエンティティのアドレスとともに前記アサーションへの参照を受信するステップと、
−アサーションを生成したエンティティによりアサーションを有効にするステップと
を含む。

本発明の特徴、目的および利点は、添付する図面とともに本説明を読むことで、より明らかになろう。

前記複数国移動ネットワーク運用事業者において、緊密な結束モデルの下に連帯した種々の国内ネットワーク運用事業者（Ｎ−ＭＮＯ）間をユーザがローミングしているときに、外部サービスプロバイダ、および複数国にわたる移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のシングルサインオン（ＳＳＯ）サービスにアクセスできる可能性をユーザに提供する。従って、上記連合のパケット無線ネットワークをローミングするユーザにシングルサインオン（ＳＳＯ）サービスを提供するシステムおよび方法に関し、現時点において好ましい実施形態を以下に説明する。

複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のユーザに対して、当該ユーザがローミングしている訪問先ネットワークに属するゲートウエイＧＰＲＳサポートノード（ＧＧＳＮ）を割り当てたこと、およびそのような訪問先ネットワークが好ましくはユーザのアクセス認証の実行を担うことに関して、本発明はいくつかの側面を提示する。

本発明の第１の側面によれば、ユーザのマスターセッションを設定する際に必要となるユーザの情報をホームネットワークに供給する新しい機構が提供される。より正確には、シングルサインオンサービス、すなわち訪問先国内ネットワーク運用事業者により提供される「ローカル」サービス、ならびに複数国移動ネットワーク運用事業者により提供される「グローバル」サービスの両方にユーザがアクセスして、実行することを可能にするために、ユーザのＩＰトラフィックが、当該ユーザがローミングしている訪問先サービスネットワークを通してルーティングされることを保証する新しい機構が提供される。一方で、訪問先コアネットワークにおいて割り当てられたゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）からホームサービスネットワークの「ホーム認証、認可および課金」（Ｈ−ＡＡＡ）サーバに、当該ユーザの情報を提供する新しい機構も提供される。本発明のこの第１の側面による本ソリューション全体の概略図は、図１により提示されている。訪問先サービスネットワーク（ＳＮ−１）は、訪問先コアネットワーク（ＣＮ−１）からホームサービスネットワーク（ＳＮ−２）への認証、認可およびセッション関連メッセージのプロキシとして動作する。

従って、図１は、緊密な結束シナリオに関与する種々の装置を示している。複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）は、複数の連合国内ネットワーク運用事業者（ＳＮ−１、ＣＮ−１；ＳＮ−２、ＣＮ−２）を含む。

第１の装置は、ユーザ（３）が有するユーザ装置（ＵＥ）である。当該ユーザは、ホームネットワーク（ＳＮ−２、ＣＮ−２）に加入しており、訪問先ネットワーク（ＳＮ−１、ＣＮ−１）をローミング中にサービスへのアクセスを希望する。

第２の装置は、訪問先サービスＧＰＲＳサポートノード（Ｖ−ＳＧＳＮ）（１５）である。Ｖ−ＳＧＳＮは、ユーザに割り当てられたゲートウエイＧＰＲＳサポートノードを分析するように意図されたエンティティである。従って、Ｖ−ＳＧＳＮは、アクセスポイントネットワーク（ＡＰＮ）に依存するサービスネットワークにアクセスするために使用される訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）を決定する。

第３の装置は、訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）であり、これは（ＵＥ）（３）へのＩＰアドレスの割り当てを担う。本発明の実施形態によれば、これを実現するために、（Ｖ−ＧＧＳＮ）（１４）は、訪問先サービスネットワーク（ＳＮ−１）の「訪問先認証、認可および課金」（Ｖ−ＡＡＡ）サーバ（１３）にアクセス要求メッセージを送信する。メッセージ属性の１つとして、このアクセス要求は、ＭＳＩＳＤＮ、あるいはユーザ管理番号を含む。

本発明に従い、この新しい装置、（Ｖ−ＡＡＡ）（１３）は、訪問先ネットワーク（ＳＮ−１、ＣＮ−１）に属している、これらのＩＰアドレスのうち、あるＩＰアドレスをユーザに割り当てる処理を担当する。それ故、Ｖ−ＡＡＡは、訪問先ネットワークなど、あるドメインにおいてＩＰアドレスをリース（貸与）することを意図されたＤＨＣＰ（１２）サーバを使用してもよい。あるいは、Ｖ−ＡＡＡが、自己のネットワーク内においてＩＰアドレス割り当てを実行してもよい。本発明の目的に対して、ユーザのホームサービスネットワーク（ＳＮ−２）における「ホーム認証、認可および課金」（Ｈ−ＡＡＡ）サーバ（２３）へのユーザの認証、認可、セッションおよび課金メッセージのプロキシとして、Ｖ−ＡＡＡを観念してもよい。この目的のために、Ｖ−ＡＡＡ（１３）は、ローカルの動的ルーティングデータベース（ＬＤＲ ＤＢ）（１１）内に、Ｈ−ＡＡＡ（２３）のアドレス、ＭＤＩＳＤＮおよびＵＥ（３）ＩＰアドレスのバインディングを保持する。本発明の実施形態によれば、Ｖ−ＡＡＡ（１３）は、このユーザのマスターセッションの確立処理および終了処理に関与する。しかしながら、マスターセッションの制御は、ユーザのホームサービスネットワーク（ＳＮ−２）において実行されることが好ましい。

他の新しい装置は、グローバルディレクトリ（３１）であり、これはユーザのホームサービスネットワーク（ＳＮ−２）におけるＨ−ＡＡＡ（２３）の位置指定を行うために、訪問先サービスネットワーク（ＳＮ−１）のＶ−ＡＡＡ（１３）と協働する。物理的には、このグローバルディレクトリ（３１）を専用かつ新規のエンティティとしてよい。あるいは、このグローバルディレクトリ（３１）として、より汎用の中央ディレクトリサーバ（ＣＤＳ）を利用してもよい。あるいは、このグローバルディレクトリ（３１）は、ＥＮＵＭデータベースの形式を採用してもよい。あるいは、このグローバルディレクトリ（３１）は、既存のサービス位置指定機能（ＳＬＦ）に実装されてもよい。

さらなる装置は、上記のＨ−ＡＡＡ（２３）であり、これはサービスネットワークレベルにおけるユーザの認証状態を保持する処理を担当する。さらに、Ｈ−ＡＡＡ（２３）は、また、所与のユーザのマスターセッションを処理し、制御することを担う。

なお、さらなる装置は、「シングルサインオン・セッションデータベース」（ＳＳＯ セッション ＤＢ）（２１）であり、これは、ユーザのＩＰアドレス、ＭＳＩＳＤＮ、タイムスタンプおよびその他など、所与のユーザのセッション関連情報を持続的に記憶する処理を担当する。

本発明のこの第１の側面によれば、ユーザが加入するいくつかの国内ネットワーク運用事業者（ＳＮ−１、ＣＮ−１；ＳＮ−２、ＣＮ−２）を含む、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のネットワークをローミングするパケット無線ネットワークのユーザに、効率的なシングルサインオン認証を提供する方法が提供される。

従って、図２に示すように、ユーザ（３）は、ユーザがローミングしている訪問先ネットワーク（ＣＮ−１）のＶ−ＳＧＳＮ（１５）に対して、ＰＤＰコンテキストをアクティブ（Ｃ−０１）にするためのＧＰＲＳ手順を開始する。例えば、ＤＮＳの分析を通じて、固有のサービスネットワークに関連するアクセスポイントネットワーク（ＡＰＮ）を分析することにより、Ｖ−ＳＧＳＮは、ＰＤＰコンテキストの創設をサポートするＧＧＳＮを選択する。現在のシナリオによれば、Ｖ−ＳＧＳＮ（１５）は、ユーザがローミングしている訪問先ネットワーク（ＣＮ−１）のＶ−ＧＧＳＮ（１４）を選択し、Ｖ−ＧＧＳＮ（１４）に「ＰＤＰコンテキストの創設」メッセージを送信する（Ｃ−０２）。「ＰＤＰコンテキストの創設」メッセージを受信すると（Ｃ−０２）、Ｖ−ＧＧＳＮは、ＡＰＮの認証処理を実行する。この目的のために、Ｖ−ＧＧＳＮ（１４）は、Ｖ−ＡＡＡ（１３）に「アクセス要求」あるいは「課金開始」メッセージを送信する（Ｃ−０３）。これについて図２は、「アクセス要求」あるいは「課金開始」メッセージを区別なく参照することより、汎用的なＲＡＤＩＵＳメッセージ（Ｃ−０３；Ｃ−０７）を示している。さらに、当業者であれば理解できるように、この説明の範囲と本質的に異なることなく、ＲＡＤＩＵＳの代わりに、例えば、ＤＩＡＭＥＴＥＲなどの他の類似のプロトコルを使用してもよい。

技術的観点からは、Ｖ−ＧＧＳＮ（１４）は、Ｈ−ＡＡＡ（２３）と直接的に通信できるが、ホームネットワークからＶ−ＧＧＳＮへＩＰトラフィックを正しくルーティングできるためには、Ｖ−ＧＧＳＮからのポイントツーポイントのトンネルが必要であり、かつ、ホームサービスネットワーク（ＳＮ−２）におけるエントリーポイントも必要となろう。ホームサービスネットワーク（ＳＮ−２）と、ホームサービスネットワークおよび訪問先サービスネットワーク（ＳＮ−２、ＳＮ−１）間の専用リンクに、追加のインフラストラクチャが必要となることを意味する。上述のように、いくつかのドメインが関与する多くのケースでは、これは最適なソリューションではない。本発明は、これらを改良することについて着目している。

次いで、Ｖ−ＡＡＡ（１３）は、ＤＨＣＰサーバ（１２）により、あるいは自己のネットワーク内のＩＰアドレスのプールを使用して、ユーザにＩＰアドレスを割り当てる（Ｃ−０４）。

本発明の実施形態によれば、グローバルディレクトリ（３１）というよりは、むしろ他のシナリオにおいても有効な前記ユーザに対する認証信認とともに、所与のユーザに対するＩＤがＨ−ＡＡＡ（２３）において供給される。一方、サービスネットワークにおいて、ユーザは、一般にサービスを提供される場合、国内ネットワーク運用事業者（ＳＮ−２、ＣＮ−２）によりユーザがサービスを提供されることを、本発明の現時点での好ましい実施形態は前提としている。なお、当該ユーザは、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）に加入しているものとする。

それ故、Ｖ−ＡＡＡ（１３）は、Ｈ−ＡＡＡ（２３）に対する認証プロセスのプロキシとして機能する。これを達成するために、Ｖ−ＧＧＳＮ（１４）から受信したＭＳＩＳＤＮ、あるいは任意の加入者管理番号により、当該ユーザに係るＨ−ＡＡＡを発見するようにＶ−ＡＡＡは構成される。現時点での好ましい実施形態によれば、グローバルディレクトリ（３１）により、これを実行することができる。グローバルディレクトリ（３１）は、ＭＳＩＳＤＮ番号とそれに対応するＨ−ＡＡＡサーバアドレスとの間のマッピングを有している。上記の同じソリューションに関する他の実施形態は、ＥＮＵＭデータベースと、ＩＰマルチメディアネットワーク（ＩＰＭＭ）において使用されるサービス位置指定機能（ＳＬＦ）であってもよいだろう。明確さのために、用語「グローバルディレクトリ」を以後、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）の構内において、ＭＳＩＳＤＮなどの加入者管理番号とその対応するＨ−ＡＡＡサーバアドレスとの間の対応付けを記憶するために構成される物理的エンティティを意味するものとして使用する。

次いで訪問先ネットワーク（ＣＮ−１、ＳＮ−１）を、ユーザがローミングしていることが判明すれば、Ｖ−ＡＡＡ（１３）は、グローバルディレクトリに問い合わせを送信し（Ｃ−０５、Ｃ−０６）、前記ユーザに係るＨ−ＡＡＡの位置を探し出す。一度適切なＨ−ＡＡＡ（２３）が同定されれば、プロキシの動作を担当するＶ−ＡＡＡは、Ｈ−ＡＡＡ（２３）に対してユーザのＩＰアドレスおよびＭＳＩＳＤＮを含む「アクセス要求」あるいは「課金開始」メッセージを送信する。ＤＩＡＭＥＴＥＲなどの他のプロトコルにおける対応するメッセージを使用する、他の好ましい実施形態が後に続きうるが、簡潔さを維持するために、「アクセス要求」あるいは「課金開始」メッセージをＲＡＤＩＵＳメッセージとして図２に示す。

そのような「アクセス要求」あるいは「課金開始」メッセージを受信すると（Ｃ−０７）、Ｈ−ＡＡＡ（２３）は、ユーザの加入者データを調査し、当該ユーザにマスターセッションを確立する。ホームサービスネットワーク（ＳＮ−２）のシングルサインオン・セッションデータベース（ＳＳＯセッションＤＢ）（２１）に、ユーザのＭＳＩＳＤＮおよびＩＰアドレス、セッションＩＤ、適用可能な認証イベントのタイムスタンプ、および選択した認証機構を含むＳＳＯ関連データを、Ｈ−ＡＡＡは記憶する（Ｃ−０８）。

このＳＳＯセッションＤＢ（２１）を、過去に実行された認証イベントの存在と信用を是認する主要リポジトリと見なすことができる。よって、ＳＳＯの機能を達成する本発明によれば、これは重要な問題である。さらに、この情報を使用して、連合ＳＳＯのシナリオにおいて将来のアサーションを生成し、また、緊密に結束した複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のシナリオにおいて、ユーザがそのホームサービスにアクセスすることを容認する。

さらにマスターセッションは、ユーザのホームサービスネットワーク（ＳＮ−２）により固有に制御される。複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）に含まれる特定の国内ネットワーク運用事業者（ＳＮ−１、ＣＮ−１；ＳＮ−２、ＣＮ−２）の種々のネットワークに、セッション制御が分散される場合、ＳＳＯの機能を提供するためには、グローバルな動的セッションデータベース（ＧＤＳ ＤＢ）が要求される。しかしながら、スケーラビリティと性能の問題ゆえに、そのようなグローバルな動的セッションデータベース（ＧＤＳ ＤＢ）は、システムの大きなボトルネックとなる可能性がある。

一度ユーザにマスターセッションが確立されれば（Ｃ−０８）、Ｈ−ＡＡＡ（２３）は、Ｖ−ＡＡＡ（１３）に対応するアクセス要求あるいは課金応答の受理を返信する（Ｃ−０９）。一貫性を保つために、図２は、上記のアクセス要求あるいは課金応答の受理を意味するＲＡＤＩＵＳメッセージ受諾（Ｃ−０９）を示している。次いで、Ｖ−ＡＡＡ（１３）は、ローカルな動的ルーティングデータベース（ＬＤＲ ＤＢ）（１１）に、ユーザのＩＰアドレス、Ｈ−ＡＡＡサーバの位置あるいはアドレス、およびユーザのＭＳＩＳＤＮ間のバインディングを記憶する（Ｃ−１０）。さらにそのような情報により、ＭＮ−ＭＮＯシナリオにおける完全な連合ＳＳＯソリューションが実現される。

さらに、Ｖ−ＡＡＡ（１３）は、「アクセス要求」あるいは「課金開始」メッセージの受諾を送信機Ｖ−ＧＧＳＮ（１４）に返送し（Ｃ−１１）、代わってＶ−ＧＧＳＮは逆にＶ−ＳＧＳＮ（１５）へのＰＤＰコンテキスト要求の創設を実行する（Ｃ−１２）。最終的に、Ｖ−ＳＧＳＮ（１５）は、ＵＥ（３）にＰＤＰコンテキスト受諾の起動を返送する（Ｃ−１３）。

本発明の第２の側面によれば、緊密に結束した複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）シナリオにおける連合ＳＳＯサービスをサポートする新しい機構が提供される。

図３に示すこのシナリオでは、ウエブブラウザを通してユーザ（３）は、ホームあるいは外部サービスにアクセスしている。従って、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のグローバルサービスネットワーク（１）におけるユーザから、到着ＩＰコネクションが受信されると、ユーザが信頼されるものか、すなわち第１に当該ユーザが連合（複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ））に属するか、第２に当該ユーザが以前に認証されており、なお動作中のアクティブなセッションを有しているかを、グローバルサービスネットワークが調査する。この調査および確認は、到着ＩＰコネクションのユーザＩＰアドレスから実行されることが好ましい。これは、ユーザにとってトランスペアレントな処理である。ＩＰアドレスは、ＵＥに確実に割り当てられ、運用事業者の内部パケット交換ネットワークもまた安全である。従って、割り当てられたＩＰアドレスが偽物でないことを前提としている。そのようなユーザが接続されている間は、この前提により、ユーザの疑似的なＩＤとしてユーザのＩＰアドレスを使用することができる。

上記で説明したように、複数国移動ネットワーク運用事業者によって所有され、あるいは制御される全ネットワーク内にシングルサインオン（ＳＳＯ）サービスのための単一の論理エントリーポイント（３３）が存在することを、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）に対する緊密な結束モデルは前提としている。この前提は、ビジネスモデルに基づいている。このモデルによれば、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）により含まれるこれらローカルの国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ；Ｎ−ＭＮＯ−Ｂ）より、むしろ、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）と、種々のサービスプロバイダ（ＳＰ）（２）は相互契約に締結する。さらに、複数国移動ネットワーク運用事業者（１）にとっては、より簡単な構成を提供することによりサービスプロバイダ（２）との相互動作を容易にすることが重要である。その結果、サービスプロバイダ（ＳＰ）は、複数国移動ネットワーク運用事業者のパートナーであることで、より簡易な利点を得ることができる。

この点で、シングルサインオン（ＳＳＯ）サービスのためのこの単一の論理エントリーポイント（３３）は、単一の物理的エントリーポイントを意味しない。むしろ、種々のＵＲＩを、各自のサービスプロバイダ（２）は、実際に持つことができる。ユーザのブラウザ、あるいは、より一般的に言えばユーザのエージェントは、ＵＲＩによりリダイレクトされることになる。従って、複数国移動ネットワーク運用事業者（１）によって所有され、あるいは制御されるネットワーク内において、ユーザが信頼されるか否かを判定することを意図されているＳＳＯサービスは、グローバルに使用される。その際、所与のサービスプロバイダは、ユーザ（３）に対して同じ機能を保持しつつ、連合に対する物理的ＳＳＯエントリーポイント（３３）を変更させることができる。これを、単一のエントリーポイントは意味している。

さらに、実際の認証は、特定の国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ）に属すユーザのホームネットワークにおいて実行される。しかしながら、この手順はサービスプロバイダ（ＳＰ）にはトランスペアレント（透過的）である。従って、サービスプロバイダ（２）は、常に、連合の同一のエントリーポイントにユーザをリダイレクトする。一般には、「ｈｔｔｐ」のリダイレクトであるいくつかのステップを実行した後で、一度ブラウザ、あるいはユーザのエージェントが、再度サービスプロバイダに接続すると、ユーザは、トークンを提示する。トークンは、認証アサーションを生成したサービスプロバイダを示す、ＳＡＭＬ用語における人為的な結果のことである。従って、サービスプロバイダ（２）は、ユーザの国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ）を意識する必要はなく、認証アサーションが生成されたサイトと単に通信し、そのようなサイトが信頼されることを調査する。要するに、連合におけるエントリーポイント（３３）である、グローバルＳＳＯフロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャは、それがあたかもグローバルサービス・ネットワークインフラストラクチャに属するシングルサインオンサービスであるかのように観念することができる。従って、連合の全てにおいて共通のサービスとなる。

図３の装置間のより詳細な相互動作のシーケンスを図４に示す。まず、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のコアネットワーク（１）を通して、ユーザがパケット無線ネットワークへのアクセスを取得したと仮定する。

図４に示すように、ユーザ（３）は、サービスプロバイダ（２）と通信し、連合のシングルサインオン（Ｆ−ＳＳＯ）機構により認証されることを要求する（Ｓ−５１）。単一の論理ＵＲＩ、あるいは種々の論理ＵＲＩを通して、ユーザのウエブブラウザ、あるいはユーザのエージェントは、連合（３３）における単一のエントリーポイント、すなわち上記のグローバルＳＳＯフロントエンド（Ｇ−ＳＳＯ−ＦＥ）にリダイレクトされる（Ｓ−５２、Ｓ−５３）。従ってグローバルＳＳＯフロントエンド（Ｇ−ＳＳＯ−ＦＥ）（３３）は、到着ＩＰコネクションを受信し（Ｓ−５３）、送信者のＩＰアドレスを調査することにより、そのようなユーザが信頼されるか否かを判定しなければならない。

連合における種々の国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ；Ｎ−ＭＮＯ−Ｂ）に対するＩＰアドレスマッピングとともに、ＭＮ−ＭＮＯ関連ＩＰインフラストラクチャに対する構成の詳細が記憶されている、図４に図示しないグローバルサービスネットワーク内において、Ｇ−ＳＳＯ−ＦＥ（３３）の論理手段は、「サービス問い合わせ」を実行する。この問い合わせの結果、ユーザがＭＮ−ＭＮＯネットワークにアクセスした訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ｂ）、すなわちユーザによって現在使用されているＩＰアドレスを割り当てた特定の国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ｂ）を、Ｇ−ＳＳＯ−ＦＥ（３３）は判別する。

グローバルサービスネットワーク内における上記の「サービス問い合わせ」は、内部データベースもしくは内部テーブルにおけるＩＰアドレスの範囲を単に分析することによるＧ−ＳＳＯ−ＦＥ（３３）構内の内部調査であってもよい。あるいは、グローバルディレクトリ（３１）への外部問い合わせであってもよい。従って、本実施形態によれば、後者は、複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）の緊密な結束モデル内においてサービスを要求されると、より完全なサービスを提供する。

一度Ｇ−ＳＳＯ−ＦＥ（３３）が訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ｂ）を判別すると、次にＧ−ＳＳＯ−ＦＥ（３３）は、ユーザのブラウザ（３）を訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ｂ）にリダイレクトするか（Ｓ−５４、Ｓ−５５）、あるいはバックエンドプロトコルを介して訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ｂ）に、ユーザのホームとなる国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ）ネットワークにおけるＩＤを要求する（Ｓ−９０）かの、いずれかを選択してもよい。

現時点における好ましい実施形態によれば、帯域幅と信頼性の点で、通常、ボトルネックとなる、ユーザ（３）への「フロントチャネル」のトラフィックを最適化するために、このバックエンドプロトコルを使用することは、よりよい手法であると思われる。さらにこのバックエンドプロトコルを使用することは、また、ユーザのログイン処理を短縮し、それ故、ユーザイクスペリエンスの内容を高度化することができよう。

図４に示した手順に戻って説明する。ユーザが最初にＭＮ−ＭＮＯパケット無線ネットワークにアクセスしたときに、図２に示したユーザのホームおよび訪問先ネットワークの両者間で認証機構を実行する際に、ＬＤＲ ＤＢ（１１）に記憶されているユーザのＩＰアドレスとＨ−ＡＡＡ（２３）との間のバインディングにより、訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ｂ）のネットワークには、ユーザのホーム国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ）ネットワークは既知である。

最終的にユーザのブラウザ（３）は、ユーザのマスターセッションが記憶されているユーザのホーム国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ）ネットワークのＳＳＯサービスへとリダイレクトされる（Ｓ−５６、Ｓ−５７）。ユーザウェブブラウザは、訪問先国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ｂ）のネットワークによる以前のリダイレクト（Ｓ−５４、Ｓ−５５）から、あるいはバックエンドプロトコルを介して得られた（Ｓ−９０）情報のおかげでＧ−ＳＳＯ−ＦＥ（３３）からリダイレクトされる。従って、ユーザのホーム国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ）ネットワークのＳＳＯサービスは、そのようなユーザの信頼状態を確認し、断定することができる。もしユーザがＳＳＯセッションＤＢ（２１）にアクティブなＳＳＯセッションを持っていれば、ＳＡＭＬアサーションが生成され、さらにサービスプロバイダにより検索され、ユーザは認証される（Ｓ−５８）。

以上にいくつかの実施形態を用いて、例証的かつ非制限的に本発明を説明した。上記の説明に照らして、明らかに本発明について多くの修正および変形を実現可能である。本発明の範囲は特許請求の範囲により決定され、これら請求の範囲に入る実施形態の修正は、いずれも請求の範囲に含まれるものと考えられる。

いくつかの国内ネットワーク運用事業者（ＳＮ−１、ＣＮ−１；ＳＮ−２、ＣＮ−２）を含む複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）を有する緊密な結束シナリオに含まれる種々の装置とインタフェースの基本的概観を示す図である。 ユーザが加入している国内ネットワーク運用事業者（ＳＮ−１、ＣＮ−１；ＳＮ−２、ＣＮ−２）を含む複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のネットワークをローミングするパケット無線ネットワークのユーザに対する、効率的なシングルサインオン認証の実行に含まれうる種々のエンティティ間の相互動作を説明するフローシーケンス図である。 複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）を有する緊密な結束シナリオの連合シングルサインオンサービスをサポートする種々の装置とインタフェースの簡略化した外観を示す図である。 ユーザにシングルサインオンサービスを提供するために、ユーザ、複数国移動ネットワーク運用事業者とのサービス提携契約を有するサービスプロバイダ、および複数国移動ネットワーク運用事業者に含まれる国内ネットワーク運用事業者連合との間で行われるトラフィックフローの概観を示す図である。

Claims (19)

1. 国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ；Ｎ−ＭＮＯ−Ｂ）の連合を含み、該国内ネットワーク運用事業者の１つ（Ｎ−ＭＮＯ−Ａ）にユーザが加入している、複数数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）におけるパケット無線ネットワーク（ＣＮ−１、ＳＮ−１；ＣＮ−２、ＳＮ−２）をローミングする該ユーザ（３）に、シングルサインオンサービスを提供する通信システムであって、
   −訪問先パケット無線ネットワーク（ＣＮ−１）において、ローミングしている前記ユーザに割り当てられた訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）であって、該ユーザの最初の認証に関する該ユーザの識別子を該ユーザのホームサービスネットワーク（ＳＮ−２）に送信する処理を担当する、訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）と、
   −前記ユーザのホームサービスネットワーク（ＳＮ−２）におけるホーム認証、認可および課金（Ｈ−ＡＡＡ）サーバ（２３）であって、該ユーザの前記識別子により該ユーザのマスターセッションを維持するための処理を担当する、ホーム認証、認可および課金（Ｈ−ＡＡＡ）サーバ（２３）と、
   −訪問先サービスネットワーク（ＳＮ−１）の訪問先認証、認可および課金（Ｖ−ＡＡＡ）サーバ（１３）であって、前記訪問先ゲートウエイＧＰＲＳサポートノード（１４）と前記ホーム認証、認可および課金サーバ（２３）との間でプロキシとして動作し、該ホーム認証、認可および課金サーバ（２３）のアドレスを前記ユーザの前記識別子と関連付ける処理を担当する訪問先認証、認可および課金（Ｖ−ＡＡＡ）サーバ（１３）と、
   −前記複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）のシングルサインオンサービスへの単一のエントリーポイントとして動作することが意図されているグローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャ（３３）と
   を含むことを特徴とする通信システム。
2. 前記複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）の連合のグローバルディレクトリ（３１）をさらに含み、
   前記グローバルディレクトリ（３１）は、前記ユーザがローミングしている前記訪問先サービスネットワーク（ＳＮ−１）における前記訪問先認証、認可および課金サーバ（１３）と協働するとともに、前記ユーザの前記ホームサービスネットワーク（ＳＮ−２）における前記ホーム認証、認可および課金サーバ（２３）の位置を探し出す、請求項１に記載の通信システム。
3. 前記グローバルディレクトリ（３１）は、前記ユーザの認証に関する該ユーザの識別子と、対応する前記ホーム認証、認可および課金サーバ（２３）のアドレスとの間の関連付けを記憶するために設けられたエンティティである、請求項２に記載の通信システム。
4. 前記ユーザがローミングしている前記訪問先サービスネットワーク（ＳＮ−１）における前記訪問先認証、認可および課金サーバ（１３）は、前記ホーム認証、認可および課金サーバ（２３）のアドレスとユーザの識別子とのバインディングを、ローカルな動的ルーティングデータベース（ＬＤＲ ＤＢ）（１１）内に保持する、請求項１に記載の通信システム。
5. 前記ユーザの識別子は、前記ユーザの管理番号と、前記ユーザ（ＵＥ）（３）に割り当てられたＩＰアドレスとを含む、請求項４に記載の通信システム。
6. 前記ユーザのホームサービスネットワーク（ＳＮ−２）における前記ホーム認証、認可および課金サーバ（２３）は、セッション関連情報の記憶を担当するシングルサインオン・セッションデータベース（ＳＳＯ セッション ＤＢ）（２１）と協働して、前記ユーザのマスターセッションを維持し、
   前記セッション関連情報は、ユーザ管理番号、前記ユーザに割り当てられたＩＰアドレス、選択された認証機構のインジケータ、および認証イベントのタイムスタンプを含む、請求項１に記載の通信システム。
7. 前記複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）の連合に含まれる任意の国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ；Ｎ−ＭＮＯ−Ｂ）の加入者である前記ユーザに、前記シングルサインオンサービスを提供するために、前記連合とサービス提携契約に締結しているいくつかのサービスプロバイダ（２）をさらに含み、
   前記サービスプロバイダ（２）のそれぞれは、
   −前記連合へのエントリーポイントとしての前記グローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャ（３３）へと前記ユーザをリダイレクトするリダイレクト手段と、
   −認証アサーション、または該認証アサーションが生成された場所のインジケータと同等の参照であるトークンを、前記ユーザから受信する受信手段と、
   −前記認証アサーションが生成されたサイトからの該認証アサーションを検索する検索手段と、
   −前記サイトが信頼できるサイトであることをチェックするチェック手段と
   を含む、請求項１に記載の通信システム。
8. 前記サービスプロバイダ（２）うち特定のサービスプロバイダ（２）は、さらに、
   前記連合においてエントリーポイントとして動作している、種々のグローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）（３３）を含みうる、請求項７に記載の通信システム。
9. 前記特定のサービスプロバイダ（２）は、さらに、前記グローバル・シングルサインオン・フロントエンド（３３）から、前記連合のエントリーポイントとして動作する他のグローバル・シングルサインオン・フロントエンド（３３）へと変更する変更手段を含む、請求項８に記載の通信システム。
10. いくつかのサービスプロバイダ（２）を通じて、複数数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）におけるパケット無線ネットワーク（ＣＮ−１、ＳＮ−１；ＣＮ−２、ＳＮ−２）をローミングするユーザ（３）に、シングルサインオンのサービスを提供する方法であって、前記サービスプロバイダ（２）は、前記複数数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）とサービス提携契約を締結しており、前記複数数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）は、国内ネットワーク運用事業者（Ｎ−ＭＮＯ−Ａ；Ｎ−ＭＮＯ−Ｂ）の連合を含み、該国内ネットワーク運用事業者の１つ（Ｎ−ＭＮＯ−Ａ）にユーザが加入しており、
    前記方法は、
    （ａ）前記ユーザのホームサービスネットワーク（ＳＮ−２）に対して、訪問先パケット無線ネットワーク（ＣＮ−１、ＳＮ−１）をローミングしている前記ユーザの最初の認証を実行する第１のステップと、
    （ｂ）前記シングルサインオンの関連データにより、前記ユーザの前記ホームサービスネットワーク（ＳＮ−２）にマスターセッションを確立する第２のステップと、
    （ｃ）前記シングルサインオンの認証アサーションを得るために、前記連合のエントリーポイントとして動作するグローバル・シングルサインオン・フロントエンド（Ｇ−ＳＳＯ−ＦＥ）インフラストラクチャ（３３）を介して、前記複数国移動ネットワーク運用事業者（ＭＮ−ＭＮＯ）とサービス提携契約に締結している前記サービスプロバイダ（２）にアクセスする前記ユーザを、前記ユーザの前記ホームネットワーク（Ｎ−ＭＮＯ−Ａ）に向けてリダイレクトする第３のステップと、
    （ｄ）前記ユーザから、または前記認証アサーションを生成したエンティティから、前記シングルサインオンの前記認証アサーションを受信する第４のステップと
    を含むことを特徴とする方法。
11. 前記シングルサインオンの関連データにより前記ユーザの前記ホームサービスネットワーク（ＳＮ−２）にマスターセッションを確立する前記第２のステップ（ｂ）は、さらに、
    −シングルサインオン・セッションデータベース（２１）に、セッション識別子、セッション状態、ユーザ管理番号、前記ユーザに割り当てられたＩＰアドレス、選択された認証機構のインジケータ、および認証イベントのタイムスタンプを含むシングルサインオン関連データを記憶するステップと、
    −前記ユーザの前記訪問先サービスネットワーク（ＳＮ−１）において、該ユーザのマスターセッションを処理する前記ホームサービスネットワーク（ＳＮ−２）のエンティティのアドレスと、少なくともユーザ管理番号、および該ユーザ（３）に割り当てられたＩＰアドレスを含む１組のユーザの識別子とをバインディングするステップと
    をさらに含む、請求項１０に記載の方法。
12. 前記第１のステップ（ａ）は、前記訪問先パケット無線ネットワークにおいて、前記ユーザに対し、前記訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）を割り当てるステップをさらに含む、請求項１０に記載の方法。
13. 前記訪問先ゲートウエイＧＰＲＳサポートノード（Ｖ−ＧＧＳＮ）（１４）を割り当てる前記ステップは、
    前記ユーザのマスターセッションを維持するために、前記訪問先ゲートウエイＧＰＲＳサポートノード（１４）から前記ユーザの前記ホームサービスネットワーク（ＳＮ−２）のホーム認証、認可および課金（Ｈ−ＡＡＡ）サーバ（２３）に向けて、前記ユーザの最初の認証に関するユーザの識別子を送信するステップを含む、請求項１２に記載の方法。
14. 前記ユーザの識別子を送信する前記ステップは、前記訪問先パケット無線ネットワークの前記訪問先ゲートウエイＧＰＲＳサポートノード（１４）と前記ユーザの前記ホームサービスネットワーク（ＳＮ−２）の前記ホーム認証、認可および課金サーバ（２３）との間に、プロキシとして動作する、前記訪問先サービスネットワーク（ＳＮ−１）における訪問先認証、認可および課金サーバ（Ｖ−ＡＡＡ）（１３）を中間配置するステップを含む、請求項１３に記載の方法。
15. 前記第３のステップ（ｃ）は、
    （ｃ１）前記連合のネットワークにアクセスする際に、前記ユーザに現在のＩＰアドレスを割り当てた訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）を判別するステップと、
    （ｃ２）前記ユーザの前記ホームサービスネットワーク（ＳＮ−２）において前記ユーザのマスターセッションを扱うエンティティのアドレスを前記訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）から取得するステップと
    を含む、請求項１０に記載の方法。
16. 前記エンティティのアドレスを取得する前記ステップ（ｃ２）は、現在の訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）に前記ユーザをリダイレクトするステップ（Ｓ−５４、Ｓ−５５）を含む、請求項１５に記載の方法。
17. 前記エンティティのアドレスを取得する前記ステップ（ｃ２）は、バックエンドプロトコルの支援により前記グローバル・シングルサインオン・フロントエンド（３３）から前記訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）に前記アドレスを要求するステップ（Ｓ−９０）を含む、請求項１５に記載の方法。
18. 前記訪問先ネットワーク（Ｎ−ＭＮＯ−Ｂ）を判別する前記ステップ（ｃ１）は、所与のユーザにＩＰアドレスを割り当てる前記国内ネットワーク運用事業者に関して、グローバルディレクトリ（３１）に問い合わせを行うステップを含む、請求項１５に記載の方法。
19. 前記認証アサーションを受信する前記第４ステップ（ｄ）は、
    −前記ユーザから前記エンティティのアドレスとともに前記認証アサーションへの参照を受信するステップと、
    −前記認証アサーションを生成した前記エンティティにより前記認証アサーションを有効にするステップと
    を含む、請求項１０に記載の方法。

Images