JP5030967B2 - 認証方法を拡張するための方法及びシステム - Google Patents

Description

本発明は、改良されたデータ処理システムに係り、具体的には、マルチコンピュータ間でデータを転送するための方法及び装置に係る。さらに詳細に説明すれば、本発明は、コンピュータ・システム内の認証方法に係る。

電子商取引ウェブ・サイト及びウェブ・アプリケーションは、ユーザの代わりに、コンピュータ・ネットワークを介してトランザクションを実行する。通常、ユーザは、セキュリティのために確実なレベルでユーザのアイデンティティを証明するために、認証手順を通過しなければならない。電子商取引ウェブ・ベースの環境では、コンピュータ・システムは、通常、ウェブ・サイトにアクセスするための玄関口又は歩哨ゲートの形式として認証サービスを実装する。これらの認証サービスは、ユーザが任意の資源にアクセスする前にユーザを認証することを保証するために、アプリケーションの前、すなわち、ユーザとアプリケーションの間に置かれる。これらの認証サービスは、ウェブ・サーバのプラグ・イン、リバース・プロキシ又は他の同様の技術として実装することができる。

一般に、企業は、インターネットを含む種々のネットワークを通して、ユーザ・フレンドリーな態様で、許可されたユーザに保護資源（protected resource）へのセキュアなアクセスを提供することを望んでいる。セキュアな認証機構の提供は、保護資源への無許可アクセスというリスクを減少させるが、かかる認証機構は、保護資源にアクセスする際の障壁になることがある。一般に、ユーザは、それぞれのアプリケーションをサポートする各システムを保護する認証障壁を顧慮せずに、１つのアプリケーションから他のアプリケーションに対話の相手を変える能力を望んでいる。

高度化したユーザは、その負担が減少されるように、コンピュータ・システムがそれぞれのアクションを調整することを期待する。これらの期待は、認証プロセスにも当てはまる。一旦、ユーザが特定のコンピュータ・システムにより認証された場合、ユーザは、ユーザには殆ど見えない種々のコンピュータ・アーキテクチャ境界を顧慮せずに、この認証が、ユーザの作業セッションの全期間中にわたって、又は少なくとも特定の期間にわたって、有効であると想定することがある。一般に、企業は、ユーザを懐柔するだけでなく、（ユーザの効率が従業員の生産性又は顧客満足と関係があるか否かに拘わらず）ユーザの効率を増加させるために、企業の展開したシステムの動作特性中にこれらの期待を実現することを試みる。

多くのコンピュータ・システムは、異なるレベルのセキュリティについて異なるタイプの認証を有する。例えば、ユーザが正確なユーザ名及びパスワードの組み合わせを提供することを必要とする第１レベルの認証が成功裏に完了した後、システムは、ウェブ・サイト上の特定セットの資源へのアクセスを提供することができる。第２レベルの認証は、ユーザがハードウェア・トークン（例えば、スマート・カード）を提示することを必要とすることがあり、その後、ユーザはウェブ・サイト上の比較的厳重に制御された資源へのアクセスを提供される。第３レベルの認証は、ユーザが（例えば、指紋走査又は網膜走査を通して）特定形式のバイオメトリック・データを提供することを必要とすることがあり、その後、システムは、ウェブ・サイト上の非常に機密性が高い資源へのアクセスを提供する。１つの認証レベルから次の認証レベルに上昇するプロセスは、「ステップアップ認証」又は「強制再認証」と呼ばれる。換言すれば、より機密性が高い資源へのアクセスを獲得するために、ユーザは、１つの認証レベルから、システムが必要とするより高い認証レベルにステップする。

認証は、既知の認証方法で実施することができる。しかし、多数のカストム方法のサポートは、容易に実施することができない。一般に、代表的なリバース・プロキシ内の認証方法は、すぐに使用可能なサポート済み方法、例えば、相互に認証済みのＳＳＬ（セキュア・ソケット・レイヤ）又は種々のカスタム方法に制限されている。新しい認証方法のサポートを追加することは、単純なプロセスではない。というのは、一般に、新しい認証方法は、サーバにおいて内部化されているからである。新しい認証方法を外部アプリケーションにより追加するためのサポートを有するシステムであっても、かかるサポートは制限されている。すなわち、外部化された認証情報に基づいてユーザ用のセッションを作成することができるが、（例えば、他の認証動作の完了を反映するように）ユーザの現在のセッション証明書を更新することができないからである。

この制限に対処するための現在の解決方法は、ユーザの現在のセッションを取り消し、新しいセッション情報及び証明書情報内に含まれる新しい認証方法で新しいセッションを確立する、というものである。システムは、ユーザには見えない態様で新しいセッションを確立することを試みることにより、新しいセッションの認識がユーザにとって必須でない場合は、かかる認識に係るユーザの負担を減少させることができる。しかし、依然として残る問題は、ユーザの最初のセッションから状態情報がある程度失われるということである。換言すれば、ダウンストリーム・アプリケーション又は保護資源は、古いセッションから新しいセッションへの変更に関し、予期しない問題を有することがある。

従って、ユーザ用の新しいセッションの確立を必要とすることなく、ユーザの認証証明書（以下「ユーザ証明書」とも称する）を更新可能な外部化されたアプリケーションにまで、認証方法を拡張することができる方法及びシステムを有することが有利である。そのようにすれば、或る目的のために認証サービス又は保護資源によって必要とされる、より高いセキュリティ・レベルを獲得することができるからである。

ユーザ用の認証証明書（authentication credential）を管理するための方法、システム、コンピュータ・プログラム製品及び装置が提供される。ユーザ用の認証証明書を管理するための方法が提供される。セッション管理サーバは、保護資源を含むドメインのためにユーザに関するセッション管理を実行する。前記セッション管理サーバは、前記保護資源にアクセスするための要求を受信する。前記保護資源は、第１のタイプの認証コンテキストのために生成された認証証明書を必要とする。前記ユーザ用の認証証明書が第２のタイプの認証コンテキストのために生成されたことを決定することに応答して、前記セッション管理サーバは、前記ユーザ用の認証証明書及び前記第１のタイプの認証コンテキスト用の標識を保持する、第１のメッセージを認証プロキシ・サーバに送信する。その後、前記セッション管理サーバは、前記ユーザ用の更新済みの認証証明書を保持する第２のメッセージを受信する。前記ユーザ用の更新済みの認証証明書は、当該更新済みの認証証明書が前記第１のタイプの認証コンテキストのために生成されたことを指示する。

一般に、本発明を構成するか又は本発明に関係する装置は、種々のデータ処理技術を含む。従って、本発明を詳細に説明する前に、その背景として、分散データ処理システム内のハードウェア及びソフトウェア・コンポーネントの代表的な編成を説明する。

図１は、各データ処理システムが本発明の一部を実装することができる、複数のデータ処理システムの代表的なネットワークを示す。分散データ処理システム１００内のネットワーク１０１は、分散データ処理システム１００内で相互に接続される種々の装置及びコンピュータの間の通信リンクを提供するために使用することができる媒体である。ネットワーク１０１は、有線又は光ファイバ・ケーブルのような永久的な接続、或いは電話又は無線通信を通して作られる一時的な接続を含むことができる。サーバ１０２及び１０３は、ストレージ装置１０４とともに、ネットワーク１０１に接続される。また、クライアント１０５〜１０７は、ネットワーク１０１に接続される。クライアント１０５〜１０７及びサーバ１０２及び１０３は、メインフレーム、パーソナル・コンピュータ、携帯情報端末（ＰＤＡ）等の、種々の計算装置により表すことができる。分散データ処理システム１００は、図示されていない追加のサーバ、クライアント、ルータ、他の装置及びピア・ツー・ピア・アーキテクチャを含むことができる。

分散データ処理システム１００は、互いに通信するために種々のプロトコルを使用するネットワーク及びゲートウェイの世界的な集合体を表す、ネットワーク１０１を有するインターネットを含むことができる。かかるプロトコルは、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）、伝送制御プロトコル／インターネット・プロトコル（ＴＣＰ／ＩＰ）、ファイル転送プロトコル（ＦＴＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、無線アプリケーション・プロトコル（ＷＡＰ）等を含む。また、分散データ処理システム１００は、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）又は広域ネットワーク（ＷＡＮ）のような、多くの異なるタイプのネットワークを含むことができる。例えば、サーバ１０２は、クライアント１０９及び無線通信リンクを包含するネットワーク１１０を直接にサポートする。ネットワーク対応の携帯電話１１１は、無線リンク１１２を通してネットワーク１１０に接続し、ＰＤＡ １１３は、無線リンク１１４を通してネットワーク１１０に接続する。また、携帯電話１１１及びＰＤＡ １１３は、パーソナル・エリア・ネットワーク（ＰＡＮ）又はパーソナル・アドホック・ネットワークを構築するために、Ｂｌｕｅｔｏｏｔｈ（商標）のような適切な技術を使用することにより、無線リンク１１５を介してそれら自身の間でデータを直接に転送することができる。同様に、ＰＤＡ １１３は、無線通信リンク１１６を介してＰＤＡ １０７にデータを転送することができる。

本発明は、種々のハードウェア・プラットフォーム上で実装することができる。図１は、異機種コンピューティング環境を例示するためのものであって、本発明のアーキテクチャ上の制限を意図するものではない。

図２は、図１に示すデータ処理システムのうち、その内部で本発明を実装することができる、データ処理システム１２０の代表的なコンピュータ・アーキテクチャを示す。データ処理システム１２０の１つ以上の中央処理装置（ＣＰＵ）１２２は、内部システム・バス１２３に接続される。システム・バス１２３は、ランダム・アクセス・メモリ（ＲＡＭ）１２４、読み取り専用メモリ（ＲＯＭ）１２６及び入出力アダプタ１２８を相互接続する。入出力アダプタ１２８は、プリンタ１３０、ディスク装置１３２等の、種々の入出力装置をサポートする。また、システム・バス１２３は、通信リンク１３６へのアクセスを提供する通信アダプタ１３４を接続する。ユーザ・インタフェース・アダプタ１４８は、キーボード１４０、マウス１４２等の、種々のユーザ装置を接続する、ディスプレイ・アダプタ１４４は、システム・バス１２３をディスプレイ装置１４６に接続する。

図２のハードウェアは、システム１２０の実装に依存して変わることがある。例えば、システム１２０は、インテル社の「ペンティアム」（商標）のような１つ以上のプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、並びに１つ以上のタイプの揮発性及び不揮発性メモリを有することができる。また、図２に示すハードウェアに加えて又はそのハードウェアの代わりに、他の周辺装置を使用することができる。図示の例は、本発明に関するアーキテクチャ上の制限を暗示するものではない。

本発明は、種々のハードウェア・プラットフォーム上で実装可能であることに加えて、種々のソフトウェア環境内でも実装することができる。代表的なオペレーティング・システムを使用して、各データ処理システム内のプログラム実行を制御することができる。例えば、１つの装置がＵＮＩＸ（商標）オペレーティング・システムを稼働させることができるのに対し、他の装置は簡単なＪａｖａランタイム環境を含むことができる。代表的なコンピュータ・プラットフォームは、ブラウザを含むことができる。ブラウザは、拡張可能マークアップ言語（ＸＭＬ）、ハイパー・テキスト・マークアップ言語（ＨＴＭＬ）、ハンドヘルド・デバイス・マークアップ言語（ＨＤＭＬ）、無線マークアップ言語（ＷＭＬ）等でフォーマットされた、図形ファイル、ワード処理ファイル等の文書にアクセスするための周知のソフトウェア・アプリケーションである。

図１及び図２に関連して説明したように、本発明は、種々のハードウェア及びソフトウェア・プラットホーム上で実装することができる。もっとも、本発明は、改良されたデータ処理環境に向けられている。本発明を詳細に説明する前に、代表的なデータ処理環境の幾つかの側面を説明する。

図面の記載は、クライアント又はクライアントのユーザの何れかによる特定のアクションを含むことがある。クライアントと授受される応答及び／又は要求は、或る状況では、ユーザにより開始され、他の状況では、クライアントのユーザの代わりに、クライアントにより自動的に開始される。従って、図面の記載においてクライアント又はクライアントのユーザが言及されている場合は、説明中のプロセスの意味に著しく影響せずに、「クライアント」及び「ユーザ」という用語を交換可能に使用することができる。

以下では、特定の計算タスクが、機能単位により実行されるものとして説明する。機能単位は、ルーチン、サブルーチン、プロセス、サブプロセス、手順、機能、メソッド、オブジェクト指向のオブジェクト、ソフトウェア・モジュール、アプレット、プラグ・イン、ＡｃｔｉｖｅＸ（商標）コントロール、スクリプト又は計算タスクを実行するためのファームウェア若しくはソフトウェアの他のコンポーネントにより表すことができる。

また、図面の記載は、種々のコンポーネント間の情報の交換を含み、この情報の交換がメッセージの交換（例えば、要求メッセージ及びこれに続く応答メッセージ）を介して実装されるものとして説明することがある。適切な場合、同期的又は非同期的な要求／応答の交換を含むことがある、計算コンポーネント間の情報の交換は、メッセージ、メソッド呼び出し、リモート・プロシージャ・コール、イベント・シグナリング等の種々のデータ交換機構を介して、同様に実装することができる。

図３は、代表的な企業用データ処理システムを示すブロック図である。図１が、クライアント及びサーバを備えた代表的なデータ処理システムを示すのとは対照的に、図３は、ネットワーク内のクライアントを、資源にアクセスするためのクライアント要求をサポートするのに使用することができる、サーバ側の幾つかのエンティティと関連付けて示している。代表的なコンピューティング環境内のように、ユーザ２０２は、例えば、クライアント２０６のブラウザ・アプリケーション２０４を使用し、ネットワーク２０８を通して、企業ドメイン２００がホストする資源にアクセスすることができる。ネットワーク２０８は、図１に示すように、インターネット、イントラネット又は他のネットワークとすることができる。

企業ドメイン２００は、複数のサーバをサポートする。アプリケーション・サーバ２１０は、ウェブ・ベースのアプリケーション又はレガシ・アプリケーションを含む他のタイプのバックエンド・アプリケーションを通して、保護資源及び／又は非保護資源をサポートする。リバース・プロキシ・サーバ２１４、すなわちプロキシ・サーバ２１４は、企業ドメイン２００のために広範囲の機能を実行する。例えば、プロキシ・サーバ２１４は、アプリケーション・サーバからのコンテンツを複製するために、ウェブ・ページをキャッシュすることができる。入力及び出力データ・ストリームは、入力データ・ストリーム・フィルタ２１６及び出力データ・ストリーム・フィルタ２１８により、それぞれ処理することができる。これらのフィルタ２１６及び２１８は、種々のポリシ内で指定された目標及び条件に従って、又は展開済みのソフトウェア・モジュールの構成に従って、着信要求及び発信応答について種々の処理タスクを実行する。

セッション管理装置２２０は、プロキシ・サーバ２１４によって認識されるようなセッションに関して、セッション識別子、キャッシュされた証明書又は他の情報を管理する。一般に、ウェブ・ベースのアプリケーションは、種々の手段を利用することにより、認証情報（例えば、ＨＴＭＬ形式のユーザ名／パスワードの組み合わせ）を入力するように、ユーザにプロンプトを出す。図３の例では、クライアント２０６が資源にアクセスする前に、ユーザ２０２を認証することが必要であり、その後に、クライアント２０６のためのセッションを確立することができる。代替実施形態では、ドメイン２００上の資源へのアクセスをユーザに提供する前に、認証及び許可動作は実行されない。この場合、ユーザ・セッションは、認証動作を伴うことなく作成することができる。

企業ドメイン２００内の前述のエンティティは、多くのコンピューティング環境内の代表的なエンティティを表す。しかし、多くの企業ドメインは、保護された計算資源へのアクセスを制御するためのセキュリティ機能を有する。計算資源は、アプリケーション、オブジェクト、文書、ウェブ・ページ、ファイル、実行可能なコード・モジュール又は他の計算資源若しくは通信タイプの資源とすることができる。保護資源は、要求元のクライアント又は要求元のユーザが認証され及び／又は許可される場合にのみ、アクセス可能又は検索可能な資源である。或る場合には、認証されたユーザは、デフォルトにより、許可されたユーザとなる。認証サーバ２２２は、ユーザ名／パスワード、Ｘ．５０９証明書又はセキュア・トークンのような、種々の認証機構をサポートすることができる。この場合、複数の認証サーバを特定の認証方法に専用化することができる。許可サーバ２２４が使用する許可データベース２２６は、アクセス制御リスト２２８、許可ポリシ２３０、ユーザ・グループ又はその役割に関する情報２３２、及び特定の管理グループ内の管理ユーザに関する情報２３４のような情報を保持する。許可サーバ２２４は、この情報を使用することにより、特定の要求の進行を許すべきか否か、例えば、クライアント２０６からの要求に応答して保護資源へのアクセス権を付与すべきであるか否かという指示を、プロキシ・サーバ２１４に提供する。本発明は、種々の認証及び許可アプリケーションに関連して実装することができる。従って、本明細書に記載される本発明の実施形態は、認証及び許可サービスの構成に関して、本発明の範囲を制限するものとして解釈すべきでない。

図４は、クライアントがサーバにおける保護資源にアクセスすることを試みる場合に使用することができる、代表的な認証プロセスを示すデータ・フロー図である。図示のように、クライアント３００におけるユーザは、クライアント３００上で実行中のユーザのウェブ・ブラウザを使用し且つコンピュータ・ネットワークを介して、サーバ３０２上の保護資源へのアクセスを求める。保護資源は、ユニフォーム・リソース・ロケータ（ＵＲＬ）、又は一般化して説明すれば、認証され且つ許可されるユーザのみにアクセス可能なユニフォーム・リソース識別子（ＵＲＩ）により識別することができる。

図４の認証プロセスが開始するのは、ユーザが、サーバ側の保護資源、例えば、ドメイン「ibm.com」内のウェブ・ページを要求する場合である（ステップ３０４）。「サーバ側」及び「クライアント側」という用語は、ネットワーク化された環境内のサーバ又はクライアントにおけるアクション又はエンティティをそれぞれ意味する。ウェブ・ブラウザ（又は関連するアプリケーション若しくはアプレット）が生成するＨＴＴＰ要求は、ドメイン「ibm.com」をホストするウェブ・サーバに送信される（ステップ３０６）。「要求」及び「応答」という用語は、メッセージ、通信プロトコル情報又は他の関連する情報のように、特定の動作に関係する情報の転送に適切なデータ・フォーマットを意味する。

サーバ３０２は、クライアント３００のためのアクティブなセッションを有していないことを決定するから（ステップ３０８）、サーバ３０２は、クライアント３００に或るタイプの認証チャレンジを送信することにより、ユーザが認証プロセスを実行することを要求する（ステップ３１０）。認証チャレンジは、ＨＴＭＬ形式のような種々のフォーマットを有することができる。次に、ユーザは、ユーザ識別子及び関連するパスワードのような、要求された情報を提供する（ステップ３１２）。或いは、クライアント３００は、ディジタル証明書のような特定の情報を自動的に戻すことができる。

認証応答情報がサーバに送信された時点で（ステップ３１４）、サーバ３０２は、例えば、以前に提出された登録情報を検索し且つ提示された認証情報をユーザの格納済み情報と突き合わせることにより、ユーザ又はクライアント３００を認証する（ステップ３１６）。かかる認証が成功するものと仮定すると、認証済みのユーザ又はクライアント３００のためにアクティブなセッションが確立される。

次に、サーバ３０２は、要求されたウェブ・ページを検索し、ＨＴＴＰ応答メッセージをクライアント３００に送信する（ステップ３１８）。その時点において、ユーザは、ブラウザ内のハイパーテキスト・リンクをクリックすることにより、「ibm.com」内の他のページを要求することができる（ステップ３２０）。これに応じて、ブラウザは、他のＨＴＴＰ要求メッセージをサーバ３０２に送信する（ステップ３２２）。その時点において、サーバ３０２は、サーバ３０２により維持されるセッション状態情報に基づいて、ユーザがアクティブなセッションを有することを認識する（ステップ３２４）。例えば、サーバ３０２は、クライアント３００がＨＴＴＰ要求メッセージ内のセッションＩＤを戻すので、要求元ユーザのための適切なセッション状態情報を認識する。サーバ３０２は、キャッシュ済みのユーザ・セッション情報に基づき、例えば、ユーザ証明書のコピーが使用可能であることに基づき、ユーザが既に認証されているものと決定する。この場合、サーバ３０２は、ユーザの要求を満たす前に、認証動作のような特定の動作を実行する必要はないことを決定することができる。サーバ３０２は、要求されたウェブ・ページを他のＨＴＴＰ応答メッセージに入れてクライアント３００に送信することにより（ステップ３２６）、保護資源に対するユーザの最初の要求を満たす。

前述のように、図３は、代表的なデータ処理システムを示し、図４は、クライアントがサーバにおける保護資源にアクセスすることを試みる場合に使用することができる代表的な認証プロセスを示す。もっとも、本発明は、他の図面に示すように、ユーザ用の新しいセッションの確立を必要とすることなく、ユーザ証明書を更新可能な外部化されたアプリケーションにまで、認証動作を拡張する改良された認証インフラストラクチャに向けられている。

図５は、本発明に従った、拡張認証動作を実行するためのデータ処理システムの一部を示すブロック図である。図５のデータ処理システムは、図３のデータ処理システムに類似する。例えば、クライアント４０２はクライアント２０６に類似し、セッション管理サーバ４０４はプロキシ・サーバ２１４に類似し、保護資源４０６はアプリケーション・サーバ２１０及び他のタイプの保護資源を表すことができる。

セッション管理サーバ４０４は、計算ＤＭＺ（非武装地帯）内に存在することが好ましい。このようにすると、セッション管理サーバ４０４と授受されるデータが、ファイア・ウォール４０８及び４１０を通過しなければならないからである。セッション管理サーバ４０４は、保護資源４０６を含むセキュア・ドメイン内で作成されるユーザ・セッションに関するセッション管理に責任がある。セッション管理サーバ４０４は、可能な場合、認証動作を実行するために認証サービス４０５に依存する。認証サービス４０５が認証動作を実行できない場合、セッション管理サーバ４０４は、後述するように、認証プロキシ・サーバ４１２に依存する。

セッション管理サーバ４０４及び保護資源４０６は、信頼できるネットワーク内に存在することができる。信頼できるネットワークは、図３の企業ドメイン２００に類似する企業ドメイン内の計算資源を表すことができる。しかし、種々のコンポーネント、特に認証プロキシ・サーバ４１２は、他のセキュア・ドメイン内でホストすることができる。

図５は、本発明の実装を説明するための諸コンポーネントを示す。本発明の実装では、認証動作をドメインのためのセッション管理を実行するセッション管理サーバに外部化することができ、そしてこの認証動作は、ユーザ用の新しいセッションの確立を必要とすることなく、ユーザ証明書を更新する。また、図５は、クライアント／ユーザと、クライアント／ユーザによりアクセスされる保護資源をサポートするコンポーネントとの間のデータフローを例示する。セッション管理サーバ４０４との例示的なデータフローは、クライアントを通して宛先変更されるものとして示されている。しかし、セッション管理サーバ４０４とのデータフローは、セッション管理サーバ４０４と授受される種々の送信メッセージ、並びにセッション管理サーバ４０４と授受されるデータをプッシュ又はプルする他のデータ転送機構を通して実行できることに留意されたい。

或る時点では、クライアント４０２のユーザがセッション管理サーバ４０４を介して既に認証プロセスを完了しており、その結果、セッション管理サーバ４０４がユーザ証明書を有することがある。この場合、セッション管理サーバ４０４は、ユーザ証明書を使用し、例えば、ユーザの資源要求４１４を保護資源４０６に転送又は送信することにより、ユーザに対し保護資源４０６へのアクセス権を提供する。多くの場合、セッション管理サーバ４０４が保護資源４０６にアクセスするための資源要求４１４を受信し、要求元のユーザ証明書が十分であることを決定するとき、セッション管理サーバ４０４は、現在のユーザ証明書を修正することなく、ユーザの資源要求４１４を転送又は送信する。

しかし、図５の例では、資源要求４１４がセッション管理サーバ４０４により受信されるとき、資源要求４１４は、例えば、仮定的な転送要求４１６として保護資源４０６に転送されない。この場合、セッション管理サーバ４０４は、資源要求４１４が保護資源４０６にアクセスするための要求であること、そしてユーザ証明書が特定の認証コンテキスト内のアサーションについて有効であることを保護資源４０６が必要とすることを認識する。図５の例では、セッション管理サーバ４０４は、現在のユーザ証明書が、保護資源４０６が必要とする認証コンテキストについて無効であることを認識する。

認証コンテキストは、その内部で又はそのために認証証明書が作成されるか又は使用を意図される、１セットの基準又は制限である。認証コンテキストは、認証対象がどのように認証されたのか、認証対象がどの認証エンティティで認証されたのか、及び／又は認証証明書の使用範囲はどのようなものであったのかを指示することができる。例えば、ユーザの認証証明書内には、この認証証明書を生成した特定の認証エンティティのアイデンティティが指示されることがある。換言すれば、この例におけるユーザの認証証明書は、このユーザを認証した特定の認証エンティティを指示することができる。他の例として、ユーザの認証証明書内には、この認証証明書の生成に関与した特定のタイプ、クラス又はカテゴリの認証動作のアイデンティティ（例えば、ユーザ名／パスワード、ハードウェア・トークン、バイオメトリック情報等）が指示されることがある。換言すれば、この例におけるユーザの認証証明書は、このユーザがどのように認証されたかを指示することができる。さらに他の例として、ユーザの認証証明書内には、この認証証明書の有効期間、（例えば、バンキング・トランザクションのみ又は購入トランザクションのみのように）この認証証明書を有効に使用することができるトランザクション・コンテキスト、この認証証明書が当事者間で委譲可能であるか否か等の、意図した制限事項が指示されることがある。

従って、図５の例では、現在のユーザ証明書は、種々の特性にわたって、無効性を指示することがある。例えば、現在のユーザ証明書の発行機関は、保護資源４０６のオペレータによって認識されないことがある。しかし、保護資源４０６のオペレータによって認識される他の発行機関が存在することもある。当該他の発行機関は、現在のユーザ証明書内に指示される発行機関を認識し、このユーザ証明書の検証に基づいて、ユーザ証明書を喜んで再発行することがある。他の例として、現在のユーザ証明書は、このユーザによるユーザ名／パスワード・ペアの成功裏のアサーションの検証に基づく認証動作に応答して、このユーザ証明書が生成されたことを指示することがある。しかし、保護資源４０６のオペレータは、このユーザによるバイオメトリック・アサーションの検証に基づく認証動作に応答して生成されたユーザ証明書を必要とすることがある。

セッション管理サーバ４０４は、保護資源４０６にアクセスするための資源要求４１４をこの時点で転送するのではなく、これに代えて、メッセージ４１８を認証プロキシ・サーバ４１２に送信する。このメッセージは、ユーザが以前に獲得したものとは異なる認証コンテキストについて更新済みのユーザ証明書を要求するための情報を保持する。認証プロキシ・サーバ４１２は、この着信要求を適切な１つのバックエンド認証サーバ４２０に転送し、当該認証サーバ４２０は、メッセージ４１８内に含まれていた現在のユーザ証明書情報に基づき更新済みのユーザ証明書を生成する。

認証サーバ４２０が表すことができる認証サーバ、サーブレット又は他のタイプの計算コンポーネントの各々は、異なるタイプの認証動作及び／又は異なる認証コンテキスト内の認証動作を実行するためのサポートを提供することにより、特定の認証コンテキストについて有効なユーザ証明書を生成する。認証サーバは、このように実装された動作に依存して、更新済みのユーザ証明書を確立する情報を収集するためにユーザ／クライアントとの相互作用４２２を必要とすることがある。

前述のように、認証コンテキストは、１セットの基準又は制限を含み、その各々は単純又は複雑なものとすることができる。従って、１つの認証サーバ４２０により実装される認証動作は、これに対応して単純又は複雑になることがある。例えば、もし、更新済みのユーザ証明書を新しい発行機関により発行することが必要であれば、認証動作は、追加のエンティティ又はオペレータとの長いダウンストリーム・プロセスを含むことがある。この例では、保護資源４０６のオペレータが必要とするように、更新済みのユーザ証明書が特定の発行機関により発行された後、更新済みのユーザ証明書は、保護資源４０６が必要とする認証コンテキストのために生成されたと云われる。

他の例では、もし、現在のユーザ証明書が１時間前に満了したばかりであり、そして認証サーバが、ユーザ証明書の存続時間を１時間だけ延長する権限を有するならば、認証動作は、更新済みのユーザ証明書内の有効期間を修正するだけとなることがある。もっとも、これに付随して、ユーザ証明書内のディジタル・チェックサム又は他のデータ項目の修正を必要とすることがある。この例では、保護資源４０６のオペレータが必要とするように、更新済みのユーザ証明書が現在の期間にわたって有効となるように認証サーバにより生成された後、更新済みのユーザ証明書は、保護資源４０６が必要とする認証コンテキストのために生成されたと云われる。

次に、認証プロキシ・サーバ４１２は、着信メッセージ４２４をクライアント４０２に送信することにより更新済みのユーザ証明書を戻し、クライアント４０２は、これをセッション管理サーバ４０４に適切に転送する。次に、セッション管理サーバ４０４、更新済みのユーザ証明書をキャッシュし、格納し、さもなければ更新済みのユーザ証明書に関するユーザの現在のセッション状態情報を更新し、関連付け、又は修正する。

次に、セッション管理サーバ４０４は、ユーザの最初の要求を保護資源４０６に送信する。その要求には、保護資源４０６が必要とする適切な認証コンテキストを指示する、更新済みのユーザ証明書が伴うことがある。或いは、更新済みのユーザ証明書は、必要に応じて、ダウンストリーム・エンティティによる検索のために利用可能に留まる。何れの場合も、ユーザは、ユーザがアクセスすることを試みている保護資源４０６が必要とする認証コンテキスト内で有効なユーザ証明書を獲得したことになる。但し、保護資源４０６が必要とする認証コンテキスト内で有効なユーザ証明書をユーザが所有することは、保護資源４０６にアクセスするためのユーザの要求に対しアクセス権が付与されること又はそのようなアクセスが成功することを必ずしも保証しないことに留意されたい。例えば、種々のエラーが生じることがあり、或いは、保護資源４０６が必要とする認証コンテキスト内に含まれると考えられなかった制限的ポリシをダウンストリーム・エンティティがアサートする場合のように、種々の他の制限に基づいて、ユーザの要求が否定されるか又は拒絶されることがあるからである。

図６は、本発明に従った拡張認証動作をサポートする、セッション管理サーバによって管理される一部の情報を示すブロック図である。セッション管理サーバ５００は、図５のセッション管理サーバ４０４に類似する。セッション管理サーバ５００は、ユーザ・セッションを管理するための情報をセッション・データ構造５０２内に格納する。テーブル等のセッション・データ構造５０２は、セッション・エントリ５０４のような複数のセッション・エントリを保持する。セッション・エントリ５０４は、セッションの一意の識別子である、セッション識別子５０６を保持する。また、セッション・エントリ５０４は、ユーザの一意の識別子である、ユーザ識別子５０８を格納することができる。このユーザは、セッション管理サーバ５００を含む企業ドメイン内で当該セッションを開始したクライアントに対応する。追加のセッション状態変数５１０は、各セッション・エントリ５０４内にローカルに格納することができる。

また、セッション・エントリ５０４は、ユーザ証明書５１２を保持する。ユーザ証明書５１２は、必要に応じて、保護資源にアクセスするために当該証明書を所有するユーザを許可するのに使用される。ユーザ証明書５１２は、当該証明書が生成された少なくとも１つの認証コンテキスト５１４を指示する。また、セッション・エントリ５０４は、キャッシュされた要求メッセージ５１６を保持することができる。キャッシュされた要求メッセージ５１６は、更新済みのユーザ証明書を獲得するために認証動作の実行を開始する、クライアント／ユーザからの最初の要求メッセージの格納済みコピーである。

また、セッション管理サーバ５００は、特定の認証コンテキストを必要とする保護資源を指示する、構成可能なテーブル５１８又は同様のデータ構造を格納する。各保護資源は、そのＵＲＩにより識別することができ、その必要とする認証コンテキストは、ＵＲＩと関連付けて格納することができる。その結果、表される各保護資源ごとに、ＵＲＩ ５２０及び認証コンテキスト標識５２２を有するキー値ペアが形成される。認証コンテキストの実装に依存して、認証コンテキスト標識５２２は、１セットのデータ項目とすることができる。

また、セッション管理サーバ５００は、認証プロキシ・サーバの位置を指示する、認証プロキシ・サーバの構成可能なＵＲＩ ５２４を格納する。構成可能なＵＲＩ ５２４及び構成可能なテーブル５１８は、セッション管理サーバ５００の初期化段階中に、構成ファイルからの検索後にメモリ内でキャッシュすることができる。

図７は、本発明に従った認証動作をサポートする、認証プロキシ・サーバによって管理される一部の情報を示すブロック図である。認証プロキシ・サーバ６００は、図５の認証プロキシ・サーバ４１２に類似する。認証プロキシ・サーバ６００は、要求された認証コンテキストから、関連する認証コンテキストについて有効なユーザ証明書を生成することができる認証動作にマッピングするための情報を格納する。例えば、構成可能なテーブル等のデータ構造６０２は、キー値ペアを保持する。すなわち、認証コンテキスト６０４の各標識が、認証動作６０６とペアを形成する。認証コンテキストの実装に依存して、認証コンテキストの標識６０４は、１セットのデータ項目とすることができる。

また、認証プロキシ・サーバ６００は、認証要求の送信元及び／又は認証応答の返送先に相当するセッション管理サーバの位置を指示する、セッション管理サーバの構成可能なＵＲＩ ６０８を格納する。構成可能なＵＲＩ ６０８及び構成可能なテーブル６０２は、認証プロキシ・サーバ６００の初期化段階中に、構成ファイルからの検索後にメモリ内でキャッシュすることができる。

図８は、本発明に従った、セッション管理サーバから認証プロキシ・サーバに送信される、認証要求メッセージ内に保持することができる一部の情報を示す。認証要求メッセージ７０２は、現在のユーザ証明書７０４のコピーを保持する。現在のユーザ証明書７０４は、バックエンド認証方法／サーバにより必要とされるように、更新済みのユーザ証明書を生成するために使用される。要求された認証コンテキスト７０６は、認証動作を開始したセッション管理サーバによって決定されるように、更新済みのユーザ証明書が必要とされる認証コンテキストを指示する。或る場合には、認証動作を完了するために、バックエンド認証方法／サーバが、ユーザと対話することを必要とすることがある。それらの場合については、カスタマイズ情報７０８が認証要求メッセージ７０２内に含まれる。認証要求メッセージ７０２によって表される諸情報項目は、互いに関連付けて格納及び／又は送信され、そしてこれらの情報項目は、他のメッセージ内のコンテンツとして埋め込まれることを含む、種々のデータ・フォーマットで実装することができる点に留意されたい。

カスタマイズ情報７０８は、ユーザが認証動作を完了するために対話することを要求されている場合に、ユーザのクライアントと交換される情報をカスタマイズするために使用することができる。ユーザ名又は他のコンテキスト情報を提供することにより、認証動作は、認証動作の必要性に関してよりユーザ・フレンドリー又はより有益になることができる。例えば、ユーザが要求したトランザクションが、ユーザにとっては既知の他のウェブ・サイトとの対話をしなければならないという理由で、追加のセキュリティ手順の必要性を指示するということである。

図９は、本発明に従った認証プロキシ・サーバからセッション管理サーバに返送される、認証応答メッセージ内に保持される一部の情報を示すブロック図である。認証応答メッセージ８０２は、更新済みのユーザ証明書８０４のコピーを保持する。この更新済みのユーザ証明書は、認証動作を通して当該更新済みのユーザ証明書を最初に要求したセッション管理サーバにより受信されるとき、キャッシュされるであろう。例えば、この更新済みの認証証明書は、保護資源にアクセスするために後で使用するのに備えて、適切なユーザのセッション・エントリ情報内にキャッシュすることができる。認証応答メッセージ８０２によって表される諸情報項目は、互いに関連付けて格納及び／又は送信され、そしてこれらの情報項目は、他のメッセージ内のコンテンツとして埋め込まれることを含む、種々のデータ・フォーマットで実装することができる点に留意されたい。

図１０は、セッション管理サーバが本発明に従った認証動作を開始するプロセスを示すフローチャートである。このプロセスが開始するのは、図５のセッション管理サーバ４０４のようなセッション管理サーバが、保護資源にアクセスするための要求を受信する場合である（ステップ９０２）。その要求は、その後の検索に備えて、ユーザのセッション情報内にキャッシュすることができる。セッション管理サーバは、着信要求メッセージから保護資源の要求されたＵＲＩを抽出し（ステップ９０４）、保護資源が必要とする認証コンテキストを獲得するために当該抽出済みのＵＲＩを使用して、ルックアップ動作を実行する（ステップ９０６）。このルックアップ動作は、図６のテーブルのような構成可能なテーブル又は他のデータ・ストアを使用して実行される。この例では、セッション管理サーバは、ユーザ証明書が保護資源によって必要とされる認証コンテキストを欠くことを決定する（ステップ９０８）。換言すれば、現在のユーザ証明書は、ユーザがアクセスすることを試みている保護資源が必要とする認証コンテキストについて無効である。従って、セッション管理サーバは、ユーザ証明書を更新するために認証動作が必要とされることを決定する。もし、ユーザ証明書が、保護資源用の特定の認証コンテキストの要件を満たすならば、ユーザの要求は、それ以上の処理を実行することなく、保護資源にアクセスすることを試みるために必要なように転送することができる（図示せず）。

セッション管理サーバは、認証要求を生成する（ステップ９１０）。この認証要求は、現在のユーザ証明書及び保護資源が必要とする認証コンテキストの指示を含む。次に、セッション管理サーバは、生成済みの認証要求を保持するメッセージを、認証プロキシ・サーバに送信し（ステップ９１２）、このプロセスが終了する。認証プロキシ・サーバのＵＲＩは、図６に示すような適切なデータ・ストアからセッション管理サーバにより検索される、構成可能な値とすることができる。

図１１は、認証プロキシ・サーバが本発明に従った認証動作を管理するプロセスを示すフローチャートである。このプロセスが開始するのは、認証プロキシ・サーバが認証要求を受信する場合である（ステップ１００２）。この着信要求は、当該着信要求内に指示されるような認証コンテキストの特定タイプに関して、現在のユーザ証明書に対する更新が必要とされていることを特定の方法で指示する。認証プロキシ・サーバは、着信要求から指示された認証コンテキストを抽出し（ステップ１００４）、当該指示された認証コンテキストを使用してルックアップ動作を実行することにより、当該認証コンテキストに関連付けられた認証動作を獲得する（ステップ１００６）。このルックアップ動作は、図７のテーブルのような構成可能なテーブル又は他のデータ・ストアを使用して、実行される。

依然として現在のユーザ証明書を保持する認証要求は、ルックアップ動作から決定されるような、適切なバックエンド認証サーバに転送又は送信される（ステップ１００８）。認証サーバは、必要に応じて、ユーザと対話して追加の情報を獲得するか、又はユーザに関して必要とされる認証動作を完了する（ステップ１０１０）。認証サーバは、更新済みのユーザ証明書を生成する（ステップ１０１２）。更新済みのユーザ証明書は、特定の方法で認証プロキシ・サーバに提供又は送信される。認証プロキシ・サーバは、更新済みのユーザ証明書を要求元のセッション管理サーバへのメッセージ内の認証応答として送信することにより（ステップ１０１４）、このプロセスを終了する。要求元のセッション管理サーバのＵＲＩは、図７に示すような適切なデータ・ストアから認証プロキシ・サーバにより検索される、構成可能な値とすることができる。

図１２は、セッション管理サーバが本発明に従った認証動作を完了するプロセスを示すフローチャートである。このプロセスが開始するのは、認証動作を開始したセッション管理サーバが、その要求に対する応答を受信する場合である（ステップ１１０２）。引き続いて、更新済みのユーザ証明書が当該応答から抽出され（ステップ１１０４）、後の使用に備えてキャッシュされる（ステップ１１０６）。次に、保護資源にアクセスするためのユーザの最初の要求が、例えば、ユーザのセッション情報から検索され、適切な方法で保護資源に送信され（ステップ１１０８）、その結果、このプロセスが終了する。その要求には、保護資源が必要とするような適切な認証コンテキストを指示する、更新済みのユーザ証明書が伴うことがある。或いは、更新済みのユーザ証明書は、必要に応じて、ダウンストリーム・エンティティによる検索に利用可能なままに留まる。

本発明の利点は、前述の本発明の詳細な説明に照らして明白である。保護資源は、保護資源のＵＲＩに関連付けられた構成可能な認証コンテキスト標識によって指示されるように、ユーザが特定の認証コンテキスト内で認証証明書を獲得したことを必要とすることができる。保護資源にアクセスするための要求が受信される場合、要求された保護資源が必要とする認証コンテキストが、その中で又はそのためにユーザ証明書が生成された認証コンテキスト（例えば、ユーザ証明書内で指示される）と比較される。もし、ユーザがこの認証コンテキスト内で認証されていなければ、すなわち、ユーザ証明書が適切な認証コンテキストを指示しなければ、本発明は、保護資源が必要とする認証コンテキストについて適切な認証動作を使用して、ユーザの再認証をトリガする。

本発明は、単一の認証プロキシ・サーバの背後にある認証動作又はサーバを展開させることにより、システム管理者が、データ処理システム内で使用可能な認証動作を効率的に拡張することを可能にする。従って、セッション管理サーバの構成は、単一の認証プロキシ・サーバ用の単一のＵＲＩを指定することにより、容易に実行することができる。その後、認証を必要とする全ての着信要求は、セッション管理サーバにより同等に処理される。セッション管理サーバは、更新済みのユーザ証明書用の新しいセッションを確立することなく、更新済みのユーザ証明書と関連付けられるようになる既存のユーザ・セッションを維持する。

以上では、本発明を完全に機能するデータ処理システムに関連付けて説明したが、本発明のプロセスは、コンピュータ可読媒体及び他のタイプの信号担持媒体内の命令という形態でも分配することができる。コンピュータ可読媒体の例は、ＥＰＲＯＭ、ＲＯＭ、テープ、紙、フレキシブル・ディスク、ハード・ディスク・ドライブ、ＲＡＭ及びＣＤ−ＲＯＭ、並びにディジタル及びアナログ通信リンクのような伝送型媒体を含む。

一般に、方法とは、所望の結果に帰着する、複数ステップの首尾一貫したシーケンスであると考えられている。これらのステップは、物理量の物理的な操作を必要とする。通常、これらの量は電気的又は磁気信号の形式を取り、その場合には、これらの量を格納し、転送し、結合し、比較し又は操作することができる。主として一般的な用法に従って、これらの信号をビット、値、パラメータ、項目、要素、オブジェクト、シンボル、文字、項、数等と称することが便利である。しかし、これらの用語及びこれに類似する用語の全ては、適切な物理量と関連付けられていて、これらの量に付された便宜的なラベルであるに過ぎないことに留意されたい。

本発明に関する記述は、例示及び説明を目的として与えられたものであって、網羅的であること及び開示された実施形態に本発明を限定することを意図するものではない。当業者にとって、多くの修正及び変形が明らかであろう。実施形態は、本発明の原理及び実際的な応用を最もよく説明し、考えられる特定の用途に適するような種々の修正を伴う種々の実施形態に関して当業者が本発明を理解することを可能にするために、選択され説明されたものである。

各データ処理システムが本発明を実装することができる、複数のデータ処理システムの代表的なネットワークを示す図である。 本発明を実装することができる、データ処理システムの代表的なコンピュータ・アーキテクチャを示す図である。 代表的な企業用データ処理システムを示すブロック図である。 クライアントがサーバにおける保護資源にアクセスすることを試みる場合に使用することができる、代表的な認証プロセスを示すデータ・フロー図である。 拡張認証動作を実行するためのデータ処理システムの一部を示すブロック図である。 拡張認証動作をサポートする、セッション管理サーバによって管理される一部の情報を示すブロック図である。 認証動作をサポートする、認証プロキシ・サーバによって管理される一部の情報を示すブロック図である。 セッション管理サーバから認証プロキシ・サーバに送信される、認証要求メッセージ内に保持することができる一部の情報を示すブロック図である。 認証プロキシ・サーバからセッション管理サーバに返送される、認証応答メッセージ内に保持される一部の情報を示すブロック図である。 セッション管理サーバが認証動作を開始するプロセスを示すフローチャートである。 認証プロキシ・サーバが認証動作を管理するプロセスを示すフローチャートである。 セッション管理サーバが認証動作を完了するプロセスを示すフローチャートである。

Claims (8)

1. データ処理システム内でユーザ用の認証証明書を管理するためのコンピュータ実装方法にして、
   セッション管理サーバにおいて、保護資源にアクセスするための要求をユーザの代わりにクライアントから受信するステップを含み、
   前記セッション管理サーバは、前記保護資源を含むドメインのために前記ユーザに関するセッション管理を実行し、前記保護資源へのアクセスは、第１のタイプの認証コンテキストのために生成された認証証明書を必要とし、
   前記セッション管理サーバにより、前記ユーザ用の認証証明書が第２のタイプの認証コンテキストのために生成されたことを当該認証証明書が指示することを決定することに応答して、前記ユーザ用の認証証明書及び前記第１のタイプの認証コンテキスト用の標識を保持する第１のメッセージを、前記セッション管理サーバから認証プロキシ・サーバに送信するステップと、
   前記セッション管理サーバにおいて、前記ユーザ用の更新済みの認証証明書を保持する第２のメッセージを、前記認証プロキシ・サーバから受信するステップと、
   前記認証プロキシ・サーバにより、前記第１のメッセージから前記第１のタイプの認証コンテキスト用の前記標識を抽出するステップと、
   前記第１のタイプの認証コンテキスト用の前記抽出済みの標識に基づいてルックアップ動作を実行することにより、前記ユーザ用の前記認証証明書を更新するために使用すべき認証方法を決定するステップとをさらに含み、
   前記更新済みの認証証明書が前記第１のタイプの認証コンテキストのために生成されたことを当該認証証明書が指示する、方法。
2. 前記ユーザ用の新しいセッションの確立を必要とすることなく、前記更新済みの認証証明書を前記ユーザ用の既存のセッションに関連付けるステップをさらに含む、請求項１記載の方法。
3. 前記更新済みの認証証明書を受信した後に、前記ユーザの代わりに前記セッション管理サーバから前記保護資源にアクセスするための前記要求を送信するステップをさらに含む、請求項１記載の方法。
4. 前記セッション管理サーバにより、前記保護資源にアクセスするための前記要求から前記保護資源用のＵＲＩを抽出するステップと、
   前記抽出済みのＵＲＩに基づいてルックアップ動作を実行することにより、前記第１のタイプの認証コンテキストを獲得するステップをさらに含む、請求項１記載の方法。
5. 前記セッション管理サーバにより、構成可能な情報から前記認証プロキシ・サーバ用のＵＲＩを検索するステップと、
   前記セッション管理サーバからの各要求ごとに前記認証プロキシ・サーバ用の前記検索済みのＵＲＩを使用することにより、更新済みの認証証明書を獲得するステップとをさらに含む、請求項１記載の方法。
6. 前記認証プロキシ・サーバにより、構成可能な情報から前記セッション管理サーバ用のＵＲＩを検索するステップと、
   認証プロキシ・サーバからの各応答ごとに前記セッション管理サーバ用の前記検索済みのＵＲＩを使用することにより、更新済みの認証証明書を戻すステップとをさらに含む、請求項１記載の方法。
7. 請求項１〜６の何れか１つに記載の方法の各ステップをコンピュータに実行させる、コンピュータ・プログラム。
8. データ処理システム内でユーザ用の認証証明書を管理するための装置にして、
   セッション管理サーバにおいて、保護資源にアクセスするための要求をユーザの代わりにクライアントから受信する手段を備え、
   前記セッション管理サーバは、前記保護資源を含むドメインのために前記ユーザに関するセッション管理を実行し、前記保護資源へのアクセスは、第１のタイプの認証コンテキストのために生成された認証証明書を必要とし、
   前記セッション管理サーバにより、前記ユーザ用の認証証明書が第２のタイプの認証コンテキストのために生成されたことを当該認証証明書が指示することを決定することに応答して、前記ユーザ用の認証証明書及び前記第１のタイプの認証コンテキスト用の標識を保持する第１のメッセージを、前記セッション管理サーバから認証プロキシ・サーバに送信する手段と、
   前記セッション管理サーバにおいて、前記ユーザ用の更新済みの認証証明書を保持する第２のメッセージを、前記認証プロキシ・サーバから受信する手段と、
   前記認証プロキシ・サーバにより、前記第１のメッセージから前記第１のタイプの認証コンテキスト用の前記標識を抽出する手段と、
   前記第１のタイプの認証コンテキスト用の前記抽出済みの標識に基づいてルックアップ動作を実行することにより、前記ユーザ用の前記認証証明書を更新するために使用すべき認証方法を決定する手段とをさらに備え、
   前記更新済みの認証証明書が前記第１のタイプの認証コンテキストのために生成されたことを当該認証証明書が指示する、装置。

Images