專(zhuān)利名稱(chēng)：在訪問(wèn)管理系統(tǒng)等中委托訪問(wèn)資源等的權(quán)限的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及訪問(wèn)管理系統(tǒng)，通過(guò)該系統(tǒng)，對(duì)資源諸如數(shù)字內(nèi)容或數(shù)字服務(wù)的訪問(wèn)僅僅是按照諸如可在數(shù)字許可證或證書(shū)中表示的對(duì)訪問(wèn)的相應(yīng)授權(quán)而提供的。更具體而言，本發(fā)明涉及以如下方式委托訪問(wèn)這樣的資源的權(quán)限，該方式使得即使在之前沒(méi)有明確知道對(duì)訪問(wèn)授權(quán)的委托的情況下，授予對(duì)該資源的訪問(wèn)權(quán)限。
背景技術(shù)：
非常需要結(jié)合授予對(duì)諸如數(shù)字服務(wù)或數(shù)字內(nèi)容(可包括數(shù)字音頻、數(shù)字視頻、數(shù)字文本、數(shù)字?jǐn)?shù)據(jù)、數(shù)字多媒體等)等數(shù)字資源的訪問(wèn)權(quán)限的訪問(wèn)管理。資源可以是上述內(nèi)容或類(lèi)似的內(nèi)容、具有內(nèi)容庫(kù)等的服務(wù)器等、或者是用戶可能希望訪問(wèn)的任何其他信息或信息的數(shù)字儲(chǔ)存庫(kù)，諸如電子郵件服務(wù)器、游戲服務(wù)器、網(wǎng)絡(luò)訪問(wèn)服務(wù)器或接入點(diǎn)等等。同樣，資源可以是一種服務(wù)，諸如打印機(jī)、編譯器、呈現(xiàn)器等等。
通常，在訪問(wèn)管理上下文中，在提供帶有標(biāo)識(shí)請(qǐng)求者的憑證的請(qǐng)求之后，向請(qǐng)求者授予對(duì)資源的訪問(wèn)權(quán)限。例如，憑證可包括發(fā)給請(qǐng)求者且標(biāo)識(shí)該請(qǐng)求者的數(shù)字證書(shū)。在任何情況下，憑證一般由資源知道并且信任的發(fā)放者發(fā)給請(qǐng)求者。例如，在組織的上下文中，資源可以是由數(shù)據(jù)服務(wù)器管理的數(shù)據(jù)文件，而發(fā)放者可以是由管理員建立的身份服務(wù)器，以向該組織每個(gè)成員提供標(biāo)識(shí)憑證。
在基于請(qǐng)求者實(shí)際有權(quán)訪問(wèn)所請(qǐng)求的資源的憑證和可能的其它信息滿足該資源時(shí)，那么這樣的資源就提供這樣的訪問(wèn)。例如，如果請(qǐng)求是針對(duì)來(lái)自資源的數(shù)據(jù)文件，則資源提供這樣的數(shù)據(jù)文件，并且如果請(qǐng)求是回顧可從資源獲得的信息，則資源允許請(qǐng)求者實(shí)際回顧這樣的信息。
值得注意的是，在至少某些情況下，資源提供數(shù)據(jù)給請(qǐng)求者。如果這么做，則資源可選擇按照允許請(qǐng)求者解密該數(shù)據(jù)，但不能解密其它數(shù)據(jù)的格式來(lái)加密該數(shù)據(jù)。例如，請(qǐng)求者所呈現(xiàn)的憑證可以是包括與其相關(guān)聯(lián)的公鑰的數(shù)字證書(shū)，而資源按照所提供的憑證的公鑰加密所提供的數(shù)據(jù)。因而，請(qǐng)求者可將與數(shù)字證書(shū)相關(guān)聯(lián)的相應(yīng)私鑰應(yīng)用于加密數(shù)據(jù)來(lái)揭示該數(shù)據(jù)。
同樣值得注意的是，資源可選擇在加密數(shù)據(jù)上附加請(qǐng)求者必須遵守的條款與條件。如果這么做，并且再次假定所提供的請(qǐng)求者憑證是包括與其相關(guān)聯(lián)的公鑰的數(shù)字證書(shū)，則資源可按照所選擇的對(duì)稱(chēng)密鑰加密所提供的數(shù)據(jù)，按照所提供的憑證的公鑰加密對(duì)稱(chēng)密鑰，并且將加密過(guò)的對(duì)稱(chēng)密鑰和條款與條件放在數(shù)字許可證中。因而，請(qǐng)求者可將與數(shù)字證書(shū)相關(guān)聯(lián)的相應(yīng)私鑰應(yīng)用于許可證的加密對(duì)稱(chēng)密鑰以揭示它，并且隨后將解密過(guò)的對(duì)稱(chēng)密鑰應(yīng)用于加密數(shù)據(jù)以揭示它，當(dāng)然假定許可證中的條款與條件允許這么做。
通常，假定資源之前已經(jīng)知道請(qǐng)求者，或者至少已經(jīng)知道向請(qǐng)求者提供憑證的管理員，并且因而基于此向請(qǐng)求者提供訪問(wèn)。例如，資源可能遵循這樣的規(guī)則只對(duì)資源已知的一組特定請(qǐng)求者允許訪問(wèn)，或者只對(duì)提供來(lái)自資源已知的特定管理員的憑證的請(qǐng)求者允許訪問(wèn)。如果請(qǐng)求者不在這樣一個(gè)組內(nèi)，那么，資源按照該規(guī)則不向這樣的請(qǐng)求者提供訪問(wèn)。
然而，存在這樣的情況，其中即使資源之前不知道請(qǐng)求者并且請(qǐng)求者不在資源所遵循的關(guān)于來(lái)自特定的請(qǐng)求者組或者具有來(lái)自特定管理員的憑證的規(guī)則內(nèi)，也應(yīng)該向請(qǐng)求者提供訪問(wèn)。例如，在組織ABC內(nèi)的資源可被設(shè)置為遵循這樣一個(gè)訪問(wèn)規(guī)則，即向來(lái)自ABC的所有職員提供訪問(wèn)，如由每個(gè)這樣的職員具有來(lái)自ABC管理員的適當(dāng)憑證所表示的一樣。然而，情況可以是ABC已經(jīng)雇用了來(lái)自XYZ的承包者，并且這樣的XYZ承包者也應(yīng)該有權(quán)訪問(wèn)資源。
在現(xiàn)有技術(shù)中，隨后可通過(guò)向每個(gè)這樣的XYZ承包者給予一個(gè)來(lái)自ABC管理員的ABC憑證，來(lái)向XYZ承包者給予對(duì)ABC資源的訪問(wèn)。然而，ABC管理員可能討厭這么做，尤其是如果ABC憑證會(huì)具有將XYZ承包者視為ABC職員對(duì)待的效果，或者會(huì)允許XYZ承包者不適當(dāng)?shù)卦L問(wèn)另一個(gè)ABC資源。
作為一種替換方案，并且還是在現(xiàn)有技術(shù)中，可通過(guò)改變ABC資源的訪問(wèn)規(guī)則來(lái)向XYZ承包者給予對(duì)該ABC資源的訪問(wèn)。例如，能改變這類(lèi)訪問(wèn)規(guī)則，以允許ABC資源基于這樣的承包人具有來(lái)自XYZ管理員的憑證，向一組特定的XYZ承包人提供訪問(wèn)。然而，要意識(shí)到，改變資源的訪問(wèn)規(guī)則是很麻煩和繁重的，尤其是如果這類(lèi)訪問(wèn)規(guī)則必須在正在進(jìn)行的基礎(chǔ)上按照在訪問(wèn)策略方面的改變而不斷改變。而且，要意識(shí)到，改變?cè)谝粋€(gè)特定組織內(nèi)存在的許多資源中的每一個(gè)資源的訪問(wèn)規(guī)則很容易變成龐大的任務(wù)。
同樣，有一種情況是通常只允許ABC的某些職員訪問(wèn)給定的資源。隨著時(shí)間的推移，可能會(huì)有允許其它職員臨時(shí)訪問(wèn)該資源的需求。例如，已授權(quán)訪問(wèn)的職員可能需要在旅行時(shí)授予較低級(jí)別的臨時(shí)訪問(wèn)權(quán)限。還有一種情況是，他們希望允許輔助訪問(wèn)，因此他們可代表他們自己采取某些業(yè)務(wù)過(guò)程。
在現(xiàn)有技術(shù)中，隨后可用與最初被授權(quán)的職員相同方式向通常無(wú)權(quán)訪問(wèn)資源的ABC職員給予對(duì)資源的訪問(wèn)。如果這要求發(fā)放新的憑證，或者要求設(shè)置新的帳戶屬性，則ABC管理員可能討厭這么做，尤其是如果這么做會(huì)有這樣的結(jié)果，即授予職員比所需要的更多的訪問(wèn)權(quán)限，或者要求在這樣的訪問(wèn)不再有效時(shí)采取附加的管理動(dòng)作來(lái)移除這類(lèi)權(quán)限。
因而，需要這樣一種方法和機(jī)制，通過(guò)該方法和機(jī)制，資源可基于訪問(wèn)規(guī)則等向其之前不知道的請(qǐng)求者提供訪問(wèn)。具體地，需要這樣一種方法和機(jī)制，通過(guò)該方法和機(jī)制，資源只需要查看定義的信任源是否為管理員等等，以確定訪問(wèn)是否應(yīng)當(dāng)向請(qǐng)求者提供訪問(wèn)。而且，需要這樣一種方法和機(jī)制，通過(guò)該方法和機(jī)制，定義的信任源可以標(biāo)識(shí)是否向請(qǐng)求者提供訪問(wèn)，而無(wú)論請(qǐng)求者是來(lái)自定義的信任源的組織的內(nèi)部還是外部。

發(fā)明內(nèi)容
上述需求至少部分地由本發(fā)明來(lái)滿足，本發(fā)明提供一種方法，用于第一組織的資源為第二組織的請(qǐng)求者提供對(duì)該資源的訪問(wèn)。第一組織具有該資源信任的第一管理員，并且第二組織具有第二管理員，其中，第一和第二管理員的每一個(gè)向?qū)嶓w發(fā)放憑證。由一個(gè)管理員發(fā)給一個(gè)實(shí)體的每個(gè)憑證將該實(shí)體與該發(fā)放管理員聯(lián)系起來(lái)，并且表明該實(shí)體與該發(fā)放管理員之間的關(guān)系。
在該方法中，第一管理員向第二管理員發(fā)出第一憑證，其中發(fā)放的第一證明陳述了第二管理員可代表第一管理員向請(qǐng)求者發(fā)放第二憑證的策略。第二管理員實(shí)際上代表第一管理員向請(qǐng)求者發(fā)放第二證明，其中發(fā)放的第二證明可包括或引用發(fā)放的第一證明。第二組織的請(qǐng)求者之后請(qǐng)求訪問(wèn)第一組織的資源，并且在這么做時(shí)將發(fā)放的第一憑證與發(fā)放的第二憑證與該請(qǐng)求包括在一起。
資源接收請(qǐng)求，并且確認(rèn)發(fā)放的第一憑證，以確認(rèn)發(fā)放的第一憑證將可信的第一管理員與第二管理員聯(lián)系起來(lái)，并且還確認(rèn)發(fā)放的第一憑證允許第二管理員向請(qǐng)求者發(fā)放第二憑證的策略。而且，資源確認(rèn)發(fā)放的第二憑證，以確認(rèn)發(fā)放的第二憑證將第二管理員與請(qǐng)求者聯(lián)系起來(lái)。假定這樣的確認(rèn)成功，則資源知道來(lái)自這樣的請(qǐng)求者的這一請(qǐng)求基于從可信的第一管理員通過(guò)第二管理員委托給該請(qǐng)求者的權(quán)限，從而繼續(xù)進(jìn)行訪問(wèn)資源的請(qǐng)求。因而，即使第一組織的可信的第一管理員沒(méi)有向第二組織的請(qǐng)求者發(fā)放任何憑證，第一組織的資源也可以識(shí)別這樣的請(qǐng)求者并且向其授予訪問(wèn)權(quán)限。
類(lèi)似地，允許最終用戶將它們的全部或部分權(quán)限委托給另一個(gè)最終用戶。在該方法中，第一管理員向第一最終用戶發(fā)放第一憑證，其中發(fā)放的第一憑證包括確定第一最終用戶對(duì)于資源的權(quán)限所必需的信息，并且陳述第一最終用戶可代表第一管理員向請(qǐng)求者發(fā)放第二憑證的策略。第一最終用戶實(shí)際上代表第一管理員向請(qǐng)求者發(fā)放第二憑證，其中發(fā)放的第二憑證可包括或引用發(fā)放的第一憑證。請(qǐng)求者之后請(qǐng)求訪問(wèn)資源，并且在這么做時(shí)將請(qǐng)求與發(fā)放的第一憑證和發(fā)放的第二憑證包括在一起。隨后可由資源以先前描述的方式確認(rèn)和使用這些憑證，以確定是否應(yīng)該授予訪問(wèn)權(quán)限。


上述發(fā)明內(nèi)容以及隨后本發(fā)明實(shí)施例的詳細(xì)描述，將在結(jié)合附圖閱讀時(shí)得到更好的理解。為了說(shuō)明本發(fā)明，在附圖中示出了目前較佳的實(shí)施例。然而應(yīng)該理解，本發(fā)明不限于所示的精確方案和裝置。在附圖中圖1是表示可實(shí)現(xiàn)本發(fā)明的示例性非限制計(jì)算環(huán)境的框圖；圖2是表示可實(shí)現(xiàn)本發(fā)明的具有各種各樣計(jì)算設(shè)備的示例性網(wǎng)絡(luò)環(huán)境的框圖；圖3是示出一種體系結(jié)構(gòu)的框圖，在該體系結(jié)構(gòu)中，一組織具有資源、該資源信任的管理員、以及基于來(lái)自該管理員的憑證請(qǐng)求訪問(wèn)該資源的請(qǐng)求者；圖4是按照本發(fā)明的一個(gè)實(shí)施例示出一種體系結(jié)構(gòu)的框圖，在該體系結(jié)構(gòu)中，第一組織具有資源和該資源信任的第一管理員，第二組織具有請(qǐng)求者和第二管理員，并且基于由第一組織的管理員給第二組織的管理員的委托憑證和由第二組織的管理員給請(qǐng)求者的受委托憑證，第二組織的請(qǐng)求者請(qǐng)求第一組織的資源；以及圖5是按照本發(fā)明的一個(gè)實(shí)施例，示出圖4所示的實(shí)體執(zhí)行的關(guān)鍵步驟的流程圖；具體實(shí)施方式
計(jì)算機(jī)環(huán)境圖1和下面的討論旨在提供可實(shí)現(xiàn)本發(fā)明的合適計(jì)算環(huán)境的簡(jiǎn)要概括描述。然而應(yīng)該理解，預(yù)期所有種類(lèi)的手持式、便攜式和其它計(jì)算設(shè)備可結(jié)合本發(fā)明使用。盡管下面描述了通用計(jì)算機(jī)，但這只是一個(gè)示例，并且本發(fā)明只要求具有網(wǎng)絡(luò)服務(wù)器互操作能力和交互作用的瘦客戶機(jī)。因而，本發(fā)明可在其中涉及非常少或最少的客戶機(jī)資源的網(wǎng)絡(luò)化主存的服務(wù)的環(huán)境中實(shí)現(xiàn)，例如其中客戶機(jī)設(shè)備僅用作萬(wàn)維網(wǎng)的瀏覽器或接口的網(wǎng)絡(luò)化環(huán)境。
盡管不作要求，但本發(fā)明可通過(guò)供開(kāi)發(fā)者使用的應(yīng)用編程接口(API)來(lái)實(shí)現(xiàn)，和/或?qū)⒈景l(fā)明包括在網(wǎng)絡(luò)瀏覽軟件中，后者將在計(jì)算機(jī)可執(zhí)行指令的一般上下文中描述，諸如在由一個(gè)或多個(gè)計(jì)算機(jī)，如客戶機(jī)工作站、服務(wù)器或其它設(shè)備執(zhí)行的程序模塊中描述。通常，程序模塊包括例程、程序、對(duì)象、組件、數(shù)據(jù)結(jié)構(gòu)等等，它們執(zhí)行特定的任務(wù)或?qū)崿F(xiàn)特定的抽象數(shù)據(jù)類(lèi)型。通常，程序模塊的功能可如在各種實(shí)施例中所希望的那樣組合或分布。而且，本領(lǐng)域的技術(shù)人員將意識(shí)到，可與其它計(jì)算機(jī)系統(tǒng)配置一起實(shí)踐本發(fā)明。其它眾所周知的、適合與本發(fā)明一起使用的計(jì)算系統(tǒng)、環(huán)境和/或配置包括但不限于，個(gè)人計(jì)算機(jī)(PC)、自動(dòng)售貨機(jī)、服務(wù)器計(jì)算機(jī)、手持式或膝上型設(shè)備、多處理器系統(tǒng)、基于微處理器的系統(tǒng)、可編程消費(fèi)電子產(chǎn)品、網(wǎng)絡(luò)PC、小型計(jì)算機(jī)、大型計(jì)算機(jī)等等。本發(fā)明還可在分布式計(jì)算環(huán)境中實(shí)踐，其中任務(wù)由通過(guò)通信介質(zhì)或其它數(shù)據(jù)傳輸介質(zhì)鏈接的遠(yuǎn)程處理設(shè)備來(lái)執(zhí)行。在分布式計(jì)算環(huán)境中，程序模塊可定位在本地或遠(yuǎn)程計(jì)算機(jī)存儲(chǔ)介質(zhì)中，包括存儲(chǔ)器存儲(chǔ)設(shè)備。
因而，圖1示出了合適的計(jì)算系統(tǒng)環(huán)境100的示例，雖然如上面清楚地表明的，但是計(jì)算系統(tǒng)環(huán)境100只是合適的計(jì)算環(huán)境的一個(gè)示例，并且不是對(duì)本發(fā)明的使用范圍或功能提出任何限制。也不應(yīng)該將計(jì)算環(huán)境100解釋為具有與示例性操作環(huán)境100所示的任何一個(gè)組件或組件組合有關(guān)的任何依賴(lài)性或要求。
參考圖1，用于實(shí)現(xiàn)本發(fā)明的示例性系統(tǒng)包括計(jì)算機(jī)110形式的通用計(jì)算設(shè)備。計(jì)算機(jī)110的組件可包括但不限于，處理單元120、系統(tǒng)存儲(chǔ)器130以及系統(tǒng)總線121，后者將包括系統(tǒng)存儲(chǔ)器在內(nèi)的各種系統(tǒng)組件耦合到處理單元120。系統(tǒng)總線121可以是任何若干類(lèi)型的總線結(jié)構(gòu)，包括存儲(chǔ)器總線或存儲(chǔ)器控制器、外設(shè)總線以及使用任何各種各樣總線體系架構(gòu)的局部總線。作為示例而非局限，這類(lèi)體系結(jié)構(gòu)包括工業(yè)標(biāo)準(zhǔn)體系結(jié)構(gòu)(ISA)總線、微通道體系結(jié)構(gòu)(MCA)總線、增強(qiáng)型ISA(EISA)總線、視頻電子技術(shù)標(biāo)準(zhǔn)協(xié)會(huì)(VESA)局部總線和外圍部件互連(PCI)總線(也稱(chēng)為Mezzanine總線)。
計(jì)算機(jī)110一般包括各種各樣計(jì)算機(jī)可讀介質(zhì)。計(jì)算機(jī)可讀介質(zhì)可以是任何可用的、可由計(jì)算機(jī)110訪問(wèn)的介質(zhì)，并且包括易失性與非易性介質(zhì)、可移動(dòng)與不可移動(dòng)介質(zhì)。作為示例而非限制性地，計(jì)算機(jī)可讀介質(zhì)可包括計(jì)算機(jī)存儲(chǔ)介質(zhì)和通信介質(zhì)。計(jì)算機(jī)存儲(chǔ)介質(zhì)包括易失性與非易失性、可移動(dòng)與不可移動(dòng)介質(zhì)，它們以存儲(chǔ)諸如計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其它數(shù)據(jù)之類(lèi)的信息的任何方法或技術(shù)來(lái)實(shí)現(xiàn)。計(jì)算機(jī)存儲(chǔ)介質(zhì)包括但不限于，RAM、ROM、EEPROM、閃存或其它存儲(chǔ)器技術(shù)、CDROM、數(shù)字多功能盤(pán)(DVD)或其它光盤(pán)存儲(chǔ)、磁帶盒、磁帶、磁盤(pán)存儲(chǔ)或其它磁存儲(chǔ)設(shè)備、或可以用于存儲(chǔ)需要的信息并且可以由計(jì)算機(jī)110訪問(wèn)的任何其它介質(zhì)。通信介質(zhì)一般具體化為諸如載波或其它傳送機(jī)制等已調(diào)制數(shù)據(jù)信號(hào)中的計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其它數(shù)據(jù)，并且包括任何信息傳送介質(zhì)。術(shù)語(yǔ)“已調(diào)制數(shù)據(jù)信號(hào)”指這樣一種信號(hào)，其一個(gè)或多個(gè)特征以將信息編碼到該信號(hào)中方式來(lái)設(shè)置或改變。作為示例且非限制，通信介質(zhì)包括有線介質(zhì)，諸如有線網(wǎng)絡(luò)或直接線連接，并包括無(wú)線介質(zhì)，諸如聲音、射頻、紅外和其它無(wú)線介質(zhì)。上述任何各項(xiàng)的組合也應(yīng)該包括在計(jì)算機(jī)可讀介質(zhì)的范圍內(nèi)。
系統(tǒng)存儲(chǔ)器130包括易失性和/或非易失性存儲(chǔ)器形式的計(jì)算機(jī)存儲(chǔ)介質(zhì)，諸如只讀存儲(chǔ)器(ROM)131和隨機(jī)存取存儲(chǔ)器(RAM)132?；据斎?輸出系統(tǒng)133(BIOS)，包含諸如在啟動(dòng)期間幫助計(jì)算機(jī)110內(nèi)元素之間傳送信息的基本例程，一般存儲(chǔ)在ROM 131中。RAM 132一般包含可由處理單元120直接訪問(wèn)和/或當(dāng)前正在操作的數(shù)據(jù)和/或程序模塊。作為示例且非限制，圖1示出了操作系統(tǒng)134、應(yīng)用程序135、其它程序模塊136和程序數(shù)據(jù)137。
計(jì)算機(jī)110還可包括其它可移動(dòng)/不可移動(dòng)、易失性/非易失性計(jì)算機(jī)存儲(chǔ)介質(zhì)。僅作為示例，圖1示出讀寫(xiě)不可移動(dòng)的非易失性磁介質(zhì)的硬盤(pán)驅(qū)動(dòng)器141，讀寫(xiě)可移動(dòng)的非易失性磁盤(pán)152的磁盤(pán)驅(qū)動(dòng)器151，以及讀寫(xiě)可移動(dòng)的非易失性光盤(pán)156，諸如CD ROM或其它光介質(zhì)的光盤(pán)驅(qū)動(dòng)器155。其它可在示例性操作環(huán)境中使用的可移動(dòng)/不可移動(dòng)、易失性/非易失性計(jì)算機(jī)存儲(chǔ)介質(zhì)包括但不限于，磁帶盒、閃存卡、數(shù)字多功能盤(pán)、數(shù)字視頻帶、固態(tài)RAM、固態(tài)ROM等等。硬盤(pán)驅(qū)動(dòng)器141一般通過(guò)不可移動(dòng)的存儲(chǔ)器接口，如接口140連接到系統(tǒng)總線121，而磁盤(pán)驅(qū)動(dòng)器151和光盤(pán)驅(qū)動(dòng)器155一般通過(guò)可移動(dòng)的存儲(chǔ)器接口，如接口150連接到系統(tǒng)總線121。
上面描述的并且在圖1中示出的驅(qū)動(dòng)器及其相關(guān)聯(lián)的計(jì)算機(jī)存儲(chǔ)介質(zhì)為計(jì)算機(jī)110提供計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊和其它數(shù)據(jù)的存儲(chǔ)。例如在圖1中，硬盤(pán)驅(qū)動(dòng)器141被示為存儲(chǔ)操作系統(tǒng)144、應(yīng)用程序145、其它程序模塊146和程序數(shù)據(jù)147。注意，這些組件或者可以與操作系統(tǒng)134、應(yīng)用程序135、其它程序模塊136和程序數(shù)據(jù)137相同，或者可以與它們不同。操作系統(tǒng)144、應(yīng)用程序145、其它程序模塊146和程序數(shù)據(jù)147在這里給出不同的標(biāo)號(hào)，以說(shuō)明至少它們是不同的副本。用戶可通過(guò)輸入設(shè)備，諸如鍵盤(pán)162和定點(diǎn)設(shè)備161(通常稱(chēng)為鼠標(biāo)、軌跡球或觸摸板)將命令和信息輸入到計(jì)算機(jī)110中。其它輸入設(shè)備(未示出)可包括話筒、操縱桿、游戲墊、衛(wèi)星天線、掃描儀等等。這些和其它輸入設(shè)備常常通過(guò)用戶輸入接口160(它耦合到系統(tǒng)總線121)連接到處理單元120，但可通過(guò)其它接口和總線結(jié)構(gòu)，諸如并行端口、游戲端口或通用串行總線(USB)來(lái)連接。
監(jiān)示器191或其它類(lèi)型的顯示設(shè)備也通過(guò)接口，如視頻接口190連接到系統(tǒng)總線121。圖形接口182，諸如NorthBridge(北橋)也可連接到系統(tǒng)總線121。NorthBridge是一個(gè)芯片組，它與CPU通信，或者作為處理單元120的宿主，并且承擔(dān)加速圖形端口(AGP)通信的職責(zé)。一個(gè)或多個(gè)圖形處理單元(GPU)184可與圖形接口182通信。在這點(diǎn)上，GPU 184一般包括片上存儲(chǔ)器存儲(chǔ)，諸如寄存器存儲(chǔ)，并且GPU 184與視頻存儲(chǔ)器186通信，然而GPU 184只是協(xié)處理器的一個(gè)示例，并且因而在計(jì)算機(jī)110內(nèi)可包括各種各樣的協(xié)處理設(shè)備。監(jiān)示器191或其它類(lèi)型的顯示設(shè)備也通過(guò)接口，諸如視頻接口190連接到系統(tǒng)總線121，視頻接口190進(jìn)而可與視頻存儲(chǔ)器186通信。除監(jiān)示器191之外，計(jì)算機(jī)還可包括其它外圍輸出設(shè)備，諸如揚(yáng)聲器197和打印機(jī)196，它們可通過(guò)輸出外設(shè)接口195連接。
計(jì)算機(jī)110可使用到一個(gè)或多個(gè)遠(yuǎn)程計(jì)算機(jī)，如遠(yuǎn)程計(jì)算機(jī)180的邏輯連接在網(wǎng)絡(luò)化環(huán)境中運(yùn)行。遠(yuǎn)程計(jì)算機(jī)180可以是個(gè)人計(jì)算機(jī)、服務(wù)器、路由器、網(wǎng)絡(luò)PC、對(duì)等設(shè)備或其它常見(jiàn)的網(wǎng)絡(luò)節(jié)點(diǎn)，并且一般包括上面相對(duì)于計(jì)算機(jī)110描述的許多或全部元件，盡管在圖1中只示出了存儲(chǔ)器存儲(chǔ)設(shè)備181。圖1所示的邏輯連接包括局域網(wǎng)(LAN)171和廣域網(wǎng)(WAN)173，但也可包括其它網(wǎng)絡(luò)。這樣的網(wǎng)絡(luò)環(huán)境在辦公室、企業(yè)級(jí)計(jì)算機(jī)網(wǎng)絡(luò)、內(nèi)聯(lián)網(wǎng)和因特網(wǎng)中是很常見(jiàn)的。
當(dāng)在LAN網(wǎng)絡(luò)環(huán)境中使用時(shí)，計(jì)算機(jī)110通過(guò)網(wǎng)絡(luò)接口或適配器170與LAN171連接。當(dāng)在WAN網(wǎng)絡(luò)環(huán)境中使用時(shí)，計(jì)算機(jī)110一般包括調(diào)制解調(diào)器172或用于通過(guò)WAN 173，諸如因特網(wǎng)建立通信的其它裝置。調(diào)制解調(diào)器172可以是內(nèi)置或外置的，它可通過(guò)用戶輸入接口160或其它合適的機(jī)制連接到系統(tǒng)總線121。在網(wǎng)絡(luò)化環(huán)境中，相對(duì)于計(jì)算機(jī)110描述的程序模塊或其部分可存儲(chǔ)在遠(yuǎn)程存儲(chǔ)器存儲(chǔ)設(shè)備中。作為示例而非限制，圖1將遠(yuǎn)程應(yīng)用程序185示為駐留在存儲(chǔ)器設(shè)備181上。將意識(shí)到，所示的網(wǎng)絡(luò)連接是示例性的，并且可使用在計(jì)算機(jī)之間建立鏈接的其它手段。
本領(lǐng)域普通技術(shù)人員可以意識(shí)到，計(jì)算機(jī)110或其它客戶機(jī)設(shè)備可以作為計(jì)算機(jī)網(wǎng)絡(luò)的一部分來(lái)部署。在這點(diǎn)上，本發(fā)明適合于任何計(jì)算機(jī)系統(tǒng)，它們具有任意數(shù)量的存儲(chǔ)器或存儲(chǔ)單元，并且具有可跨任意數(shù)量的存儲(chǔ)單元或卷存在的任意數(shù)量的應(yīng)用程序和進(jìn)程。本發(fā)明可應(yīng)用于帶有在網(wǎng)絡(luò)環(huán)境中部署的服務(wù)器計(jì)算機(jī)與客戶機(jī)計(jì)算機(jī)、具有遠(yuǎn)程或本地存儲(chǔ)的環(huán)境。本發(fā)明還可應(yīng)用于具有編程語(yǔ)言功能、解釋和執(zhí)行能力的獨(dú)立的計(jì)算設(shè)備。
分布式計(jì)算幫助通過(guò)在計(jì)算設(shè)備和系統(tǒng)之間的直接交換來(lái)對(duì)計(jì)算機(jī)資源和服務(wù)的共享。這些資源與服務(wù)包括信息交換、高速緩存存儲(chǔ)和文件的磁盤(pán)存儲(chǔ)。分布式計(jì)算利用網(wǎng)絡(luò)連通性，允許客戶機(jī)利用它們的集體力量來(lái)使整個(gè)企業(yè)受益。在這點(diǎn)上，各種各樣的設(shè)備可具有應(yīng)用程序、對(duì)象或資源，它們可交互以包含本發(fā)明用于可信的圖形管道的認(rèn)證技術(shù)。
圖2提供示例性網(wǎng)絡(luò)化或分布式計(jì)算環(huán)境的示意圖。分布式計(jì)算環(huán)境包括計(jì)算對(duì)象10a、10b等，以及計(jì)算對(duì)象或設(shè)備110a、110b、110c等。這些對(duì)象可包括程序、方法、數(shù)據(jù)存儲(chǔ)、可編程邏輯等等。對(duì)象可包括諸如PDA、電視機(jī)、MP3播放器、電視、個(gè)人計(jì)算機(jī)等相同或不同的設(shè)備的各部分。每個(gè)對(duì)象可以通過(guò)通信網(wǎng)絡(luò)14與另一個(gè)對(duì)象通信。該網(wǎng)絡(luò)自己可包括為圖2的系統(tǒng)提供服務(wù)的計(jì)算對(duì)象和計(jì)算設(shè)備。按照本發(fā)明的一方面，每個(gè)對(duì)象10或110可包含可請(qǐng)求本發(fā)明用于可信的圖形管道的認(rèn)證技術(shù)的應(yīng)用程序。
還可以意識(shí)到的是，諸如110c等對(duì)象可主存在另一個(gè)計(jì)算設(shè)備10或110上。因而，盡管所示的物理環(huán)境可將連接的設(shè)備示為計(jì)算機(jī)，但是這樣的例示僅是示例性的，并且可供替換地，可將物理環(huán)境描繪或描述為包括諸如PDA、電視機(jī)、MP3播放器等各種數(shù)字設(shè)備，并包括諸如接口、COM對(duì)象等軟件對(duì)象。
存在支持分布式計(jì)算環(huán)境的各種各樣的系統(tǒng)、組件和網(wǎng)絡(luò)配置。例如，計(jì)算系統(tǒng)可由有線或無(wú)線系統(tǒng)通過(guò)本地網(wǎng)絡(luò)或遠(yuǎn)距離分布的網(wǎng)絡(luò)連接在一起。目前，許多網(wǎng)絡(luò)耦合到因特網(wǎng)，因特網(wǎng)提供遠(yuǎn)距離分布式計(jì)算的基礎(chǔ)架構(gòu)并且包括許多不同的網(wǎng)絡(luò)。
在家庭網(wǎng)絡(luò)環(huán)境中，存在至少四種完全不同的網(wǎng)絡(luò)傳輸媒體，它們可分別支持一種唯一的協(xié)議，諸如電力線、數(shù)據(jù)(無(wú)線或有線兩者)、語(yǔ)音(例如電話)和娛樂(lè)媒體。大多數(shù)家庭控制設(shè)備，諸如燈開(kāi)關(guān)和電器可使用電力線來(lái)連通。數(shù)據(jù)服務(wù)可作為寬帶(例如DSL或者電纜調(diào)制解調(diào)器)進(jìn)入家庭，并且在家庭里可使用無(wú)線(例如HomeRF或802.11b)或有線(例如Home PNA、5類(lèi)線甚至電力線)連通來(lái)訪問(wèn)。語(yǔ)音通信可作為有線(例如3類(lèi)線)或無(wú)線(例如蜂窩電話)進(jìn)入家庭，并且可使用3類(lèi)線布線分布在家庭里。娛樂(lè)媒體可通過(guò)衛(wèi)星或電纜進(jìn)入家庭，并且一般使用同軸電纜分布在家庭里。IEEE 1394和DVI也作為媒體設(shè)備群的數(shù)字互連而出現(xiàn)。所有這些網(wǎng)絡(luò)環(huán)境及可作為協(xié)議標(biāo)準(zhǔn)出現(xiàn)的其它環(huán)境可以互連，形成可通過(guò)因特網(wǎng)連接到外部世界的內(nèi)聯(lián)網(wǎng)。簡(jiǎn)而言之，存在各種各樣完全不同的來(lái)源用于存儲(chǔ)和傳輸數(shù)據(jù)，并且因此，在發(fā)展中，計(jì)算設(shè)備將需要各種方法來(lái)保護(hù)在數(shù)據(jù)處理管道的所有部分中的內(nèi)容。
“因特網(wǎng)”通常指使用TCP/IP協(xié)議套件的網(wǎng)絡(luò)與網(wǎng)關(guān)的集合，這是計(jì)算機(jī)網(wǎng)絡(luò)領(lǐng)域中眾所周知的。TCP/IP是“傳輸控制協(xié)議/接口程序”的縮略語(yǔ)。因特網(wǎng)可以描述為由執(zhí)行允許用戶通過(guò)網(wǎng)絡(luò)交互和共享信息的網(wǎng)絡(luò)協(xié)議的計(jì)算機(jī)互連的地理上分布的遠(yuǎn)程計(jì)算機(jī)網(wǎng)絡(luò)的系統(tǒng)。因?yàn)檫@樣的分布廣泛的信息共享，所以諸如因特網(wǎng)等遠(yuǎn)程網(wǎng)絡(luò)迄今為止已經(jīng)發(fā)展成一種開(kāi)放式系統(tǒng)，開(kāi)發(fā)者實(shí)際上可以不受限制地設(shè)計(jì)軟件應(yīng)用程序以用于執(zhí)行特殊的操作或服務(wù)。
因而，網(wǎng)絡(luò)基礎(chǔ)架構(gòu)允許各種網(wǎng)絡(luò)拓樸結(jié)構(gòu)，諸如客戶機(jī)/服務(wù)器、對(duì)等或混合體系結(jié)構(gòu)。“客戶機(jī)”是一個(gè)類(lèi)或組的成員，該類(lèi)或組使用與其不相關(guān)的另一類(lèi)或組的服務(wù)。因而，在計(jì)算中，客戶機(jī)是一個(gè)進(jìn)程，粗略地說(shuō)，就是請(qǐng)求由另一個(gè)程序提供的服務(wù)的一組指令或任務(wù)?？蛻魴C(jī)進(jìn)程使用所請(qǐng)求的服務(wù)，不必“知道”有關(guān)其它程序或服務(wù)本身的任何工作細(xì)節(jié)。在客戶機(jī)/服務(wù)器體系結(jié)構(gòu)中，尤其在網(wǎng)絡(luò)化系統(tǒng)中，客戶機(jī)通常是訪問(wèn)由另一個(gè)計(jì)算機(jī)，例如服務(wù)器提供的共享網(wǎng)絡(luò)資源的計(jì)算機(jī)。在圖2的示例中，計(jì)算機(jī)110a、110b等可以視為客戶機(jī)，而計(jì)算機(jī)10a、10b等可以視為服務(wù)器，其中服務(wù)器10a、10b等保存隨后在客戶機(jī)計(jì)算機(jī)110a、110b等中復(fù)制的數(shù)據(jù)。
服務(wù)器一般是能通過(guò)諸如因特網(wǎng)等遠(yuǎn)程網(wǎng)絡(luò)訪問(wèn)的遠(yuǎn)程計(jì)算機(jī)系統(tǒng)?？蛻魴C(jī)進(jìn)程可在第一個(gè)計(jì)算機(jī)系統(tǒng)中活動(dòng)，而服務(wù)器進(jìn)程可在第二計(jì)算機(jī)系統(tǒng)中活動(dòng)，它們彼此通過(guò)通信介質(zhì)通信，因而提供分布式功能并且允許多個(gè)客戶機(jī)利用服務(wù)器的信息收集能力。
客戶機(jī)和服務(wù)器利用由協(xié)議層提供的功能彼此通信。例如，超文本傳輸協(xié)議(HTTP)是結(jié)合萬(wàn)維網(wǎng)(WWW)使用的公共協(xié)議。通常，諸如通用資源定位符(URL)或因特網(wǎng)協(xié)議(IP)地址等計(jì)算機(jī)網(wǎng)絡(luò)地址用于標(biāo)識(shí)服務(wù)器或客戶機(jī)計(jì)算機(jī)。網(wǎng)絡(luò)地址可以稱(chēng)為通用資源定位符地址。例如，通信可以通過(guò)通信介質(zhì)來(lái)提供。具體地，客戶機(jī)和服務(wù)器可通過(guò)TCP/IP連接相互耦合，用于高容量的通信。
因而，圖2示出一個(gè)可使用本發(fā)明的示例性網(wǎng)絡(luò)化或分布式環(huán)境，其中服務(wù)器通過(guò)網(wǎng)絡(luò)/總線與客戶機(jī)計(jì)算機(jī)通信。更詳細(xì)地，多個(gè)服務(wù)器10a、10b等通過(guò)通信網(wǎng)絡(luò)/總線14(它們可以是LAN、WAN、內(nèi)聯(lián)網(wǎng)、因特網(wǎng)等)與多個(gè)客戶機(jī)或遠(yuǎn)程計(jì)算設(shè)備110a、110b、110c、110d、110e等等互連，諸如便攜式計(jì)算機(jī)、手持式計(jì)算機(jī)、瘦客戶機(jī)、網(wǎng)絡(luò)化電器或如VCR、TV、烤箱、燈、加熱器等其它設(shè)備。因而預(yù)期的是，本發(fā)明可應(yīng)用于任何計(jì)算設(shè)備，希望結(jié)合它們來(lái)處理、存儲(chǔ)或呈現(xiàn)來(lái)自可信源的安全內(nèi)容。
例如，在其中通信網(wǎng)絡(luò)/總線14是因特網(wǎng)的網(wǎng)絡(luò)環(huán)境中，服務(wù)器10可以是網(wǎng)絡(luò)服務(wù)器，客戶機(jī)110a、110b、110c、110d、110e等通過(guò)諸如HTTP等多個(gè)已知協(xié)議中的任一種與服務(wù)器10通信。服務(wù)器10還可用作客戶機(jī)110，因?yàn)檫@是分布式計(jì)算環(huán)境的特性。在適當(dāng)?shù)臅r(shí)候，通信可以是有線或無(wú)線的。客戶機(jī)設(shè)備110可以通過(guò)或者可以不通過(guò)通信網(wǎng)絡(luò)/總線14通信，并且可具有與其相關(guān)聯(lián)的獨(dú)立通信。例如，在TV或VCR的情況下，可以有或者可以沒(méi)有關(guān)于其控制器的網(wǎng)絡(luò)化方面。每個(gè)客戶機(jī)計(jì)算機(jī)110和服務(wù)器計(jì)算機(jī)10可以安裝各種應(yīng)用程序模塊或?qū)ο?35，并且與各種類(lèi)型的存儲(chǔ)元件或?qū)ο筮B接或者訪問(wèn)它們，可跨這些存儲(chǔ)元件存儲(chǔ)文件或者可將文件的(一些)部分下載或移動(dòng)到這些存儲(chǔ)元件。因而，本發(fā)明可以在這樣一種計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境中使用，該環(huán)境具有客戶機(jī)計(jì)算機(jī)110a、110b等，這些客戶機(jī)計(jì)算機(jī)可以訪問(wèn)計(jì)算機(jī)網(wǎng)絡(luò)/總線14或與它們交互，并且該環(huán)境具有服務(wù)器計(jì)算機(jī)10a、10b等，這些服務(wù)器計(jì)算機(jī)可與客戶機(jī)計(jì)算機(jī)110a、110b等以及其它設(shè)備111和數(shù)據(jù)庫(kù)20交互。
訪問(wèn)管理概觀如已知的，并且現(xiàn)在參考圖3，在應(yīng)用于數(shù)字信息的訪問(wèn)管理中，在組織10等的上下文內(nèi)，組織10內(nèi)向組織10的資源14請(qǐng)求信息的請(qǐng)求者12必須向資源14提供憑證16，該憑證標(biāo)識(shí)請(qǐng)求者12，并且例如可包括請(qǐng)求者12與組織10的關(guān)系。
如可意識(shí)到的，在不脫離本發(fā)明的精神與范圍的情況下，組織10可以是任何合適類(lèi)型的組織。例如，組織10可以是公眾團(tuán)體、私人公司、政府機(jī)關(guān)、非盈利慈善團(tuán)體、研究基金會(huì)等等。如還可意識(shí)到的，同樣在不脫離本發(fā)明的精神與范圍的情況下，組織10內(nèi)的請(qǐng)求者12可以是任何合適的請(qǐng)求者。例如，請(qǐng)求者12可以是任何職員、主管、管理人、政府官員等等。
通常，資源14接收訪問(wèn)數(shù)字信息或服務(wù)的請(qǐng)求，并且按照預(yù)定義的規(guī)則提供這樣的訪問(wèn)。這樣的數(shù)字信息可包括數(shù)字內(nèi)容或數(shù)據(jù)等，并且這樣的數(shù)字服務(wù)可包括打印服務(wù)、呈現(xiàn)服務(wù)、數(shù)據(jù)轉(zhuǎn)換服務(wù)等等。因而，在不脫離本發(fā)明的精神與范圍的情況下，這樣的資源14和這樣的數(shù)字信息可以是任何合適的數(shù)字資源和數(shù)字信息。
在不脫離本發(fā)明的精神與范圍的情況下，資源14在向請(qǐng)求者12提供訪問(wèn)時(shí)所遵循的預(yù)定義規(guī)則可以是任何規(guī)則。在本發(fā)明的上下文中，這樣的規(guī)則至少隱含地要求請(qǐng)求者12向資源12提供憑證16，并且還可要求請(qǐng)求者12在組織10內(nèi)具有最低級(jí)別的職位，如可在憑證16中所闡述的，要求請(qǐng)求者12有權(quán)訪問(wèn)資源14，如可在憑證16中所闡述的，等等。這類(lèi)規(guī)則例如還可要求在一天中的特定時(shí)間接收來(lái)自請(qǐng)求者12的請(qǐng)求，要求請(qǐng)求者1通過(guò)特定類(lèi)型的連接訪問(wèn)資源14，等等。
在不脫離本發(fā)明的精神與范圍的情況下，如由請(qǐng)求者12提供并且表示請(qǐng)求者12的憑證16可以是任何合適的憑證。通常，憑證16是如由組織10的管理員18(資源14所信任的管理員)發(fā)給請(qǐng)求者12的數(shù)字證書(shū)，但可以是某種其它形式的標(biāo)識(shí)標(biāo)記。假定憑證16實(shí)際上是數(shù)字證書(shū)16，在這樣的數(shù)字證書(shū)16內(nèi)可具有適合于標(biāo)識(shí)請(qǐng)求者12的信息。例如，數(shù)字證書(shū)16可包括請(qǐng)求者12的名字、請(qǐng)求者12在組織內(nèi)的職位、請(qǐng)求者12在組織內(nèi)的權(quán)限、有效期等等。通常，這樣的數(shù)字證書(shū)16是基于其內(nèi)容并按照公鑰-私鑰對(duì)中的私鑰來(lái)簽署的，并且可按照所附的證書(shū)鏈(包括相應(yīng)的公鑰)來(lái)確認(rèn)它。
數(shù)字證書(shū)16本身可具有相關(guān)聯(lián)的公鑰-私鑰對(duì)，在證書(shū)16中帶有公鑰。因而，資源14可用按照這樣的請(qǐng)求者12的證書(shū)16的公鑰直接或間接加密的數(shù)據(jù)來(lái)響應(yīng)請(qǐng)求者12。因此，請(qǐng)求者12可通過(guò)適當(dāng)?shù)貞?yīng)用證書(shū)16的相應(yīng)私鑰來(lái)訪問(wèn)這樣的數(shù)據(jù)。
在不脫離本發(fā)明的精神與范圍的情況下，管理員18可以是在作出訪問(wèn)決定過(guò)程中由資源14信任的任何合適的管理員，當(dāng)然假定管理員18能夠發(fā)放憑證/證書(shū)16給請(qǐng)求者12。有可能的是，資源14的規(guī)則要求通過(guò)包括來(lái)自可信的管理員18的憑證/證書(shū)16，使來(lái)自任何請(qǐng)求者的任何請(qǐng)求向后與可信管理員18聯(lián)系起來(lái)。
委托訪問(wèn)資源14的權(quán)限如上所述，組織10內(nèi)的資源14在決定是否向請(qǐng)求者12提供訪問(wèn)時(shí)，一般審查由請(qǐng)求者12提供的憑證16并且確保憑證16向后與組織10的信任的管理員18聯(lián)系起來(lái)。然而，并且明顯地，請(qǐng)求者12時(shí)?？梢匀鄙俸线m的憑證16，或者單獨(dú)地基于所提供的憑證16不允許請(qǐng)求者12訪問(wèn)資源14，而仍然還應(yīng)該基于由其它可信實(shí)體所作的決定來(lái)允許請(qǐng)求者12訪問(wèn)資源14。另外，請(qǐng)求者12時(shí)常可以不在組織10內(nèi)并且沒(méi)有來(lái)自組織10的憑證16，而仍然還應(yīng)該允許請(qǐng)求者12訪問(wèn)組織的資源14。
更一般地，在應(yīng)用程序可以是多層的、跨多個(gè)組織10分布、跨越多個(gè)管理邊界、和/或涉及具有動(dòng)態(tài)關(guān)系的多個(gè)實(shí)體的時(shí)期中，按照這樣一個(gè)應(yīng)用程序的操作對(duì)資源14的訪問(wèn)必須要求跨包括管理環(huán)境的邊界。因而，來(lái)自第一組織10的資源14必須能夠識(shí)別來(lái)自第二組織10的請(qǐng)求者12并且向其授予訪問(wèn)權(quán)限，其中請(qǐng)求者12不是由第一組織10的可信管理員18發(fā)放憑證的。然而并且再一次，第一組織10的資源14應(yīng)該至少仍要求來(lái)自第二組織10的請(qǐng)求者12建立向后與第一組織10的可信管理員18的某種聯(lián)系。
盡管用于第一組織10的資源14的規(guī)則可以在有規(guī)律的基礎(chǔ)上更新以改變誰(shuí)可訪問(wèn)這樣的資源14(或者通過(guò)改變特定的請(qǐng)求者權(quán)限或者表示來(lái)自第二組織10的請(qǐng)求者12與第一組織10的管理員18的聯(lián)系)，但這樣的更新是麻煩的、繁重的、充滿危險(xiǎn)的，并且具有安全風(fēng)險(xiǎn)。因此，并且在本發(fā)明的一個(gè)實(shí)施例中，用于第一組織10的資源14的規(guī)則只要求由第一組織10的管理員18直接或者間接地將訪問(wèn)這樣的資源14的權(quán)限委托給來(lái)自第二組織10的請(qǐng)求者12。這樣的委托可具體化為如數(shù)字證書(shū)16等憑證16中的委托策略。明顯地，通過(guò)要求經(jīng)由這樣的憑證/證書(shū)16的委托，可提供帶有約束的證書(shū)16，這些約束限制請(qǐng)求者12具有的關(guān)于資源14的權(quán)限。
現(xiàn)在轉(zhuǎn)到圖4，如果假定兩個(gè)組織10a、10b分別具有管理員18a、18b，假定資源14a與組織18a相關(guān)聯(lián)并且只信任管理員18a，并且假定請(qǐng)求者12b與組織18b相關(guān)聯(lián)，則本發(fā)明可用下面和圖5所示的方式來(lái)實(shí)現(xiàn)。開(kāi)始時(shí)，組織10a的管理員18a向組織10b的管理員18b發(fā)送憑證16a，憑證16a陳述這樣一種策略，該策略大意是組織10b的管理員18b可代表組織10a的管理員18a并且相對(duì)于組織10a的一個(gè)或多個(gè)資源14a發(fā)放憑證16b(步驟501)。于是，這樣的憑證16a就是將組織10a的管理員18a的發(fā)放權(quán)限委托給組織10b的管理員18b。注意，憑證16a可陳述憑證16b可以由組織10b的管理員18b發(fā)給組織10b的特定請(qǐng)求者12b，或者可指定這樣的一組特定請(qǐng)求者12b，或者可指定組織10b的所有請(qǐng)求者14b。
不管怎樣，帶有來(lái)自組織10a的管理員18a的委托憑證16a的組織10b的管理員18b并且基于該憑證實(shí)際向組織10b的請(qǐng)求者12b發(fā)放所委托的憑證16b。明顯地，并且在本發(fā)明的一個(gè)實(shí)施例中，憑證16b將請(qǐng)求者12b與管理員18b聯(lián)系起來(lái)，并且憑證16a將管理員18b與管理員18a聯(lián)系起來(lái)。例如，并且在憑證16a、16b是數(shù)字證書(shū)16a、16b的情況下，如圖4所示，每個(gè)管理員18a、18b具有公鑰-私鑰(PU-A，PU-B，PR-A，PR-B)，證書(shū)16a包括管理員18b的公鑰(PU-B)并且由管理員18a的私鑰(PU-A)來(lái)簽署，而證書(shū)16b由管理員18b的私鑰(PU-B)來(lái)簽署。
因而，當(dāng)管理員18b向請(qǐng)求者12b發(fā)放所委托的憑證/證書(shū)16b時(shí)，這樣的管理員18b以證書(shū)鏈的方式將委托證書(shū)16a與證書(shū)16b包括在一起(步驟503)。之后，并且在某個(gè)點(diǎn)，請(qǐng)求者12b實(shí)際請(qǐng)求訪問(wèn)資源14a，并且通過(guò)這么做，將16a、16b的證書(shū)鏈與請(qǐng)求包括在一起(步驟505)。在接收到該請(qǐng)求時(shí)，資源14a確認(rèn)證書(shū)鏈16a、16b，以確定可信管理員18a實(shí)際通過(guò)管理員18b將如此的訪問(wèn)權(quán)限委托給請(qǐng)求者12b，作為決定是否兌現(xiàn)該請(qǐng)求的一部分。具體地，基于已知(PU-A)的假定，資源14a將這樣的(PU-A)應(yīng)用于來(lái)自委托證書(shū)16a的(S(PR-A))來(lái)確認(rèn)(S(PR-A))(步驟507)，并且假定這樣的確認(rèn)成功，則資源14a隨后從委托證書(shū)16a獲得(PU-B)(步驟509)，并將這樣的(PU-B)應(yīng)用于來(lái)自所委托的證書(shū)16b的(S(PR-B))來(lái)確認(rèn)(S(PR-B))(步驟511)。這里，假定這樣的確認(rèn)成功，則請(qǐng)求可以在資源14a是安全的情況下繼續(xù)，因?yàn)橘Y源14a知道來(lái)自請(qǐng)求者12b的請(qǐng)求是基于由可信管理員18a通過(guò)管理員18b委托的權(quán)限(步驟513)。
如迄今為止闡述的，委托鏈從可信管理員18a延伸到管理員18b，并且從管理員18b延伸到請(qǐng)求者12b。然而，并且明顯地，在不脫離本發(fā)明的精神與范圍的情況下，委托可以從資源14a所認(rèn)同的信任源延伸多個(gè)鏈接，并且可以通過(guò)多個(gè)分支延伸到多個(gè)請(qǐng)求者12b。而且，并且在本發(fā)明的一個(gè)實(shí)施例中，通過(guò)使用憑證16建立鏈接，可以給每個(gè)這樣的憑證16提供在資源14a提供對(duì)它的訪問(wèn)之前請(qǐng)求者12b必須滿足的策略。
因而，可通過(guò)適當(dāng)?shù)匕l(fā)放憑證16來(lái)創(chuàng)建下列分布式策略-組織10a內(nèi)的資源14a信任組織10a的管理員18a，以確定誰(shuí)可發(fā)放憑證16；-管理員18a通過(guò)憑證16授權(quán)組織10b的管理員18b向這樣的組織10b的請(qǐng)求者12b發(fā)放憑證16；-管理員18a通過(guò)憑證16授權(quán)組織10c的管理員18c向這樣組織10c的請(qǐng)求者12c(未示出)發(fā)放憑證16，其中請(qǐng)求者12c具有如購(gòu)買(mǎi)者或檢閱者的角色，并且管理員18a還授權(quán)管理員18c能夠?qū)⑦@樣的能力委托給這樣的組織10c中的副管理員18；以及-管理員18c通過(guò)憑證16授權(quán)其購(gòu)買(mǎi)副管理員18c1向組織10c的購(gòu)買(mǎi)請(qǐng)求者12c1發(fā)放憑證16。
因而，當(dāng)資源14a從請(qǐng)求者12c1接收到伴有來(lái)自管理員18a、18c和18c1的憑證鏈16的訪問(wèn)請(qǐng)求時(shí)，資源14a可以使用在所有這類(lèi)憑證16內(nèi)陳述的策略來(lái)確定是否授予訪問(wèn)權(quán)限。更一般地，如由憑證16表示的每個(gè)鏈接表示對(duì)權(quán)限的受約束的委托，來(lái)標(biāo)識(shí)可以獲得對(duì)資源14a的訪問(wèn)的請(qǐng)求者12，并且每個(gè)鏈接還提供授權(quán)語(yǔ)句，這些語(yǔ)句聲明請(qǐng)求者12在被提供這樣的訪問(wèn)之前必須遵循的策略。明顯地，通過(guò)在每個(gè)憑證16中存儲(chǔ)這樣的策略，資源14a不需要參考任何特定的策略的中央儲(chǔ)存庫(kù)，并且在之前根本不需要知道請(qǐng)求者12和除管理員18a之外的任何管理員18。而是，資源14a認(rèn)同憑證鏈16中的策略，因?yàn)樵撴溤谝粋€(gè)信任點(diǎn)，即管理員18a處開(kāi)始，并在請(qǐng)求訪問(wèn)資源14a的請(qǐng)求者12處結(jié)束，并且因?yàn)樵谠撴溨械拿總€(gè)憑證16通過(guò)其確認(rèn)過(guò)的簽名將這樣的請(qǐng)求者12向后與這樣的可信管理員18a聯(lián)系起來(lái)。
要意識(shí)到，在不脫離本發(fā)明的精神與范圍的情況下，在憑證16內(nèi)闡述的策略可以是任何策略。例如，策略可以向這樣的憑證16的處理器提供訪問(wèn)組織10a的所有資源14a的全部授權(quán)，或者可以設(shè)置有關(guān)基于憑證16可以進(jìn)行請(qǐng)求的特定請(qǐng)求者12的限制、可以設(shè)置有關(guān)基于憑證16可以訪問(wèn)的特定資源14a的限制、時(shí)間限制、地理位置、截止時(shí)間、對(duì)訪問(wèn)權(quán)限的限制、對(duì)通信協(xié)議的限制等等。憑證16內(nèi)的策略還可要求資源14a檢查撤消列表來(lái)確定該憑證16是否還沒(méi)有撤消。策略甚至可指定鏈接的憑證16的最大數(shù)量、行使權(quán)限的先決條件、或者在行使權(quán)限之后必須執(zhí)行的動(dòng)作?？梢韵氲?，策略甚至可參考可以找到附加策略的一個(gè)或多個(gè)外部位置。
在不脫離本發(fā)明的精神與范圍的情況下，憑證16內(nèi)的策略可以用任何合適的方式來(lái)表示。例如，這樣的策略可以用下面的策略語(yǔ)句形式來(lái)表示主體P具有斷言的權(quán)限斷言匹配A*給類(lèi)型P*的主體服從條件C由I發(fā)放有效日期時(shí)間D其中-P是對(duì)允許進(jìn)行委托的特定主體的引用。
-斷言的權(quán)限可以是顯式或隱式的，但指示P可創(chuàng)建滿足委托授權(quán)約束的斷言。這樣的斷言能用由P簽署的憑證16的形式來(lái)編碼。
-A*是所有有效的委托斷言必須匹配的一個(gè)或多個(gè)模式。例如，“emailName＝*@xzy.com擁有屬性角色＝購(gòu)買(mǎi)者”形式的模式可陳述，P可斷言帶有xyz.com域中的電子郵件地址的實(shí)體具有購(gòu)買(mǎi)者角色?！癳mailName＝*@xzy.com讀文件＝\mysys.txt”形式的模式，允許P斷言帶有xyz.com域中的電子郵件地址的實(shí)體可以讀這個(gè)指定的文件。
-P*是標(biāo)識(shí)可接受P委托的價(jià)值實(shí)體的一個(gè)或多個(gè)模式。例如只有持有X.509證書(shū)的XYZ公司職員是有效的委托對(duì)象；或者只有XZY公司域的成員是有效對(duì)象。
-C*是零個(gè)或多個(gè)條件，它們影響由P進(jìn)行的任何委托的有效性。這些條件可包括時(shí)間約束，諸如委托可以持續(xù)的最長(zhǎng)時(shí)間，檢查委托授權(quán)的撤消的要求，等等。
-I是對(duì)實(shí)體的引用，該實(shí)體發(fā)放了策略以及證明起源和保證完整性的數(shù)字簽名。
-D是委托授權(quán)有效的時(shí)間段。
在不脫離本發(fā)明的精神與范圍的情況下，上述策略語(yǔ)句可以用任何合適的方式來(lái)編碼。例如，可將策略語(yǔ)句編碼到ASN.1結(jié)構(gòu)中，用于集成到X.509證書(shū)或Kerberos權(quán)證中。然而，要認(rèn)識(shí)到，不是所有編碼和結(jié)構(gòu)可完全支持這樣的策略語(yǔ)句，并且在本發(fā)明的一個(gè)實(shí)施例中，策略語(yǔ)句和包含的憑證16是按照可擴(kuò)展標(biāo)記語(yǔ)言(XML)構(gòu)造的，XML定義了一種標(biāo)準(zhǔn)，諸如國(guó)際標(biāo)準(zhǔn)化組織(ISO)批準(zhǔn)的MPEG權(quán)限表達(dá)語(yǔ)言(REL)，它已經(jīng)設(shè)計(jì)了必需的句法形式。
注意，盡管本發(fā)明迄今為止已經(jīng)按照請(qǐng)求者12闡述了本發(fā)明，其中請(qǐng)求者帶有一對(duì)來(lái)自兩個(gè)管理員18的鏈接的憑證16，但該憑證鏈16可通過(guò)任何數(shù)量的鏈接來(lái)延伸，這些鏈接代表任意數(shù)量的管理員18，甚至是任意數(shù)量的其它請(qǐng)求者12。有可能的是，并且如現(xiàn)在應(yīng)該意識(shí)到的，帶有特定憑證鏈16并且希望基于該鏈訪問(wèn)資源14的請(qǐng)求者12實(shí)際上可以訪問(wèn)這樣的資源14，但僅當(dāng)憑證鏈16向后到達(dá)由該資源識(shí)別的信任根時(shí)，并且還僅當(dāng)每個(gè)憑證16內(nèi)的策略實(shí)際上允許這樣的訪問(wèn)。
因而，并且明顯地，可在憑證16內(nèi)陳述的一條策略是，憑證16內(nèi)的權(quán)限是否可通過(guò)將鏈接的憑證16發(fā)給特定的請(qǐng)求者12來(lái)委托。例如，可以是這樣一種情況，帶有訪問(wèn)特定資源14的第一憑證16的第一請(qǐng)求者12可通過(guò)在這樣的第一憑證16內(nèi)的特定策略，將訪問(wèn)這樣的特定資源14的能力委托給第二請(qǐng)求者12(通過(guò)將來(lái)自第一請(qǐng)求者12的第二憑證16發(fā)給第二請(qǐng)求者12)。同樣，可以是這樣一種情況，這樣的第一請(qǐng)求者12可以通過(guò)這樣的第二憑證16委托給第二請(qǐng)求者12，但第一憑證16內(nèi)的委托策略限制對(duì)特定的權(quán)限子集的委托。
因而，應(yīng)該意識(shí)到，通過(guò)上述本發(fā)明，帶有第一憑證16的第一請(qǐng)求者12可以將它訪問(wèn)給定資源14的權(quán)限委托給第二請(qǐng)求者12(通過(guò)將第二憑證16發(fā)給它)，但僅當(dāng)按照第一憑證16內(nèi)闡述的策略授權(quán)第一請(qǐng)求者12這么做的時(shí)候。有可能的是，基于在第二請(qǐng)求者12所擁有的任何其它憑證16，這樣的第二請(qǐng)求者12是不能訪問(wèn)資源14的。
通常，在這樣一種委托中，資源14已知的第一管理員18向第一請(qǐng)求者12發(fā)放第一憑證16，它標(biāo)識(shí)并且有可能指示所允許的資源訪問(wèn)。重要的是，第一管理員18還在第一憑證16內(nèi)陳述這樣一個(gè)策略，其大意是第一請(qǐng)求者12可用作中介，并且因而向第二請(qǐng)求者12授予代表第一請(qǐng)求者12為了訪問(wèn)資源14而行動(dòng)的權(quán)限。可選擇地，可在引用第一憑證16的附屬憑證16中陳述該策略。然后第一請(qǐng)求者12向第二請(qǐng)求者12發(fā)放第二憑證16，其中第二憑證16陳述有關(guān)第二請(qǐng)求者12在訪問(wèn)資源14時(shí)要具有的權(quán)限的策略。在以前，第二憑證16包括或者引用第一憑證16。第二請(qǐng)求者12之后請(qǐng)求訪問(wèn)資源14并且將第一和第二憑證16與這樣的請(qǐng)求包括在一起，以使資源14能夠作出訪問(wèn)決定。
具體地，并且與以前相似，資源14接收請(qǐng)求，并且確認(rèn)發(fā)放的第二憑證16以證實(shí)是由第一憑證16的持有者發(fā)放該憑證的，并且還確認(rèn)發(fā)放的第一憑證16以證實(shí)是由第一管理員18發(fā)放該憑證16的。然后資源14檢查第二憑證16中所委托的權(quán)限符合第一憑證16中的策略。假定這樣的確認(rèn)和策略檢查成功，則資源14知道來(lái)自這樣的第二請(qǐng)求者12的這樣的請(qǐng)求基于從第一請(qǐng)求者12適當(dāng)?shù)匚械臋?quán)限，從而繼續(xù)進(jìn)行訪問(wèn)請(qǐng)求。因而，并且再一次，資源14可以識(shí)別第二請(qǐng)求者12并且向第二請(qǐng)求者12授予訪問(wèn)權(quán)限，即使第一管理員18沒(méi)有直接向這樣的第二請(qǐng)求者12發(fā)放任何授予對(duì)資源14的訪問(wèn)權(quán)限的憑證16。
結(jié)論要意識(shí)到，盡管本發(fā)明是按照?qǐng)?zhí)行某些動(dòng)作的資源14來(lái)描述的，但實(shí)際情況是，資源管理器代表資源14執(zhí)行這樣的動(dòng)作。如可意識(shí)到的，實(shí)際上常有的情況是，資源管理器管資源14，并且為資源14強(qiáng)制實(shí)施訪問(wèn)控制決定。然而，除非有必要，可以將執(zhí)行一個(gè)動(dòng)作的資源14視為等價(jià)于代表資源14執(zhí)行該動(dòng)作的資源管理器，反之亦然。
實(shí)現(xiàn)結(jié)合本發(fā)明執(zhí)行的過(guò)程所必需的編程是相對(duì)簡(jiǎn)單的，并且對(duì)于有關(guān)的普通編程人員是顯然的。因此，不在此附上這樣的編程。因而，在不脫離本發(fā)明的精神與范圍的情況下，任何特定的編程可用于實(shí)現(xiàn)本發(fā)明。
在本發(fā)明中，提供一種方法和機(jī)制，通過(guò)該方法和機(jī)制，基于訪問(wèn)規(guī)則等，資源14可以向它先前不知道的請(qǐng)求者12提供訪問(wèn)。而是，資源14只需要查看定義的信任源是否為管理員18等，以確定是否應(yīng)該向請(qǐng)求者12提供訪問(wèn)權(quán)限。定義的信任源可以通過(guò)經(jīng)由發(fā)放的憑證16將權(quán)限委托給這樣的請(qǐng)求者12，來(lái)標(biāo)識(shí)是否要給請(qǐng)求者12提供訪問(wèn)，而不管請(qǐng)求者12是在定義的信任源的組織10的內(nèi)部還是外部。
應(yīng)該意識(shí)到，可以在不脫離本發(fā)明的概念的情況下，對(duì)上述實(shí)施例作出改變。因此應(yīng)該理解，本發(fā)明不限于所揭示的特定實(shí)施例，但旨在覆蓋在由所附權(quán)限要求書(shū)定義的本發(fā)明的精神與范圍內(nèi)的修改方案。
權(quán)利要求
1.一種用于第一組織的資源向第二組織的請(qǐng)求者提供對(duì)該資源的訪問(wèn)的方法，所述第一組織具有所述資源信任的第一管理員，所述第二組織具有第二管理員，所述第一和第二管理員的每一個(gè)向?qū)嶓w發(fā)放憑證，由管理員發(fā)給實(shí)體的每個(gè)憑證將該實(shí)體與發(fā)放管理員聯(lián)系起來(lái)，并且表明該實(shí)體與發(fā)放管理員之間的關(guān)系，所述方法包括第一管理員向第二管理員發(fā)放第一憑證，所發(fā)放的第一憑證陳述第二管理員可代表第一管理員向請(qǐng)求者發(fā)放第二憑證的策略，所述第二管理員實(shí)際上代表所述第一管理員向請(qǐng)求者發(fā)放第二憑證，所發(fā)放的第二憑證包括所發(fā)放的第一憑證，所述第二組織的請(qǐng)求者之后請(qǐng)求訪問(wèn)所述第一組織的資源，并且在這么做時(shí)將所述請(qǐng)求與所發(fā)放的第一憑證和所發(fā)放的第二憑證包括在一起；所述資源從請(qǐng)求者接收包括所發(fā)放的第一憑證和所發(fā)放的第二憑證的請(qǐng)求；所述資源確認(rèn)所發(fā)放的第一憑證，以證實(shí)所發(fā)放的第一憑證將可信的第一管理員與所述第二管理員聯(lián)系起來(lái)，并且還證實(shí)所發(fā)放的第一憑證的策略允許所述第二管理員向請(qǐng)求者發(fā)放第二憑證；所述資源確認(rèn)所發(fā)放的第二憑證，以證實(shí)所發(fā)放的第二憑證將所述第二管理員與所述請(qǐng)求者聯(lián)系起來(lái)；以及假定這樣的確認(rèn)成功，則所述資源知道來(lái)自這樣的請(qǐng)求者的這樣的請(qǐng)求是基于從可信的第一管理員通過(guò)所述第二管理員委托給所述請(qǐng)求者的權(quán)限，從而繼續(xù)進(jìn)行對(duì)所述資源的請(qǐng)求，由此，所述第一組織的資源可以識(shí)別所述第二組織的請(qǐng)求者并且向其授予訪問(wèn)權(quán)限，即使可信的第一組織的第一管理員沒(méi)有向這樣的請(qǐng)求者發(fā)放過(guò)任何憑證。
2.如權(quán)利要求1所述的方法，其特征在于，所述第一管理員向所述第二管理員發(fā)放第一憑證，所述第一憑證陳述所述第二管理員可向包括所述請(qǐng)求者在內(nèi)的一組特定實(shí)體發(fā)放所述第二憑證的策略。
3.如權(quán)利要求1所述的方法，其特征在于，所述第一管理員向所述第二管理員發(fā)放第一憑證，所述第一憑證還陳述限制所述請(qǐng)求者具有的有關(guān)所述資源的權(quán)限的策略。
4.如權(quán)利要求1所述的方法，其特征在于，所述第一管理員具有公鑰-私鑰對(duì)(PU-A，PR-A)，并且所述第二管理員具有公鑰-私鑰對(duì)(PU-B，PR-B)，并且其中，所述第一管理員向所述第二管理員發(fā)放第一憑證，在所述第一憑證中包括所述第二管理員的公鑰(PU-B)和基于所述第一管理員的私鑰的數(shù)字簽名(S(PR-A))，所述第二管理員向所述請(qǐng)求者發(fā)放第二憑證，所述第二憑證中包括基于所述第二管理員的私鑰的數(shù)字簽名(S(PR-B))。
5.如權(quán)利要求4所述的方法，其特征在于，所述資源已知(PU-A)，所述方法包括所述資源將(PU-A)應(yīng)用于來(lái)自所發(fā)放的第一憑證的(S(PR-A))以確認(rèn)(S(PR-A))假定這樣的確認(rèn)成功，則所述資源然后從經(jīng)確認(rèn)的第一憑證獲得(PU-B)，并且將這樣的(PU-B)應(yīng)用于來(lái)自所發(fā)放的第二憑證的(S(PR-B))以確認(rèn)(S(PR-B))。
6.如權(quán)利要求1所述的方法，其特征在于，包括所述第一管理員向所述第二管理員發(fā)放第一憑證，所述第一憑證還陳述允許所述請(qǐng)求者訪問(wèn)所述資源的策略，所述第二管理員代表所述第一管理員向請(qǐng)求者發(fā)放第二憑證，并且所述第二憑證包括允許所述請(qǐng)求者訪問(wèn)所述資源的策略；所述資源還確認(rèn)所發(fā)放的第一憑證，以證實(shí)所發(fā)放的第一憑證允許所述請(qǐng)求者訪問(wèn)所述資源；以及所述資源還確認(rèn)所發(fā)放的第二憑證，以證實(shí)所發(fā)放的第二憑證允許所述請(qǐng)求者訪問(wèn)所述資源。
7.如權(quán)利要求1所述的方法，其特征在于，包括發(fā)放每個(gè)憑證，在每個(gè)憑證中包括如下指定的每個(gè)策略主體P具有斷言的權(quán)限斷言匹配A*向類(lèi)型P*的主體服從條件C由I發(fā)放有效日期時(shí)間D其中P是對(duì)允許進(jìn)行委托的特定主體的引用，A*是所有有效委托斷言必須匹配的一個(gè)或多個(gè)模式，P*是標(biāo)識(shí)可接受P委托的價(jià)值實(shí)體的一個(gè)或多個(gè)模式，C*是關(guān)于由P進(jìn)行的任何委托的零或多個(gè)條件，I是發(fā)放策略的實(shí)體，以及D是委托授權(quán)有效的時(shí)間段。
8.一種用于第一組織的資源通過(guò)第三組織向第二組織的請(qǐng)求者提供對(duì)該資源的訪問(wèn)的方法，所述第一組織具有所述資源信任的第一管理員，所述第二組織具有第二管理員，所述第三組織具有第三管理員，每個(gè)管理員向?qū)嶓w發(fā)放憑證，由管理員發(fā)給實(shí)體的每個(gè)憑證將該實(shí)體與發(fā)放管理員聯(lián)系起來(lái)，并且表明該實(shí)體與發(fā)放的管理員之間的關(guān)系，所述方法包括第一管理員向第三管理員發(fā)放第一憑證，所發(fā)放的第一憑證陳述所述第三管理員可代表所述第一管理員向第二管理員發(fā)放第二憑證并且所述第二管理員可代表所述第一管理員向請(qǐng)求者發(fā)放第三憑證的策略，所述第三管理員實(shí)際上代表所述第一管理員向所述第二管理員發(fā)放第二憑證，并且所述第二管理員實(shí)際上代表所述第一管理員向請(qǐng)求者發(fā)放第三憑證，所發(fā)放的第二憑證包括所發(fā)放的第一憑證，并且所發(fā)放的第三憑證包括所發(fā)放的第一憑證和所發(fā)放的第二憑證，所述第二組織的請(qǐng)求者之后請(qǐng)求訪問(wèn)所述第一組織的資源，并且在這么做時(shí)將請(qǐng)求與所發(fā)放的第一憑證和所發(fā)放的第二憑證和所發(fā)放的第三憑證包括在一起；所述資源從所述請(qǐng)求者接收包括所發(fā)放的第一憑證和所發(fā)放的第二憑證和所發(fā)放的第三憑證的請(qǐng)求；所述資源確認(rèn)所發(fā)放的第一憑證，以證實(shí)所發(fā)放的第一憑證將可信的第一管理員與所述第三管理員聯(lián)系起來(lái)，并且還證實(shí)所發(fā)放的第一憑證的策略允許所述第三管理員向所述第二管理員發(fā)放第二憑證，以及所發(fā)放的第一憑證的策略還允許所述第二管理員向所述請(qǐng)求者發(fā)放第三憑證；所述資源確認(rèn)所發(fā)放的第二憑證，以證實(shí)所發(fā)放的第二憑證將所述第三管理員與所述第二管理員聯(lián)系起來(lái)，并且還證實(shí)所發(fā)放的第二憑證的策略允許所述第二管理員向所述請(qǐng)求者發(fā)放第三憑證；所述資源確認(rèn)所發(fā)放的第三憑證，以證實(shí)所發(fā)放的第三憑證將所述第二管理員與所述請(qǐng)求者聯(lián)系起來(lái)；以及假定這樣的確認(rèn)成功，則所述資源知道來(lái)自這樣的請(qǐng)求者的這樣的請(qǐng)求是基于由可信的第一管理員通過(guò)所述第三管理員和所述第二管理員委托給所述請(qǐng)求者的權(quán)限，從而繼續(xù)進(jìn)行對(duì)所述資源的請(qǐng)求，由此，所述第一組織的資源可以識(shí)別所述第二組織的請(qǐng)求者并且向其授予訪問(wèn)權(quán)限，即使所述第一組織的可信的第一管理員沒(méi)有向這樣的請(qǐng)求者發(fā)放任何憑證。
9.如權(quán)利要求8所述的方法，其特征在于，所述第一管理員向所述第三管理員發(fā)放第一憑證，所述第一憑證陳述所述第二管理員可向一組包括請(qǐng)求者在內(nèi)的特定實(shí)體發(fā)放第三憑證的策略。
10.如權(quán)利要求8所述的方法，其特征在于，所述第一管理員向所述第三管理員發(fā)放第一憑證，所述第一憑證還陳述限制所述請(qǐng)求者具有的有關(guān)所述資源的權(quán)限的策略。
11.如權(quán)利要求8所述的方法，其特征在于，所述第一管理員具有公鑰-私鑰對(duì)(PU-A，PR-A)，并且所述第二管理員具有公鑰-私鑰對(duì)(PU-B，PR-B)，并且所述第三管理員具有公鑰-私鑰對(duì)(PU-C，PR-C)，并且其中，所述第一管理員向所述第三管理員發(fā)放第一憑證，在所述第一憑證中包括所述第三管理員公鑰(PU-C)和基于所述第一管理員的私鑰的數(shù)字簽名(S(PR-A))，所述第三管理員向所述第二管理員發(fā)放第二憑證，在所述第二憑證中包括所述第二管理員的公鑰(PU-B)和基于所述第三管理員的私鑰的數(shù)字簽名(S(PR-C))，所述第二管理員向所述請(qǐng)求者發(fā)放第三憑證，在所述第三憑證中包括基于所述第二管理員的私鑰的數(shù)字簽名(S(PR-B))。
12.如權(quán)利要求11所述的方法，其特征在于，所述資源已知(PU-A)，所述方法包括所述資源將(PU-A)應(yīng)用于來(lái)自所發(fā)放的第一憑證的(S(PR-A))以確認(rèn)(S(PR-A))；假定這樣的確認(rèn)成功，則所述資源然后從經(jīng)確認(rèn)的第一憑證獲得(PU-C)，并且將這樣的(PU-C)應(yīng)用于來(lái)自所發(fā)放的第二憑證的(S(PR-C))以確認(rèn)(S(PR-C))。假定這樣的確認(rèn)成功，則所述資源然后從經(jīng)確認(rèn)的第二憑證獲得(PU-B)，并且將這樣的(PU-B)應(yīng)用于來(lái)自所發(fā)放的第三憑證的(S(PR-B))以確認(rèn)(S(PR-B))。
13.如權(quán)利要求8所述的方法，其特征在于，包括所述第一管理員向所述第三管理員發(fā)放第一憑證，所述第一憑證還陳述允許所述請(qǐng)求者訪問(wèn)所述資源的策略，所述第三管理員代表所述第一管理員向所述第二管理員發(fā)放第二憑證，并且所述第二憑證包括允許所述請(qǐng)求者訪問(wèn)所述資源的策略，所述第二管理員代表所述第一管理員向所述請(qǐng)求者發(fā)放第三憑證，并且所述第三憑證包括允許所述請(qǐng)求者訪問(wèn)所述資源的策略；所述資源還確認(rèn)所發(fā)放的第一憑證，以證實(shí)所發(fā)放的第一憑證允許所述請(qǐng)求者訪問(wèn)所述資源；所述資源還確認(rèn)所發(fā)放的第二憑證，以證實(shí)所發(fā)放的第二憑證允許所述請(qǐng)求者訪問(wèn)所述資源；以及所述資源還確認(rèn)所發(fā)放的第三憑證，以證實(shí)所發(fā)放的第三憑證允許所述請(qǐng)求者訪問(wèn)所述資源。
14.如權(quán)利要求8所述的方法，其特征在于，包括發(fā)放每個(gè)憑證，在每個(gè)憑證中包括如下指定的每個(gè)策略主體P具有斷言的權(quán)限斷言匹配A*向類(lèi)型P*的主體服從條件C由I發(fā)放有效日期時(shí)間D其中P是對(duì)允許進(jìn)行委托的特定主體的引用，A*是所有有效委托斷言必須匹配的一個(gè)或多個(gè)模式，P*是標(biāo)識(shí)可接受P委托的價(jià)值實(shí)體的一個(gè)或多個(gè)模式，C*是關(guān)于由P進(jìn)行的任何委托的零或多個(gè)條件，以及D是委托授權(quán)有效的時(shí)間段。
15.一種用于組織的資源通過(guò)中介向請(qǐng)求者提供對(duì)該資源的訪問(wèn)的方法，所述組織具有該資源信任的管理員，所述方法包括管理員向中介發(fā)放第一憑證，所發(fā)放的第一憑證陳述所述中介可代表所述管理員向請(qǐng)求者發(fā)放第二憑證的策略，所述中介實(shí)際上代表所述管理員向請(qǐng)求者發(fā)放第二憑證，所發(fā)放的第二憑證包括所發(fā)放的第一憑證，所述請(qǐng)求者之后請(qǐng)求訪問(wèn)所述組織的資源，并且在這么做時(shí)將所述請(qǐng)求與所發(fā)放的第一憑證和所發(fā)放的第二憑證包括在一起；所述資源從所述請(qǐng)求者接收包括所發(fā)放的第一憑證和所發(fā)放的第二憑證的請(qǐng)求；所述資源確認(rèn)所發(fā)放的第一憑證，以證實(shí)所發(fā)放的第一憑證將所述可信管理員與所述中介聯(lián)系起來(lái)，并且還證實(shí)所發(fā)放的第一憑證的策略允許所述中介向所述請(qǐng)求者發(fā)放第二憑證；所述資源確認(rèn)所發(fā)放的第二憑證，以證實(shí)所發(fā)放的第二憑證將所述中介與所述請(qǐng)求者聯(lián)系起來(lái)；以及假定這樣的確認(rèn)成功，則所述資源知道來(lái)自這樣的請(qǐng)求者的這樣的請(qǐng)求是基于由所述可信管理員通過(guò)所述中介委托給請(qǐng)求者的權(quán)限，從而繼續(xù)進(jìn)行對(duì)所述資源的請(qǐng)求，由此，所述組織的資源可以識(shí)別所述請(qǐng)求者并且向其授予訪問(wèn)權(quán)限，即使所述組織的可信管理員沒(méi)有向這樣的請(qǐng)求者發(fā)放任何憑證。
16.如權(quán)利要求15所述的方法，其特征在于，所述管理員向所述中介發(fā)放第一憑證，所述第一憑證陳述所述中介可向一組包括所述請(qǐng)求者在內(nèi)的特定實(shí)體發(fā)放第二憑證的策略。
17.如權(quán)利要求15所述的方法，其特征在于，所述管理員向所述中介發(fā)放第一憑證，所述第一憑證還陳述限制所述請(qǐng)求者具有的關(guān)于所述資源的權(quán)限的策略。
18.如權(quán)利要求15所述的方法，其特征在于，所述管理員具有公鑰-私鑰對(duì)(PU-A，PR-A)，并且所述中介具有公鑰-私鑰對(duì)(PU-B，PR-B)，并且其中，所述管理員向所述中介發(fā)放第一憑證，在所述第一憑證中包括所述中介的公鑰(PU-B)和基于所述管理員的私鑰的數(shù)字簽名(S(PR-A))，所述中介向所述請(qǐng)求者發(fā)放第二憑證，在所述第二憑證中包括基于所述中介的私鑰的數(shù)字簽名(S(PR-B))。
19.如權(quán)利要求18所述的方法，其特征在于，所述資源已知(PU-A)，所述方法包括所述資源將(PU-A)應(yīng)用于來(lái)自所發(fā)放的第一憑證的(S(PR-A))，以確認(rèn)(S(PR-A))；假定這樣的確認(rèn)成功，則所述資源然后從經(jīng)確認(rèn)的第一憑證獲得(PU-B)，并且將這樣的(PU-B)應(yīng)用于來(lái)自所發(fā)放的第二憑證的(S(PR-B))以確認(rèn)(S(PR-B))。
20.如權(quán)利要求15所述的方法，其特征在于，包括所述管理員向所述中介發(fā)放第一憑證，所述第一憑證還陳述允許所述請(qǐng)求者訪問(wèn)所述資源的策略，所述中介代表所述管理員向所述請(qǐng)求者發(fā)放第二憑證，并且所述第二憑證包括允許所述請(qǐng)求者訪問(wèn)所述資源的策略；所述資源還確認(rèn)所發(fā)放的第一憑證，以證實(shí)所發(fā)放的第一憑證允許所述請(qǐng)求者訪問(wèn)所述資源；以及所述資源還確認(rèn)所發(fā)放的第二憑證，以證實(shí)所發(fā)放的第二憑證允許所述請(qǐng)求者訪問(wèn)所述資源。
21.如權(quán)利要求15所述的方法，其特征在于，包括發(fā)放每個(gè)憑證，在每個(gè)憑證中包括如下指定的每個(gè)策略主體P具有斷言的權(quán)限斷言匹配A*向類(lèi)型P*的主體服從條件C由I發(fā)放有效日期時(shí)間D其中P是對(duì)允許進(jìn)行委托的特定主體的引用，A*是所有有效委托斷言必須匹配的一個(gè)或多個(gè)模式，P*是標(biāo)識(shí)可接受P委托的價(jià)值實(shí)體的一個(gè)或多個(gè)模式，C*是關(guān)于由P進(jìn)行的任何委托的零或多個(gè)條件，以及D是委托授權(quán)有效的時(shí)間段。
全文摘要
第一組織的資源向第二組織的請(qǐng)求者提供對(duì)該資源的訪問(wèn)。第一組織的第一管理員向第二組織的第二管理員發(fā)放第一憑證，第一憑證包括第二管理員可代表第一管理員向請(qǐng)求者發(fā)放第二憑證的策略。第二管理員向請(qǐng)求者發(fā)放第二憑證，第二憑證包括所發(fā)放的第一憑證。請(qǐng)求者請(qǐng)求訪問(wèn)該資源，并且包括發(fā)放的第一和第二憑證。該資源確認(rèn)所發(fā)放的第一憑證將第一管理員與第二管理員聯(lián)系起來(lái)，并且確認(rèn)所發(fā)放的第二憑證將第二憑證與請(qǐng)求者聯(lián)系起來(lái)。該資源因而知道請(qǐng)求是基于由第一管理員通過(guò)第二管理員委托給請(qǐng)求者的權(quán)限。
文檔編號(hào)G06F21/00GK1831833SQ20061000447
公開(kāi)日2006年9月13日 申請(qǐng)日期2006年2月13日 優(yōu)先權(quán)日2005年3月11日
發(fā)明者B·B·迪拉維, B·拉馬克齊亞, M·帕拉馬斯萬(wàn)姆, R·N·潘迪亞, C·F·羅斯三世 申請(qǐng)人:微軟公司