權(quán)限授予系統(tǒng)、方法及認(rèn)證服務(wù)器系統(tǒng)的制作方法
【技術(shù)領(lǐng)域】
[0001] 本發(fā)明設(shè)及一種能夠?qū)⒂脩舻臋?quán)限授予給客戶端的權(quán)限授予系統(tǒng)、方法及認(rèn)證服 務(wù)器系統(tǒng)。
【背景技術(shù)】
[0002] 隨著云服務(wù)的推廣，用戶將多個(gè)服務(wù)相互協(xié)作地使用的機(jī)會(huì)增加。服務(wù)或Web應(yīng) 用是由經(jīng)由諸如互聯(lián)網(wǎng)等網(wǎng)絡(luò)連接到終端的服務(wù)器提供的功能。通過(guò)使服務(wù)相互協(xié)作，月良 務(wù)提供商能夠通過(guò)對(duì)普通服務(wù)增加價(jià)值，來(lái)向用戶提供新的服務(wù)。另一方面，由于服務(wù)的協(xié) 作出現(xiàn)一些問(wèn)題。
[0003] 換言之，存在如下風(fēng)險(xiǎn)：在服務(wù)之間交換的信息可能超出用戶希望交換的信息，運(yùn) 可能導(dǎo)致諸如用戶數(shù)據(jù)或個(gè)人信息的泄漏等問(wèn)題。例如，雖然有多種服務(wù)存在于互聯(lián)網(wǎng)上， 并能夠相互協(xié)作，但是不應(yīng)當(dāng)由除用戶授權(quán)的服務(wù)W外的服務(wù)來(lái)操作用戶數(shù)據(jù)或個(gè)人信 息。此外，從服務(wù)提供商的觀點(diǎn)來(lái)看，期望容易地實(shí)施服務(wù)協(xié)作系統(tǒng)。
[0004] 在運(yùn)種情形下，制定了被稱為"OAuth"的標(biāo)準(zhǔn)協(xié)議W實(shí)現(xiàn)授權(quán)中的協(xié)作。根據(jù)OAuth,例如，如果一個(gè)終端中的應(yīng)用訪問(wèn)由云服務(wù)管理的數(shù)據(jù)，則該應(yīng)用需要從用戶獲取 明確的授權(quán)。
[0005] 利用用戶的授權(quán)，該應(yīng)用接收證明訪問(wèn)授權(quán)的令牌（下文中，稱為"訪問(wèn)令牌"）， 因此，該應(yīng)用能夠通過(guò)使用之后的訪問(wèn)令牌，來(lái)實(shí)現(xiàn)訪問(wèn)。在下文中，用于發(fā)出訪問(wèn)令牌的 操作被稱為"授權(quán)操作"。日本特開(kāi)2013-145505號(hào)公報(bào)討論了一種通過(guò)使用OAuth來(lái)發(fā)出 訪問(wèn)令牌的技術(shù)。

【發(fā)明內(nèi)容】

[0006] 根據(jù)本發(fā)明的一個(gè)方面，提供一種權(quán)限授予系統(tǒng)，該權(quán)限授予系統(tǒng)具有提供從第一客戶端和第二客戶端可訪問(wèn)的服務(wù)的服務(wù)器系統(tǒng)W及認(rèn)證服務(wù)器系統(tǒng)，該認(rèn)證服務(wù)器系 統(tǒng)包括：認(rèn)證單元，其被構(gòu)造為基于由用戶經(jīng)由所述第一客戶端上顯示的認(rèn)證畫(huà)面輸入的 認(rèn)證信息，來(lái)確定所述用戶是否為合法用戶；發(fā)出單元，其被構(gòu)造為在所述認(rèn)證單元確定為 合法用戶的所述用戶經(jīng)由所述第一客戶端上顯示的授權(quán)確認(rèn)畫(huà)面而提供用于依據(jù)所述用 戶對(duì)所述服務(wù)的權(quán)限來(lái)授權(quán)所述第一客戶端的指令的情況下，發(fā)出表示所述用戶的權(quán)限被 授予了所述第一客戶端的權(quán)限信息；授權(quán)單元，其被構(gòu)造為基于當(dāng)所述第一客戶端請(qǐng)求對(duì) 所述服務(wù)的訪問(wèn)時(shí)發(fā)送的所述權(quán)限信息，來(lái)授權(quán)所述第一客戶端W所述用戶的權(quán)限訪問(wèn)所 述服務(wù)；W及管理單元，其被構(gòu)造將所述認(rèn)證單元確定為合法用戶的所述用戶的標(biāo)識(shí)符和 所述第二客戶端的標(biāo)識(shí)符彼此相關(guān)聯(lián)地進(jìn)行管理；其中，在所述用戶的標(biāo)識(shí)符與所述第二 客戶端的標(biāo)識(shí)符相關(guān)聯(lián)的情況下，所述發(fā)出單元發(fā)出表示所述用戶的權(quán)限被授予了所述第 二客戶端的權(quán)限信息，而無(wú)接收用于針對(duì)所述服務(wù)授權(quán)所述第二客戶端的指令。
[0007] 通過(guò)W下參照附圖對(duì)示例性實(shí)施例的描述，本發(fā)明的其他特征將變得清楚。
【附圖說(shuō)明】
[0008] 圖1是例示網(wǎng)絡(luò)的結(jié)構(gòu)的框圖。
[0009] 圖2是例示根據(jù)第一示例性實(shí)施例的服務(wù)器計(jì)算機(jī)的結(jié)構(gòu)的框圖。
[0010] 圖3A、圖3BW及圖3C是各自例示根據(jù)第一示例性實(shí)施例的模塊結(jié)構(gòu)的圖。
[0011] 圖4A和圖4B是各自例示根據(jù)第一示例性實(shí)施例的客戶端標(biāo)識(shí)符的發(fā)出處理的流 程圖。
[0012] 圖5A和圖5B是分別例示根據(jù)第一示例性實(shí)施例的客戶端的開(kāi)始處理和登錄處理 的流程圖。
[0013] 圖6A、圖6BW及圖6C是分別例示根據(jù)第一示例性實(shí)施例的客戶端標(biāo)識(shí)符關(guān)聯(lián) 的確認(rèn)處理、客戶端標(biāo)識(shí)符關(guān)聯(lián)的必要性的確定處理W及客戶端標(biāo)識(shí)符的關(guān)聯(lián)處理的流程 圖。
[0014] 圖7A和圖7B是分別例示根據(jù)第一示例性實(shí)施例的用于訪問(wèn)資源的處理W及訪問(wèn) 令牌的發(fā)出處理。
[0015] 圖8A、圖8BW及圖8C是各自例示根據(jù)第一示例性實(shí)施例的畫(huà)面的顯示示例的圖。
[0016] 圖9是例示根據(jù)第二示例性實(shí)施例的模塊結(jié)構(gòu)的圖。
[0017] 圖IOA和圖IOB是根據(jù)第二示例性實(shí)施例的流程圖。
[0018] 圖11是例示根據(jù)第=示例性實(shí)施例的模塊結(jié)構(gòu)的圖。
[0019] 圖12是例示根據(jù)第=示例性實(shí)施例的關(guān)聯(lián)確認(rèn)的必要性的設(shè)置處理的流程圖。
[0020] 圖13是例示根據(jù)第=示例性實(shí)施例的關(guān)聯(lián)確認(rèn)的必要性的確定處理的流程圖。
[0021 ] 圖14是例示根據(jù)第=示例性實(shí)施例的畫(huà)面的顯示示例的圖。
[0022] 圖15A、圖15BW及圖15C是各自例示根據(jù)第四示例性實(shí)施例的模塊結(jié)構(gòu)的圖。
[0023] 圖16A和圖16B是分別例示根據(jù)第四示例性實(shí)施例的客戶端的開(kāi)始處理和登錄處 理的流程圖。
[0024] 圖17是例示根據(jù)第四示例性實(shí)施例的畫(huà)面的顯示示例的圖。
【具體實(shí)施方式】
[00巧]近年來(lái)，隨著智能電話的普及，在很多情況下，一個(gè)用戶可能擁有多個(gè)終端。在 運(yùn)里，一個(gè)用戶擁有多個(gè)終端的狀態(tài)被稱為"一用戶多設(shè)備狀態(tài)（one-user-multi-device state)"。在運(yùn)種一用戶多設(shè)備狀態(tài)的時(shí)代中，預(yù)計(jì)如下需求不斷增長(zhǎng)：無(wú)縫地使用終端，而 未意識(shí)到正在從多個(gè)用戶終端當(dāng)中使用哪個(gè)終端。
[0026] 假設(shè)在多個(gè)終端中的各個(gè)中安裝了用于訪問(wèn)由云服務(wù)管理的數(shù)據(jù)的應(yīng)用。為了在 不使用用戶的認(rèn)證信息的情況下訪問(wèn)數(shù)據(jù)，例如，應(yīng)用需要在OAuth中所謂的"訪問(wèn)令牌"， 并且需要進(jìn)行授權(quán)操作W發(fā)出訪問(wèn)令牌。
[0027] 在采用傳統(tǒng)的發(fā)出處理來(lái)發(fā)出訪問(wèn)令牌的情況下，必須在用戶擁有的各終端上分 別執(zhí)行授權(quán)操作。因此，用戶可能意識(shí)到在哪個(gè)終端中執(zhí)行了或未執(zhí)行授權(quán)操作，因此，無(wú) 法明確地說(shuō)用戶能夠W無(wú)縫的方式使用終端。運(yùn)可能導(dǎo)致降低在一用戶多設(shè)備狀態(tài)下使用 終端的便利性。
[0028] 考慮到上述情形，本發(fā)明旨在提供一種能夠提高在一用戶多設(shè)備狀態(tài)下使用終端 的便利性權(quán)限授予系統(tǒng)。
[0029] 在下文中，將參照附圖來(lái)描述本發(fā)明的示例性實(shí)施例。
[0030] 在具有如圖1所示的結(jié)構(gòu)的網(wǎng)絡(luò)上，實(shí)現(xiàn)根據(jù)第一示例性實(shí)施例的權(quán)限授予系 統(tǒng)。在本示例性實(shí)施例中，萬(wàn)維網(wǎng)（WWW)被建立作為廣域網(wǎng)（WAN) 100。局域網(wǎng)（LAN) 101將 各構(gòu)成部件相互連接。移動(dòng)終端連接到無(wú)線網(wǎng)絡(luò)102。
[0031] 權(quán)限授予系統(tǒng)包括用于執(zhí)行用戶認(rèn)證和訪問(wèn)令牌的發(fā)出的認(rèn)證/授權(quán)服務(wù)器 151、資源服務(wù)器152、數(shù)據(jù)庫(kù)服務(wù)器153W及由用戶操作的移動(dòng)終端191和192。訪問(wèn)令牌 是證明如下內(nèi)容的信息：客戶端（例如，應(yīng)用）已被用戶授權(quán)訪問(wèn)服務(wù)，并且當(dāng)用戶執(zhí)行授 權(quán)操作W授權(quán)向應(yīng)用轉(zhuǎn)讓用戶的權(quán)限時(shí)發(fā)出該訪問(wèn)令牌。例如，當(dāng)應(yīng)用使用用于訪問(wèn)由云 服務(wù)管理的數(shù)據(jù)的訪問(wèn)令牌時(shí)，應(yīng)用能夠在用戶授權(quán)的范圍內(nèi)訪問(wèn)數(shù)據(jù)。在本示例性實(shí)施 例中，描述了由一系列字母數(shù)字字符表示的訪問(wèn)令牌作為示例。然而，可W用各種方式表示 訪問(wèn)令牌的信息，因此，運(yùn)種信息被統(tǒng)稱為"權(quán)限信息"。
[0032] 認(rèn)證/授權(quán)服務(wù)器151、資源服務(wù)器152W及數(shù)據(jù)庫(kù)服務(wù)器153經(jīng)由WAN100和 LAN101相互連接。同樣地，移動(dòng)終端191和192經(jīng)由WANlOO和無(wú)線網(wǎng)絡(luò)102相互連接。 此外，認(rèn)證/授權(quán)服務(wù)器151、資源服務(wù)器152W及數(shù)據(jù)庫(kù)服務(wù)器153可W被分別建立在單 獨(dú)的LAN上，可W被建立在同一LAN上，或者可W被建立在同一個(gè)人計(jì)算機(jī)（PC)或者服務(wù) 器計(jì)算機(jī)上。此外，替代移動(dòng)終端191及192,PC(未例示）可W經(jīng)由LANlOl連接到WAN 100。此外，在本示例性實(shí)施例中，雖然上述各服務(wù)器被描述為單個(gè)服務(wù)器，但是服務(wù)器也可 W是由多個(gè)服務(wù)器構(gòu)成的服務(wù)器組。因此，當(dāng)服務(wù)器被稱為"服務(wù)器系統(tǒng)"時(shí)，可W由一個(gè) 服務(wù)器或多個(gè)服務(wù)器構(gòu)成。例如，認(rèn)證服務(wù)器系統(tǒng)可W是由一個(gè)或多個(gè)認(rèn)證/授權(quán)服務(wù)器 151構(gòu)成的裝置。
[0033] 圖2是例示根據(jù)本示例性實(shí)施例的認(rèn)證/授權(quán)服務(wù)器151的服務(wù)器計(jì)算機(jī)的結(jié)構(gòu) 的框圖。此外，同一結(jié)構(gòu)也可應(yīng)用于資源服務(wù)器152或數(shù)據(jù)庫(kù)服務(wù)器153的服務(wù)器計(jì)算機(jī) 的結(jié)構(gòu)、W及移動(dòng)終端191或192的結(jié)構(gòu)。此外，圖2的硬件框圖對(duì)應(yīng)于一般的信息處理裝 置的硬件框圖，因此，一般的信息處理裝置的硬件結(jié)構(gòu)可應(yīng)用于根據(jù)本示例性實(shí)施例的服 務(wù)器計(jì)算機(jī)和移動(dòng)終端。
[0034] 在圖2中，中央處理單元仰U) 201執(zhí)行諸如操作系統(tǒng)攸）和應(yīng)用等程序，運(yùn)些程 序被存儲(chǔ)在只讀存儲(chǔ)器（ROM) 203的程序ROM或者諸如硬盤(pán)等外部存儲(chǔ)器211中，并被加載 在隨機(jī)存取存儲(chǔ)器（RAM) 202上。可W通過(guò)執(zhí)行所述程序來(lái)實(shí)現(xiàn)下述流程圖中所示的處理。 RAM202充當(dāng)CPU201的主存儲(chǔ)器或工作區(qū)。鍵盤(pán)控制器（邸C) 205控制從鍵盤(pán)（邸)209或指 點(diǎn)設(shè)備（未例示）接收的鍵輸入。陰極射線管控制器（CRTC) 206執(zhí)行陰極射線管（CRT)顯 示器210的顯示控制。盤(pán)控制器值KC) 207控制對(duì)用于存儲(chǔ)各種數(shù)據(jù)的外部存儲(chǔ)器211(例 如皿或軟盤(pán)（FD)(注冊(cè)商標(biāo)）內(nèi)的數(shù)據(jù)的訪問(wèn)。網(wǎng)絡(luò)計(jì)算機(jī)（N0212連接到網(wǎng)絡(luò)，并且執(zhí) 行用于與連接到網(wǎng)絡(luò)的其他設(shè)備通信的控制處理。
[0035] 在下面的描述中，除非另外指明，否則，CPU201在硬件方面起主要作用，而當(dāng)CPU 201通過(guò)執(zhí)行外部存儲(chǔ)器211中安裝的應(yīng)用程序來(lái)實(shí)現(xiàn)應(yīng)用程序的功能時(shí)，應(yīng)用程序的功 能在軟件方面起主要作用。
[003引圖3A、圖3BW及圖3C分別是例示認(rèn)證/授權(quán)服務(wù)器151W及移動(dòng)終端191和192 的結(jié)構(gòu)的圖。認(rèn)證/授權(quán)服務(wù)器151包括客戶端標(biāo)識(shí)符管理模塊301、認(rèn)證模塊302、客戶 端標(biāo)識(shí)符關(guān)聯(lián)管理模塊303W及授權(quán)模塊304。另外，移動(dòng)終端191和192中的各個(gè)包括客 戶端模塊351和客戶端關(guān)聯(lián)請(qǐng)求模塊352。此外，資源服務(wù)器152 (圖2中未例示）包括通 過(guò)授予的用戶的權(quán)限授權(quán)訪問(wèn)服務(wù)的移動(dòng)終端191和/或移動(dòng)終端192可訪問(wèn)的服務(wù)。月良 務(wù)執(zhí)行從移動(dòng)終端191和/或移動(dòng)終端192請(qǐng)