[发明专利]数字身份表示的供应

说明书

背景

近来，在开发向个人给予对特别是在数字上下文中如何分发和使用其个人 身份信息的更多控制的系统方面出现了大量革新。例如，特别地，华盛顿州雷 蒙德市的微软公司推广了一种有时被称为信息卡选择器的系统，微软对该信息 卡选择器的实例化被称为Windows CardSpace。在Windows CardSpace系统中， 主体获得一个或多个有时被称为信息卡的数字身份表示。当主体试图访问需要 关于该主体做出的一组声明的资源(“依赖方”)时，该主体采用数字身份表 示(以下称为“DIR”)来启动与可断言这些声明的身份提供者的通信。在某 些情况下，身份提供者可由主体控制并在主体自己的机器上运行。在其它情况 下，其可由第三方来控制。身份提供者返回包括所需声明信息的“身份令牌”。

然而，对于DIR的创建和供应却几乎没有任何关注。当前，数字身份系 统的管理员被迫手动制作DIR。例如，管理员可手动地使用诸如XML生成器 等软件实用程序来制作DIR并将其保存到特定位置。管理员然后可向主体发送 指向该DIR的指针，并且主体然后可开始检索该DIR。该系统是事先未准备的， 其遭受错误和安全漏洞，并且对于管理员而言是劳动密集型的。

概述

提供本概述是为了以简化的形式介绍将在以下详细描述中进一步描述的 一些概念。该概述不旨在标识所要求保护的主题的关键特征或必要特征，也不 旨在用于帮助确定所要求保护的主题的范围。

一个方面涉及一种用于为主体供应DIR的系统。该系统包括适用于接收 为主体生成DIR的请求并然后生成该DIR的DIR生成系统。还提供了适用于 响应于使用该DIR发起的通信来生成身份令牌的身份提供者，以及操作上连接 到DIR生成系统和身份提供者的身份数据存储。DIR生成系统在生成DIR时 访问身份数据存储，而身份提供者在生成身份令牌时也访问身份数据存储。

另一方面涉及一种用于为主体供应DIR的方法。该方法包括使用诸如用 户名和口令等登录信息来向DIR生成系统认证主体。该方法还包括接收对DIR 的请求并以包括至少某些登录信息的方式生成所请求的DIR。例如，相同的登 录信息可用于保护或“支持”所得DIR。这向认证主体提供了关于在稍后要提 供什么认证信息以供登录的提示。

另一方面涉及一种用于为主体供应DIR的另一方法。在该示例性方法中， 生成第一DIR描述符和第二DIR描述符。这些可表示例如对主体可用的不同 DIR。接着，将第一和第二DIR描述符发送到主体，使得主体知道例如什么 DIR可用。然后从主体接收对于符合第一DIR描述符的至少第一DIR的请求。 然后创建第一DIR。

另一方面涉及一种用于为主体供应DIR的再一方法。请求对依赖方的访 问。然后接收拒绝访问并发送依赖方的安全策略的消息。然后向DIR生成系统 请求满足该安全策略的DIR。最后，接收DIR。

附图简述

现在将对附图做出参考，这些附图不一定是按比例绘制的，并且其中：

图1示出了一个示例DIR系统，其包括主体、主体机器、依赖方、身份 提供者、DIR生成系统、身份数据存储、管理员系统以及数据捕捉系统；

图2示出了用于DIR供应和使用的示例性方法；

图3示出了用于DIR供应和使用的另一示例性方法；

图4示出了用于DIR供应的另一示例性方法；

图5示出了用于DIR供应的另一示例性方法；

图6示出了用于DIR供应的另一示例性方法；

图7示出了用于DIR供应的另一示例性方法；

图8示出了用于DIR供应的另一示例性方法；以及

图9示出了计算设备的一个示例。

详细描述

现将参考附图，在下文更全面地描述各示例实施例。全文中，相同的附图 标记表示相同的元素。