专利名称：电信系统中的特权授予与资源共享的制作方法
技术领域：
本发明通常涉及电信领域，尤其涉及在一个电信系统中为了共享一个或多个资源而授予一个或多个特权。
背景技术：
图1描述了一个先有技术中电信系统100的方框图。在电信系统100中示出了三种类型的数据处理系统(i)使用资源的系统(即，用户系统)，(ii)资源本身，以及(iii)确定用户系统是否可以使用资源的安全系统。如图所示，系统100包括(i)用户111，其为一个用户系统；(ii)资源114和124；以及(iii)认证服务器112和122和授权服务器113和123，其为安全系统。
为了确定用户系统是否可以使用一个资源，如与服务相关的资源，用户系统必须是(i)被认证的和(ii)被授权使用该资源的。认证是一种过程，通过它安全系统检测一个用户系统是否是所期望的。授权是一种过程，通过它安全系统为一个用户系统授予继续使用资源的特权。
认证和授权是数据电信领域中公知的过程，先有技术中的许多协议都通过认证或授权或者两者兼用来提供一定水平的安全性。电信系统100使用叫做科波罗斯(Kerberos)的协议来确定是否给用户111授予特权。
在第一个例子中，用户111，即一个客户端机器，需要使用资源114，即一个在客户端本地的数据库服务器。资源114包含有敏感信息，故用户111必须在其被允许使用该资源之前首先被认证和授权。用户111通过局域网115被认证服务器112认证并且由授权服务器113发出由用户使用的、用于对资源114显示身份证明的“票证”(ticket)。用户111向资源114出示票证，然后被允许访问存储在资源114上的信息。该过程是相当直接的，部分是因为用户111和资源114对于对方来说都是本地的，因此，可以使用相同的认证和授权系统，即认证服务器112和授权服务器113。事实上，由于该共同的认证服务器和授权服务器，用户111、服务器112和113、资源114以及网络115都是在他们自己的科波罗斯区域内，其在图1中被描述为区域110。
在第二个例子中，在此用户111需要使用一个不同的资源，即资源124，一个远离客户端的数据库服务器。资源124也包含有敏感信息，所以用户111必须在其被允许使用资源124之前首先被认证和授权。然而，资源124与用户111在不同的区域，因此对资源124的访问由一个与用户111本地的安全系统不同的安全系统来控制。由于该原因，资源124被认为在一个与用户111所在区域不同的区域内，在图1中描述为区域120。为了获得在该不同的区域中的资源124的票证，用户111必须从授权服务器113上请求一个可以被授权服务器123接受的票证。如果远程的授权服务器123在本地授权服务器113上注册过，那么服务器113将发给用户111一个在服务器123上有效的第一票证。用户111通过网络115和125向服务器123出示第一票证，然后被允许从服务器123获得一个可以访问存储在资源124上的信息(或者访问区域120中的其它资源)的第二票证。
电信系统100所使用的安全协议的问题在于，其要求授权服务器113和123具有相互信任的关系，如图1中的联合130所示。即服务器113和123必须相互知道、共享信息，而且必须相互信任该信息。然而，该相互信任关系很难管理，此外，其对于一些电信系统来说是过于满足的。
发明内容
本发明提供一种特权授予技术，根据本发明的说明性实施例，其用于使得一个服务提供区为一个在服务请求区中的请求用户授予特权。在包括一个或多个服务相关资源的服务提供区中的一个请求处理器，接收使用服务的用户请求并从特权授予服务器请求一个令牌。一旦从特权授予服务器接收到指定一个授予的特权的令牌，该请求处理器将该特权扩展到请求的用户。可选的，请求处理器可以提前向特权授予服务器请求多个令牌；在收到这些令牌后，当处理器收到请求使用一个或多个服务的请求时，请求处理的便将特权扩展到每个请求的用户。
在该说明性实施例中的特权授予技术基于这样一种现实，即，在一些电信系统中，认证和授权和与服务相关的资源在同一个区域的服务请求处理器已经是足够的了。在那些电信系统中，也没有必要必须去认证和授权处于不同的服务请求区中的用户。因此，在该说明性实施例的技术中，在科波罗斯概念上，这两个区域(即服务请求和服务提供区)没有必要相互信任。
基于该说明性实施例技术的特权授予具有广泛的应用，尤其是对于基于会话启动协议(SIP)的应用。新的服务如基于SIP的传真业务、使用SIP的对方付费电话以及自动接收器控制的呼叫重定向都可以有利地使用所公开的技术来替代先有技术。
本发明的说明性实施例包括在服务提供区内接收使用服务提供区中的一个服务的请求，该请求由一个在服务请求区中的第一数据处理系统产生；发送一个获得令牌的请求到在服务提供区中的第二数据处理系统，其中所述第二数据处理系统并不知道第一数据处理系统的身份；以及接收一个令牌，其中该令牌指定一个授予的特权。
图1描述了先有技术中电信系统100的方框图。
图2描述了根据本发明的说明性实施例的电信系统200的方框图。
图3描述了根据本发明的说明性实施例的请求处理器221重要部件的方框图。
图4描述了与电信系统200相关的第一消息流程图。
图5描述了与电信系统200相关的第二消息流程图。
图6描述了与电信系统200相关的第三消息流程图。
具体实施例方式
为了本说明书和权利要求，术语“区”定义为一组共享一个公共通信地址的数据处理系统。服务请求区，例如，是指在其中找到请求使用一个或多个服务的用户数据处理系统的区域。服务提供区是指在其中找到与那些所请求的服务相关的资源以及控制对那些资源的访问的数据处理系统的区域。
图2描述了根据本发明的说明性实施例的电信系统200的方框图。电信系统200包括用户211-1到用户211-M，所述的M是一个正整数、局域网212、请求处理器221、认证服务器222、特权授予服务器223、资源224-1到224-N，所述的N是一个正整数；以及如图所示相互连接的局域网225。
电信系统200包括两个区域服务请求区210和服务提供区220。用户211-1到用户211-M及局域网212构成了服务请求区210。请求处理器221、认证服务器222、特权授予服务器223、资源224-1到224-N以及局域网225构成了服务提供区220。在服务请求区210和服务提供区220之间不存在相互信任关系，至少在某些时期内不存在。此外，在一些实施例中，服务提供区220保留来自请求用户221-m的特权授予服务器223的身份，所述的m为1到M之间包括1和M的一个值。另外，在一些实施例中，服务提供区220拒绝将一个或多个资源224-1到224-N的身份提供给请求用户211-m。
用户211-m是一个处于服务请求区210中的数据处理系统，其能够产生一个服务提供区220可用的服务的请求。此外，一旦该服务提供区220授予用户211-m一个使用该服务的特权，那么用户211-m便能够使用该服务。一个个人用户操作用户211-m以请求和使用该服务。例如，用户211-m可能是个人计算机或者能够发送和接收语音或数据流的电信终端。在一些可选的实施例中，用户211-m可能不服务于任何个人用户。本领域技术人员将清楚，用户211-1到211-M可以如本说明性实施例中所示的都处于同一个服务请求区中，或者也可以被分布到两个或更多服务请求区中。
用户211-m通过局域网212以公知的方式与服务提供区220中的数据处理系统通信。本领域技术人员将清楚如何去构造和使用用户211-m。
请求处理器221是一个数据处理系统，其接收来自服务请求区210的、使用一个或多个服务的请求，并为区域210中的用户处理这些请求。根据该说明性实施例，请求处理器221通过会话启动协议与用户221-1到221-M通信，然而，也将知道处理器221可以通过另外的一组协议与用户221-1到221-M通信(例如H.323等)。在处理来自一个用户的过去的或者将来的请求期间，处理器221与认证服务器222、特权授予服务器223、一个或多个资源224-1到224-N交互。处理器221通过局域网225以公知的方式与服务提供区220中的其它单元通信。处理器221的重要部件参照图3在下文中描述。根据本发明说明性实施例，参照图4和图5，处理器221执行以下描述的相关任务。
认证服务器222是一种以公知的方式在需要的时候对请求处理器221进行认证的系统。服务器222可以接收一个直接来自处理器221的认证请求或者可以从特权授予服务器223接收一个对处理器221进行认证的请求。如本领域技术人员将了解的，服务器222可能使用众多已知技术中的一种来认证处理器221。本领域技术人员将清楚如何去构造和使用认证服务器222。
根据本发明的说明性实施例，特权授予服务器223是一个为使用一个或多个服务而授予特权的数据处理系统，所述服务涉及使用资源224-1到224-N中的一个或多个资源。服务器223从处理器221接收获取一个或多个令牌的请求，其中所述的每个令牌提供包括授予特权自身在内的与授予的特权相关的信息。如果处理器221还没有进行认证，那么服务器223可以要求处理器221使用认证服务器222进行认证。尽管特权授予服务器223知道处理器221的身份，但是该服务器并不需要知道进行请求该服务的用户的身份。
服务器223产生一个或多个令牌并将其发送到处理器221，从而授权给处理器221为每个授予的特权提供访问。服务器223也负责设置在服务提供区220内的所需环境，来接收和处理来自服务请求区210的用户的后续信号。此外，服务器223将授予的特权扩展(extend)到该请求用户(即，用户221-m)。在阅读本说明书后，本领域技术人员将清楚如何去构造和使用特权授予服务器223。
资源224-n是一个与服务相关的资源，所述n具有1到N之间包括1和N的值。资源224-n可以是一个独立的装置、另一个装置的一部分、一个软件实体等等。例如，资源224-n可以是数据库、打印机、防火墙中的端口或者规则、网桥会议(conference bridge)等等。本领域技术人员将会清楚如何去构造和使用资源224-n。
请求处理器221与特权授予服务器223一同确定资源224-1到224-N中的哪个被请求作为请求服务的一部分。例如，如果该请求的服务规定了用于一个临近传真打印机资源224-3的特定接收者的、来自用户211-1的传真传送处理，那么处理器221与服务器223将确定需要传真打印机，并且资源224-3为与该接收者最近的传真打印机；处理器221将把这些显示给用户。
图3描述了根据本发明说明性实施例的请求处理器221的重要部件的方框图。请求处理器221包括网络接口301、处理器302以及如图所示相互连接的存储器303。
网络接口301包括一个接收部分和一个发送部分。该接收部分以公知的方式接收来自电信系统200中其它数据处理系统的信号，并把编码在该信号中的信息转发到处理器302。该发送部分以公知的方式接收来自处理器302的信息，并将编码了该信息的包相关信号输出到另一个数据处理系统。本领域技术人员将清楚如何构造和使用网络接口301。
处理器302是一个通用处理器，其能够接收来自网络接口301的信息；从存储器303读取数据和把数据写入存储器303；执行以下参考图4和5描述的任务；以及发送信息到网络接口301。在本发明一些可选的实施例中，处理器302可能是一个专用的处理器。不论是哪一种情况下，在阅读本公开后，本领域技术人员将清楚如何构造和使用处理器302。
存储器303以公知的方式存储数据和可执行的指令。本领域技术人员将清楚如何构造和使用存储器303。
根据本发明的该实施例，图4描述了与电信系统200相关的第一消息流程图。该消息流程图说明了一个起始于用户211-1请求使用服务提供区220中的一个服务的序列，该用户211-1是一个服务请求区210中的第一数据处理系统。本领域技术人员将清楚，图4中描述的事件可以同时执行或者以与所描述的顺序不同的顺序执行。
通过消息401，请求处理器221接收一个由用户211-1发送的、使用服务提供区220中的服务的请求。该请求包括一些请求处理器221用于识别和处理该请求的初始信息。
在事件402中，请求处理器221部分根据该请求中的初始信息决定是否接受该请求。如果接受了该请求，那么处理器221确定其是否需要通过认证服务器222认证其自身。在一些实施例中，请求处理器221还根据用户211-1要求使用的特定的服务，确定需要资源224-1到224-N中哪些资源。
如果请求处理器221需要认证它自身，其以公知的方式通过认证服务器222执行认证序列403。由于认证是用于请求处理器221而不用于用户211-1，认证序列403不涉及服务请求区210。
认证成功后，作为消息404的一部分，请求处理器221发送获得令牌的请求；其发送该请求到特权授予服务器223，即第二数据处理系统。在一些实施例中，处理器221还确定哪个资源与该请求的服务相关并把关于这些资源的信息作为该请求的一部分发送给服务器223。
不管是自治的还是利用来自处理器221的输入，特权授予服务器223确定哪些资源是该请求的服务所需要的。在一些实施例中，根据这些所选的资源，特权授予服务器223发送消息405以设置所选资源的环境——在本例子中，是资源224-4的环境——来接收用户211-1的服务请求。
服务器223也产生指定一个授予的特权的令牌，该特权例如是使用一个或多个用于特定目的的资源。在一些实施例中，该授予的特权是用于有次数限制地使用该资源。例如，该有次数限制的使用可能只是单次使用。作为消息406的一部分，服务器223发送被请求处理程序221接收的该令牌。此时，请求处理器221被授权扩展该令牌指定的已授予的特权。
通过消息407，请求处理器221将该作为令牌的一部分被接收的授予的特权扩展到用户211-1。此外，处理器221向用户211-1转发如何访问与该请求的服务相关的资源的信息，在本例中为资源224-4。
用户211-1利用处理器221转发的该信息，通过发送消息408到资源224-4来使用该请求的服务。
根据本发明说明性的实施例，图5描述了与电信系统200相关的第二消息流程图。该消息流程图说明了一个起始于请求处理器221的、请求一个或多个来自特权授予服务器223的令牌的序列，该令牌在之后用于处理来自用户211-1到211-M中的一个或多个用户的服务请求。本领域的技术人员将清楚，图5中描述的事件可以同时执行或者以与所描述的顺序不同的顺序执行。
在事件501中，请求处理器221准备从特权授予服务器223请求一个或多个令牌。处理器221确定是否需要利用认证服务器222认证它自身。在一些实施例中，基于处理器221从一个或多个用户(如用户211-1、用户211-2等)接收的、期望使用一个或多个服务的请求，请求处理器221还确定需要资源224-1到224-N中的哪些资源。
如果请求处理器221需要认证其自身，那么其以公知的方式通过认证服务器222执行认证序列502。由于认证用于请求处理器221而不用于用户211-1或者211-2，认证序列502不涉及服务请求区210。
认证成功后，作为消息503的一部分，请求处理器221发送获得一个或多个令牌的请求；其发送该请求到特权授予服务器223。在一些实施例中，处理器221还确定哪些资源与其期望被请求的服务相关并且把关于这些资源的信息作为该请求的一部分发送给服务器223。
不管是自治的还是利用来自处理器221的输入，特权授予服务器223确定哪些资源是与期望的请求相关的服务所需要的。在一些实施例中，根据所选的资源，特权授予服务器223发送消息504和505以设置所选资源的环境——在本例中，是资源224-4和224-7的环境——来接收将来的服务请求。
服务器223也产生一个或多个令牌，所述每个产生的令牌指定一个授予的特权，如使用一个或多个用于特定目的的资源。在一些实施例中，该授予的特权是用于有次数限制地使用相关资源。例如，该有次数限制的使用可能只是单次的使用。作为消息506的一部分，服务器223发送被请求处理器221接收的该令牌。此时，请求处理器221被授权将每个接收到的令牌所指定的授予的特权扩展到每个后续请求使用该服务的用户。
通过消息507，请求处理器221最终接收由用户211-1发送的、使用服务提供区220中的服务的请求。该请求包括一些请求处理器221用于识别和处理该请求的初始信息。
通过消息508，请求处理器221将该授予的特权扩展到用户211-1，该授予的特权从特权授予服务器223作为这些令牌中的一个的一部分被接收。此外，请求处理器221向用户211-1转发如何访问与该请求的服务相关的资源的信息，在本例中为资源224-4。
用户211-1利用处理器221转发的该信息，通过发送消息509到资源224-4来使用该请求的服务。
最后，通过消息510，请求处理器221接收一个由与之前不同的、称为211-2的用户发送的请求，以使用在服务提供区220内的与之前不同的服务。该请求包括一些被请求处理器221使用以识别和处理该请求的初始信息。尽管所提供的例子描述了请求使用一个与之前不同的服务，但是应该知道该请求处理器221可以处理来自不同用户的、使用同一服务的请求。
通过消息511，请求处理器221将该授予的特权扩展到用户211-2，该授予的特权从特权授予服务器223作为这些令牌中的一个的一部分被接收。此外，处理器221向用户211-2转发如何访问与该请求的服务相关的资源的信息，在本例中为资源224-7。
然后用户211-2利用处理器221转发的该信息，通过发送消息512到资源224-7来使用该请求的服务。
现在公开一些在说明性实施例中使用该技术的应用。该说明性实施例中利用该特权授予技术的第一个应用——使用会话启动协议的传真业务——在此被公开，其消息流程图于图6中描述。该消息流程图示出了一个序列，其中用户211-1请求发送一个传真到服务提供区220中临近接收者的打印机上。
在该应用中，特权授予服务器223的功能为一个传真服务器，并且为了清晰起见，在该描述中被称为“传真服务器223”。与认证服务器222相关的功能可通过企业用户认证引擎提供，例如Windows区域认证。与该服务相关的资源，资源224-1，是将要在其上接收传真文件的打印机。
参照图6，通过消息601，请求处理器221接收一个由用户211-1发送的请求，以在服务提供区220内接收一个传真。该请求可能是SIP邀请消息的一部分，其包括一些有关被发送的传真的信息(例如，页码数、传输格式、首页预览等)。
在事件602中，请求处理器221根据该请求中提供的信息决定是否接受该请求。如果接受该请求，那么处理器221确定它是否需要通过认证服务器222认证其自身。在一些实施例中，请求处理器221还根据用户211-1要求使用的特定的服务，确定需要资源224-1到224-N中的哪些资源。
通过消息603，请求处理器221发送获得令牌的请求；其发送该请求到传真服务器223。然后，通过消息605，传真服务器223请求认证服务器222(或者其功能相同的设备)认证请求处理器221。
服务器222通过公知的方式(例如，通过区域控制器认证等等)对请求处理器221执行认证序列605。服务器222通过消息606为传真服务器223提供认证结果。可选的，如图4和图5所描述的，请求处理器221而非传真服务器223也可以与服务器222联系以认证该请求处理器。
传真服务器223确定哪个打印机与该传真的接收者最近；查出资源224-1为最近的打印机。如果有必要，传真服务器223发送消息607到资源224-1以准备该打印机。
基于请求处理器221和用户211-1(即，传真的发送者)的身份及其它相关信息，如被使用的打印机，传真服务器223还产生一个令牌，在本例中为一个cookie。该令牌指定所授予的使用该识别的用于传真传输的打印机的特权。在一些实施例中，该授予的特权是用于有次数限制地使用该资源的。例如，该有次数限制的使用可能只是单次的使用。作为消息608的一部分，传真服务器223发送其后被请求处理器221接收的令牌。此时，请求处理器221被授权扩展该令牌指定的已授予的特权。
通过消息609，其可以是SIP重定向消息，请求处理器221将作为令牌的一部分接收的已授予的特权扩展到用户211-1。此外，处理器221向用户211-1转发如何访问该打印机的信息。
通过消息610，用户211-1利用处理器221转发来的信息，传送包含了打印信息以及cookie的文件(例如，以附言格式、PDF格式等等)到传真服务器223。
然后，传真服务器223通过发送该文档文件给打印机(即资源224-1)以完成该事务处理。服务器223向请求处理器221发送一个指示传真的传送和打印机位置的状态；该状态通过消息612发送，该消息可以是SIP即时消息。然后请求处理器221可以通知个人接收者该状态。传真服务器223也向用户211-1发送确认消息613，以显示该传真已经传送到该打印机。
现在公开利用本说明性实施例中的该特权授予技术的第二个应用——使用会话启动协议的对方付费电话。如那些本领域技术人员知道的，所涉及的特征，如第三方帐单可以被类似地执行。本应用中的消息流非常类似于图6所描述的内容再附加一些考虑。例如，在对方付费电话应用中，用户211-1请求把所呼叫的电话的计费转给服务提供区220中的接收者，其代表对方付费电话的接收者的提供服务者。此外，服务器223充当接收者的服务提供者的对方付费电话服务器，并在说明书中称为“对方付费电话服务器223”。另一个不同之处在于与服务相关的该资源，资源224-1，包括在防火墙中的一个端口或规则，以及为记帐目的增加电话详细记录的能力。
如图6所示，该呼叫者(即，用户211-1)发送SIP邀请消息601到请求处理器221，其指示了要倒转计费的请求。如果在事件602中确定请求是可以被接受的，那么请求处理器221通过消息603联系对方付费电话服务器223。服务器223可能要求请求处理器221通过认证服务器222进行认证并通过消息604指示这一点。作为该认证处理的一部分，认证服务器222可以通过认证序列605请求来自请求处理器221的个人识别号和密码。
一旦该认证完成，并且通过消息606，服务器222已经向对方付费电话服务器223提供了该结果，那么服务器223便通过消息607激活资源224-1(即防火墙)中的端口或规则以允许与该呼叫相关的该数据通信通过。
作为消息608的一部分，服务器223发送所产生的、被请求处理器221接收的令牌。此时，请求处理器221被授权扩展用于处理该对方付费电话的该令牌指定的已授予的特权。
通过消息609，其可能是一个SIP重定向消息，请求处理器221将该授予的特权扩展到用户211-1，该授予的特权作为该令牌的一部分被接收。此外，处理器221向用户211-1转发如何路由该电话通信的信息。
通过消息610，用户211-1使用处理器221转发的信息，通过服务器223路由该电话通信给接受者。
现在公开利用本说明性实施例中的该特权授予技术的第三个应用——用于一种网桥会议(Conference Bridge)的基于接收者的自动重定向。本应用的消息流类似于图6所描述的内容再附加一些考虑。例如，在该电话会议应用中，用户211-1请求加入到服务提供区220中的网桥会议中，所述服务提供区220代表该网桥会议服务提供者。请求处理器221作为该电话会议的主机；作为主机，处理器221设置一个预先认可的参与者清单，设置一个允许访问每个呼叫者的规则，或者维护一个清楚的“允许/拒绝”清单。该“认证服务器222”的功能可以与网桥会议软件绑定。此外，服务器223充当该服务提供者的会议服务器并在说明书中称为“电话会议服务器223”。另一个不同之处在于与该服务相关的资源，资源224-1，是网桥会议自身(即，设备或者软件，或者两者兼具)。
如图6所示，该呼叫者(即，用户211-1)发送SIP邀请消息601到请求处理器221，以指示要添加到该网桥会议中的请求。如果在事件602中确定请求是可以被接受的，那么请求处理器221通过消息603联系电话会议服务器223。服务器223可能请求所述请求处理器221通过认证功能(即，服务器222)进行认证并通过消息604指示这一点。在每个参与者呼叫时或者在该电话会议前，认证功能通过序列605认证主机(即，处理器221)并允许该主机设置会议的规则或者参与者清单(如先前参照图5描述的消息流程图)。
一旦该认证完成，以及通过消息606，服务器222已经向电话会议服务器223提供了该结果，如果需要的话，服务器223便通过消息607使得作为网桥会议的资源224-1可用。
作为消息608的一部分，服务器223发送所产生的、被请求处理器221接收的令牌(如，一次性密码等等)。此时，请求处理器221被授权扩展该令牌指定的已授予的特权，以继续进行用户211-1的桥接。
通过消息609，其可能是SIP重定向消息，请求处理器221将作为该令牌的一部分被接收的该授予的特权扩展到用户211-1。此外，处理器221向用户211-1转发所接收的该一次性密码和如何路由呼叫通信量到该网桥的信息。
通过消息610，用户211-1使用该密码登录到网桥会议并利用转发的信息来通过该网桥路由呼叫通信。注意到，除了认证请求处理器221外，该网桥会议服务可能还使用一个注册程序以认证每个呼叫者。然而，在第三个应用中，该网桥号和密码通过使用本说明性实施例的该特权授予技术来发送给每个呼叫者，并不必提前散布。终端的代理执行该认证并登录到该网桥而不需要个人用户的直接参与。
第三个应用可以通过应用参照图5(不是刚才在上面描述的图6)描述的消息流程而选择性的使用。在该网桥会议应用的重定向的变化中，请求处理器221(即，电话会议的主机)提前为期望数目的参与者获得一个适当数目的令牌。然后，当每个参与者拨进该电话会议时，请求处理器221将已授予的特权扩展到该参与者，所述已授予的特权是请求处理器221作为令牌的一部分从服务器223接收的。此外，处理器221转发给参与者该接收到的一次性密码和如何路由该呼叫通信到该网桥的信息。
可以了解，以上描述的实施例只是对本发明的说明，并且以上描述的实施例的许多变化可以在不脱离本发明的范围内被本领域技术人员设计出。例如，在本说明书中，提供了众多特殊的细节以提供本发明说明性实施例的整体描述和理解。然而，本领域技术人员将认识到本发明在没有一个或多个细节的情况下或者使用其它的方法、部件、组件等的情况下也可以执行。
此外，在一些实例中，公知的结构、部件或者操作没有作详细的介绍和显示以避免该说明性实施例不清楚的方面。可以了解，图中所示的不同的实施例为说明性的，而不必按比例去绘制。整个说明书中提及的“实施例”或者“一个实施例”或者“一些实施例”表示包括在本发明至少一个实施例中的、与该实施例相关联地描述的一个特定特征、结构、部件、或者特性，而不必包含在所有的实施例中。因此，在整个说明书中不同的地方出现的短语“在一个实施例中”、“在实施例中”或者“在一些实施例中”不必总指同一个实施例。此外，该特殊的特征、结构、部件或者特性可以在一个或多个实施例中以任一实当的方式组合。因此，这些变化是包括在以下的权利要求和其等价物的范围中的。
权利要求
1.一种方法，包括在服务提供区中接收使用所述服务提供区中的服务的请求，该请求由服务请求区中的第一数据处理系统产生；发送获得令牌的请求到所述服务提供区中的第二数据处理系统，其中，所述第二数据处理系统不知道所述第一数据处理系统的身份；以及接收所述令牌，其中所述令牌指定一个授予的特权。
2.根据权利要求1所述的方法，其特征在于，所述授予的特权用于有次数限制的使用与所述服务相关的至少一个资源。
3.根据权利要求2所述的方法，其特征在于，所述有次数限制的使用是单次使用所述至少一个资源。
4.根据权利要求1所述的方法，进一步包括根据对使用所述服务的请求的接收，确定与所述服务相关的至少一个资源，其中对所述令牌的请求指定所述至少一个资源。
5.根据权利要求1所述的方法，进一步包括从所述第二数据处理系统接收一个与认证相关的消息，其中所述认证涉及所述服务提供区而不涉及服务请求区。
6.根据权利要求1所述的方法，其特征在于，在所述服务提供区内接收使用所述服务的所述请求时，在所述服务请求区和所述服务提供区之间不存在相互信任的关系。
7.根据权利要求6所述的方法，其特征在于，所述服务提供区拒绝将所述第二数据处理系统的身份提供给所述第一数据处理系统。
8.根据权利要求6所述的方法，其特征在于，所述服务提供区拒绝将与所述服务相关的至少一个资源的身份提供给所述第一数据处理系统。
9.根据权利要求1所述的方法，进一步包括将所述授予的特权扩展到所述第一数据处理系统。
10.根据权利要求9所述的方法，进一步包括通知所述第一数据处理系统如何访问与所述服务相关的至少一个资源。
11.根据权利要求9所述的方法，其特征在于，通过发送至少一个加密消息来实现将所述授予的特权扩展到所述第一数据处理系统。
12.根据权利要求9所述的方法，其特征在于，根据会话启动协议，接收使用所述服务的请求并扩展所述授予的特权。
13.根据权利要求1所述的方法，其特征在于，所述服务包括接收来自所述第一数据处理系统的传真传送。
14.一种方法，包括在服务提供区中接收使用所述服务提供区中的服务的请求，该请求由服务请求区中的第一数据处理系统产生；发送获得令牌的请求到所述服务提供区中的第二数据处理系统；以及接收所述令牌，其中所述令牌指定一个授予的特权，所述授予的特权用于有次数限制的使用与所述服务相关的至少一个资源；其中在所述服务提供区内接收使用所述服务的所述请求时，在所述服务请求区和所述服务提供区之间不存在相互信任的关系。
15.根据权利要求14所述的方法，其特征在于，所述有次数限制的使用是单次使用所述至少一个资源。
16.根据权利要求14所述的方法，进一步包括根据对使用所述服务的请求的接收，确定与所述服务相关联的至少一个资源，其中对所述令牌的请求指定至少一个资源。
17.根据权利要求14所述的方法，进一步包括从所述第二数据处理系统中接收一个与认证相关的消息，其中所述认证涉及所述服务提供区而不涉及服务请求区。
18.根据权利要求14所述的方法，其特征在于，所述服务提供区拒绝将与所述服务相关的至少一个资源的身份提供给所述第一数据处理系统。
19.根据权利要求14所述的方法，进一步包括将所述授予的特权扩展到所述第一数据处理系统。
20.根据权利要求19所述的方法，进一步包括通知所述第一数据处理系统如何访问与所述服务相关的至少一个资源。
21.根据权利要求19所述的方法，其特征在于，根据会话启动协议，接收使用所述服务的请求和扩展所述授予的特权。
22.一种方法，包括发送用于获得多个令牌的请求到一个在服务提供区中的第二数据处理系统，其中所述第二数据处理系统不知道服务请求区中的第一数据处理系统的身份，并且其中所述第一数据处理系统能够使用所述服务提供区中的第一服务；接收所述多个令牌，其中所述多个令牌中的第一令牌指定第一授予特权；以及将与所述第一服务相关的所述第一授予特权扩展到所述第一数据处理系统。
23.根据权利要求22所述的方法，其特征在于，所述第一授予特权用于有次数限制的使用与所述第一服务相关的至少一个资源。
24.根据权利要求23所述的方法，其特征在于，所述有次数限制的使用是单次使用所述至少一个资源。
25.根据权利要求22所述的方法，其特征在于，当发送获得所述多个令牌的所述请求时，在所述服务请求区和所述服务提供区之间不存在相互信任的关系。
26.根据权利要求22所述的方法，进一步包括确定与所述第一服务相关的至少一个资源，其中用于获得所述多个令牌的所述请求指定至少一个资源。
27.根据权利要求22所述的方法，进一步包括将与第二服务相关的第二授予特权扩展到在所述服务请求区中的第三数据处理系统；其中所述多个令牌中的第二令牌指定所述第二授予特权；以及其中所述第二数据处理系统不知道所述第三数据处理系统的身份。
28.根据权利要求27所述的方法，其特征在于，所述第一授权服务和第二授权服务是相同的。
29.根据权利要求22所述的方法，其特征在于，所述第一服务包括接收一个来自所述第一数据处理系统的传真传送。
30.根据权利要求22所述的方法，其特征在于，根据会话启动协议扩展所述第一授予特权。
全文摘要
本发明公开了一种方法和一种装置，其提供一种用于使得服务提供区为服务请求区中的一个请求用户授予特权的特权授予技术。根据本发明的说明性实施例，一个包括一个或多个与服务相关资源的服务提供区中的请求处理器接收使用服务的用户请求，并从特权授予服务器处请求一个令牌。一旦从特权授予服务器接收到指定一个授予的特权的令牌，该请求处理器将该特权扩展到请求的用户。可选的，请求处理器也可以提前从特权授予服务器请求多个令牌；在接收到这些令牌后，当请求处理器接收到使用一个或多个服务的请求时，该请求处理器将特权扩展到每个请求的用户。
文档编号H04L12/28GK1941700SQ200610141558
公开日2007年4月4日 申请日期2006年9月28日 优先权日2005年9月29日
发明者安朱尔·森达雷桑·克里希纳库马尔, P.·克里施南, 文卡泰什·克里西纳斯瓦米 申请人:阿瓦雅技术有限公司