-
Die
Erfindung bezieht sich auf eine zweiflutige, oder Zwei-Ebenen Zugangsverwaltung
für Netzwerkperipherievorrichtungen,
und insbesondere auf eine Verwaltung eines Zugangs zu einer Netzwerkperipherievorrichtung
auf der Grundlage von Benutzerprivilegieninformationen sowohl bei
einer zentralisierten Zugangsverwaltungseinrichtung als auch bei
der Netzwerkperipherievorrichtung.
-
Netzwerkperipherievorrichtungen
sind typischerweise Multifunktionsvorrichtungen, die Funktionen verwalten,
wie Drucken, Abtasten, Kopieren oder Faxen, und sind oft wesentliche
Bestandteile bei einer Durchführung
von Aufgaben auf Unternehmensebene. Eine Steuerung einer Verwendung
einer Netzwerkperipherievorrichtung bedeutet, dass einem Durchgangsbenutzer
der Vorrichtung, d. h. ein solcher, der Zugang zu der Vorrichtung
lokal bei der Vorrichtung erlangt, oder einem entfernten Benutzer
der Vorrichtung, d. h. ein Nicht-Durchgangsbenutzer, Zugang lediglich
zu jenen Diensten und/oder Merkmalen ermöglicht wird, die autorisiert
sind und der Vorrichtung zur Verfügung stehen. Ein Benutzer kann
beispielsweise Zugang zu einem Kopier-, nicht aber zu einem Druckdienst
einer Netzwerkperipherievorrichtung haben, die Fax-, Druck-, Kopier- und
Abtastdienste anbietet. Ebenso kann einem Benutzer lediglich Zugang
zu einem Schwarz- und Weiß- nicht aber zu einem
Farbdruckmerkmal des Druckdienstes ermöglicht sein, der durch die
Vorrichtung angeboten ist.
-
Eine
Steuerung einer Verwendung von Diensten und/oder Merkmalen, die
durch eine Netzwerkperipherievorrichtung angeboten sind, ist oft
aus ökonomischen
sowie anderen Gründen
erforderlich. Farbtintenkartuschen, die Tinte zum Farbdrucken enthalten,
kosten beispielsweise typischerweise deutlich mehr als Schwarztintenkartuschen,
die zum Schwarz-/Weißdrucken
verwendet sind. Es kann deshalb wünschenswert sein, den Zugang
zu Farbdruckmerkmalen eines Druckers zu beschränken, um Kosten zu sparen.
-
Ein
herkömmlicher
Ansatz zum Steuern des Zugangs zu einer Netzwerkperipherievorrichtung
durch einen Nicht-Unternehmensbenutzer
liegt im separaten Programmieren einer jeden Vorrichtung hinsichtlich
der Zugangsprivilegien des Benutzers. Dieser Ansatz erfordert ein
Vorhandensein eines Eingabemechanismus, wie eine Tastatur oder einen
Magnetkartenleser bei der Vorrichtung, durch welchen sich der Benutzer
in die Vorrichtung einloggt. Nach dem Login des Benutzers prüft die Vorrichtung
die Zugangsprivilegien des Benutzers, die durch die Vorrichtung
verwaltet sind, und ermöglicht
dem Benutzer Zugang zu der Vorrichtung auf der Grundlage der programmierten
Informationen hinsichtlich der Zugangsprivilegien des Benutzers.
Eine Übernahme
dieses Ansatzes ist mühsam,
da dieser ein separates Programmieren einer jeden Netzwerkvorrichtung und
ein Reprogrammieren einer jeden Vorrichtung als Antwort auf Änderungen
in einer Zugangsrichtlinie erfordert.
-
Ein
weiterer herkömmlicher
Ansatz zum Steuern des Zugangs zu einer Netzwerkperipherievorrichtung durch
einen Nicht-Unternehmensbenutzer
liegt im Programmieren von Benutzerzugangsprivilegien auf einer Schlüsselkarte,
die der Benutzer mit sich führt.
Bei Eingabe der Schlüsselkarte
in einen bei der Vorrichtung installierten Kartenleser wird die
Benutzerzugangsrichtlinie von der Karte zu der Vorrichtung übermittelt.
Dem Benutzer wird dann ermöglicht,
die Vorrichtung gemäß den in
der Benutzerzugangsrichtlinie enthaltenen Beschränkungen zu verwenden. Dieser
Ansatz leidet ebenso an dem Nachteil, an dem die vorstehend beschriebene
Alternative leidet, und besteht darin, dass eine jede einzelne Karte
programmiert werden muss, um die Benutzerzugangsrichtlinie zu codieren,
jedes Mal reprogrammiert werden muss, wenn die Richtlinie hinsichtlich
jenes Benutzers überarbeitet
wird.
-
Die
Druckschrift EP-A-1 320 008 offenbart ein Verfahren zum Steuern
des Zugangs zu einer Netzwerkperipherievorrichtung durch einen Durchgangsbenutzer
und einen entfernten Benutzer auf der Grundlage von zentralisierten
Zugangsverwaltungsinformationen. Authentifizierungsinformationen
für den
Durchgangsbenutzer werden von der Netzwerkperipherievorrichtung
bei einem zentralisierten Ort empfangen. Die Zugangsebene der Netzwerkperipherievorrichtung
wird bei dem zentralen Ort bestimmt.
-
Es
wäre deshalb
vorteilhaft, in der Lage zu sein, den Zugang zu Diensten und/oder
Merkmalen einer Netzwerkperipherievorrichtung durch einen Nicht-Unternehmensbenutzer
unter Verwendung eines zentralisierten Mechanismus zu steuern und
anzupassen, der sowohl eine Unternehmensbenutzerauthentifizierung als
auch eine Nicht-Unternehmensbenutzerauthentifizierung und Zugangsprivilegieninformationen
zum Verwalten einer Vorrichtungs-/Ressourcenverwendung auf der Unternehmensebene
bereitstellt.
-
Die
Erfindung wendet sich dem vorstehend Beschriebenen durch Bereitstellen
einer zentralisierten Zugangsebenenverwaltung zu Netzwerkperipherievorrichtungen
sowohl für
Durchgangs- als auch für
entfernte Benutzer zu, um eine nicht-autorisierte Verwendung durch
einen Nicht-Unternehmensbenutzer von Diensten und/oder Merkmalen
zu verhindern, die auf der Vorrichtung zur Verfügung stehen, auf der Grundlage
einer Authentifizierung des Benutzers bei der Vorrichtung.
-
Gemäß einer
ersten Ausgestaltung der Erfindung ist ein Verfahren zum Steuern
des Zugangs zu einer netzwerkbetriebenen Peripherievorrichtung durch
einen Benutzer bereitgestellt, wobei die netzwerkbetriebene Peripherievorrichtung
durch den Benutzer auf der Grundlage von zentralisierten Zugangsverwaltungsinformationen
zugänglich
ist, die durch einen Server zugänglich
sind, wobei das Verfahren umfasst:
Authentifizieren eines Benutzers
eines Computers auf der Grundlage von dem Benutzer entsprechenden
Authentifizierungsinformationen,
dadurch gekennzeichnet, dass
das Verfahren ferner umfasst:
Bestimmen bei dem Server, ob
der Benutzer zum Verwenden von zumindest einem Abschnitt von Merkmalen und/oder
Diensten der netzwerkbetriebenen Peripherievorrichtung autorisiert
ist,
Übertragen
von Zugangsverwaltungsinformationen für den Benutzer von dem Server
zu dem Computer in dem Fall, dass eine Authentifizierung des Benutzers
erfolgreich ist und der Benutzer zum Verwenden von zumindest einem
Abschnitt des Merkmals und/oder Dienstes der netzwerkbetriebenen
Peripherievorrichtung autorisiert ist,
Übertragen der Zugangsverwaltungsinformationen
für den
Benutzer und eines durch den Benutzer angeforderten Auftrages von
dem Computer zu der netzwerkbetriebenen Peripherievorrichtung,
Bestimmen
bei der netzwerkbetriebenen Peripherievorrichtung, ob eine Zugangsebene
zu der netzwerkbetriebenen Peripherievorrichtung, die dem Benutzer
auf der Grundlage der übertragenen
Zugangsverwaltungsinformatio-nen zugänglich ist, Zugang zu einem
Merkmal und/oder einem Dienst bereitstellt, das und/oder der zum
Durchführen
des durch den Benutzer angeforderten Auftrages erforderlich sind/ist,
und
Durchführen
bei der netzwerkbetriebenen Peripherievorrichtung des durch den
Benutzer angeforderten Auftrages in einem Fall, dass die Zugangsebene
zu der netzwerkbetriebenen Peripherievorrichtung Zugang zu dem Merkmal
und/oder dem Dienst bereitstellt, das und/oder der zum Durchführen des
durch den Benutzer angeforderten Auftrages erforderlich sind/ist.
-
Gemäß einer
zweiten Ausgestaltung der Erfindung ist ein Server zur Verwendung
bei einer Steuerung des Zugangs zu einer netzwerkbetriebenen Peripherievorrichtung
durch einen Benutzer bereitgestellt, wobei die netzwerkbetriebene
Peripherievorrichtung für
den Benutzer auf der Grundlage von zentralisierten Zugangsverwaltungsinformationen
zugänglich
ist, die für
einen Server zugänglich
sind, wobei der Server dadurch gekennzeichnet ist, dass er umfasst:
eine
Empfangseinrichtung zum Empfangen von einem Benutzer entsprechenden
Authentifizierungsinformationen von einem Computer zum Übertragen
eines Auftrages zu der netzwerkbetriebenen Peripherievorrichtung,
eine
Authentifizierungseinrichtung zum Authentifizieren des Benutzers,
der die Authentifizierungsinformationen verwendet,
eine Bestimmungseinrichtung
zum Bestimmen, ob der Benutzer zum Verwenden von zumindest einem
Abschnitt eines Merkmals und/oder Dienstes der netzwerkbetriebenen
Peripherievorrichtung autorisiert ist, und
eine Übertragungseinrichtung
zum Übertragen
von Zugangsverwaltungsinformationen für den Benutzer zu dem Computer
in einem Fall, dass eine Authentifizierung des Benutzers erfolgreich
ist und der Benutzer zum Verwenden von zumindest einem Abschnitt
des Merkmals und/oder des Dienstes der netzwerkbetriebenen Peripherievorrichtung
authentifiziert ist,
wobei die übertragenen Zugangsverwaltungsinformationen
verwendet werden, um zu bestimmen, ob ein Merkmal und/oder ein Dienst
der netzwerkbetriebenen Peripherievorrichtung, das und/oder der
zum Durchführen
des Auftrages erforderlich ist, für den Benutzer verfügbar sind/ist.
-
Gemäß einer
dritten Ausgestaltung der Erfindung ist ein Computerprogramm mit
prozessorimplementierbaren Anweisungen zum Durchführen aller
Schritte eines Verfahrens gemäß der ersten
Ausgestaltung bereitgestellt.
-
Gemäß einer
vierten Ausgestaltung der Erfindung ist ein computerlesbares Medium
bereitgestellt, das ein Computerprogramm gemäß der dritten Ausgestaltung
speichert.
-
Die
Zugangsrichtlinieninformationen können einen Zugang zu einem
Dienst, der durch die Netzwerkperipherievorrichtung selbst angeboten
ist, oder bestimmte Merkmalen von Diensten betreffen, die auf der
Vorrichtung zur Verfügung
stehen. Bei Authentifizieren des Benutzers durch den Authentifizierungs-Server
und bei einer erfolgreichen Erstebenen-Benutzerzugangsprüfung werden
die Informationen (z. B. Privilegieninformationen oder andere Zugangsrichtlinieninformationen)
bezüglich
der Zugangsebene des Benutzers zu der Vorrichtung zurückgegeben.
Die Vorrichtung bestimmt den Benutzerzugang zu Diensten/Merkmalen
der Vorrichtung auf der Grundlage der Zugangsrichtlinien- informationen, die
durch den Authentifizierungs-Server zugeführt sind. Die Vorrichtung kann
eine angepasste Benutzerschnittstelle, wie ein angepasstes Dienstmenü, für den Benutzer
erstellen, das Zugangsrichtlinieninformationen für den Benutzer enthält. Das
angepasste Dienstmenü wird
dann auf der Vorrichtung angezeigt und ermöglicht dem Benutzer Zugang
zu den bestimmten Merkmalen.
-
Ein
Bereitstellen eines zentralisierten Ortes für Zugangsverwaltungsinformationen
zur Verwendung durch eine Netzwerkperipherievorrichtung, um eine
nicht autorisierte Verwendung von Vorrichtungsdiensten/-merkmalen
auf der Grundlage einer Authentifizierung des Benutzers zu verhindern,
wendet sich den gegenwärtigen
Problemen zu, die mit einem Steuern des Zugangs zu einer Netzwerkperipherievorrichtung
durch einen Durchgangsbenutzer assoziiert sind, und beseitigt das
Erfordernis nach einer einzelnen Programmierung einer jeden Vorrichtung
oder Schlüsselkarte
als Antwort auf Änderungen
in einer Zugangsrichtlinie.
-
Außerdem hilft
ein Bereitstellen von zwei Ebenen der Zugangsverwaltung (d. h. zweiflutige
Zugangsverwaltung) bei einem Schonen von Computerressourcen und
ermöglicht
der Netzwerkperipherie, einem Benutzer den Zugang zu verweigern.
Ein Netzwerkebenenautorisierungsabschnitt der zweiflutigen Autorisierung hilft
bei einem Vermeiden von nicht erforderlichen Aufwendungen von Netzwerkverarbeitungsressourcen
(z. B. einem Netzwerk-Client oder -Servercomputer) bei der Ausbildung
von Daten als Antwort auf eine Benutzeranforderung, wenn der/das
benutzerangeforderte Dienst/Merkmal nicht autorisiert ist, und dann
dem Benutzer eine frühzeitige
Rückkopplung
hinsichtlich der Frage bereitstellen, ob der Benutzer Zugang zu
der Peripherievorrichtung erlangen kann, oder nicht. Der Vorrichtungsebenenautorisierungsabschnitt
der zweiflutigen Autorisierung hilft bei einem Sicherstellen, dass
von dem Netzwerk durch die Peripherie empfangene, ausgebildete Daten
keine Anweisungen zur Durchführung
eines nicht autorisierten Dienstes/Merkmals enthalten. Die Zweitebenenprüfung kann
beispielsweise einen Fälschungsversuch
(„SPOOF
ATTEMPT") (z. B.
durch Verändern der
ausgebildeten Daten) verhindern, um nicht autorisierte Zugangsrechte
zu Diensten/Merkmalen der Peripherie zu erhalten.
-
Diese
kurze Zusammenfassung wurde bereitgestellt, so dass die Natur der
Erfindung schnell verstanden werden kann. Ein vollständiges Verständnis der
Erfindung kann durch Bezugnahme auf die nachstehende ausführliche
Beschreibung von deren bevorzugtem/n Ausführungsbeispiel/en in Verbindung
mit den beiliegenden Zeichnungen erhalten werden. Es zeigen:
-
1 eine
Ansicht des äußeren Erscheinungsbildes
einer repräsentativen
Hardware, die ein Ausführungsbeispiel
der Erfindung bildet,
-
2 eine
ausführliche
Blockdarstellung der internen Architektur des gemäß 1 gezeigten
Computers gemäß einem
Ausführungsbeispiel
der Erfindung,
-
3 eine
Blockdarstellung eines Komponentenüberblicks zur Verwendung bei
einem Verwalten und/oder Steuern von Zugang zu Netzwerkperipherievorrichtungen
gemäß einem
Ausführungsbeispiel
der Erfindung,
-
4, die 4A und 4B umfasst,
ein Ablaufdiagramm von Prozessschritten zum Verwalten und/oder Steuern
vom Zugang zu einer Netzwerkperipherievorrichtung durch einen Durchgangsbenutzer
gemäß einem
Ausführungsbeispiel
der Erfindung,
-
5 eine
Bildschirmaufnahme des Anzeigeschirms, der eine UI-Benutzerschnittstelle
auf einer Stufe vor einem Login eines Durchgangsbenutzers in die
Vorrichtung zeigt,
-
6 eine
Bildschirmaufnahme des Anzeigeschirms, der eine UI zeigt, durch
die sich ein Durchgangsbenutzer in die Vorrichtung einloggt,
-
7 eine
Bildschirmaufnahme des Anzeigeschirms, der ein angepasstes Dienstmenü zeigt,
das für einen
Durchgangsbenutzer zur Verfügung
stehenden Diensten/Merkmalen entspricht,
-
8 eine
Bildschirmaufnahme des Anzeigeschirms, der ein weiteres angepasstes
Dienstmenü zeigt, das
für einen
Durchgangsbenutzer zur Verfügung
stehenden Diensten/Merkmalen entspricht,
-
9 eine
Bildschirmaufnahme des Anzeigeschirms, der eine UI zeigt, durch
welche sich ein Durchgangsbenutzer aus der Vorrichtung ausloggt,
-
10 ein
Ablaufdiagramm von Prozessschritten einer Netzwerkperipherievorrichtung
zum Anpassen einer Benutzerschnittstelle auf der Grundlage von Zugangssteuerinformationen
zum Verwalten und/oder Steuern des Zugangs zu der Vorrichtung durch
einen Durchgangsbenutzer gemäß einem
Ausführungsbeispiel
der Erfindung,
-
11, die 11A und 11B umfasst, ein Ablaufdiagramm von Prozessschritten
zum Verwalten und/oder Steuern vom Zugang zu einer Netzwerkperipherievorrichtung
durch einen entfernten Benutzer gemäß einem Ausführungsbeispiel
der Erfindung,
-
12 ein
Ablaufdiagramm von Prozessschritten einer Netzwerkperipherievorrichtung
zum Verwalten und/oder Steuern des Zugangs zu der Vorrichtung durch
einen entfernten Benutzer gemäß einem
Ausführungsbeispiel
der Erfindung, und
-
13, die 13A und 13B umfasst, ein Ablaufdiagramm von Prozessschritten
eines Servers zum Verwalten und/oder Steuern von Zugang zu der Vorrichtung
durch einen entfernten Benutzer oder einen Durchgangsbenutzer gemäß einem
Ausführungsbeispiel
der Erfindung.
-
1 zeigt
eine Ansicht des äußeren Erscheinungsbildes
einer repräsentativen
Hardware, die ein Ausführungsbeispiel
der Erfindung bildet. Eine Computereinrichtung 1 enthält einen
Host-Prozessor 9, umfasst einen Personal-Computer (nachstehend „PC"), der vorzugsweise
ein Fensterbetriebssystem wie Microsoft Windows 2000®-,
Windows ME®-,
usw. Betriebssystem aufweist. Mit der Computereinrichtung 1 sind
ein Farbmonitor 2 einschließlich eines Anzeigeschirms 10,
eine Tastatur 4 zum Eingeben von Textdaten und Benutzerbefehlen
und eine Zeigeeinrichtung 16 bereitgestellt. Die Zeigeeinrichtung 16 umfasst
vorzugsweise eine Maus zum Zeigen, Auswählen und Manipulieren von Objekten,
die auf dem Anzeigeschirm 10 angezeigt sind.
-
Die
Computereinrichtung 1 enthält ein computerlesbares Speichermedium,
wie eine Festplatte 17 und/oder ein Diskettenlaufwerk 20 und/oder
ein CD-ROM-Laufwerk 19. Derartige computerlesbare Speichermedien
ermöglichen
der Computereinrichtung 1 einen Zugang zu Informationen,
wie benutzerbezogenen Daten, computerausführbaren Prozessschritten, Anwendungsprogrammen
und dergleichen, die auf entfernbaren und nicht-entfernbaren Speichermedien
gespeichert sind. Außerdem
ist die Computereinrichtung 1 durch ein Unternehmensnetzwerk 7 mit
einem Server 8 verbunden und kann Informationen und Anwendungsprogramme von
dem Server 8 durch das Netzwerk 7 erlangen. Das
Unternehmensnetzwerk ist vorzugsweise ein Intranet, kann jedoch
ebenso beispielsweise ein lokales Bereichsnetzwerk (LAN, „Local
Area Network"),
ein Weitbereichsnetzwerk (WAN, „Wide Area Network") oder das Internet
sein. Die Computereinrichtung 1 ist durch das Netzwerk 7 mit
der Netzwerkperipherievorrichtung 6 verbunden. Die Vorrichtung 6 enthält einen
oder mehrere Knöpfe 11,
die programmierbar sein können.
Wie vorstehend ausführlich
beschrieben, können
die Knöpfe 11 durch
die Vorrichtung 6 abhängig
von der empfangenen Zugangsrichtlinie freigegeben oder gesperrt
werden.
-
Wie
die Computereinrichtung, ist der Server 8 ein Computer,
der vorzugsweise ein Fensterbetriebssystem aufweist. Der Server 8 weist
eine Speichereinrichtung 41 auf, die vorzugsweise eine
große
Festplatte zum Speichern von Dateien ist. Während die Vorrichtung 41 gezeigt
ist, extern von dem Server 8 angelegt zu sein, muss sie
dies nicht sein. Andere Vorrichtungen an dem Netzwerk 7 können deshalb
den Server 8 als einen Dateien-Server und zum Speichern
von Anwendungen verwenden, wie eine Zugangssteuereinrichtung, die
zum Steuern des Benutzerzugangs zu auf der Vorrichtung 6 zur
Verfügung
stehenden Diensten/Merkmalen konfiguriert ist, und eine Authentifizierungseinrichtung,
die zum Authentifizieren eines Benutzers und zum Speichern von Benutzer-
und Vorrichtungskonfigurationsinformationen auf einen Verzeichnisdienst
konfiguriert ist, die unter Bezugnahme auf 3 aus führlicher
beschrieben sind, und wobei der Verzeichnisdienst derartige Informationen
als Benutzerkonteninformationen und Zugangsrichtlinieninformationen
enthält.
Der Verzeichnisdienst ist vorzugsweise ein Microsoft Active Directory,
das eine Komponente von Windows 2000® ist,
die Verzeichnisdienste für
eine Fensterumgebung bereitstellt. Zusätzlich zu dem Bereitstellen
zum zentralen Verwalten und zum gemeinsamen Verwenden von Informationen
bezüglich
Netzwerkressourcen und Benutzern agiert Microsoft Active Directory® als
die zentrale Autorität
für Netzwerksicherheit,
die nachstehend unter Bezugnahme auf 4 ausführlich beschrieben
ist. Es sollte offensichtlich sein, dass, während die Speicherung von Authentifizierungs-
und Zugangssteuerinformationen unter Bezugnahme auf einen Verzeichnisdienst
beschrieben ist, jedwede Einrichtung zum Speichern dieser Informationen
mit der Erfindung verwendet werden kann, einschließlich einer,
aber nicht eingeschränkt
auf eine Domänensteuereinrichtung.
-
Die
Schnittstelle zwischen dem Verzeichnisdienst, die Authentifizierungs-
und Zugangsrichtlinieninformationen enthält, und anderen Komponenten
ist durch die Authentifizierungseinrichtung und/oder die Authentifizierungseinrichtung,
Komponenten des Servers 8 bereitgestellt, die für eine Authentifizierung
von Benutzern und für
ein Bereitstellen von auf dem Verzeichnisdienst gespeicherten Zugangsverwaltungsinformationen
zuständig
sind. Die Authentifizierungseinrichtung und/oder die Zugangssteuereinrichtung
sind vorzugsweise auf dem Server 8 mit dem Verzeichnisdienst
befindlich, können
aber ebenso auf einem entfernten System oder Server implementiert
sein.
-
2 zeigt
eine ausführliche
Blockdarstellung der internen Architektur der Computereinrichtung 1. Wie
gemäß 2 gezeigt,
enthält
die Computereinrichtung 1 eine zentrale Verarbeitungseinheit
(„CPU", Central Processing
Unit) 20, die eine Schnittstelle mit einem Computerbus 25 aufweist.
Ebenso weisen eine Festplatte 3, eine Netzwerkschnittstelle 21 zum
Zugang zum Netzwerk 7, ein Speicher mit wahlfreiem Zugriff („RAM", Random Access Memory) 30 zur
Verwendung als ein Hauptspeicher, ein Festwertspeicher („ROM", Read Only Memory) 29,
eine Diskettenschnittstelle 28, eine CD-ROM-Schnittstelle 24,
eine Anzeigeschnittstelle 26 zu dem Monitor 10,
eine Tastaturschnittstelle 22 zu der Tastatur 4,
eine Mausschnittstelle 27 zu der Zeigereinrichtung 16 und
eine Peripherievorrichtungsschnittstelle 23 zu einer eigenständigen Nicht-Netzwerkvorrichtung 6 eine
Schnittstelle mit dem Computerbus 25 auf.
-
Hauptspeicher 30 weist
eine Schnittstelle mit dem Computerbus 25 auf, um der CPU 20 während einer Ausführung von
Softwareprogrammen, wie dem Betriebssystem, Anwendungsprogrammen
und Vorrichtungstreibern einen RAM-Speicher bereitzustellen. Genauer
gesagt lädt
die CPU 20 computerausführbare
Prozessschritte von der Platte 3 oder anderen Speichermedien
in einen Bereich des Hauptspeichers 30, und führt danach
die gespeicherten Prozessschritte aus dem Hauptspeicher 30 aus,
um Softwareprogramme auszuführen. Daten
können
in Hauptspeicher 30 gespeichert werden, in dem zu den Daten
durch die CPU 20 während
der Ausführung
Zugang erlangt wird. Wie ebenso gemäß 2 gezeigt,
enthält
die Festplatte 3 ein Fensterbetriebssystem 51,
Anwendungsprogramme 52, wie Anwendungstextverarbeitungs-,
Tabellenkalkulations-, Datenbank-, Bildgebungs-, Grafik- usw. -anwendungen,
und Vorrichtungstreiber 53, wie einen Netzwerkperipherievorrichtungstreiber 54.
-
3 zeigt
eine Blockdarstellung eines Überblicks
von Komponenten zur Verwendung bei einem Verwalten und/oder einem
Steuern von Zugang zu Netzwerkperipherievorrichtungen gemäß einem
Ausführungsbeispiel
der Erfindung. In aller Kürze
enthält
ein Server 8 einen (nicht gezeigten) Host-Prozessor, der
ein Fensterbetriebssystem aufweist. Der Server 8 verwendet
eine Speichereinrichtung 41, die vorzugsweise eine große Festplatte
zum Speichern von zahlreichen Dateien ist, um einen Verzeichnisdienst 47 zu
speichern. Der Verzeichnisdienst 47 enthält Benutzerzugangsrichtlinieninformationen
und andere Informationen, wie Benutzerautorisierungsinformationen.
Die Zugangsrichtlinieninformationen beziehen sich auf Zugangssteuerinformationen
(z. B. Regeln), die auf einer Unternehmensebene hinsichtlich des
Benutzerzugangs zu auf der Netzwerkperipherievorrichtung 6 zur
Verfügung
stehenden Diensten/Merkmalen definiert worden sind. Ein Benutzer kann
beispielsweise Zugang zu einem Kopier-, nicht aber zu einem Druckdienst
einer Multifunktionsnetzwerkperipherievorrichtung 6 erlangen,
die Faksimile-, Druck-, Kopier- und Abtastdienste anbietet. In gleicher
Weise kann einem Benutzer lediglich Zugang zu einem Schwarz/Weiß-Druckmerkmal,
nicht aber zu einem Farbdruckmerkmal eines auf der Vorrichtung 6 zur
Verfügung
stehenden Druckdienstes gestattet sein.
-
Die
Vorrichtung 6 enthält
eine Zugangssteuereinrichtung 66, die dem Benutzer einen
Zugang zu der Vorrichtung im Einklang mit der bestimmten Zugangsebene
gestattet. Die Zugangssteuereinrichtung ist vorzugsweise ein eingebettetes
Computersystem mit einer internen Architektur, die jener gemäß 2 gezeigten ähnlich ist,
einschließlich
einiger oder aller gezeigten Schnittstellen. Die Zugangssteuereinrichtung 66 steuert den
Benutzerzugang zu auf der Vorrichtung zur Verfügung stehenden Diensten/ Merkmalen
auf der Grundlage der ihr durch den Server 8 bereitgestellten
Zugangsrichtlinieninformationen. Die Zugangssteuereinrichtung 66 kann
der mit einem Benutzer assoziierten Zugangsrichtlinie durch eine
Erstellung einer Benutzerschnittstelle Geltung verschaffen, die
gemäß der Benutzerzugangsebene
maßgeschneidert
ist. Alternativ kann die Zugangssteuereinrichtung 66 Knöpfe (z.
B. Knopf 11) sperren/freigeben, die auf der oder durch
die Vorrichtung 6 angezeigt sind. Natürlich kann ebenso eine Kombination
einer Benutzerschnittstelle und Knopfsperrung/-freigabe verwendet
werden. Die Vorrichtung 6 umfasst ferner die Komponenten,
die zum Durchführen
der Dienste/Merkmale der Vorrichtung 6 erforderlich sind.
Im Falle einer Multifunktionsvorrichtung, wobei beispielsweise die
Vorrichtung 6 ferner Abtast-, Druck-, Faksimile- und Kopierkomponenten
umfasst.
-
Gemäß
3 ist
der Server
8 durch ein Unternehmensnetzwerk
7 mit
der Computereinrichtung
1 und der Netzwerkperiphervorrichtung
6 verbunden.
Die Netzwerkperipherievorrichtung
6 ist vorzugsweise eine Multifunktionsvorrichtung,
die Faksimile-, Kopier-, Druck-, und Abtastdienste anbietet, kann
aber jedwede Art von Netzwerkperipherievorrichtung sein. Jeder von
durch Netzwerkperipherievorrichtungen angebotenen Dienste kann assoziierte
Merkmale enthalten. Beispielsweise kann ein Drucken in Farbe und
Schwarz/Weiß zur
Verfügung
stehen; kann ein Abtasten in Farbe, Schwarz/Weiß zur Verfügung stehen und auf verschiedenen Auflösungsebenen
zur Verfügung
stehen. Nachstehendes ist ein Beispiel einer Struktur einer Unternehmenszugangsrichtlinie
zur Verwendung mit einer mulifunktionalen Netzwerkperipherievorrichtung,
die Zugangs-/Privilegieninformationen sowohl auf der Dienst- als
auch auf der Merkmalsebene enthält:
-
In
dem vorstehend beschriebenen Beispiel enthält der Druckdienst Schwarz-/Weiß- (d. h.
S/W), Farb- und Tageskontingentmerkmale. Die Informationen unter
der Richtlinienspalte identifizieren, ob das Merkmal zur Verfügung steht,
oder nicht, und/oder eine Zahl von 0 bis 2000, die ein Tageskontingent
(z. B. eine Seitenanzahl) der Anzahl von Seiten darstellt, die dem
Benutzer gestattet sind. Beispielsweise kann ein Benutzer eingeschränkt werden,
200 Seiten an einem einzelnen Tag zu drucken.
-
Zusätzlich zu
den Merkmalen, die jenen des Druckdienstes ähnlich sind, steht der Abtastdienst
bei hoher (H), mittlerer (H/L) und niedriger (L) Auflösung zur
Verfügung,
wie unter der Richtlinienspalte angegeben (d. h. H, H/L, L). Das
Tageskontingentmerkmal für
den Abtastdienst liegt zwischen 0 und 100 Seiten. Der Faksimiledienst
enthält
Lokal-, Fernfax- und Tageskontingentmerkmale. Die Informationen
unter der Richtlinienspalte identifizieren, ob das Merkmal zur Verfügung steht,
oder nicht, und/oder eine Anzahl von 0 bis 200, die die Anzahl von
Seiten darstellt, die der Benutzer faxen kann. Zusätzlich zu
den Merkmalen, die jenen des Druckdienstes ähnlich sind, steht der Kopierdienst
bei verschiedenen H-, H/L- und L-Auflösungen zur Verfügung, die
unter der Richtlinienspalte angegeben sind. Die Informationen unter
der Richtlinienspalte identifizieren, ob das Merkmal zur Verfügung steht,
oder nicht, und/oder eine Anzahl von 0 bis 200, die die Anzahl von Seiten
darstellt, die der Benutzer kopieren kann.
-
Nachdem
die Authentifizierungseinrichtung 48 den Benutzer auf der
Grundlage von in dem Verzeichnisdienst 47 gespeicherten
Informationen authentifiziert hat, bestimmt die Zugangssteuereinrichtung 49 auf der
Grundlage der in dem Verzeichnisdienst 47 gespeicherten
Zugangsrichtlinieninformationen, ob der Benutzer zu einem Zugang
zu den auf der Vorrichtung 6 zur Verfügung stehenden Diensten/Merkmalen
autorisiert ist. Während
die Authentifizierungseinrichtung 48 und die Zugangssteuereinrichtung 49 gemäß 3 als
separate Komponenten gezeigt sind, sollte es offensichtlich sein,
dass sie die gleiche Komponente oder beide ein Teil einer anderen
Komponente sein können.
In einem Fall, in welchem eine Authentifizierung durch die Authentifizierungseinrichtung 48 und
eine Zugangssteuerbestimmung durch die Zugangssteuereinrichtung 49 auf
dem Server 8 erfolgreich sind, werden die Zugangsrichtlinieninformationen
zu der Vorrichtung 6 übertragen.
Schlägt
entweder die Authentifizierung durch die Authentifizierungseinrichtung 48 fehl
oder bestimmt die Zugangssteuer einrichtung 49 auf der Grundlage
der mit einem Benutzer assoziierten Zugangsrichtlinie, dass ein
Erfordernis zum Zurückweisen
des Zugangs besteht, wird eine Nachricht, die anzeigt, dass die
Authentifizierung fehlschlug oder der Zugang für den einzelnen Benutzer und/oder
die angeforderten Dienste/Merkmale zurückgewiesen wird, zu der Vorrichtung 6 gesendet.
-
Sind
die Zugangsrichtlinieninformationen erst einmal durch die Vorrichtung 6 empfangen,
dann bestimmt die Zugangssteuereinrichtung 66 die Benutzerzugangsebene
zu auf der Vorrichtung 6 zur Verfügung stehenden Diensten/Merkmalen
auf der Grundlage der empfangenen Zugangsrichtlinieninformationen.
Die Zugangssteuereinrichtung 66 verschafft vorzugsweise
der Unternehmenszugangsrichtlinie für den Benutzer durch Erstellen
einer maßgeschneiderten
Benutzererfahrung (z. B. maßgeschneiderte
UI, maßgeschneidertes Dienstmenü) für den Benutzer
Geltung. Das maßgeschneiderte
Dienstmenü wird
dann auf der Vorrichtung 6 angezeigt. Eine Eingabe-/Ausgabe
(E/A)-Einheit 76 auf der Netzwerkperipherievorrichtung 6 stellt
das maßgeschneiderte
Dienstmenü bereit.
Die E/A-Einheit 76 kann eine externe Einheit sein, die
an die Vorrichtung 6 angebracht ist, kann aber ebenso in
die Vorrichtung 6 eingebaut sein, und kann eine Anzeigeeinheit
sowie einen Eingabemechanismus (z. B. Tastatur und/oder Medienleseeinrichtung)
bereitstellen.
-
Das
maßgeschneiderte
Dienstmenü ermöglicht dem
Benutzer ein Verwenden der auf der Netzwerkperipherievorrichtung 6 zur
Verfügung
stehenden bestimmten Dienste und/oder Merkmale gemäß den Unternehmenszugangsrichtlinieninformationen
für den
Benutzer. Das maßgeschneiderte
Dienstmenü wird
vorzugsweise auf einem Berührschirm
angezeigt, der einem Benutzer ein Aktivieren der Tasten durch Berühren der virtuellen
Tasten ermöglicht,
die auf dem Schirm angezeigt sind, auf dem das Menü angezeigt
ist. In einem derartigen Fall kann der Benutzer Zugang zu der Vorrichtung 6 durch
Aktivieren der virtuellen Tasten erlangen, die auf der E/A-Einheit 76 angezeigt
sind, und die den zur Verfügung
stehenden Diensten/Merkmalen auf der Vorrichtung 6 entsprechen.
Die Tasten können
jedoch ebenso durch andere Einrichtungen, wie eine Verwendung einer
Zeigeeinrichtung 16 aktiviert werden, wobei die E/A-Einheit 76 die
Computereinrichtung 1 umfasst.
-
Im
Allgemeinen kann die E/A-Einheit, die bei der Vorrichtung 6 verwendet
ist, nicht-integriert sein, wobei die Eingabe- und Ausgabefunktionen
durch separate Einheiten durchgeführt werden. Beispielsweise
kann die E/A-Einheit 76 ein separates Tastenfeld umfassen.
Die E/A-Einheit kann ebenso integriert sein, wobei die gleiche Einheit
sowohl die Eingabe- als auch die Ausgabefunktion durchführt. Die
E/A-Einheit kann beispielsweise ein Berührschirm sein, der eine Ausgabe
anzeigt, die virtuelle Tasten enthält, die als Antwort auf die
Benutzerberührung
aktiviert werden.
-
Ein
Benutzer der Netzwerkperipherievorrichtung 6 kann ein Durchgangsbenutzer
oder ein entfernter Benutzer sein. Ein Durchgangsbenutzer ist als
ein solcher definiert, der lokal auf der Vorrichtung Zugang zu der
Vorrichtung 6 erlangt. Ein entfernter Benutzer ist ein
Nicht-Durchgangsbenutzer. In dem Fall des Durchgangsbenutzers werden
wie aus ausführlicher
unter Bezugnahme auf 4 beschrieben
die durch die Vorrichtung 6 empfangenen Authentifizierungsinformationen
von der Vorrichtung 6 zu der Authentifizierungseinrichtung 48 übertragen,
und die Vorrichtung 6 empfängt eine Zugangsinformationenrichtlinie
von der Authentifizierungseinrichtung 48. In dem Fall des
entfernten Benutzers, der sich womöglich bereits in das Netzwerk eingeloggt
hat, fordert der Vorrichtungstreiber 54 gemäß 2 Zugangsrichtlinieninformationen
an, die dem Benutzer und der Vorrichtung 6 entsprechen,
und stellt der Authentifizierungseinrichtung 48 Benutzerlogin- und
Vorrichtungsinformationen bereit.
-
Die
Authentifizierungseinrichtung 48 überträgt Zugangsrichtlinieninformationen
zu dem Vorrichtungstreiber 54. Die Authentifizierungseinrichtung 48 benachrichtigt
die Vorrichtung 6 bezüglich
Zugangsrichtlinien, die mit dem authentifizierten Benutzer assoziiert
sind, vorzugsweise zusammen mit dem Auftrag, der durch den Benutzer über den
Vorrichtungstreiber 54 erteilt wurde. Ist die Authentifizierungseinrichtung 48 auf
der Grundlage der durch die Vorrichtung 6 gesendeten Authentifizierungsinformationen
nicht in der Lage, einen Benutzer zu authentifizieren, dann kann
sie eine „Authentifizierung
fehlgeschlagen"-Nachricht oder eine „keine Dienste/Merkmale
verfügbar"-Nachricht oder beide senden. In einem
Fall, dass der Benutzer authentifiziert wird, leitet die Authentifizierungseinrichtung 48 die
Zugangsrichtlinieninformationen zu der Zugangssteuereinrichtung 49 weiter,
die auf der Grundlage der Auftragsanforderung und der Zugangsrichtlinieninformationen
bestimmt, ob Zugang zu gewähren
sei. Wenn dem so ist, werden die Zugangsrichtlinieninformationen
zusammen mit der Auftragsanforderung zu der Vorrichtung 6 übertragen.
Die Vorrichtung 6 verarbeitet dann die Auftragsanforderung
in dem Maße,
in dem diese mit den Zugangsrichtlinieninformationen in Einklang
steht. Bestimmt die Zugangssteuereinrichtung 49, dass ein
Zugang zurückgewiesen
werden soll, dann kann sie eine „Zugang verweigert"-, oder eine „angeforderte
Dienste/Merkmale stehen nicht zur Verfügung„ -Nachricht oder beide senden.
-
4 zeigt ein Ablaufdiagramm von Prozessschritten
zum Verwalten und/oder Steuern von Zugang zu einer Netzwerkperipherievorrichtung
durch einen Durchgangsbenutzer gemäß der Erfindung. Bevor dem Benutzer
ein Zugang zu der Vorrichtung 6 gestattet wird, muss sich
eine vertrauenswürdige
Anwendung, wie die Authentifizierungseinrichtung 48, für die Anforderung
verbürgen,
was auf dem Server 8 gespeichert wird. Alle Authentifizierungsinformationen
werden in einem Verzeichnisdienst 47 gehalten, der auf
dem Server 8 vorliegt. Ein Benutzer initiiert einen Auftrag
durch Bereitstellen von Authentifizierungsinformationen für die Netzwerkperipherievorrichtung 6.
Der Benutzer kann jedweden der Dienste, die auf der Netzwerkperipherievorrichtung 6 zur
Verfügung
stehen, für
die der Benutzer autorisiert ist, und jedwedes Merkmal verwenden,
das jedweden dieser Dienste entspricht, wie Schwarz/Weiß- oder
Farbmerkmale eines Druckdienstes, für die der Benutzer autorisiert
ist.
-
Da
ein Durchgangsbenutzer direkt Zugang zu der Vorrichtung erlangt,
stellt in Schritt S301 ein Durchgangsbenutzer Authentifizierungsinformationen
für die
Vorrichtung 6 bereit. Vorzugsweise ist eine einzelne universelle
Einschreibefunktionalität
wirksam, gemäß derer
die Authentifizierungsinformationen der Benutzname des Benutzers
und dessen Passwort sind. In jedem Fall können die gleichen Authentifizierungsinformationen
zum Authentifizieren eines Benutzers für andere Zwecke verwendet werden
(z. B. Zugang zu dem Server 8 oder zu den darauf gespeicherten
Dateien). Vorteilhafterweise vermeidet ein universelles Einschreiben
die Einführung
von separaten, einzigartigen Benutzernamen/Passwörtern zum Login auf der Vorrichtung 6 und
für jedwede
andere Zwecke, für
die eine Authentifizierung eine Voraussetzung ist.
-
Schritt
S302 veranlasst die Vorrichtung 6 zum Kommunizieren der
durch den Benutzer bereitgestellten Authentifizierungsinformationen
zu der Authentifizierungseinrichtung 48, die wiederum bestimmt,
ob der Benutzer ein autorisierter Benutzer ist. Die Authentifizierungseinrichtung 48 erreichte
dies in Schritt S303 durch Vergleichen oder Prüfen der durch den Benutzer
bereitgestellten Authentifizierungsinformationen mit Benutzerauthentifizierungsinformationen
(z. B. Benutzername und/oder -passwort), die in dem Verzeichnisdienst 47 gespeichert
sind.
-
Schritt
S304 bestimmt, ob der Benutzer bei einem Erhalten einer Authentifizierung
von der Authentifizierungseinrichtung 48 erfolgreich oder
erfolglos war. Ist der Benutzer bei einem Erlangen einer Authentifizierung
für die
Auftragsanforderung erfolglos, dann kommuniziert die Authentifizierungseinrichtung 48 vorzugsweise
dieses Fehlschlagen durch eine „Authentifizierung fehlgeschlagen"- Nachricht, die
mittels Schritt S305 zu der Vorrichtung 6 übertragen
wird. Ist der Benutzer bei einem Erlangen einer Authentifizierung
erfolgreich, dann holt in Schritt S306 die Authentifizierungseinrichtung 48 die
Zugangsrichtlinieninformationen von den Verzeichnisdiensten 47.
Die für
einen Durchgangsbenutzer geholten Zugangsrichtlinieninformationen
können
die gleichen sein, wie die Benutzerunternehmenszugangsrichtlinieninformationen,
die ebenso gespeicherte Verzeichnisdienste 47 sein können, oder
sich von diesen unterscheiden.
-
In
Schritt S307 untersucht die Zugangssteuereinrichtung 49 die
Zugangsebene des Durchgangsbenutzers zu Diensten/Merkmalen unter
Verwendung der geholten Zugangsrichtlinieninformationen. In Schritt
S308 wird eine Bestimmung durchgeführt, ob dem Benutzer ein Zugang
zur Vorrichtung 6 und insbesondere zu den Diensten/Merkmalen
zu gestatten ist, die zum Durchführen
des durch den Benutzer angeforderten Auftrags erforderlich sind.
Ist ein Zugang nicht zu gestatten, dann setzt sich die Verarbeitung
in Schritt S309 fort, um eine „Zugang
verweigert"-Nachricht
zu der Vorrichtung 6 zu übertragen. Bestimmt der Server 8,
dass dem Benutzer ein Erlangen von Zugang gestattet ist, dann setzt
sich die Verarbeitung in Schritt S310 fort, um die Zugangsrichtlinie
zu der Vorrichtung 6 zu übertragen.
-
Der
Server 8 führt
mit anderen Worten eine Authentifizierungsprüfung in einem Durchlauf durch,
und ist die Prüfung
erfolgreich (d. h. der Server gestattet dem Benutzer Zugang), dann
leitet der Server 8 die Zugangsrichtlinieninformationen
zu der Vorrichtung 6 weiter, so dass er die zweite und
letzte Prüfung
durchführen kann,
um zu bestimmen, ob der Benutzer zu einem Zugang zu Diensten/Merkmalen
der Vorrichtung 6 in der Lage ist.
-
Die
Kommunikation zwischen der Vorrichtung 6 und dem Server 8 wird
vorzugsweise durch einen sicheren Kommunikationskanal durchgeführt, der
ein sicheres Transportprotokoll verwendet, wie Sichere-Socket-Schicht
(SSL, „Secure
Socket Layer"),
Transportschichtsicherheit (TLS, Transport Layer Security"), um die Wahrscheinlichkeit
eines nicht-autorisierten Zugangs zu der Vorrichtung durch Hacker
zu minimieren. Außerdem
werden die Zugangssteuerinformationen vorzugsweise in verschlüsselter
Form unter Verwendung eines kryptografischen Algorithmus gespeichert.
Ein kryptografischer Hashing- und Signierungsvorgang kann verwendet
werden, um nicht-autorisierte Modifikation oder Verfälschung
bei den Zugangsinformationen zu erfassen. Verschlüsselte Zugangsinformati onen
werden bei Empfang durch die Vorrichtung 6 entschlüsselt. Wird ein
kryptografischer Hashing- und Signiervorgang verwendet, dann kann
die Vorrichtung 6 den Hash bei dem Versuch verifizieren,
zu bestimmen, ob die empfangenen Zugangssteuerinformationen verfälscht wurden,
oder nicht. Außerdem
kann die Vorrichtung 6 Authentifizierungsinformationen
verschlüsseln
und/oder einen kryptografischen Hashing- und Signiervorgang zum Übertragen
der Authentifizierungsinformationen zu dem Server 8 verwenden.
-
Obwohl
die Verschlüsselung
vorzugsweise derart durchgeführt
wird, dass die bei dem Verzeichnisdienst 47 gespeicherten
Informationen verschlüsselt
werden, können
sie alternativ in nicht-verschlüsselter Form
bei dem Verzeichnisdienst 47 gespeichert sein. Demgemäß werden
Zugangsrichtlinieninformationen bei dem Verzeichnisdienst 47 in
einer nicht-verschlüsselten
Form gespeichert und werden durch die Authentifizierungseinrichtung 48 verschlüsselt. Zugehörige Protokolle
zur Kommunikation zwischen dem Server 8 und der Vorrichtung 6 und
einer Verwendung von zugehörigen
sicheren Transportmechanismen in Verbindung mit Standardprotokollen
sind ebenso zur Verwendung mit der Erfindung gedacht.
-
Erhält die Vorrichtung
6 erst
einmal die Benutzerzugangsrichtlinieninformationen von dem Authentifizierungsserver
8,
dann geht die Zugangssteuereinrichtung
66 in Schritt S311
zu einer Bestimmung des Benutzerzugangs zu Diensten und/oder Merkmalen
auf der Grundlage der von der Authentifizierungseinrichtung
48 empfangenen
Zugangsrichtlinieninformationen über,
die durch die Vorrichtung
6 angeboten sind. Nachstehendes
ist ein Beispiel von Benutzerzugangsrichtlinieninformationen für eine multifunktionale
Netzwerkperipherievorrichtung:
-
In
dem vorstehend beschriebenen Beispiel ist es dem Benutzer gestattet,
sowohl das Schwarz/Weiß- auch
als das Farbmerkmal des Druckdienstes bis hin zu einem Tagesmaximum
von 150 Seiten zu verwenden. Der Benutzer kann den Abtastdienst
zum Abtasten von bis zu 50 Seiten von Schwarz/Weiß- Seiten
pro Tag bei niedriger Auflösung,
Faksimile von bis zu 25 Seiten pro Tag, solange die Faxe nicht über eine
Ferntelefonleitung übertragen
werden, und bei mittlerer oder niedriger Auflösung übertragen werden, und kann
den Kopierdienst verwenden, um bis zu 500 Schwarz/Weiß- Kopien
pro Tag bei allen Auflösungen
zu erstellen.
-
In
Schritt S312 wird dem Benutzer ein Zugang zu Diensten/Merkmalen
der Vorrichtung 6 im Einklang mit der bestimmten Zugangsebene
gewährt.
Dies kann durch die Zugangssteuereinrichtung 66 durch Erstellung
einer Benutzerschnittstelle implementiert sein, die Auswahlen auf
der Grundlage der für
den einzelnen Benutzer erlangten Zugangsrichtlinieninformationen
enthält.
Demgemäß erstellt
die Vorrichtung 6 eine maßgeschneiderte Benutzerschnittstelle,
wie ein maßgeschneidertes
Dienstmenü für den Benutzer,
das die Zugangsrichtlinie für
den Benutzer enthält.
Das maßgeschneiderte
Dienstmenü wird
dann auf der Vorrichtung 6 dadurch angezeigt, dass Dienste/Merkmale
als virtuelle Tasten auf der E/A-Einheit 76 erscheinen.
-
5 bis 9 zeigen
Ansichten des Anzeigeschirms 10, der Änderungen in einer UI bei unterschiedlichen
Stufen einer Durchgangsbenutzerinteraktion mit der Vorrichtung 6 zeigt.
-
5 zeigt
eine Bildschirmaufnahme des Anzeigeschirms, der eine UI zeigt, bevor
der Benutzer um Zugang zu der Vorrichtung 6 ersucht. Wie
gezeigt, ist die Vorrichtung gesperrt und erfordert von dem Durchgangsbenutzer,
sich einzuloggen.
-
6 zeigt
eine Bildschirmaufnahme des Anzeigeschirms, der eine UI zeigt, durch
die der Benutzer sich in die Vorrichtung 6 einloggen würde. In
dem Beispiel gemäß 6 loggt
sich der Benutzer durch Bereitstellen eines Benutzernamens und eines
Passworts ein, die auf sichere Weise zu dem Server 8 übertragen werden.
-
7 zeigt
eine Bildschirmaufnahme des Anzeigeschirms, der ein maßgeschneidertes
Dienstmenü zeigt,
das den dem Durchgangsbenutzer zur Verfügung stehenden Diensten/Merkmalen
entspricht. Knöpfe 800 am
oberen Ende des Schirms sind vorzugsweise virtuelle (d. h. nicht-physikalische) Knöpfe. In
diesem Fall stellen sie die Dienste der Vorrichtung 6 dar,
die dem Benutzer zur Verfügung
stehen (d. h. FTP-Abtasten, Logout, SKopie). Der Abschnitt unterhalb
der Knöpfe 800 ist
ein Bereich 701, der eine Anzeige eines Auftrages ist,
der dem „SKopie"-Dienst entspricht.
Der SKopie-Dienst ermöglicht
dem Benutzer ein Abtasten und Kopieren unter Verwendung der Vorrichtung 6.
Die virtuellen Knöpfe 702 auf
der rechten Seite des Schirmes entsprechen zur Verfügung stehenden
Merkmalen (Kopie, Anzahl von Seiten, Papierauswahl). Das heißt, der
Benutzer kann unter Verwendung der Knöpfe 702 kopieren,
die Anzahl von Seiten setzen und Papier wählen. Rollknöpfe 703 ermöglichen
dem Benutzer ein Abrollen durch die Auftragsauflistungen, die in
dem Bereich 701 angezeigt sind.
-
8 zeigt
eine Bildschirmaufnahme des Anzeigeschirms, der ein weiteres Beispiel
eines maßgeschneiderten
Dienstmenüs
zeigt, das den dem Durchgangsbenutzer zur Verfügung stehenden Diensten/Merkmalen
entspricht. In dem Beispiel gemäß 8 entspricht
Bereich 701 einem „Halten & Drucken"-Dienst der Vorrichtung 6 und
stellt eine Liste von „Halten & Drucken"-Aufträgen bereit.
Der Schirm enthält
Knöpfe 800, welche
in diesem Fall dem „Halten & Drucken"-, „FTP-Abtasten"- und „Logout"-Dienst der Vorrichtung 6 entsprechen.
Der „Halten & Drucken"-Dienst ermöglicht dem
Benutzer ein Aufspeichern von Druckaufträgen und ein Initiieren des
Druckens eines gespeicherten Auftrages bei der Vorrichtung 6.
Die virtuellen Knöpfe 802 auf der
rechten Seite des Schirmes entsprechen den zur Verfügung stehenden
Merkmalen (Liste aktualisieren, Auftrag drucken und Auftrag löschen).
Das heißt,
der Benutzer kann unter Verwendung der Knöpfe 802 eine Liste
aktualisieren/auffrischen, einen Auftrag drucken oder einen Auftrag
löschen.
Rollknöpfe 703 ermöglichen dem
Benutzer ein Abrollen durch die Auftragsauflistung, die in dem Bereich 701 angezeigt
ist.
-
9 zeigt
eine Bildschirmaufnahme des Anzeigeschirms, der eine UI zeigt, durch
die sich ein Durchgangsbenutzer aus der Vorrichtung 6 ausloggt.
Der Bildschirm enthält ähnlich 8 Knöpfe 800,
welche in diesem Fall dem „FTP-Abtasten", „SKopie"- und „Logout"-Dienst der Vorrichtung 6 entsprechen.
-
In
einem Fall, in welchem die UI „nicht-autorisierte" Auswahlen enthält, können diese
Auswahlen derart gesperrt sein, dass die den nicht-autorisierten
Diensten/Merkmalen entsprechenden Tasten grau ausgeblendet sind.
Der Benutzer schreitet dann zu einem Verwenden der Vorrichtung 6 gemäß der bestimmten
Zugangsebene durch Aktivieren von nicht grau ausgeblendeten Tasten über, die
auf der I/A-Einheit 76 vorzugsweise durch einen Berührschirm
angezeigt sind.
-
10 zeigt
ein Ablaufdiagramm von Prozessschritten einer Netzwerkperipherievorrichtung
zum Maßschneidern
einer Benutzerschnittstelle auf der Grundlage von Zugangssteuerinformationen
zum Verwalten und/oder Steuern von Zugang zu der Vorrichtung durch
einen Durchgangsbenutzer gemäß der Erfindung. In
Schritt S1001 fragt die Vorrichtung 6 ab, ob der Benutzer
eine Authentifizierung und jedwede Auftragsanforderungsinformationen
für die
Vorrichtung 6 bereitgestellt hat (z. B. Authentifizierungsinformationen,
die über einen
gemäß 6 gezeigten
Bildschirm empfangen sind). Es wird kein Auftrag durch die Vorrichtung
initiiert, bis derartige Informationen durch den Benutzer bereitgestellt
sind. Nachdem derartige Informationen bereitgestellt sind, kann
der Benutzer einen durchzuführenden
Auftrag unter Verwendung von Diensten/Merkmalen der Vorrichtung 6 anfordern
(z. B. über
die gemäß 7 bis 9 gezeigten
Bildschirme). Damit die Vorrichtung 6 die Benutzerauftragsanforderung
durchführen
kann, muss der Server 8 den Benutzer erfolgreich authentifizieren
und eine server-seitige Autorisierung erfolgreich durchführen, und
die Vorrichtung 6 führt
ihren Autorisierungsdurchlauf durch, der ebenfalls erfolgreich sein
muss.
-
Schritt
S1002 veranlasst, dass die durch den Benutzer in Schritt S1001 eingegebene
Authentifizierung und jedwede Auftragsanforderungsinformationen
zu der Authentifizierungseinrichtung 48 weitergeleitet
werden. Überträgt in Schritt
S1002 beispielsweise die Vorrichtung 6 erst einmal die
Informationen zu Server 8, dann werden Schritte S303 bis
S310 gemäß 4A bis 4B bei
dem Server 8 durchgeführt.
Die Authentifizierungseinrichtung 48, vergleicht oder prüft die durch
den Benutzer bereitgestellten Authentifizierungsinformationen gegenüber den
in dem Verzeichnisdienst 47 gespeicherten Authentifizierungsinformationen,
und die Zugangssteuereinrichtung 49 bestimmt, ob Zugang
zu gewähren
ist, oder nicht, und die Ergebnisse werden zurück zu der Vorrichtung 6 übertragen.
Hinsichtlich der Autorisierung kann die Zugangssteuereinrichtung 49 Auftragsanforderungsinformationen,
falls zugeführt,
untersuchen, um zu bestimmen, ob für den einzelnen Auftrag Zugang
zu gestatten ist, und werden keine Auftragsanforderungsinformationen
bei dem Server 8 empfangen, dann kann die Zugangssteuereinrichtung 49 bestimmen,
ob der Benutzer Zugang zu jedweden der Dienste/Merkmale der Vorrichtung 6 hat,
oder nicht.
-
In
Schritt S1003 wartet die Vorrichtung 6 auf die Ergebnisse
von dem Server 8. Schritt S1004 erfragt den Erfolg des
Benutzers bei einer Authentifizierung und ob dem Benutzer auf der
Grundlage der von dem Server 8 empfangenen Ergebnisse irgendeine
Zugangsebene zu Diensten/Merkmalen der Vorrichtung 6 durch
die Authentifizierungseinrichtung 48 bzw. die Zugangssteuereinrichtung 49 gewährt wurde.
Beispielsweise in einem Fall, in welchem entweder die Authentifizierung
oder Autorisation erfolglos waren, leitet der Server 8 eine den
Fehler anzeigende Nachricht zu der Vorrichtung 6 weiter.
-
Sollte
der Benutzer bei einem Erhalten einer Authentifizierung/Autorisation
erfolglos sein, dann wird die von dem Server 8 empfangene
Fehlernachricht durch die Vorrichtung 6 in Schritt S1005
verarbeitet, beispielsweise durch Veranlassen einer Anzeige einer „Autorisierung
fehlgeschlagen- oder „Zugang
verweigert"- Nachricht
durch die Vorrichtung 6, wodurch dem Benutzer Zugang zu
jedwedem Dienst/Merkmalen der Vorrichtung 6 verweigert
wird. Im Falle einer erfolgreichen Authentifizierung/Authentifizierung
des Benutzers durch den Server 8 bestimmt die Vorrichtung 6 die
Benutzerzugangsebene zu den Diensten/Merkmalen der Vorrichtung 6 auf
der Grundlage der in Schritt S1006 empfangenen Zugangsrichtlinieninformationen.
Schritt S1007 veranlasst die Vorrichtung 6 zu einem Erstellen
eines maßgeschneiderten
Menüs für den Benutzer
auf der Grundlage der bestimmten Zugangsebene.
-
Ein
entfernter Benutzer kann beispielsweise über eine Arbeitsstation, wie
eine Computereinrichtung 1, Zugang zu der Vorrichtung 6 erlangen.
Jedoch weicht der Prozess, in welchem ein entfernter Benutzer Zugang zu
der Vorrichtung 6 erlangt, von jenem eines Durchgangsbenutzers
ab. Das nachstehende Beispiel betrifft einen entfernten Benutzer,
der um ein Drucken eines Auftrags unter Verwendung der Vorrichtung 6 und
um einer Anwendung, die auf der Arbeitsstation vorliegt, ersucht:
- 1. Der Benutzer initiiert einen Druckvorgang
ausgehend von innerhalb der Anwendung.
- 2. Die Vorrichtung 6 bestimmt den Server 8,
auf dem die Authentifizierungseinrichtung 48 läuft.
- 3. Eine sichere Leitung wird zwischen dem Drucktreiber und der
Authentifizierungseinrichtung 48 erstellt, in welcher die
Authentifizierungsinformationen zu dem Server 8 gesendet
werden.
- 4. Der Vorrichtungstreiber 54 auf der Arbeitsstation überträgt eine
Anforderung nach Zugangsrichtlinieninformationen zu dem Server 8.
Die Anforderung identifiziert den Benutzer und die Vorrichtung 6.
Der Treiber 54 stellt ebenfalls Authentifizierungsinformationen
und jedwede Auftragsanforderungsinformationen in Verbindung mit
der Anforderung bereit.
- 5. Die Authentifizierungseinrichtung 48 führt eine
Authentifizierung durch, die Zugangssteuereinrichtung 49 führt eine
Autorisierung durch, und überträgt auf der
Grundlage des Ausgangs der Authentifizierung/Autorisation eine Antwort
(z. B. „Autorisierung
fehlgeschlagen" oder „Zugang
verweigert"- Nachricht
oder Zugangsrichtlinieninformationen) zu der Vorrichtung 6.
- 6. Der Treiber 54 leitet die empfangenen Zugangsrichtlinieninformationen
zu der Vorrichtung 6 zusammen mit dem durch den Benutzer
erteilten Auftrag weiter.
-
11 zeigt ein Ablaufdiagramm von Prozessschritten
zum Verwalten und/oder Steuern von Zugang zu einer Netzwerkperipherievorrichtung
durch einen entfernten Benutzer gemäß der Erfindung. In Schritt S1101
loggt sich der Benutzer in das Netzwerk 7 ein. Bei Schritt
S1102 wird eine Bestimmung durchgeführt, ob der Benutzer eine Auftragsanforderung
initiiert hat. Ist die Auftragsanforderung erst einmal initiiert,
dann fordert in Schritt S1103 der Vorrichtungstreiber 54 Zugangsrichtlinieninformationen,
die mit dem Benutzer und der Vorrichtung entsprechen, von dem Server 8 an
und stellt dem Server 8 Authentifizierungs- und Auftragsanforderungsinformationen
bereit. Die Authentifizierungsinformationen sind vorzugsweise über einen
Frage-/Antwortmechanismus („Challenge
and Response Mechanism")
bereitgestellt, können
aber ebenso durch andere Einrichtungen bereitgestellt werden, wie
Benutzername und -passwort.
-
Vor
dem Bereitstellen der angeforderten Zugangsrichtlinieninformationen
authentifiziert der Server 8 (z. B. Authentifizierungseinrichtung 48 und
Zugangssteuereinrichtung 49 des Server 8) den
Benutzer unter Verwendung der Authentifizierungsinformationen und
bestimmt in Schritt S1104, ob der Benutzer die Zugangsebene aufweist,
die zu einem Verwenden des/der durch die Auftragsanforderung angeforderte(n) Dienst/Merkmalen
erforderlich ist. In Schritt S1105 bestimmt der Server 8,
ob entweder die Authentifizierung oder die Autorisation erfolglos
waren, und sendet, wenn dem so ist, eine geeignete Nachricht (z.
B. eine „Autorisation
fehlgeschlagen"-
oder eine „Zugang
verweigert"- Nachricht).
Waren sowohl die Authentifizierung als auch die Autorisation erfolgreich,
dann setzt sich die Verarbeitung mit Schritt S1108 fort.
-
In
Schritt S1108 sendet der Server 8 Zugangsrichtlinieninformationen
zurück
zu dem Treiber. Schritt S1109 veranlasst den Treiber zum Weiterleiten
der Zugangsrichtlinieninformationen zusammen mit der Auftragsanforderung
zu der Vorrichtung 6. In Schritt S1110 bestimmt die Vorrichtung 6 die
Benutzerzugangsebene auf der Grundlage der empfangenen Zugangsrichtlinieninformationen.
In Schritt S1111 vergleicht oder prüft die Vorrichtung 6 die
angeforderten Dienste/Merkmale gegenüber der Benutzerzugangsebene,
um zu bestimmen, ob die Benutzeranforderung mit der Benutzerzugangsebene
in Einklang steht.
-
Eine
Bestimmung, dass die Benutzerauftragsanforderung nicht mit der bestimmten
Benutzerzugangsebene in Einklang steht, führt in Schritt S1112 zu einem „Zugang
verweigert"- Zustand,
wodurch die Benutzerauftragsanforderung zurückgewiesen wird. Vorzugsweise
wird eine Nachricht zu der Benutzerarbeitsstation gesendet, um den
Benutzer auf den „Zugang
verweigert"- Zustand
aufmerksam zu machen. Sollte die Anfrage in Schritt S51111 zu der
Bestimmung führen,
dass die Benutzerauftragsanforderung mit der bestimmten Benutzerzugangsebene
in Einklang steht, dann veranlasst Schritt S1113 die Vorrichtung 6 zum
Durchführen
des angeforderten Auftrags gemäß der bestimmten
Zugangsebene.
-
11 zeigt einen allgemeinen Überblick
von Schritten, die zum Steuern/Verwalten von Zugang zu der Vorrichtung 6 durchgeführt werden. 12 zeigt
die Perspektive der Vorrichtung 6. Das heißt, 12 zeigt ein
Ablaufdiagramm von Prozessschritten für eine Netzwerkperipherievorrichtung
zum Verwalten und/oder Steuern von Zugang zu der Vorrichtung durch
einen entfernten Benutzer gemäß der Erfindung.
Um einen Auftrag zu verarbeiten, der aus der Ferne zu einer Vorrichtung 6 gesendet
ist, muss die Vorrichtung 6 sowohl die angeforderten Dienste/Merkmale
als auch die Zugangsrichtlinieninformationen für den Benutzer aufweisen. Der
durch den Benutzer erteilte Auftrag identifiziert die angeforderten
Dienste/Merkmale. Der Vorrichtungstreiber 54 stellt die
Zugangsrichtlinieninformationen bereit, die er von dem Server 8 als
ein Teil des zu der Vorrichtung 6 gesendeten Auftragsflusses
empfing.
-
In
Schritt S1201 leitet der Vorrichtungstreiber 54 den Benutzerauftrag
zu der Vorrichtung 6 weiter. In Schritt S202 erfragt die
Vorrichtung 6, ob die Benutzerzugangsrichtlinieninformationen
zusammen mit der Auftragsanforderung enthalten sind. Sind die Benutzerzugangsrichtlinieninformationen
nicht zusammen mit der Auftragsanforderung enthalten, dann veranlasst
Schritt S1203, dass eine Fehlernachricht zurück zu dem Treiber 54 gesendet
wird, die den Benutzerzugang zu den angeforderten Diensten/Merkmalen
zurückweist.
-
Sind
die Benutzerzugangsrichtlinieninformationen zusammen mit der Auftragsanforderung
enthalten, dann geht Schritt S1204 zu einer Bestimmung der Benutzerzugangsebene
auf der Grundlage der empfangenen Zugangsrichtlinieninformationen über. In
Schritt S1205 vergleicht oder prüft
die Vorrichtung 6 die angeforderten Dienste/Merkmale gegenüber der
Benutzerzugangsebene, um zu bestimmen, ob die Benutzeranforderung
mit der Benutzerzugangsebene in Einklang steht. Eine Bestimmung,
dass die Benutzerauftragsanforderung nicht mit der bestimmten Benutzerzugangsebene
in Einklang steht, führt
in Schritt S1206 zu einer Fehlernachricht, die zu dem Treiber 54 gesendet
wird, wodurch. die Benutzerauftragsanforderung zurückgewiesen wird.
Sollte die Anfrage in Schritt S1205 zu der Bestimmung führen, dass
die Benutzerauftragsanforderung mit der bestimmten Benutzerzugangsebene
in Einklang steht, dann veranlasst Schritt S1207 die Vorrichtung 6 zu einem
Durchführen
des angeforderten Auftrags.
-
Der
Server 8 ist zu einem Bereitstellen von Zugangsrichtlinieninformationen
für einen
Durchgangsbenutzer und vorzugsweise für alle Unternehmensbenutzer
(d. h. Durchgangs- und entfernte Benutzer) konfiguriert, wenn der
Benutzer erst einmal durch den Server 8 authentifiziert
wurde.
-
13 zeigt ein Ablaufdiagramm von Prozessschritten
eines Servers zum Verwalten und/oder Steuern von Zugang zu der Vorrichtung
durch einen entfernten Benutzer oder einen Durchgangsbenutzer gemäß der Erfindung.
In Schritt S1301 wartet der Server 8 auf eine Zugangsrichtlinienanforderung
zusammen mit Authentifizierungs- und Auftragsanforderungsinformationen
von der Vorrichtung 6 oder Treiber 54. In Schritt S1302
holt die bei dem Server 8 befindliche Authentifizierungseinrichtung 48 Authentisierungsinformationen von
dem Verzeichnisdienst 47. In Schritt S1303 werden die geholten
Informationen gegenüber
den in Schritt S1301 empfangenen Benutzerauthentifizierungsinformationen
verglichen oder geprüft.
Schritt S1304 erfragt, ob der Benutzer erfolgreich authentifiziert
wurde. War der Benutzer bei einem Erhalten einer Authentifizierung erfolglos,
dann veranlasst Schritt S1305, dass eine „Authentifizierung fehlgeschlagen"- Nachricht von dem
Server 8 gesendet wird. Wird der Benutzer erfolgreich authentifiziert,
dann wird Zugang und dann die Benutzerzugangsebene zu Diensten/Merkmalen
auf der Grundlage der Zugangsrichtlinieninformationen in Schritt S1306
bestimmt. In Schritt S1308 wird eine Bestimmung durchgeführt, ob
dem Benutzer ein Zugang zu den mittels der Auftragsanforderung angeforderten
Dienste/Merkmalen gestattet ist, und wenn der Benutzerzugang unzureichend
ist, dann veranlasst Schritt S1309, dass eine „Zugang verweigert"-Nachricht von dem
Server 8 gesendet wird. Wird bestimmt, dass der Benutzer
eine zureichende Zugangsebene zu der Vorrichtung 6 aufweist,
dann veranlasst Schritt S1310, dass Benutzerzugangsrichtlinieninformationen
von dem Server 8 gesendet werden.
-
Der
Server 8 kann sich hinsichtlich der Vorrichtung 6,
der Computereinrichtung 1, oder beider lokal befinden.
In einem Fall, in welchem das Netzwerk 7 das Internet ist,
kann beispielsweise der Server 8 hinsichtlich der Vorrichtung 6,
der Computereinrichtung 1, oder beider entfernt befindlich
sein. Selbst dort, wo der Server 8 lokal ist, kann ein
Verwenden einer vertrauenswürdigen
Architektur bevorzugt sein, in der Zugangsrichtlinieninformationen,
die von dem Server 8 empfangen werden, vertrauenswürdig sind.
-
Obwohl
die Erfindung vorstehend hinsichtlich dessen beschrieben ist, was
momentan als ihr bevorzugtes Ausführungsbeispiel angesehen ist,
ist zu verstehen, dass die Erfindung nicht auf jenes vorstehend
Beschriebene beschränkt
ist. Die Erfindung ist im Gegenteil beabsichtigt, verschiedene Modifikationen
und äquivalente
Anordnungen innerhalb des Schutzbereiches der beiliegenden Patentansprüche abzudecken.
