使用发布订阅模型的身份提供者发现服务制造技术

代理集成在F-SSO环境中，并且与外部身份提供者(IdP)实例发现服务交互。代理将IdP实例请求代理到发现服务，并且接收包括IdP实例分配的响应。代理保持实例分配的高速缓存。随着接收新的实例请求，替代将这些请求代理到发现服务，高速缓存的分配数据用于提供适当的响应，从而减少识别要求的IdP实例所需的时间。通过订阅来自发现服务的更新，代理动态地保持和管理其高速缓存。更新识别在包括IdP服务的一组地理上分布的实例中出现的IdP实例改变(诸如服务器离线用于维护，添加新的服务等)。经由发布-订阅模型提供更新，使得代理主动地接收改变通知。

【技术实现步骤摘要】
【国外来华专利技术】使用发布订阅模型的身份提供者发现服务
本公开涉及联邦环境(federatedenvironment)中计算资源的管理，并且具体涉及用于使用发布订阅模型的身份提供者发现服务(identityproviderdiscoveryservice)的方法。
技术介绍
联邦环境是本领域公知的。联邦是一组独立实体(诸如企业、组织、机构等)，其协作以为用户提供单点登陆(single-sign-on)、易用体验。联邦环境不同于典型的单点登陆环境在于两个实体不需要具有直接的、预先建立的、定义对于用户如何传送和传送什么信息的关系。在联邦环境内，实体提供处理认证用户，接受由其他实体呈现的认证断言(例如，认证令牌)，以及提供将用户的担保身份转换为本地实体内理解的身份的一些形式的转换的服务。联邦减轻了服务提供者的管理负担。服务提供者(SP)可以依赖于其相对于联邦整体的信任关系；服务提供者不需要管理认证信息，诸如用户密码信息，因为它可以依赖于由用户的认证家域(authenticationhomedomain)完成的认证，该认证家域是用户在其认证的域。特别地，联邦实体可以担当提供关于联邦用户的身份信息和属性信息的用户的家域。提供身份信息、身份或认证断言、或身份服务的联邦计算环境中的实体称为身份提供者(IdP)。同一联邦内的其他实体或联邦伙伴可以依赖于用于用户的认证证书的主要管理(例如，接受由用户的身份提供者提供的单点登陆令牌)的身份提供者。身份提供者是特定类型的服务，其提供作为服务的身份信息给联邦计算环境中的其他实体。联邦单点登陆(F-SSO)允许用户裕服务提供者(SP)直接交互，并且为了在认证的环境下接收身份信息的目的，利用SP和IdP之间的安全信任关系。用于身份提供者发现的典型模型是与终端用户直接交互的服务。该方法在多种场景中是有用的，例如，允许终端用户从可用身份提供者的列表选择，或者便于属性同意。已知的发现服务实施方式典型地以独立方式操作，或者通过直接嵌入服务提供者。在高等级，一个典型的发现模型工作如下。终端用户访问应用(SP)，然后手动地选择身份提供者。服务提供者然后将终端用户重新定向到选择的身份提供者。终端用户对身份提供者认证，身份提供者(在认证之后)然后将终端用户重新定向(典型地通过基于HTTP重定向)回应用。IdP还为SP提供身份断言，诸如安全断言标记语言(SAML)断言或令牌，其提供联邦用户已经认证的证明。然后在联邦用户和SP之间建立终端用户会话以完成该处理。另一典型的发现方法是SP将用户重新定向到另一服务，其然后与用户交互以选择IdP。该服务然后将用户重新定向到IdP用于认证，然后用户重新定向回SP。在一些场景中，单个身份提供者可以在地理上分布的实例上实施。在此情况下，试图访问SP的用户需要定向到最近或者最恰当的IdP实例。该操作可以由身份提供者实例发现服务提供，如在共同拥有的美国专利号12/959,413中描述的。IdP实例发现服务提供一组身份提供者实例的特定身份提供者实例的自动发现以及绑定。在该方法中，特定身份提供者的选择可以基于一个或多个标准，诸如用户相近性(网络或地理)、IdP实例负载或可用性、IdP实例能力、与特定实例相关联的性能度量、现有IdP绑定或一些组合。尽管IdP实例发现服务允许服务提供者动态地检索适当的IdP实例的位置，用于F-SSO协议的完成，设计这样的技术以在F-SSO环境外部操作，并且它们依赖于“基于拉动的(pull-based)”方法以根据需要获得IdP实例信息。
技术实现思路
本专利技术描述了一种增强的身份提供者实例发现服务(IdPIDS)。在该方法中，发现服务代理优选地集成在F-SSO环境(其可以是基于云的)内，并且用于与外部IdP实例发现服务交互。发现服务代理将IdP实例请求代理到发现服务，并且接收对于这种请求的响应。响应典型地包括已经由发现服务分配来处理该请求的实例的身份。代理保持其中存储实例分配的高速缓存。随着在代理接收新的实例请求，代理可以使用高速缓存的分配数据以提供适当的响应，替代将这些请求代理到发现服务，从而减少识别请求的IdP实例所需的时间。代理通过订阅来自发现服务的更新动态地保持和管理其本地高速缓存，发现服务更新在包括IdP服务的一组地理上分布的实例内出现的身份IdP实例改变(诸如服务器为了维护而离线，添加新的服务等)。优选地，使用使得代理主动接收关于后端IdP服务中改变的通知的发布-订阅(pub-sub)模型，将更新提供给代理。前述已经概述本专利技术的一些更相关的特征。这些特征应该理解为仅仅是说明性的。通过以不同的方式应用公开的专利技术或者通过修改本专利技术可以获得一些其他有益结果，如将描述的。从第一方面看，本专利技术提供了用于使用身份提供者实例发现服务提供身份提供者服务的方法，包括：在由发现服务处理对于身份提供者实例的请求时，接收和存储识别身份提供者实例的数据；接收关于与所述发现服务相关联的资源的更新，经由在硬件元件上支持的发布-订阅通知服务接收所述更新；基于所述更新，修改所述数据；以及在接收对于身份提供者实例的新请求时，响应于所述新请求使用修改的数据以识别用于使用的身份提供者实例。优选地，本专利技术提供了一种方法，其中所述数据是将请求与由所述发现服务选择以服务所述请求的身份提供者实例相关联的分配数据。优选地，本专利技术提供了一种方法，其中周期性地或非同步地接收所述更新。优选地，本专利技术提供了一种方法，其中所述通知服务是由所述身份提供者实例发现服务提供的Web服务。优选地，本专利技术提供了一种方法，还包括订阅所述更新。优选地，本专利技术提供了一种方法，其中所述更新包括以下之一：与一个或多个身份提供者实例相关联的负载、一个或多个身份提供者实例的可用性、与一个或多个身份提供者实例相关联的性能度量、以及与一个或多个身份提供者实例相关联的现有绑定。优选地，本专利技术提供了一种方法，其中根据策略或商业逻辑修改所述数据。从另一方面看，本专利技术提供了一种用于使用身份提供者实例发现服务提供身份提供者服务的装置，包括：处理器；保持计算机程序指令的计算机存储器，当计算机程序指令由处理器运行时执行一种方法，包括：在由发现服务处理对于身份提供者实例的请求时，接收和存储识别身份提供者实例的数据；接收关于与所述发现服务相关联的资源的更新，经由在硬件元件上支持的发布-订阅通知服务接收所述更新；基于所述更新，修改所述数据；以及在接收对于身份提供者实例的新请求时，响应于所述新请求使用修改的数据以识别用于使用的身份提供者实例。优选地，本专利技术提供了一种装置，其中所述数据是将请求与由所述发现服务选择以服务所述请求的身份提供者实例相关联的分配数据。优选地，本专利技术提供了一种装置，其中周期性地或非同步地接收所述更新。优选地，本专利技术提供了一种装置，其中所述通知服务是由所述身份提供者实例发现服务提供的Web服务。优选地，本专利技术提供了一种装置，其中所述方法还包括订阅所述更新。优选地，本专利技术提供了一种装置，其中所述更新包括以下之一：与一个或多个身份提供者实例相关联的负载、一个或多个身份提供者实例的可用性、与一个或多个身份提供者实例相关联的性能度量、以及与一个或多个身份提供者实例相关联的现有绑定。优选地，本专利技术提供了一种装置，其中根据策略或商业逻辑修改本文档来自技高网...

【技术保护点】
一种用于使用身份提供者实例发现服务提供身份提供者服务的方法，包括：在由发现服务处理对于身份提供者实例的请求时，接收和存储识别身份提供者实例的数据；接收关于与所述发现服务相关联的资源的更新，经由在硬件元件上支持的发布‑订阅通知服务接收所述更新；基于所述更新，修改所述数据；以及在接收对于身份提供者实例的新请求时，响应于所述新请求使用修改的数据以识别用于使用的身份提供者实例。

【技术特征摘要】
【国外来华专利技术】2012.02.23 US 13/403,5651.一种用于使用身份提供者实例发现服务提供身份提供者服务的方法，包括：在由发现服务处理对于身份提供者实例的请求时，由发现服务代理接收和存储识别身份提供者实例的数据，其中所述发现服务代理与位于所述发现服务代理外部的所述身份提供者实例发现服务进行交互；由所述发现服务代理接收关于与所述发现服务相关联的资源的更新，经由在硬件元件上支持的发布-订阅通知服务由所述发现服务代理接收所述更新；基于所述更新，由所述发现服务代理修改所述数据；以及在接收对于身份提供者实例的新请求时，由所述发现服务代理响应于所述新请求使用修改的数据以识别用于使用的身份提供者实例。2.如权利要求1所述的方法，其中所述数据是将请求与由所述发现服务选择以服务所述请求的身份提供者实例相关联的分配数据。3.如权利要求1所述的方法，其中周期性地或非同步地接收所述更新。4.如权利要求1所述的方法，其中所述通知服务是由所述身份提供者实例发现服务提供的Web服务。5.如权利要求1所述的方法，还包括订阅所述更新。6.如权利要求1所述的方法，其中所述更新包括以下之一：与一个或多个身份提供者实例相关联的负载、一个或多个身份提供者实例的可用性、与一个或多个身份提供者实例相关联的性能度量、以及与一个或多个身份提供者实例相关联的现有绑定。7.如权利要求1所述的方法，其中根据策略或商业逻辑修改所述数据。8.一种用于使用身份提供者实例发现服务提供身份提供者服务的发现服务代理，其中所述发现服务代理与位于所述发现服务代理外部的所述身份提供者实例发现服务进行交互，该发现服务代理包括：处理器；保持计算机程序指令的计算机存储器，当计算机程序指令由处理器运行时执行一种方法，包括：在由发现服务处理对于身份提供者实例的请求时，接收和存储识别身份提供者实例的...

【专利技术属性】
技术研发人员：HM欣顿，RJ麦卡迪，C卢尼，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：美国;US