[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

KR20140006755A - Method for authorizing access to resource in m2m communications - Google Patents

Method for authorizing access to resource in m2m communications Download PDF

Info

Publication number
KR20140006755A
KR20140006755A KR1020130162703A KR20130162703A KR20140006755A KR 20140006755 A KR20140006755 A KR 20140006755A KR 1020130162703 A KR1020130162703 A KR 1020130162703A KR 20130162703 A KR20130162703 A KR 20130162703A KR 20140006755 A KR20140006755 A KR 20140006755A
Authority
KR
South Korea
Prior art keywords
resource
client
access
authorization
service provider
Prior art date
Application number
KR1020130162703A
Other languages
Korean (ko)
Inventor
김경수
이재호
김용진
Original Assignee
모다정보통신 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 모다정보통신 주식회사 filed Critical 모다정보통신 주식회사
Priority to KR1020130162703A priority Critical patent/KR20140006755A/en
Publication of KR20140006755A publication Critical patent/KR20140006755A/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/02—Access restriction performed under specific conditions

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

A method for authorizing access to a resource in M2M communications is disclosed. According to an embodiment of the present invention, an object which intends to access a resource in a M2M service provider domain uses a temporary access token issued by a M2M authentication server (MAS) as an authentication key to access the corresponding resource; and as a result, multiple objects can share information, other objects which are not authorized to access the information are prevented from accessing information, and security risks related to resource data sharing between objects can be prevented. [Reference numerals] (AA) M2M service provider # 1 domain; (BB) M2M service provider # 2 domain; (HH) Select a resource owner corresponding to the resource URI; (KK) Generate/update access authorization; (LL) Generate/update the access authorization resource; (NN) Generate an authorization code; (OO) Issue the authorization code; (PP) Request an access token; (QQ) Generate the access token (check the authorization code); (S310,CC,DD) Client registration; (S320) Search for a service/resource; (S330,GG,II) Authorization request; (S340,JJ) Client verification; (S350,MM) Approve authorization; (S360) (Optional step) Issue an authorization code and request an access token; (S370,RR,SS,UU) Issue the access token; (S380) Access the resource; (TT) Matching (access authorization, access token); (VV) Access the protected resource based on the access token

Description

Ｍ2Ｍ 통신에서 리소스 접근 권한 설정 방법{Method for Authorizing Access to Resource in M2M Communications}METHOD FOR AUTHENTICATING ACCESS TO RESOURCE ACCESS IN M2M COMMUNICATIONS

본 발명은 M2M(Machine-to-Machine) 통신에서 리소스 접근 권한 설정 방법에 관한 것이다. 더욱 상세하게는 M2M 통신에서 개체들이 다른 개체(D/GSCL)상에 위치한 리소스에 접근하고자 할 때, 해당 리소스에 대한 각 개체의 접근 권한을 설정하는 리소스 접근 권한 설정 방법에 관한 것이다.The present invention relates to a method for setting a resource access right in M2M (Machine-to-Machine) communication. More particularly, the present invention relates to a resource access authority setting method for setting access rights of respective entities for a corresponding resource when an entity accesses a resource located on another entity (D / GSCL) in the M2M communication.

이 부분에 기술된 내용은 단순히 본 실시예에 대한 배경 정보를 제공할 뿐 종래기술을 구성하는 것은 아니다.The contents described in this section merely provide background information on the present embodiment and do not constitute the prior art.

일반적으로, M2M 통신은 다양한 장치(Machine)에 무선통신 모듈이 장착되어 사람의 개입 없이 또는 최소한의 사람의 개입으로 다양한 통신 서비스를 가능하게 하는 기술로서, 기존의 인간 대 인간 중심의 통신에서 더 나아가 장치와 장치 사이의 통신 서비스를 가능하게 하는 기술이다. 이러한 M2M 기술은 단순히 사람과 장치 또는 장치와 장치 간 단순한 데이터 전송 차원의 통신 기능에서 벗어나 통신과 IT 기술을 결합하여 다양한 장치들의 정보를 수집하고 이를 유용한 정보로 가공하여 필요한 정보를 맞춤형으로 제공해 주기 위한 솔루션으로 그 범위가 확대되고 있다.In general, M2M communication is a technology that enables a variety of communication services by a wireless communication module installed in various machines without human intervention or minimal human intervention, This is a technology that enables a communication service between a device and a device. This M2M technology combines communication and IT technology to merely gather information from various devices, process it as useful information, and provide necessary information in a customized manner. The solution is expanding in scope.

현재 진행 중인 한 M2M 관련 표준에서는 M2M 단말 또는 M2M 게이트웨이와 M2M 서버 등에서 관리되는 정보 데이터를 리소스 데이터로 표현하고 있다. M2M 서비스 구조를 데이터 정보처리 측면에서 보면, M2M 단말 및 M2M 게이트웨이에서 수집된 데이터들을 M2M 서버로 전송하고, M2M 서비스 제공자(M2M Service Provider)의 네트워크 애플리케이션(Network Application: NA)이 실제 리소스 데이터의 소유자의 별도의 접근 허가 절차 없이 서비스 제공자의 정책에 의해 M2M 서버의 리소스 데이터에 접근하여 정보를 조회하는 구조로 되어 있다. M2M 기술의 표준화는 현재 초기 단계로서 리소스 데이터에 접근할 수 있는 권한을 설정하는 방법에 대해 구체적으로 제시하고 있지 않으며, 이러한 권한 설정에 대한 방법을 모색하기 위해 노력하고 있는 상황이다.An ongoing M2M standard defines information data managed by M2M terminal, M2M gateway and M2M server as resource data. From the viewpoint of the data information processing, the data collected from the M2M terminal and the M2M gateway are transmitted to the M2M server, and the network application (NA Application) of the M2M service provider is transmitted to the owner The M2M server accesses the resource data of the M2M server according to the policy of the service provider and inquires the information. The standardization of M2M technology does not specifically specify how to set the right to access resource data as an initial step, and is trying to find out how to set these permissions.

본 실시예는, 다양한 M2M 통신 환경에서 개체들 간에 자신의 리소스 데이터를 다른 개체와 공유할 수 있도록, 리소스에 접근할 수 있는 권한을 설정해 주는 방법을 제공하는 데 주된 목적이 있다.The main purpose of this embodiment is to provide a method of setting a right to access a resource so that its own resource data can be shared with other objects among entities in various M2M communication environments.

본 실시예의 일 측면에 의하면, 제1 M2M 서비스 제공자 도메인에 속하는 단말, 게이트웨이 및 엔드-유저 중 어느 하나의 개체(이하 '클라이언트'라고 칭함)가 제2 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스(Resource)에 접근하고자 하는 경우에 있어서, 상기 클라이언트가 상기 제1 M2M 서비스 제공자 도메인의 NSCL에 클라이언트 등록 절차를 수행하여 상기 제1 M2M 서비스 제공자 도메인의 MAS(M2M Authentication Sever; 이하 'MAS1'이라고 칭함)로부터 클라이언트 크리덴셜(Client Credentials)을 할당받는 클라이언트 등록 과정, 상기 클라이언트가 상기 리소스의 URI(Universal Resource Identifier) 정보를 기초로 하여 상기 제2 M2M 서비스 제공자 도메인의 NSCL(이하 'NSCL2'라고 칭함)을 통해 상기 리소스의 리소스 소유자에게 상기 리소스에 대한 접근 권한부여(Authorization)를 요청하는 권한부여 요청 과정, 상기 리소스 소유자가 상기 MAS1을 통해 상기 클라이언트를 검증(Verification)하는 클라이언트 검증 과정, 상기 리소스 소유자가 상기 클라이언트에 대한 접근 권한부여를 승인하는 권한부여 승인 과정 및 상기 제2 M2M 서비스 제공자 도메인의 MAS(이하 'MAS2'라고 칭함)가 상기 클라이언트에게 액세스 토큰(Access Token)을 발급하는 액세스 토큰 발급 과정을 포함하는 M2M 통신에서 리소스 접근 권한 설정 방법을 제공한다.According to an aspect of the present embodiment, any one of a terminal, a gateway, and an end-user (hereinafter, referred to as a 'client') belonging to the first M2M service provider domain is located at a terminal or gateway of the second M2M service provider domain. In the case of accessing (Resource), the client performs a client registration procedure on the NSCL of the first M2M service provider domain to refer to a M2M Authentication Sever (MAS1) hereinafter of the first M2M service provider domain. Client registration process, wherein the client is assigned with client credentials, the NSCL of the second M2M service provider domain based on the Universal Resource Identifier (URI) information of the resource (hereinafter referred to as 'NSCL2') Granting access to the resource to the resource owner of the resource via Auth Authorization request process for requesting orization, client verification process for the resource owner to verify the client through the MAS1, authorization approval process for the resource owner to approve access authorization to the client, and the The MAS of the second M2M service provider domain (hereinafter referred to as 'MAS2') provides a method for setting resource access rights in M2M communication including an access token issuing process for issuing an access token to the client.

본 실시예의 다른 측면에 의하면, 제1 M2M 서비스 제공자 도메인에 속하는 단말, 게이트웨이 또는 엔드-유저 중 어느 하나의 개체(이하 '클라이언트'라고 칭함)가 제2 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스에 접근하는 방법에 있어서, 상기 제1 M2M 서비스 제공자 도메인의 NSCL(이하 'NSCL1'이라고 칭함)에 클라이언트 등록 절차를 수행하여 상기 제1 M2M 서비스 제공자 도메인의 MAS(이하 'MAS1'이라 칭함)로부터 클라이언트 크리덴셜을 할당받는 과정, 상기 리소스의 리소스 소유자에게 상기 리소스의 URI 정보를 기초로 하여 상기 리소스에 대한 접근 권한부여를 요청하는 권한부여 요청 과정, 상기 제 2 M2M 서비스 제공자 도메인에 속하는 MAS(이하 'MAS2'이라 칭함)로부터 액세스 토큰을 발급받는 액세스 토큰 발급 과정 및 상기 발급받은 액세스 토큰을 기초로 상기 리소스에 접근하는 과정을 포함하는 것을 특징으로 하는 M2M 통신에서 클라이언트의 리소스 접근 방법을 제공한다.According to another aspect of this embodiment, any one of a terminal, a gateway, or an end-user (hereinafter referred to as a 'client') belonging to the first M2M service provider domain is located at a terminal or gateway of the second M2M service provider domain. In the method for accessing the client, a client registration procedure is performed on an NSCL (hereinafter referred to as 'NSCL1') of the first M2M service provider domain to perform a client from a MAS (hereinafter referred to as 'MAS1') of the first M2M service provider domain. A process of receiving a credential, an authorization request process of requesting the resource owner of the resource to grant access to the resource based on the URI information of the resource, and a MAS belonging to the second M2M service provider domain; Process of issuing an access token from the MAS2 " On the basis of the access token, and provides the client's resources approach in the M2M communication, it characterized in that it comprises the step of accessing the resource.

본 실시예의 또다른 측면에 의하면, 제1 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스를 소유하는 리소스 소유자가, 제2 M2M 서비스 제공자 도메인에 속하는 단말, 게이트웨이 및 엔드-유저 중 어느 하나의 개체(이하 '클라이언트'라고 칭함)의 상기 리소스에 대한 접근권한을 부여하는 방법에 있어서, 상기 클라이언트에 관한 권한부여 요청을 수신하는 과정, 상기 제2 M2M 서비스 제공자 도메인에 속하는 MAS(이하 'MAS2'이라 칭함)를 통해 상기 클라이언트를 검증하는 과정 및 상기 리소스가 위치한 개체 및 상기 제1 M2M 서비스 제공자 도메인에 속하는 MAS(이하 'MAS1'라고 칭함)에 상기 클라이언트에 대한 접근 권한부여를 승인하는 과정을 포함하는 것을 특징으로 하는, M2M 통신에서 클라이언트의 리소스에 대한 접근권한을 부여하는 방법을 제공한다.According to another aspect of the present embodiment, a resource owner owning a resource located at a terminal or a gateway of a first M2M service provider domain may include an entity (any one of a terminal, a gateway, and an end-user belonging to a second M2M service provider domain). In the method for granting access right to the resource of the 'client', receiving the authorization request for the client, MAS (hereinafter referred to as 'MAS2' belonging to the second M2M service provider domain) Verifying the client and granting access authorization to the client to the entity where the resource is located and the MAS belonging to the first M2M service provider domain (hereinafter referred to as 'MAS1'). Characterized in that, a method for granting access rights to resources of the client in M2M communication Provided.

본 실시예의 또다른 측면에 의하면, 어떠한 M2M 서비스 제공자 도메인에도 속하지 않는 개체(이하 '클라이언트'라고 칭함)가 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스에 접근하고자 하는 경우에 있어서, 상기 클라이언트가 상기 M2M 서비스 제공자 도메인의 NSCL에 클라이언트 등록 절차를 수행하여 상기 M2M 서비스 제공자 도메인의 MAS로부터 클라이언트 크리덴셜을 할당받는 클라이언트 등록 과정, 상기 클라이언트가 상기 리소스의 URI 정보를 기초로 하여 상기 M2M 서비스 제공자 도메인의 NSCL을 통해 상기 리소스의 리소스 소유자에게 상기 리소스에 대한 접근 권한부여를 요청하는 권한부여 요청 과정, 상기 리소스 소유자가 상기 M2M 서비스 제공자 도메인의 MAS를 통해 상기 클라이언트를 검증하는 클라이언트 검증 과정, 상기 리소스 소유자가 상기 MAS에 상기 클라이언트에 대한 접근 권한부여를 승인하는 권한부여 승인 과정 및 상기 MAS가 상기 클라이언트에게 액세스 토큰을 발급하는 액세스 토큰 발급 과정을 포함하는 M2M 통신에서 리소스 접근 권한 설정 방법을 제공한다.According to another aspect of the present embodiment, when an entity (hereinafter referred to as a "client") that does not belong to any M2M service provider domain wants to access a resource located in a terminal or gateway of an M2M service provider domain, the client may Client registration process of performing client registration procedure on NSCL of M2M service provider domain and assigning client credentials from MAS of M2M service provider domain; NSCL of M2M service provider domain based on the URI information of the resource by the client Authorization request process for requesting the resource owner of the resource to grant access to the resource through a client verification process in which the resource owner verifies the client through the MAS of the M2M service provider domain, Provides a method for setting resource access rights in M2M communication including an authorization approval process in which a license owner grants an access authorization to the client to the MAS and an access token issuance process in which the MAS issues an access token to the client. .

본 실시예의 또다른 측면에 의하면, 어떠한 M2M 서비스 제공자 도메인에도 속하지 않는 개체(이하 '클라이언트'라고 칭함)가 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스에 접근하는 방법에 있어서, 상기 M2M 서비스 제공자 도메인의 NSCL에 클라이언트 등록 절차를 수행하여 상기 M2M 서비스 제공자 도메인의 MAS로부터 클라이언트 크리덴셜을 할당받는 과정, 상기 리소스의 리소스 소유자에게 상기 리소스의 URI 정보를 기초로 하여 상기 리소스에 대한 접근 권한부여를 요청하는 과정, 상기 MAS로부터 액세스 토큰을 발급받는 과정 및 상기 발급받은 액세스 토큰을 기초로 상기 리소스에 접근하는 과정을 포함하는 것을 특징으로 하는 M2M 통신에서 클라이언트의 리소스 접근 방법을 제공한다.According to another aspect of the present embodiment, in a method of accessing a resource located at a terminal or gateway of an M2M service provider domain, an entity (hereinafter referred to as a 'client') which does not belong to any M2M service provider domain, may be located in the M2M service provider domain. Receiving client credentials from the MAS of the M2M service provider domain by performing a client registration procedure in the NSCL of the requesting server, requesting a resource owner of the resource to grant access to the resource based on the URI information of the resource And a process of receiving an access token from the MAS, and accessing the resource on the basis of the issued access token.

본 실시예의 또다른 측면에 의하면, M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스를 소유한 리소스 소유자가, 어떠한 M2M 서비스 제공자 도메인에도 속하지 않는 개체(이하 '클라이언트'라고 칭함)의 상기 리소스에 대한 접근권한을 부여하는 방법에 있어서, 상기 클라이언트에 관한 권한부여 요청을 수신하는 과정, 상기 M2M 서비스 제공자 도메인에 속하는 MAS(이하 'MAS'이라 칭함)를 통해 상기 클라이언트를 검증하는 과정 및 상기 리소스가 위치한 개체 및 상기 MAS에 상기 클라이언트에 대한 접근 권한부여를 승인하는 과정을 포함하는 것을 특징으로 하는, M2M 통신에서 클라이언트의 리소스에 대한 접근권한을 부여하는 방법을 제공한다.According to another aspect of the present embodiment, a resource owner owning a resource located at a terminal or gateway of an M2M service provider domain has access to the resource of an entity (hereinafter referred to as a 'client') that does not belong to any M2M service provider domain. A method for granting authority, the method comprising: receiving an authorization request for the client, verifying the client through a MAS belonging to the M2M service provider domain (hereinafter referred to as 'MAS'), and an entity in which the resource is located. And granting access authorization to the client to the MAS. The method provides a method of granting access authority to a client resource in M2M communication.

본 실시예의 또다른 측면에 의하면, 어느 한 M2M 서비스 제공자 도메인에 속하는 단말, 게이트웨이 또는 엔드-유저(이하 '클라이언트'라고 칭함)가 동일한 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스에 접근하고자 하는 경우에 있어서, 상기 클라이언트가 상기 M2M 서비스 제공자 도메인의 NSCL에 클라이언트 등록 절차를 수행하여 상기 M2M 서비스 제공자 도메인의 MAS로부터 클라이언트 크리덴셜을 할당받는 클라이언트 등록 과정, 상기 클라이언트가 상기 리소스의 URI 정보를 기초로 하여 상기 M2M 서비스 제공자 도메인의 NSCL을 통해 상기 리소스의 리소스 소유자에게 상기 리소스에 대한 접근 권한부여를 요청하는 권한부여 요청 과정, 상기 리소스 소유자가 상기 M2M 서비스 제공자 도메인의 MAS를 통해 상기 클라이언트를 검증하는 클라이언트 검증 과정, 상기 리소스 소유자가 상기 클라이언트에 대한 접근 권한부여를 승인하는 권한부여 승인 과정 및 상기 MAS가 상기 클라이언트에게 액세스 토큰을 발급하는 액세스 토큰 발급 과정을 포함하는 M2M 통신에서 리소스 접근 권한 설정 방법을 제공한다.According to another aspect of the present embodiment, a terminal, a gateway, or an end-user (hereinafter referred to as a 'client') belonging to one M2M service provider domain wants to access a resource located at a terminal or gateway in the same M2M service provider domain. A client registration process in which the client performs a client registration procedure in the NSCL of the M2M service provider domain and is assigned client credentials from the MAS of the M2M service provider domain, wherein the client is based on the URI information of the resource. Authorization request process for requesting the resource owner of the resource to authorize access to the resource through the NSCL of the M2M service provider domain, the resource owner to verify the client through the MAS of the M2M service provider domain A method of setting a resource access right in M2M communication includes a client verification process, an authorization approval process in which the resource owner approves an access authorization for the client, and an access token issuance process in which the MAS issues an access token to the client. to provide.

본 실시예의 또다른 측면에 의하면, 어느 한 M2M 서비스 제공자 도메인에 속하는 단말, 게이트웨이 또는 엔드-유저 중 어느 하나의 개체(이하 '클라이언트'라고 칭함)가 동일한 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스에 접근하는 방법에 있어서, 상기 M2M 서비스 제공자 도메인의 NSCL에 클라이언트 등록 절차를 수행하여 상기 M2M 서비스 제공자 도메인의 MAS로부터 클라이언트 크리덴셜을 할당받는 과정, 상기 리소스의 리소스 소유자에게 상기 리소스의 URI 정보를 기초로 하여 상기 리소스에 대한 접근 권한부여를 요청하는 과정, 상기 M2M 서비스 제공자 도메인의 MAS로부터 액세스 토큰을 발급받는 과정 및 상기 발급받은 액세스 토큰을 기초로 상기 리소스에 접근하는 과정을 포함하는 것을 특징으로 하는 M2M 통신에서 클라이언트의 리소스 접근 방법을 제공한다.According to another aspect of the present embodiment, a resource located at a terminal or a gateway of a terminal, a gateway, or an end-user (hereinafter referred to as a 'client') belonging to one M2M service provider domain is located in the same M2M service provider domain. In the method of accessing, the step of receiving a client credentials from the MAS of the M2M service provider domain by performing a client registration procedure to the NSCL of the M2M service provider domain, based on the URI information of the resource to the resource owner of the resource Requesting an access right to the resource, issuing an access token from the MAS of the M2M service provider domain, and accessing the resource based on the issued access token. Client in M2M Communication Provides access to resources.

본 실시예의 또다른 측면에 의하면, M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스를 소유한 리소스 소유자가 상기 M2M 서비스 제공자 도메인에 속하는 단말, 게이트웨이 또는 엔드-유저 중 어느 하나의 개체(이하 '클라이언트'라고 칭함)의 상기 리소스에 대한 접근권한을 부여하는 방법에 있어서, 상기 클라이언트에 관한 권한부여 요청을 수신하는 과정, 상기 M2M 서비스 제공자 도메인에 속하는 MAS를 통해 상기 클라이언트를 검증하는 과정 및 상기 리소스가 위치한 개체 및 상기 MAS에 상기 클라이언트에 대한 접근 권한부여를 승인하는 과정을 포함하는 것을 특징으로 하는 M2M 통신에서 클라이언트의 리소스에 대한 접근권한을 부여하는 방법을 제공한다.According to another aspect of the present embodiment, a resource owner owning a resource located at a terminal or a gateway of an M2M service provider domain may be an entity of any one of a terminal, a gateway, or an end-user belonging to the M2M service provider domain (hereinafter referred to as 'client'). A method for granting access to the resource, the method comprising: receiving an authorization request for the client, verifying the client through a MAS belonging to the M2M service provider domain, and where the resource is located It provides a method for granting access rights to the resources of the client in the M2M communication comprising the step of granting the object and the MAS granting the access authorization to the client.

본 실시예의 또다른 측면에 의하면, DSCL 또는 GSCL상에 리소스를 보유한 단말 또는 게이트웨이가 상기 리소스에 대한 클라이언트의 접근을 허용하는 방법에 있어서, 상기 리소스의 리소스 소유자로부터 상기 클라이언트에 관한 접근권한 설정 요청을 수신하는 과정, 상기 클라이언트의 상기 리소스에 관한 접근권한을 설정하는 과정, AAA 서비스를 제공하는 서버로부터 상기 클라이언트에게 발급한 액세스 토큰을 전달받는 과정 및 상기 AAA 서비스를 제공하는 서버로부터 전달받은 액세스 토큰과 상기 클라이언트가 제시하는 액세스 토큰의 일치 여부를 바탕으로 상기 클라이언트의 상기 리소스에 대한 접근의 허용여부를 판단하는 과정을 포함하는 것을 특징으로 하는 M2M 통신에서 클라이언트의 접근을 허용하는 방법을 제공한다.According to yet another aspect of the present invention, in a method in which a terminal or a gateway having a resource on a DSCL or GSCL allows a client access to the resource, a request for setting access authority for the client from a resource owner of the resource Receiving an access token, setting an access right for the resource of the client, receiving an access token issued to the client from a server providing an AAA service, and receiving an access token from the server providing the AAA service; And determining whether to allow the client to access the resource based on whether the access token presented by the client matches.

이상에서 설명한 바와 같이 본 실시예에 의하면, M2M 서비스 제공자 도메인상의 리소스에 접근하고자 하는 개체가 해당 리소스에 접근하기 위한 인증키로서 MAS(M2M Authentication Server)로부터 임시 접근을 위한 액세스 토큰(Access Token)를 발급받아 사용함으로써, 다수의 개체 간의 정보 공유를 할 수 있는 동시에 권한이 없는 개체가 타 개체의 정보에 접근하는 것을 방지하고, 개체 간 리소스 데이터를 공유에 있어서 발생할 수 있는 보안상 위협을 방지할 수 있는 효과가 있다.As described above, according to the present embodiment, an access token (Access Token) for temporary access from an MAS (M2M Authentication Server) as an authentication key for an entity to access a resource on the M2M service provider domain to access the resource By issuing and using it, it is possible to share information among a large number of objects, prevent unauthorized objects from accessing information of other objects, and prevent a security threat that may occur in sharing resource data between objects There is an effect.

도 1은 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.
도 2는 클라이언트와 리소스 소유자가 서로 다른 M2M 서비스 제공자 도메인에 있는 경우에 있어서 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.
도 3은 클라이언트와 리소스 소유자가 서로 다른 M2M 서비스 제공자 도메인에 있고, 리소스 소유자가 NA2인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.
도 4는 클라이언트와 리소스 소유자가 서로 다른 M2M 서비스 제공자 도메인에 있고, 리소스 소유자가 D/G2인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.
도 5는 클라이언트가 M2M 서비스에 가입되어 있지 않은 경우에 있어서 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.
도 6은 클라이언트가 M2M 서비스에 가입되어 있지 않고, 리소스 소유자가 NA인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.
*도 7은 클라이언트가 M2M 서비스에 가입되어 있지 않고, 리소스 소유자가 D/G1인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.
도 8은 클라이언트와 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 속해 있는 경우에 있어서 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.
도 9는 클라이언트와 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 속해 있고, 리소스 소유자가 NA인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.
도 10은 클라이언트와 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 속해 있고, 리소스 소유자가 D/G2인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.1 is a block diagram schematically illustrating a relationship between M2M service entities.
2 is a block diagram schematically illustrating a relationship between M2M service entities when a client and a resource owner are in different M2M service provider domains.
3 is a schematic flowchart of a resource access authority setting process according to an embodiment of the present invention when a client and a resource owner are in different M2M service provider domains and the resource owner is NA2.
4 is a schematic flowchart of a resource access authority setting process according to an embodiment of the present invention when a client and a resource owner are in different M2M service provider domains and the resource owner is D / G2.
5 is a block diagram schematically illustrating a relationship between M2M service entities when a client is not subscribed to the M2M service.
6 is a schematic flowchart of a resource access authority setting process according to an embodiment of the present invention when the client is not subscribed to the M2M service and the resource owner is NA.
7 is a schematic flowchart of a resource access authority setting process according to an embodiment of the present invention when the client is not subscribed to the M2M service and the resource owner is D / G1.
8 is a block diagram schematically illustrating a relationship between M2M service entities when a client and a resource owner belong to the same M2M service provider domain.
9 is a schematic flowchart of a resource access right setting process according to an embodiment of the present invention when the client and the resource owner belong to the same M2M service provider domain and the resource owner is NA.
10 is a schematic flowchart of a resource access right setting process according to an embodiment of the present invention when the client and the resource owner belong to the same M2M service provider domain and the resource owner is D / G2.

이하, 본 실시예에 따른 M2M 통신에서 리소스 접근 권한 설정 방법을 실시하기 위한 구체적인 내용을 설명하면 다음과 같다. 도면에서 본 발명을 명확하게 설명하기 위해서 도면에서 설명과 관계없는 부분은 생략하였으며, 명세서 전체를 통하여 동일한 부분에 대해서는 동일한 도면 부호를 붙였다.Hereinafter, a method for setting a resource access right in the M2M communication according to the present embodiment will be described in detail. In order to clearly illustrate the present invention in the drawings, portions not related to the description in the drawings are omitted, and the same portions are denoted by the same reference numerals throughout the specification.

명세서 전체에서, 어떤 부분이 어떤 구성요소를 '포함'한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 이하에서 사용된 '리소스 소유자'는 해당 리소스에 접근하고자 하는 클라이언트에 대해 리소스 접근 권한부여 여부 및 그 접근 범위를 결정할 수 있는 개체로서, M2M 단말, M2M 게이트웨이 또는 M2M 애플리케이션일 수 있다. 또한, '클라이언트'는 타 M2M 단말, M2M 게이트웨이 또는 M2M 애플리케이션이 수집하거나 생성한 수집한 정보를 담고 있는 리소스에 접근하고자 하는 개체로서, M2M 서비스 제공자 도메인 내의 M2M 단말, M2M 게이트웨이 및 M2M 애플리케이션뿐만 아니라 어떠한 M2M 서비스 제공자 도메인에도 속하지 않는 엔드-유저(End-user)나 제3의 애플리케이션일 수 있다. 또한 '리소스'는 M2M 애플리케이션이 수집 또는 생성한 정보를 보유하고 있는 버킷(Bucket)으로서, 범용 리소스 식별자(Universal Resource Identifier: URI)인 리소스_URI(Resource_URI)를 사용하여 접근된다. 또한 'D/G'는 M2M 단말(Device: D) 및 M2M 게이트웨이(Gateway: G)를 의미한다. 한편, 명세서에 기재된 용어 또는 약어는 명세서에서 별도로 규정하지 않는 한 M2M 통신기술분야 및 ETSI(European Telecommunications Standards Institute)등의 M2M 기술 표준에 부합하도록 해석되어야 한다. 예를 들어, 명세서 전체에서 사용된 NSCL은 네트워크 도메인에서 M2M 서비스 능력 계층(M2M Service Capabilities Layer)를 의미한다. 또한 M2M 애플리케이션(M2M Application)은 서비스 로직(Service Logic)을 실행하고, 개방형 인터페이스를 통해 접근가능한 서비스 기능(Service Capabilities)을 사용하는 애플리케이션으로서 NA, GA, DA를 포함한다. 또한 NA는 서비스 로직을 실행하고 개방형 인터페이스를 통해 접근할 수 있는 서비스 기능을 사용하는 네트워크 및 응용 프로그램 도메인에 위치하는 애플리케이션을 말한다. 또한 GA는 서비스 로직을 실행하고 개방형 인터페이스를 통해 접근 가능한 서비스 기능을 사용하는 M2M 게이트웨이에 위치하는 애플리케이션을 말한다. 또한 DA는 서비스 로직을 실행하고 개방형 인터페이스를 통해 접근 가능한 서비스 기능을 사용하는 M2M 단말에 위치하는 애플리케이션을 말한다. 한편, 명세서 전체에서 클라이언트의 검증, 권한부여 코드 및 액세스 토큰 발급 등을 수행하는 서버를 ETSI M2M 표준분야에서 정의된 'MAS(M2M Authentication Sever)'로 기재하고 있으나, 실시예에 따라서는 인증(Authentication), 권한부여(Authorization), 어카운팅(Accounting)을 수행하는 일반적인 서버 또는 인증, 권한부여, 어카운팅 서비스를 제공하는 제3의 M2M 서비스 제공자 도메인의 서버가 될 수 있다.Throughout the specification, when an element is referred to as including an element, it is understood that it may include other elements as well, without departing from the other elements unless specifically stated otherwise. The 'resource owner' used below may be an entity that can determine whether or not to grant a resource access right to a client who wants to access the resource, and an access range thereof, and may be an M2M terminal, an M2M gateway, or an M2M application. The 'client' is an entity that wants to access resources containing collected information collected or generated by other M2M terminals, M2M gateways, or M2M applications. It can be used not only for M2M terminals, M2M gateways and M2M applications in the M2M service provider domain, And may be an end-user or a third application that does not belong to the M2M service provider domain. Also, a 'resource' is a bucket holding information collected or generated by the M2M application and is accessed using a resource URI (Resource_URI) which is a universal resource identifier (URI). Also, 'D / G' means M2M terminal (Device: D) and M2M gateway (Gateway: G). On the other hand, the terms or abbreviations stated in the specification should be interpreted to comply with M2M technical standards such as M2M communication technology field and ETSI (European Telecommunications Standards Institute) unless otherwise specified in the specification. For example, the NSCL used throughout the specification refers to the M2M Service Capabilities Layer in the network domain. M2M applications also include NA, GA, and DA as applications that execute service logic and use service capabilities that are accessible through an open interface. NA also refers to applications located in networks and application domains that use service functions that execute service logic and are accessible through an open interface. A GA is also an application located on an M2M gateway that executes service logic and uses service features accessible through an open interface. DA is also an application located on an M2M terminal that executes service logic and uses service functions accessible through an open interface. In the meantime, a server that performs verification, authorization code and access token issuance of a client is described as 'MAS (M2M Authentication Sever)' defined in the ETSI M2M standard field throughout the specification, but according to an embodiment, ), Authorization, and accounting, or a server of a third M2M service provider domain that provides authentication, authorization, and accounting services.

이제 본 발명에 따른 M2M 통신에서 리소스 접근 권한 설정 방법에 대하여 도면을 참고로 하여 상세하게 설명한다.Now, a method of setting a resource access right in the M2M communication according to the present invention will be described in detail with reference to the drawings.

도 1은 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.1 is a block diagram schematically illustrating a relationship between M2M service entities.

도 1은 M2M 통신에서 각각 별개의 서비스를 제공하는 다양한 M2M 서비스 제공자(M2M Service Provider)가 존재하는 경우를 가정하고 있다. 도 1에 도시된 바와 같이, 각 M2M 서비스 제공자 도메인(#1, #2)에는 NA(Network Application; 115, 125), NSCL(Network Service Capabilities Layer; 113, 123), MAS(M2M Authentication Server; 114, 124), GA(Gateway Application)를 포함하는 M2M 게이트웨이(Gateway; 111, 122), DA(Device Application)를 포함하는 M2M 단말(Device; 110, 112, 120, 121) 및 엔드-유저(End-user) 단말(116, 126)이 존재한다. M2M 단말들은 네트워크 도메인에 직접 접속할 수도 있고(112, 121의 경우), 네트워크 도메인의 프록시 역할을 하는 하나 이상의 게이트웨이를 거쳐 네트워크 도메인에 접속할 수도 있다(110, 120의 경우). 또한 어떠한 M2M 서비스 제공자에게도 가입되어 있지 않으면서 인터넷을 통해 외부에서 M2M 서비스 제공자 도메인에 접속하는 엔드-유저 단말(130)이 존재할 수 있다. 또한, 도 1에서는 각 M2M 서비스 제공자 도메인에 별개의 MAS가 존재하는 것으로 표현되어 있으나, 실시예에 따라서는 여러 M2M 서비스 제공자 도메인이 그 기능을 공유하는 MAS가 별도로 존재할 수도 있다.FIG. 1 assumes that there are various M2M service providers (M2M service providers) that provide separate services in the M2M communication. As shown in FIG. 1, each of the M2M service provider domains (# 1, # 2) includes a network application 115, 125, a Network Service Capabilities Layer (NSCL) 113, an MAS , An M2M gateway (Gateway) 111 and 122 including a gateway application (GA), an M2M terminal (Device 110, 112, 120 and 121) including a DA (Device Application) user terminals 116 and 126 are present. The M2M terminals may either directly connect to the network domain (112, 121) or connect to the network domain (110, 120) via one or more gateways acting as a proxy for the network domain. There may also be an end-user terminal 130 accessing the M2M service provider domain from the outside via the Internet without joining any M2M service provider. In FIG. 1, a separate MAS exists in each M2M service provider domain. However, in some embodiments, there may be a MAS in which a plurality of M2M service provider domains share the function.

한편, 리소스는 NSCL(113, 123)뿐만 아니라 단말(110, 112, 120, 121), 게이트웨이(111, 122)의 SCL상에 위치할 수도 있으나, 본 발명의 실시예에서는 D/G의 SCL상에 리소스가 위치하는 경우에 대한 권한부여 설정방법을 다루기로 한다. 리소스 소유자는 단말, 게이트웨이 및 NA가 될 수 있으며, 클라이언트는 단말, 게이트웨이, NA 및 엔드-유저가 될 수 있다.The resources may be located on the SCLs of the UEs 110, 112, 120 and 121 and the gateways 111 and 122 as well as the NSCLs 113 and 123. However, in the embodiment of the present invention, We will discuss how to set up an authorization for the case where a resource is located in a resource. The resource owner may be a terminal, a gateway and an NA, and a client may be a terminal, a gateway, an NA, and an end-user.

클라이언트가 M2M 서비스 제공자 도메인 상에 존재하는 보호된 리소스 데이터에 접근하기 위한 권한을 획득하는 방법은, 클라이언트와 리소스 소유자가 속하는 M2M 서비스 제공자 도메인의 동일 여부에 따라 다음과 같이 3가지로 구분될 수 있다. 첫째, 리소스 소유자와 클라이언트가 서로 다른 M2M 서비스 제공자 도메인에 속하는 경우이다. 이러한 경우는 특정 업종에 특화되어 전문화된 서비스를 제공하는 수직적 서비스 도메인간의 융합이 그 예이다. 예를 들어 e_Health 단말 장치와 Home Network 장치 간 또는 Home Energy 장치들 간의 상호 정보 교환을 통해 환자를 위한 최적의 환경을 조성하고자 하는 경우를 들 수 있다. 이러한 경우는 이러한 장치들이 서버를 경유하여 정보를 교환하기보다는 상호 직접 통신하는 방법이 더 효율적인 경우이다. 이를 위해서는 사전에 각 M2M 서비스 도메인에 포함된 장치들 간에 서로의 데이터에 접근할 수 있는 접근권한을 설정해 주는 과정이 필요할 것이다. 둘째, 클라이언트가 M2M 서비스 제공자 도메인의 외부에 있는 경우이다. 예를 들어 사전에 어떠한 M2M 서비스에도 가입되어 있지 않은 휴대폰 단말의 애플리케이션을 이용하여, 이 휴대폰 단말이 기상정보제공서비스와 관련된 기상측정장치와 직접 통신하여 내 회사 주변의 기온과 습도 등 기상정보를 조회하고자 하는 경우나, 휴대폰 단말이 버스의 디지털운행기록계(Digital Tachograph: DTG)와 직접 통신하여 버스의 GPS 데이터를 조회하고자 하는 경우에 해당 데이터를 조회하기 위한 접근권한을 얻는 과정이 필요할 것이다. 셋째, 클라이언트와 리소스 소유자가 모두 동일한 M2M 서비스 제공자 도메인에 속하는 경우이다. 예를 들어 Car_to_Car 통신을 이용하여 차량간 데이터 통신을 수행하는 경우나, 다양한 e_Health 단말장치들 간에 환자의 상태정보 데이터를 교환하는 경우에, 동일한 M2M 서비스에 가입된 장치라 하더라도 허락없이 다른 장치의 데이터에 접근할 수 있게 하는 것은 문제가 될 수 있으므로 접근 권한을 얻는 과정이 필요할 것이다.
The method by which the client obtains the right to access the protected resource data existing on the M2M service provider domain can be classified into the following three types according to whether or not the client and the M2M service provider domain to which the resource owner belongs are the same . First, the resource owner and client belong to different M2M service provider domains. This is an example of a convergence between vertical service domains that provide specialized services tailored to specific industries. For example, there is a case where an optimal environment for a patient is created by exchanging mutual information between e_Health terminal device and home network device or Home Energy device. This is the case when these devices are more efficient in communicating directly with each other than exchanging information via a server. In order to do this, it will be necessary to set up access rights to each other's data among devices included in each M2M service domain in advance. Second, the client is outside the M2M service provider domain. For example, by using an application of a cellular phone terminal not previously registered in any M2M service, the cellular phone terminal directly communicates with a weather measurement device related to a weather information providing service to inquire weather information such as temperature and humidity around the company Or if the mobile terminal directly communicates with the digital tachograph (DTG) of the bus to inquire the GPS data of the bus, it is necessary to obtain the access right to inquire the corresponding data. Third, both the client and the resource owner belong to the same M2M service provider domain. For example, in the case of performing data communication between vehicles using Car_to_Car communication or exchanging patient status information data between various e_Health terminal devices, even if the device is subscribed to the same M2M service, To access them will be problematic and will require a process of gaining access.

이하에서는 도 2 및 도 3을 참조하여 클라이언트와 리소스 소유자가 서로 다른 M2M 서비스 제공자 도메인에 있는 첫번째 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한을 부여하는 방법을 설명하기로 한다.Hereinafter, a method for granting a resource access right according to an embodiment of the present invention in a first case where a client and a resource owner are in different M2M service provider domains will be described with reference to FIG. 2 and FIG.

도 2는 클라이언트와 리소스 소유자가 서로 다른 M2M 서비스 제공자 도메인에 있는 경우에 있어서 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.2 is a block diagram schematically illustrating a relationship between M2M service entities when a client and a resource owner are in different M2M service provider domains.

도 2는 M2M 서비스 제공자 #1 도메인에 속하는 D/G1(200), NA1(230) 또는 엔드-유저(240)가 M2M 서비스 제공자 #2 도메인에 속하는 D/G2(260) 상에 위치한 리소스에 접근하고자 하는 경우를 가정하고 있다.2 shows an example in which the D / G1 200, the NA1 230 or the end-user 240 belonging to the M2M service provider # 1 domain accesses the resource located on the D / G2 260 belonging to the M2M service provider # And the like.

D/G2(260)에 위치한 리소스에 대한 D/G1(200)의 접근을 허용할지 여부 및 접근범위를 결정하는 개체는 해당 리소스가 담고 있는 정보를 생성 또는 수집한 D/G2(280)이거나 해당 M2M 서버상의 NA2(290)일 수 있다. 따라서 클라이언트가 M2M 서비스 제공자 #1 도메인에 속하는 D/G1(200), NA1(230) 또는 엔드-유저(240)이고, 리소스 소유자가 M2M 서비스 제공자 #2 도메인의 NA2(290)인 경우이다.The entity determining whether to allow access of the D / G1 200 to the resource located in the D / G2 260 and the scope of access is the D / G2 280 that has generated or collected the information contained in the resource, May be NA2 290 on the M2M server. Therefore, the client is D / G1 200, NA1 230 or end-user 240 belonging to the M2M service provider # 1 domain and the resource owner is NA2 290 of the M2M service provider # 2 domain.

앞서 언급한 바와 같이, 도 2에서는 각 M2M 서비스 제공자 도메인에 별개의 MAS(210, 270)가 존재하는 것으로 표현되어 있으나, 실시예에 따라서는 인증, 권한부여, 어카운팅 서비스를 제공하는 제3의 M2M 서비스 제공자 도메인의 서버가 MAS(210, 270)의 기능을 대신할 수도 있다.As described above, in FIG. 2, a separate MAS 210 and MAS 210 exist in each M2M service provider domain, but according to an embodiment, a third M2M service providing an authentication, authorization, The server of the service provider domain may replace the functions of the MAS 210 and 270. [

도 3은 클라이언트와 리소스 소유자가 서로 다른 M2M 서비스 제공자 도메인에 있고, 리소스 소유자가 NA2인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.3 is a schematic flowchart of a resource access authority setting process according to an embodiment of the present invention when a client and a resource owner are in different M2M service provider domains and the resource owner is NA2.

도 3의 메커니즘은 클라이언트가 D/G1인 경우에 대하여 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 메커니즘을 설명하고 있으나, 클라이언트가 NA(230), 엔드-유저(240)인 경우에도 동일한 접근 권한 설정 메커니즘이 적용될 수 있음에 유의하여야 한다.Although the mechanism of FIG. 3 illustrates a resource access authority setting mechanism according to an embodiment of the present invention when the client is D / G1, even when the client is the NA 230 and the end-user 240, It should be noted that the authority setting mechanism may be applied.

STEP 00은 ETSI M2M 표준에 따른 사전 절차 수행 단계이다. 사전 절차로서 클라이언트는 M2M 서비스 부트스트랩, M2M 서비스 연결, SCL 등록 절차를 완료한다. 또한 D/G1(200)이 D/GSCL과의 관계에서 DA, GA1의 등록 절차를 수행하는 것이 전제될 수도 있다.STEP 00 is a preliminary step according to the ETSI M2M standard. As a preliminary step, the client completes the M2M service bootstrap, the M2M service connection, and the SCL registration procedure. It may also be assumed that the D / G1 200 performs the registration procedure of DA and GA1 in relation to the D / GSCL.

STEP 01은 클라이언트 등록 단계(S310)이다. D/G1(200)은 NSCL1(210)에 클라이언트 등록 과정을 수행하여 클라이언트 크리덴셜(Client Credentials)로서 클라이언트_식별자(Client_ID) 및 클라이언트_시크릿(Client_Secret)을 할당받게 된다. NSCL1(210)은 D/G1(200)으로부터 클라이언트 등록 메시지를 수신하면 클라이언트 등록 메시지를 MAS1(210)에 전달한다. 클라이언트 등록 메시지를 전달받은 MAS1(210)은 D/G1(200)에 대한 클라이언트_식별자 및 클라이언트_시크릿을 생성하고 이를 NSCL1(210)을 통해 D/G1(200)에게 할당한다. 클라이언트_식별자 및 클라이언트_시크릿의 생성방식에는 제한이 없으나, 예를 들어, MAS1(210)은 클라이언트의 애플리케이션 식별자(App_ID), 노드 식별자(Node_ID), 서비스 연결 식별자(Service Connection_ID), SCL 식별자(SCL_ID) 등과 같은 ETSI M2M 표준에서 규정하고 있는 식별자(Identifier: ID)들 중 어느 하나를 클라이언트_식별자로 할당하거나, 이들 식별자에 애플리케이션 키(Application Key), 루트 키(Root Key), 연결 키(Connection Key)와 같은 하나 이상의 키들을 결합하여 생성된 값을 클라이언트_식별자로 할당할 수도 있을 것이다. 또한 클라이언트_시크릿은 이들 식별자와 키 중 적어도 하나 이상을 이용하여 다양한 방식으로 생성될 수 있을 것이다.Step 01 is a client registration step (S310). The D / G1 200 performs a client registration process to the NSCL1 210 and receives a client_id (Client_ID) and a client_secret (Client_Secret) as client credentials. Upon receiving the client registration message from the D / G 1 200, the NSCL 210 transmits a client registration message to the MAS 1 210. The MAS1 210 receiving the client registration message generates a client_identifier and a client_secret for the D / G1 200 and allocates the client_identifier and the client_secret to the D / G1 200 through the NSCL1 210. For example, the MAS1 210 includes a client application identifier (App_ID), a node identifier (Node_ID), a service connection identifier (Service Connection_ID), an SCL identifier (SCL_ID (ID) defined in the ETSI M2M standard, such as an application key, a root key, a connection key, and the like, are assigned to the client_identifier, ) May be combined to assign the generated value to the client_id. The client_secret may also be created in a variety of ways using at least one of these identifiers and keys.

STEP 02는 서비스/리소스 검색 단계(S320)이다. 클라이언트가 권한부여 절차를 시작하기 위해서는 클라이언트가 필요로 하는 서비스를 제공하거나 리소스 정보를 가진 리소스 소유자를 찾는 절차가 필요하다. 위 서비스/리소스 검색 단계를 통하여 클라이언트는 리소스 소유자에 대한 정보(ID 또는 URI)와 리소스가 위치한 리소스 서버(D/GSCL)의 위치를 알게 된다. 이를 위해 리소스가 위치한 NSCL2(220)를 통해 리소스 소유자의 위치(ID 또는 URI)와 리소스가 위치한 리소스 서버(D/GSCL)의 위치 등에 관한 정보를 획득하는 방법을 고려할 수 있다. 예를 들어 서비스/리소스 검색 단계(S320)는 D/G1(200)이 NSCL(220)에 원하는 정보의 종류 등에 관한 검색 필터 기준(Discovery Filter Criteria) 등이 포함된 검색 메시지를 보내는 과정, NSCL1(220)이 검색 리소스(Discovery Resource)를 가지고 있는 NSCL2(260)에 검색 메시지를 전달하는 과정, NSCL2(220)는 검색 리소스를 이용하여 D/G1(200)이 제시한 검색 필터 기준과 매칭되는 리소스_URI 리스트를 검색하고 그 결과를 D/G1(200)에 전송하는 과정을 포함할 수 있다. 또한 서비스/리소스 검색 단계(S320)에서는 리소스 소유자인 D/G2(280), NA2(290)가 클라이언트인 D/G1(200)에게 자신의 URI, 리소스_URI 중 적어도 하나 이상을 알려주는 방법도 고려할 수 있을 것이다. 한편 클라이언트가 리소스 소유자 또는 리소스_URI를 이미 알고 있는 경우나 리소스 소유자 및 리소스의 위치가 사전에 설정되어 있는 경우에는 위 서비스/리소스 검색 단계는 생략될 수 있다. 즉, 클라이언트는 권한부여 요청 단계(S330) 이전에 리소스_URI 정보를 얻을 수 있는데, 이는 서비스/리소스 검색 단계(S320)에서 얻을 수도 있고, 서비스 제공자의 설정 내지 정책이나 다른 절차 등에 의해 사전에 리소스 소유자로부터 전달받을 수 있다.Step 02 is a service / resource search step (S320). In order for the client to initiate the authorization process, there is a need to provide a service that the client needs or to find the resource owner with the resource information. Through the above service / resource search step, the client knows information (ID or URI) about the resource owner and the location of the resource server (D / GSCL) where the resource is located. For this, a method of acquiring information on the location (ID or URI) of the resource owner and the location of the resource server (D / GSCL) where the resource is located can be considered through the NSCL2 220 where the resource is located. For example, the service / resource search step S320 may include a process in which the D / G1 200 sends a search message including a discovery filter criterion (Discovery Filter Criteria) about the type of information desired by the D / G1 200 to the NSCL 220. The process of delivering the search message to the NSCL2 260 having the discovery resource 220, the NSCL2 220 uses the search resource to match the search filter criteria suggested by the D / G1 200. The _URI list may be retrieved and the result may be transmitted to the D / G1 200. In the service / resource search step S320, the D / G2 280 and NA2 290, which are the resource owners, notify the D / G1 200 that the client is at least one of the URI and the resource_URI thereof . On the other hand, if the client already knows the resource owner or the resource_URI, or if the location of the resource owner and the resource is preset, the above service / resource search step may be omitted. That is, the client can obtain the resource_URI information before the authorization request step (S330), which can be obtained in the service / resource search step (S320), or can be obtained in advance by the setting or policy of the service provider, You can get it from the owner.

STEP 03은 권한부여 요청 단계(S330)이다. 권한부여 요청 단계(S330)에서 클라이언트는 리소스 소유자에게 권한부여 요청(Authorization Request)을 수행한다. D/G1(200)은 권한부여 요청 메시지를 NSCL1(220)을 거쳐 NSCL2(260)에 전송한다. 한편, 권한부여 요청 메시지에는 authorization_type, resource_uri, client_id, client_secret, access_scope, callback_uri, state 등의 파라미터 중 하나 이상의 파라미터가 사용될 수 있다. 여기서 authorization_type은 권한부여 타입을 의미하고, client_id 및 client_secret은 클라이언트 크리덴셜을 의미하고, resource_uri는 리소스의 위치 정보를 의미하고, state는 권한부여 단계에서 클라이언트나 권한부여 서버 등이 서로 주고 받는 임의의 값을 의미한다. 또한 access_scope는 요청하는 접근 범위 즉, Creat/Retrieve/Update/Delete 중 요청하는 권한 범위 또는 접근 권한이 필요한 정보는 어떠한 것이 있는지에 관한 파라미터이다. NSCL2(260)는 리소스_URI에 대응하는 리소스 소유자가 누구인지를 SCL 또는 애플리케이션 리소스 레벨에서 검색한다. NSCL2(260)는 검색된 리소스 소유자인 NA2(290)에게 권한부여 요청 메시지를 전달한다.STEP 03 is an authorization request step (S330). In the authorization request step (S330), the client performs an authorization request to the resource owner. The D / G 1 200 transmits an authorization request message to the NSCL 2 260 via the NSCL 1 220. On the other hand, one or more of parameters such as authorization_type, resource_uri, client_id, client_secret, access_scope, callback_uri, and state may be used for the authorization request message. Here, authorization_type means authorization type, client_id and client_secret means a client credential, resource_uri means location information of a resource, and state means an arbitrary value . Also, access_scope is a parameter about what kind of information is required in the request access range, ie, Creature / Retrieve / Update / Delete request scope or access authority. NSCL2 260 retrieves at the SCL or application resource level who is the resource owner corresponding to resource_URI. NSCL2 260 delivers an authorization request message to NA2 290, the retrieved resource owner.

STEP 04는 클라이언트 검증(Verification) 단계(S340)이다. 리소스 소유자는 권한부여 요청 메시지에 대하여 해당 클라이언트에 대한 검증을 수행한다. 클라이언트를 검증하는 방법에는 MAS1(210)에 클라이언트의 검증을 요청하는 방법, 리소스 소유자에 연결된 엔드-유저가 검증을 해주는 방법, M2M 서비스 제공자(NSCL2/NA2, 260/290)에 검증을 요청하고 서비스 제공자의 접근권한 부여 정책에 따라 검증하는 방법이 있을 수 있다. 예시적으로, MAS1(210)에 클라이언트의 검증을 요청하는 방법은 NA2(290)가 D/G1(200)이 등록된 MAS1(210)에 클라이언트의 검증을 요청하는 과정, MAS1(210)이 클라이언트 크리덴셜을 기초로 D/G1(200)이 정상적으로 MAS1(210)에 등록된 장치인지 여부 등을 판단하는 검증 수행 과정 및 검증 수행 결과를 바탕으로 리소스 소유자에게 클라이언트 검증 응답 메시지를 전달하는 과정을 포함할 수 있다. 한편, 검증 요청 메시지에는 클라이언트 크리덴셜(클라이언트_식별자, 클라이언트_시크릿) 등의 파라미터가 포함될 수 있으며, 클라이언트 검증 응답 메시지에는 클라이언트 크리덴셜, 인증서(Certificates) 등이 포함될 수 있다.Step 04 is a client verification step (S340). The resource owner performs validation on the client for the authorization request message. A method for verifying a client includes a method of requesting a client to verify the MAS1 210, an end-user verifying method connected to the resource owner, a verification request to the M2M service provider (NSCL2 / NA2, 260/290) There may be a method of verifying according to the granting policy of the provider. As a method for requesting the MAS1 210 to verify the client, a process in which the NA2 290 requests the MAS1 210 registered with the D / G1 200 to verify the client, And a process of transmitting a client verification response message to a resource owner based on a verification performing process and a verification result of determining whether the D / G1 200 is normally registered in the MAS1 210 based on the credential can do. Meanwhile, the verification request message may include a parameter such as a client credential (client_identifier, client_secret), and the client verification response message may include a client credential, a certificate, and the like.

STEP 05는 권한부여 승인 단계(S350)이다. 클라이언트 인증이 정상적으로 완료되면 NA2(290)는 D/G1(200)이 해당 리소스에 접근할 수 있도록 접근 권한을 설정하도록 NSCL2(260)을 거쳐 D/G2(280)에 요청한다. 접근 권한 설정을 요청하는 메시지에는 client_id, client_secret, access_scope, resource_location 등의 파라미터 중 적어도 하나 이상의 파라미터가 포함될 수 있다. 여기서 client_id 및 client_secret는 클라이언트 크리덴셜에 관한 파라미터이고, access_scope는 리소스 소유자가 허용하고자 하는 접근 범위에 관한 파라미터이다. resource_location은 리소스가 저장되어 있는 위치에 관한 파라미터로서, 예를 들어 리소스_URI 정보를 제공할 수 있다. D/G2(280)는 NA2(290)의 요청에 따라 해당 리소스에 대한 접근권한 리소스(accessRight resource)를 생성하거나 이미 접근권한 리소스가 존재할 경우에는 그 속성을 갱신(Update)한다. 여기서, 접근권한 리소스는 보호된 리소스에 대한 접근 권한에 대한 정보, 즉 보호된 리소스에 어떠한 개체가 무엇을 할 수 있는지에 관한 정보를 저장하고 있는 리소스이다. NA2(290)는 D/G1(200)에 대한 권한부여가 승인되었음을 알리는 권한부여 승인 메시지를 NSCL2(260)를 거쳐 MAS2(270)에 전송한다. 권한부여 승인 메시지에는 클라이언트_식별자를 비롯하여 리소스의 저장위치에 관한 정보, 예를 들어 NSCL에 저장되어 있는지 혹은 D/G2에게 저장되어 있는지 등의 정보가 포함될 수 있다.STEP 05 is an authorization granting step (S350). When the client authentication is normally completed, the NA2 (290) requests the D / G2 (280) via the NSCL2 (260) to set the access right so that the D / G1 (200) can access the resource. The message requesting the access authority setting may include at least one parameter of the client_id, client_secret, access_scope, and resource_location parameters. Where client_id and client_secret are the parameters for the client credential and access_scope is the parameter for the access scope that the resource owner wants to allow. resource_location is a parameter related to a location where a resource is stored, and can provide, for example, resource_URI information. The D / G 2 280 generates an access right resource for the resource according to the request of the NA 2 290, or updates the attribute if the resource that has already been accessed exists. Here, the access right resource is a resource that stores information on access rights to the protected resource, that is, information about which entity can do with the protected resource. NA2 290 sends an authorization grant message to MAS2 270 via NSCL2 260 indicating that authorization to D / G1 200 has been granted. The authorization grant message may include information about the storage location of the resource, including the client_id, such as whether it is stored in the NSCL or in the D / G2.

STEP 06은 선택적 절차로서, 권한부여 코드 발급 및 액세스 토큰 요청 단계(S360)이다. MAS2(270)는 D/G1(200)의 권한부여 요청이 승인되었다는 증거로, 권한부여 코드(Authorization Code)를 생성하여 NSCL1 및 NSCL2를 거쳐 D/G1(200)에게 발급한다. D/G1(200)은 발급받은 권한부여 코드를 사용하여, 리소스 정보를 조회하기 위해 요구되는 액세스 토큰(Access Token)의 발급을 NSCL1 및 NSCL2를 거쳐 MAS2(270)에 요청한다. 한편, 액세스 토큰 발급 요청 메시지에는 authorization_type, code, callback_uri, client_id, client_secret 등의 파라미터 중 하나 이상의 파라미터가 사용될 수 있다. 여기서, authorization_type은 권한부여 타입을, code는 권한부여 코드를, callback_uri는 권한부여를 요청한 클라이언트 자신의 ID 또는 URI를, client_id 및 client_secret는 클라이언트 크리덴셜 정보를 나타내는 파라미터이다.STEP 06 is an optional procedure, issuing an authorization code and requesting an access token (step S360). The MAS2 270 generates an authorization code and issues the authorization code to the D / G1 200 via the NSCL1 and the NSCL2 as evidence that the authorization request of the D / G1 200 is approved. The D / G 1 200 requests the MAS 2 270 via NSCL 1 and NSCL 2 to issue an access token (Access Token) required for inquiring resource information, using the issued authorization code. On the other hand, one or more of parameters such as authorization_type, code, callback_uri, client_id, and client_secret may be used in the access token issuance request message. Here, authorization_type is an authorization type, code is an authorization code, callback_uri is an ID or URI of a client that requested authorization, and client_id and client_secret are parameters indicating client credential information.

STEP 07은 액세스 토큰 발급 단계(S370)이다. MAS2(270)는 D/G1(200)의 권한부여 코드를 체크하고, 확인이 되면 액세스 토큰을 생성하여 리소스가 위치한 D/G2(280)에 전달하고, 허용된 접근범위와 함께 액세스 토큰을 D/G1(200)에게 발급한다. 또한 MAS2(270)는 생성된 액세스 토큰을 NSCL2(260)에게도 전송할 수 있는데, NSCL2(260)는 D/G1(200)이 D/G2(280)에 위치한 리소스에 접근할 때에 요청 메시지를 전달해 줄 클라이언트인지 확인하기 위해 전달받은 액세스 토큰을 사용할 수 있다. 실시예에 따라서 NSCL(260)이 MAS2(270)을 대신하여 자신이 전송받은 액세스 토큰을 허용된 접근범위와 함께 MAS2(270)을 대신하여 D/G1(200)에게 전송할 수 있다. SETP 06이 생략될 경우 MAS2(270)는 권한부여 코드를 체크하지 않고, STEP 05에서 리소스 소유자로부터 권한부여 승인 메시지를 수신한 후 액세스 토큰을 생성한다. D/G2(280)는 수신한 액세스 토큰과 접근권한 리소스를 매핑하여 관리한다. MAS2(270)는 액세스 토큰의 갱신을 위하여 액세스 토큰과 함께 갱신 토큰(Refresh Token)을 발급할 수 있다. 한편, 발급되는 액세스 토큰이 포함된 메시지에는 token_type, expiration_time, access_scope, state, client_id, client_secret, resource_location 등의 파라미터 중 하나 이상의 파라미터가 사용될 수 있다. token_type는 토큰 값을 어떤 방법에 의해 생성했는지를 나타내는 파라미터로서, 가령 어떤 암호화 방식에 의해 토큰 값을 생성했는지 등의 정보를 담고 있다. expiration_time은 access_token의 만료시간에 관한 파라미터이고, access_scope는 리소스 소유자가 가진 전체 리소스에 대한 Create/Retrieve/Update /Delete 중 허용된 접근권한 범위 또는 접근할 수 있는 개별 리소스의 범위에 관한 파라미터이다. state는 클라이언트와 권한부여 서버 간에 메시지 교환시 사용되는 임의의 값에 관한 파라미터이고, client_id 및 client_secret은 클라이언트 크리덴셜 정보를 나타내는 파라미터이다. resource_location은 리소스가 NSCL에 저장되어 있는지 또는 DA 등의 리소스 소유자에 저장되어 있는지에 관한 정보를 담고 있는 파라미터이다.Step 07 is an access token issue step (S370). The MAS2 270 checks the authorization code of the D / G1 200, generates an access token when it is confirmed, transfers the access token to the D / G2 280 where the resource is located, / G1 (200). The MAS2 270 may also transmit the generated access token to the NSCL2 260. The NSCL2 260 sends a request message when the D / G1 200 accesses a resource located in the D / You can use the received access token to verify that it is a client. The NSCL 260 may transmit the access token received by the NSCL 260 on behalf of the MAS2 270 to the D / G 1 200 on behalf of the MAS2 270 with the allowed access range. If SETP 06 is omitted, MAS2 270 does not check the authorization code, but generates an access token after receiving an authorization grant message from the resource owner in STEP 05. The D / G2 280 manages the received access token by mapping the access right resource. MAS2 270 may issue an update token with an access token for updating the access token. On the other hand, the message including the issued access token may include one or more parameters such as token_type, expiration_time, access_scope, state, client_id, client_secret, and resource_location. token_type is a parameter indicating by which method the token value is generated, for example, information such as which encryption method the token value was generated. expiration_time is a parameter related to the expiration time of access_token, and access_scope is a parameter regarding a range of allowed access rights or a range of individual resources that can be accessed during Create / Retrieve / Update / Delete for the entire resource owned by the resource owner. state is a parameter relating to an arbitrary value used in message exchange between a client and an authorization server, and client_id and client_secret are parameters representing client credential information. resource_location is a parameter that contains information about whether the resource is stored in the NSCL or the resource owner such as DA.

STEP 08은 보호된 리소스에 접근하는 단계(S380)이다. D/G1(200)는 액세스 토큰을 기초로 D/G2(280)에 위치한 리소스에 접근하여 정보를 조회한다. D/G2(280)는 D/G1(200)로부터 전송받은 액세스 토큰과 자신이 MAS2(270)로부터 수신한 액세스 토큰이 일치하는지 여부를 체크하고, 접근권한 리소스를 확인하여 해당 액세스 토큰과 매칭되는 접근 권한 범위내에서 해당 리소스에 대한 D/G1(200)의 접근을 허용한다.STEP 08 is a step of accessing the protected resource (S380). The D / G 1 200 accesses the resource located in the D / G 2 280 based on the access token and inquires the information. The D / G2 280 checks whether the access token received from the D / G1 200 and the access token received from the MAS2 270 match, and checks the access right resource to match the corresponding access token. Allow access of the D / G1 200 to the resource within the range of access rights.

도 4은 클라이언트와 리소스 소유자가 서로 다른 M2M 서비스 제공자 도메인에 있고, 리소스 소유자가 D/G2인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.4 is a schematic flowchart of a resource access right setting process according to an embodiment of the present invention when the client and the resource owner are in different M2M service provider domains and the resource owner is D / G2.

도 4 메커니즘은 클라이언트가 D/G1인 경우에 대하여 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 메커니즘을 설명하고 있으나, 클라이언트가 NA(230), 엔드-유저(240)인 경우에도 동일한 접근 권한 설정 메커니즘이 적용될 수 있음에 유의하여야 한다.4 illustrates a resource access authority setting mechanism according to an embodiment of the present invention when the client is D / G1. However, even if the client is the NA 230 and the end-user 240, It should be noted that a setting mechanism can be applied.

STEP 01(S410), STEP 02(S420), STEP 06(S460), STEP 07(S470), STEP 08(S480)에서는 각각 도 3의 해당 STEP과 동일한 과정이 수행되므로 설명은 생략하고, 이하에서는 STEP 03, STEP 04, STEP 05에 대해서 설명하기로 한다.3 are performed in STEP 01 (S410), STEP 02 (S420), STEP 06 (S460), STEP 07 (S470) and STEP 08 (S480) 03, STEP 04, and STEP 05 will be described.

STEP 03은 권한부여 요청 단계(S430)이다. 권한부여 요청 단계(S430)에서 클라이언트는 리소스 소유자에게 권한부여 요청(Authorization Request)을 수행한다. D/G1(200)은 권한부여 요청 메시지를 NSCL1(220)을 거쳐 NSCL2(260)에 전송한다. NSCL2(260)는 리소스_URI에 대응하는 리소스 소유자가 누구인지를 SCL 또는 애플리케이션 리소스 레벨에서 검색한다. 검색된 리소스 소유자인 D/G2(280)에게 NSCL2(260)는 권한부여 요청 메시지를 전달한다. 한편, 권한부여 요청 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 03과 동일하므로 설명을 생략한다.Step 03 is an authorization request step (S430). In the authorization request step (S430), the client performs an authorization request to the resource owner. The D / G 1 200 transmits an authorization request message to the NSCL 2 260 via the NSCL 1 220. NSCL2 260 retrieves at the SCL or application resource level who is the resource owner corresponding to resource_URI. The NSCL2 260 transmits an authorization request message to the D / G2 280, which is the searched resource owner. Meanwhile, parameters that can be included in the authorization request message are the same as those in STEP 03 of FIG. 3, and thus description thereof will be omitted.

STEP 04는 클라이언트 검증(Verification) 단계(S440)이다. 리소스 소유자는 권한부여 요청 메시지에 대하여 해당 클라이언트에 대한 검증을 수행한다. 클라이언트를 검증하는 방법에는 MAS1(210)에 클라이언트의 검증을 요청하는 방법, 리소스 소유자에 연결된 엔드-유저가 검증을 해주는 방법, M2M 서비스 제공자(NSCL2/NA2, 260/290)에 검증을 요청하고 서비스 제공자의 접근권한 부여 정책에 따라 검증하는 방법이 있을 수 있다. 예시적으로, MAS1(210)에 클라이언트의 검증을 요청하는 방법은 D/G2(280)가 NSCL2(260) 및 NSCL1(220)을 거쳐 D/G1(200)이 등록된 MAS1(210)에 클라이언트의 검증을 요청하는 과정, MAS1(210)이 클라이언트 크리덴셜을 기초로 D/G1(200)이 정상적으로 MAS1(210)에 등록된 장치인지 여부 등을 판단하는 검증 수행 과정 및 검증 수행 결과를 바탕으로 MAS1(210)이 NSCL1(220) 및 NSCL2(260)을 거쳐 D/G2(280)에게 클라이언트 검증 응답 메시지를 전달하는 과정을 포함할 수 있다. 한편, 검증 요청 메시지에는 클라이언트 크리덴셜(클라이언트_식별자, 클라이언트_시크릿) 등의 파라미터가 포함될 수 있으며, 클라이언트 검증 응답 메시지에는 클라이언트 크리덴셜, 인증서(Certificates) 등이 포함될 수 있다.Step 04 is a client verification step (S440). The resource owner performs validation on the client for the authorization request message. A method for verifying a client includes a method of requesting a client to verify the MAS1 210, an end-user verifying method connected to the resource owner, a verification request to the M2M service provider (NSCL2 / NA2, 260/290) There may be a method of verifying according to the granting policy of the provider. A method of requesting the MAS1 210 to verify the client may be performed by the D / G2 280 via the NSCL2 260 and the NSCL1 220 and with the MAS1 210 registered with the D / Based on the verification process and verification result of determining whether the MAS1 210 determines whether the D / G1 200 is normally registered in the MAS1 210 based on the client credential The MAS1 210 may transmit the client verification response message to the D / G2 280 via the NSCL1 220 and the NSCL2 260. [ Meanwhile, the verification request message may include a parameter such as a client credential (client_identifier, client_secret), and the client verification response message may include a client credential, a certificate, and the like.

STEP 05는 권한부여 승인 단계(S450)이다. 클라이언트 인증이 정상적으로 완료되면 D/G2(280)는 D/G1(200)이 해당 리소스에 접근할 수 있도록 해당 리소스에 대한 접근권한 리소스(accessRight resource)를 생성하거나 이미 접근권한 리소스가 존재할 경우에는 그 속성을 갱신(Update)한다. 여기서, 접근권한 리소스는 보호된 리소스에 대한 접근 권한에 대한 정보, 즉 보호된 리소스에 어떠한 개체가 무엇을 할 수 있는지에 관한 정보를 저장하고 있는 리소스이다. D/G2(280)는 D/G1(200)에 대한 접근 권한부여가 승인되었음을 알리는 권한부여 승인 메시지를 NSCL2(260)를 거쳐 MAS2(270)에 전송한다. 권한부여 승인 메시지에는 클라이언트_식별자를 비롯하여 리소스의 저장위치에 관한 정보, 예를 들어 NSCL에 저장되어 있는지 혹은 DA 등의 리소스 소유자에게 저장되어 있는지 등의 정보가 포함될 수 있다.
Step 05 is an authorization granting step (S450). When the client authentication is normally completed, the D / G 2 280 generates an accessRight resource for the resource so that the D / G 1 200 can access the resource, Update the attribute. Here, the access right resource is a resource that stores information on access rights to the protected resource, that is, information about which entity can do with the protected resource. The D / G2 280 transmits an authorization grant message to the MAS2 270 via the NSCL2 260 indicating that granting of access authorization to the D / G1 200 is approved. The authorization grant message may include information about the storage location of the resource, including the client_id, such as whether it is stored in the NSCL or in the resource owner, such as DA.

이하에서는 도 5 내지 도 7을 참조하여 클라이언트가 M2M 서비스에 가입되어 있지 않은 경우에 M2M 서비스 제공자 도메인 상의 리소스에 대한 접근 권한을 설정하는 방법을 설명하기로 한다. Hereinafter, a method of setting an access right to a resource on an M2M service provider domain in the case where a client is not subscribed to the M2M service will be described with reference to FIG. 5 to FIG.

도 5는 클라이언트가 M2M 서비스에 가입되어 있지 않은 경우에 있어서 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.5 is a block diagram schematically illustrating a relationship between M2M service entities when a client is not subscribed to the M2M service.

도 5에 도시된 바와 같이 어떠한 M2M 서비스 제공자 도메인에도 속하지 않은 엔드-유저(510) 또는 제3 애플리케이션(Third-party Applicaion, 515)이 M2M 서비스 제공자 도메인의 D/G(530)의 SCL상에 위치한 리소스에 접근하고자 하는 경우를 가정하자.As shown in FIG. 5, the end-user 510 or the third-party application 515, which does not belong to any M2M service provider domain, is located on the SCL of the D / G 530 of the M2M service provider domain Suppose you want to access a resource.

이 경우 엔드-유저(510) 및 제3 애플리케이션이 클라이언트가 되며, 엔드 유저(510) 또는 제3 애플리케이션(515)이 NA(520)에 등록 또는 가입한 뒤 M2M 서비스 중에 필요한 리소스에 대해서만 선별적으로 접근 권한을 얻도록 구성될 필요가 있다.In this case, the end-user 510 and the third application become clients, and after the end user 510 or the third application 515 registers or subscribes to the NA 520, only the resources required during the M2M service are selectively It needs to be configured to gain access rights.

도 6, 도 7 및 이하의 설명에서 클라이언트가 엔드-유저(510) 애플리케이션인 경우에 대하여 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 메커니즘을 설명하고 있으나, 제3 애플리케이션인 경우에도 동일한 리소스 접근 권한 설정 메커니즘이 적용될 수 있음을 유의해야 한다.Although the resource access authority setting mechanism according to an embodiment of the present invention is described with reference to FIGS. 6 and 7 and the client is an end-user 510 application, the same resource access It should be noted that a privilege setting mechanism may be applied.

도 6는 클라이언트가 M2M 서비스에 가입되어 있지 않고, 리소스 소유자가 NA인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.6 is a schematic flowchart of a resource access right setting process according to an embodiment of the present invention when the client is not subscribed to the M2M service and the resource owner is NA.

도 6에서 각 개체들간의 관계를 살펴보면, 엔드-유저 애플리케이션(End-user Application: 이하 EUA라고 한다)(510)이 M2M 서비스 제공자 도메인에 가입하지 않은 독립적인 관계에 있으며, EUA(510)가 클라이언트, NA(520)가 리소스 소유자에 해당한다. 여기서 D/G(550)는 리소스 접근 권한 설정 과정에 특별히 관여하지 않는다.Referring to FIG. 6, an end-user application (EUA) 510 is independent of the M2M service provider domain, and the EUA 510 is a client , The NA 520 corresponds to the resource owner. Here, the D / G 550 is not particularly involved in the resource access authority setting process.

STEP 00은 ETSI M2M 표준에 따른 사전 절차 수행 단계이다. 사전 절차로서 클라이언트는 M2M 서비스 부트스트랩, M2M 서비스 연결, SCL 등록 절차를 완료한다.STEP 00 is a preliminary step according to the ETSI M2M standard. As a preliminary step, the client completes the M2M service bootstrap, the M2M service connection, and the SCL registration procedure.

STEP 01은 클라이언트 등록 단계(S610)이다. EUA(510)는 NA(520)를 통해 클라이언트 등록 과정을 수행하여 클라이언트 크리덴셜(Client Credentials)로서 클라이언트_식별자(Client_ID) 및 클라이언트_시크릿(Client_Secret)을 할당받게 된다. 즉, M2M 서비스 제공자 도메인 밖의 엔드-유저 애플리케이션이 NSCL(530)이 아닌 NA(520)를 접촉점(Contact Point)로 하여 클라이언트 등록 절차를 수행한다는 점에서 도 3의 STEP 01과 구별된다. NA(520)는 EUA(510)으로부터 클라이언트 등록 메시지를 수신하면 클라이언트 등록 메시지를 MAS(540)에 전달한다. 클라이언트 등록 메시지를 전달받은 MAS(540)는 EUA(510)에 대한 클라이언트_식별자 및 클라이언트_시크릿을 생성하고 이를 NA(520)을 통해 EUA(510)에게 할당한다. 한편, 클라이언트_식별자 및 클라이언트_시크릿의 생성방법은 도 3의 STEP 01과 동일하므로 설명을 생략한다.Step 01 is a client registration step (S610). The EUA 510 performs the client registration process through the NA 520 and receives the client_id (Client_ID) and the client_secret (Client_Secret) as the client credentials. That is, it is distinguished from STEP 01 in FIG. 3 in that an end-user application outside the M2M service provider domain performs the client registration procedure with the NA 520 as the contact point, rather than the NSCL 530. Upon receiving the client registration message from the EUA 510, the NA 520 delivers a client registration message to the MAS 540. The MAS 540 receiving the client registration message generates the client_identifier and the client_secret for the EUA 510 and allocates the client_identifier and the client_secret to the EUA 510 via the NA 520. On the other hand, the method of generating the client_identifier and the client_secret is the same as that in STEP 01 of FIG. 3, and thus the description thereof will be omitted.

STEP 02는 서비스/리소스 검색 단계(S620)이다. 클라이언트가 권한부여 절차를 시작하기 위해서는 클라이언트가 필요로 하는 서비스를 제공하거나 리소스 정보를 가진 리소스 소유자를 찾는 절차가 필요하다. 위 서비스/리소스 검색 단계를 통하여 클라이언트는 리소스 소유자에 대한 정보(ID 또는 URI)와 리소스가 위치한 리소스 서버의 위치를 알게 된다. 이를 위한 수단으로, 리소스가 위치한 NSCL(530)을 통해 리소스 소유자의 위치(ID 또는 URI)와 리소스가 위치한 리소스 서버의 위치 등에 관한 정보를 획득하는 방법을 고려할 수 있다. 예를 들어 서비스/리소스 검색 단계(S520)는 EUA(510)가 NA(520)에 원하는 정보의 종류 등에 관한 검색 필터 기준(Discovery Filter Criteria) 등이 포함된 검색 메시지를 보내는 과정, NA(520)가 검색 리소스(Discovery Resource)를 가지고 있는 NSCL(530)에 검색 메시지를 전달하는 과정, NSCL(530)이 검색 리소스를 이용하여 EUA(510)가 제시한 검색 필터 기준과 매칭되는 리소스_URI 리스트를 검색하고 그 결과를 EUA(510)에 전송하는 과정을 포함할 수 있다. 또한 서비스/리소스 검색 단계(S520)에서는 리소스에 저장된 정보를 수집 또는 생성한 D/G(550) 또는 리소스 소유자인 NA(520)가 클라이언트인 EUA(510)에게 자신의 URI, 리소스_URI 중 적어도 하나 이상을 알려주는 방법도 고려할 수 있을 것이다. 한편 클라이언트가 리소스 소유자 또는 리소스_URI를 이미 알고 있는 경우나 리소스 소유자 및 리소스의 위치가 사전에 설정되어 있는 경우에는 위 서비스/리소스 검색 단계(S620)는 생략될 수 있다. 즉, 클라이언트는 권한부여 요청 단계(S630) 이전에 리소스_URI 정보를 얻을 수 있는데, 이는 서비스/리소스 검색 단계(S620)에서 얻을 수도 있고, 서비스 제공자의 설정 내지 정책이나 다른 절차 등에 의해 사전에 리소스 소유자로부터 전달받을 수 있다.Step 02 is a service / resource search step (S620). In order for the client to initiate the authorization process, there is a need to provide a service that the client needs or to find the resource owner with the resource information. Through the above service / resource search step, the client knows information (ID or URI) about the resource owner and the location of the resource server where the resource is located. As a means for this, a method of acquiring information on the location (ID or URI) of the resource owner and the location of the resource server where the resource is located may be considered through the NSCL 530 where the resource is located. For example, the service / resource search step (S520) is a process in which the EUA 510 sends a search message including a discovery filter criterion (Discovery Filter Criteria) about the type of information desired to the NA 520, and the NA 520. Delivers a search message to the NSCL 530 having a discovery resource, and the NSCL 530 uses the search resource to obtain a list of resource_URIs that match the search filter criteria provided by the EUA 510. Retrieving and transmitting the result to the EUA 510. In the service / resource search step (S520), the D / G 550, which collects or creates the information stored in the resource, or the NA 520, which is the resource owner, informs the EUA 510 as a client of its own URI, You can also consider ways to tell more than one. On the other hand, if the client already knows the resource owner or the resource_URI, or if the location of the resource owner and the resource are preset, the service / resource search step S620 may be omitted. That is, the client can obtain the resource_URI information before the authorization request step (S630), which may be obtained in the service / resource search step (S620), or may be obtained in advance by the service provider's setting, You can get it from the owner.

STEP 03은 권한부여 요청 단계(S630)이다. EUA(510)는 NSCL(530)에게 권한부여 요청을 수행한다. NSCL(530)은 리소스_URI에 대응되는 리소스 소유자가 누구인지를 SCL 또는 애플리케이션 리소스 레벨에서 검색한다. 검색된 리소스 소유자인 NA(520)에게 NSCL(530)은 권한부여 요청 메시지를 전달한다. 한편, 권한부여 요청 메시지의 파라미터는 도 3의 STEP 03에서 사용되는 파라미터와 동일하므로 설명을 생략한다. STEP 03 is an authorization request step (S630). The EUA 510 performs an authorization request to the NSCL 530. NSCL 530 retrieves at the SCL or application resource level who the resource owner corresponds to resource_URI. The NSCL 530 delivers an authorization request message to the retrieved resource owner NA 520. On the other hand, the parameters of the authorization request message are the same as those used in STEP 03 of FIG. 3, and thus description thereof is omitted.

STEP 04는 클라이언트 검증(Verification) 단계(S640)이다. 리소스 소유자인 NA(520)는 권한부여 요청 메시지에 대하여 해당 클라이언트에 대한 검증을 수행한다. 클라이언트를 검증하는 방법에는 MAS(540)에 클라이언트의 검증을 요청하는 방법, M2M 서비스 제공자(NSCL)에 검증을 요청하고 서비스 제공자의 접근권한 부여 정책에 따라 검증하는 방법이 있을 수 있다. 예시적으로, MAS(540)에 EUA(510)의 검증을 요청하는 방법은 리소스 소유자인 NA(520)가 NSCL(430)을 거쳐 MAS(540)에 클라이언트의 검증을 요청하는 과정, MAS(540)이 클라이언트 크리덴셜을 기초로 EUA(510)가 정상적으로 MAS(540)에 등록된 장치인지 여부 등을 판단하는 검증 수행 과정 및 검증 수행 결과를 바탕으로 NSCL(530)을 거쳐 NA(520)에게 클라이언트 검증 응답 메시지를 전달하는 과정을 포함할 수 있다. 한편, 검증 요청 메시지에는 클라이언트 크리덴셜(Client_ID 및 Client_Secret) 등의 파라미터가 포함될 수 있으며, 클라이언트 검증 응답 메시지에는 클라이언트 크리덴셜 및 인증서(Certificates) 등이 포함될 수 있다.Step 04 is a client verification step (S640). The NA 520, which is the resource owner, verifies the client for the authorization request message. The method for verifying the client may include a method of requesting the MAS 540 to verify the client, a method of requesting verification from the M2M service provider (NSCL), and a verification method according to the service provider's access authorization policy. Exemplarily, a method of requesting the MAS 540 to verify the EUA 510 includes the steps of the NA 520, which is the resource owner, requesting the MAS 540 to verify the client via the NSCL 430, To the NA 520 via the NSCL 530 based on the verification execution process and the verification execution result that determine whether the EUA 510 is normally registered in the MAS 540 based on the client credentials, And transmitting a verification response message. Meanwhile, the verification request message may include a parameter such as a client credential (Client_ID and Client_Secret), and the client verification response message may include a client credential and a certificate.

STEP 05는 권한부여 승인 단계(S650)이다. 클라이언트 인증이 정상적으로 완료되면 NA(520)는 EUA(510)가 해당 리소스에 접근할 수 있도록 NSCL(530)에 접근 권한을 설정하도록 요청한다. D/G(550)은 NA(520)의 요청에 따라 해당 리소스에 대한 접근권한 리소스(accessRight resource)를 생성하거나 이미 접근권한 리소스가 존재할 경우에는 그 속성을 갱신(Update)한다. 여기서, 접근권한 리소스는 보호된 리소스에 대한 접근 권한에 대한 정보, 즉 보호된 리소스에 어떠한 개체가 무엇을 할 수 있는지에 관한 정보를 저장하고 있는 리소스이다. NA(520)는 EUA(510)에 대한 접근 권한부여가 승인되었음을 알리는 권한부여 승인 메시지를 NSCL(530)를 거쳐 MAS(540)에 전송한다. 한편, 접근 권한 설정을 요청하는 메시지 및 권한부여 승인 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 05와 동일하므로 설명은 생략한다.Step 05 is authorization authorization step (S650). When the client authentication is normally completed, the NA 520 requests the NSCL 530 to set access authority so that the EUA 510 can access the resource. The D / G 550 generates an access right resource for the resource in response to the request of the NA 520, or updates the attribute if the already accessed resource exists. Here, the access right resource is a resource that stores information on access rights to the protected resource, that is, information about which entity can do with the protected resource. The NA 520 transmits an authorization grant message to the MAS 540 via the NSCL 530 indicating that granting of the access right to the EUA 510 has been approved. Meanwhile, the parameters that can be included in the message for requesting the setting of the access authority and the authorization grant message are the same as those in STEP 05 of FIG. 3, so that the description is omitted.

STEP 06은 선택적 절차로서, 권한부여 코드 발급 및 액세스 토큰 요청 단계(S660)이다. MAS(540)는 EUA(510)의 권한부여 요청이 승인되었다는 증거로, 권한부여 코드(Authorization Code)를 생성하여 EUA(510)에게 발급한다. EUA(510)는 발급받은 권한부여 코드를 사용하여, 리소스 정보를 조회하기 위해 요구되는 액세스 토큰(Access Token)의 발급을 MAS(540)에 요청한다. 한편, 액세스 토큰 발급 요청 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 06과 동일하므로 설명은 생략한다.STEP 06 is an optional procedure, issuing an authorization code and requesting an access token (S660). The MAS 540 generates an authorization code and issues it to the EUA 510 as evidence that the authorization request of the EUA 510 has been approved. The EUA 510 uses the issued authorization code to request the MAS 540 to issue an access token (Access Token) required to inquire resource information. On the other hand, the parameters that can be included in the access token issue request message are the same as those in STEP 06 of FIG. 3, and thus description thereof is omitted.

STEP 07은 액세스 토큰 발급 단계(S670)이다. MAS(540)는 EUA(510)의 권한부여 코드를 체크하고, 확인이 되면 액세스 토큰을 생성하여 리소스가 위치한 D/G(550)에 전달하고, 허용된 접근범위와 함께 액세스 토큰을 EUA(510)에게 발급한다. SETP 06이 생략될 경우 MAS(540)는 권한부여 코드를 체크하지 않고, STEP 05에서 리소스 소유자로부터 권한부여 승인 메시지를 수신한 후 액세스 토큰을 생성한다. D/G(550)는 수신한 액세스 토큰과 접근권한 리소스를 매핑하여 관리한다. MAS(540)는 액세스 토큰의 갱신을 위하여 액세스 토큰과 함께 갱신 토큰(Refresh Token)을 발급할 수 있다. 한편, 발급되는 액세스 토큰이 포함된 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 07과 동일하므로 설명을 생략한다.Step 07 is an access token issuing step (S670). The MAS 540 checks the authorization code of the EUA 510 and if it is verified it generates an access token and passes it to the D / G 550 where the resource is located and sends the access token to the EUA 510 ). If SETP 06 is omitted, the MAS 540 does not check the authorization code, but generates an access token after receiving the authorization grant message from the resource owner in STEP 05. The D / G 550 manages the access token and the access right resource by mapping the received access token. The MAS 540 may issue an update token with an access token for updating the access token. On the other hand, the parameters that can be included in the message including the issued access token are the same as those in STEP 07 of FIG. 3, and thus the description thereof will be omitted.

STEP 08은 보호된 리소스에 접근하는 단계(S680)이다. EUA(510)는 액세스 토큰을 기초로 NSCL(530)에 위치한 리소스에 접근하여 정보를 조회한다. NSCL(530)는 EUA(510)로부터 전송받은 액세스 토큰과 자신이 MAS(540)로부터 발급받은 액세스 토큰이 일치하는지 여부를 체크하고, 접근권한 리소스를 확인하여 해당 액세스 토큰과 매칭되는 접근 권한 범위내에서 해당 리소스에 대한 EUA(510)의 접근을 허용한다.Step 08 is a step of accessing the protected resource (S680). The EUA 510 accesses resources located in the NSCL 530 based on the access token and queries the information. The NSCL 530 checks whether the access token received from the EUA 510 and the access token issued from the MAS 540 coincide with each other, and checks the access right resource to be within an access right range matching the corresponding access token. Allows EUA 510 access to the resource.

도 7은 클라이언트가 M2M 서비스에 가입되어 있지 않고, 리소스 소유자가 D/G인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.7 is a schematic flowchart of a resource access right setting process according to an embodiment of the present invention when the client is not subscribed to the M2M service and the resource owner is the D / G.

도 7에서 각 개체들 간의 관계를 살펴보면, 엔드-유저 애플리케이션(EUA, 510)이 M2M 서비스 제공자 도메인과 독립적인 관계에 있으며, EUA(510)가 클라이언트, D/G(550)가 리소스 소유자에 해당한다.7, the end-user application (EUA) 510 is in an independent relationship with the M2M service provider domain, and the EUA 510 is a client and the D / G 550 is a resource owner do.

STEP 01(S710), STEP 02(S720), STEP 06(S760), STEP 07(S770), STEP 08(S780)에서는 각각 도 6의 해당 STEP과 동일한 과정이 수행되므로 설명은 생략하고, 이하에서는 STEP 03, STEP 04, STEP 05에 대해서 설명하기로 한다.6 are performed in STEP 01 (S710), STEP 02 (S720), STEP 06 (S760), STEP 07 (S770) and STEP 08 (S780) 03, STEP 04, and STEP 05 will be described.

STEP 03은 권한부여 요청 단계(S730)이다. EUA(510)는 NSCL(530)에게 권한부여 요청을 수행한다. NSCL(530)은 리소스_URI에 대응되는 리소스 소유자가 누구인지를 SCL 또는 애플리케이션 리소스 레벨에서 검색한다. 검색된 리소스 소유자인 D/G(550)에게 NSCL(530)은 권한부여 요청 메시지를 전달한다. 한편, 권한부여 요청 메시지의 파라미터는 도 3의 STEP 03에서 사용되는 파라미터와 동일하므로 설명을 생략한다. STEP 03 is an authorization request step (S730). The EUA 510 performs an authorization request to the NSCL 530. NSCL 530 retrieves at the SCL or application resource level who the resource owner corresponds to resource_URI. The NSCL 530 delivers an authorization request message to the D / G 550, which is the searched resource owner. On the other hand, the parameters of the authorization request message are the same as those used in STEP 03 of FIG. 3, and thus description thereof is omitted.

STEP 04는 클라이언트 검증(Verification) 단계(S740)이다. D/G(520)는 NSCL(430)으로부터 전달된 권한부여 요청 메시지에 대하여 해당 클라이언트에 대한 검증을 수행한다. 클라이언트를 검증하는 방법에는 MAS(540)에 클라이언트의 검증을 요청하는 방법, M2M 서비스 제공자(NSCL)에 검증을 요청하고 서비스 제공자의 접근권한 부여 정책에 따라 검증하는 방법이 있을 수 있다. 예시적으로, MAS(540)에 EUA(510)의 검증을 요청하는 방법은 D/G(550)가 NSCL(530)을 거쳐 EUA(510)가 등록된 MAS(540)에 클라이언트의 검증을 요청하는 과정, MAS(540)가 클라이언트 크리덴셜을 기초로 EUA(510)가 정상적으로 MAS(540)에 등록된 장치인지 여부 등을 판단하는 검증 수행 과정 및 검증 수행 결과를 바탕으로 MAS(540)가 NSCL(530)을 거쳐 D/G(550)에게 클라이언트 검증 응답 메시지를 전달하는 과정을 포함할 수 있다. 한편, 검증 요청 메시지에는 클라이언트 크리덴셜(Client_ID 및 Client_Secret) 등의 파라미터가 포함될 수 있으며, 클라이언트 검증 응답 메시지에는 클라이언트 크리덴셜 및 인증서(Certificates) 등이 포함될 수 있다.Step 04 is a client verification step (S740). The D / G 520 verifies the client for the authorization request message transmitted from the NSCL 430. The method for verifying the client may include a method of requesting the MAS 540 to verify the client, a method of requesting verification from the M2M service provider (NSCL), and a verification method according to the service provider's access authorization policy. Exemplarily, a method for requesting the MAS 540 to verify the EUA 510 is to allow the D / G 550 to request the verification of the client to the MAS 540 with which the EUA 510 is registered via the NSCL 530 The MAS 540 determines whether or not the EUA 510 is normally registered in the MAS 540 based on the client credentials, and the MAS 540 transmits the NSCL And transmitting the client verification response message to the D / G 550 via the network 530. Meanwhile, the verification request message may include a parameter such as a client credential (Client_ID and Client_Secret), and the client verification response message may include a client credential and a certificate.

STEP 05는 권한부여 승인 단계(S750)이다. 클라이언트 인증이 정상적으로 완료되면 D/G(550)는 EUA(510)가 해당 리소스에 접근할 수 있도록 해당 리소스에 대한 접근권한 리소스(accessRight resource)를 생성하거나 이미 접근권한 리소스가 존재할 경우에는 그 속성을 갱신(Update)한다. 여기서, 접근권한 리소스는 보호된 리소스에 대한 접근 권한에 대한 정보, 즉 보호된 리소스에 어떠한 개체가 무엇을 할 수 있는지에 관한 정보를 저장하고 있는 리소스이다. D/G(550)는 EUA(510)에 대한 접근 권한부여가 승인되었음을 알리는 권한부여 승인 메시지를 NSCL(530)를 거쳐 MAS(540)에 전송한다. 한편, 접근 권한 설정을 요청하는 메시지 및 권한부여 승인 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 05와 동일하므로 설명은 생략한다.
STEP 05 is an authorization granting step (S750). When the client authentication is normally completed, the D / G 550 generates an access resource resource for the resource so that the EUA 510 can access the resource, or if the already authorized resource exists, Update. Here, the access right resource is a resource that stores information on access rights to the protected resource, that is, information about which entity can do with the protected resource. The D / G 550 transmits an authorization grant message to the MAS 540 via the NSCL 530, informing that the granting of the access right to the EUA 510 has been approved. Meanwhile, the parameters that can be included in the message for requesting the setting of the access authority and the authorization grant message are the same as those in STEP 05 of FIG. 3, so that the description is omitted.

이하에서는 도 8 내지 도 10을 참조하여 클라이언트와 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 속해 있는 경우에 있어서 리소스 접근 권한부여를 설정하는 방법을 설명하기로 한다.Hereinafter, a method for setting resource access authorization when a client and a resource owner belong to the same M2M service provider domain will be described with reference to FIG. 8 to FIG.

도 8는 클라이언트와 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 속해 있는 경우에 있어서 M2M 서비스 개체들 간의 관계를 개략적으로 나타낸 블록 구성도이다.8 is a block diagram schematically illustrating a relationship between M2M service entities when a client and a resource owner belong to the same M2M service provider domain.

도 8은 어느 하나의 M2M 서비스 제공자 도메인 내에서 동일한 M2M 서비스 제공자 도메인에 가입된 엔드-유저(800)나 어느 한 D/G(810)이 다른 D/G(850)가 생성 또는 수집한 정보를 저장하는 리소스에 접근하고자 하는 경우를 가정하고 있다.8 is a diagram illustrating an example of a case where an end-user 800 or a D / G 810 subscribed to the same M2M service provider domain in any one of the M2M service provider domains transmits information generated or collected by the other D / It is assumed that the user wishes to access the resource to be stored.

동일한 M2M 서비스 제공자에 가입된 엔드-유저들 사이에서도 엔드-유저마다 가입한 M2M 서비스 제공자 도메인에 속하는 어느 D/G가 생성 또는 수집한 정보를 저장하는 리소스에 접근할 수 있는 권한에 차이를 둘 필요가 있다. 또한 어느 한 D/G가 동일한 M2M 서비스 제공자 도메인 내의 다른 D/G가 생성 또는 수집한 정보를 저장하는 리소스에 접근하고자 하는 경우에도 별도로 접근 권한을 허가받아야 할 필요가 있다.It is necessary to make a difference in the right to access the resource storing information generated or collected by any D / G belonging to the M2M service provider domain registered for each end-user among the end-users subscribed to the same M2M service provider . Also, in the case where a certain D / G wants to access a resource storing information generated or collected by another D / G in the same M2M service provider domain, the access right needs to be separately granted.

도 9는 클라이언트와 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 속해 있고, 리소스 소유자가 NA인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.9 is a schematic flowchart of a resource access right setting process according to an embodiment of the present invention when the client and the resource owner belong to the same M2M service provider domain and the resource owner is NA.

도 9에서 각 개체들 간의 관계를 살펴보면, D/G1(810) 및 D/G2(850)가 동일한 M2M 서비스 제공자 도메인 내에 있으며, D/G1(810)이 클라이언트이고, NA(840)가 리소스 소유자에 해당한다. 클라이언트가 접근하고자 하는 리소스는 D/G2(750)의 SCL상에 위치한다.9 shows that the D / G1 810 and the D / G2 850 are in the same M2M service provider domain, the D / G1 810 is a client, the NA 840 is a resource owner . The resource that the client desires to access is located on the SCL of D / G2 750.

도 9 및 이하의 설명에서 클라이언트로 D/G1(810)을 표시하였으나, 클라이언트가 엔드-유저(800)인 경우에도 동일한 접근 권한 설정 메커니즘이 적용될 수 있음을 유의해야 한다.It should be noted that although the D / G1 810 has been shown as a client in Fig. 9 and the following description, the same access authority setting mechanism can be applied even when the client is the end-user 800. [

도 9의 절차는 클라이언트, 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 있다는 점을 제외하고는 도 3의 절차와 유사하다.The procedure of FIG. 9 is similar to the procedure of FIG. 3, except that the client, resource owner, is in the same M2M service provider domain.

STEP 00은 ETSI M2M 표준에 따른 사전 절차 수행 단계이다. 사전 절차로서 클라이언트는 M2M 서비스 부트스트랩, M2M 서비스 연결, SCL 등록 절차를 완료한다. 또한 D/G1(200)이 D/GSCL과의 관계에서 DA, GA1의 등록 절차를 수행하는 것이 전제될 수도 있다.STEP 00 is a preliminary step according to the ETSI M2M standard. As a preliminary step, the client completes the M2M service bootstrap, the M2M service connection, and the SCL registration procedure. It may also be assumed that the D / G1 200 performs the registration procedure of DA and GA1 in relation to the D / GSCL.

STEP 01은 클라이언트 등록 단계(S910)이다. D/G1(810)은 NSCL(820)에 클라이언트 등록 과정을 수행하여 클라이언트 크리덴셜(Client Credentials)로서 클라이언트_식별자(Client_ID) 및 클라이언트_시크릿(Client_Secret)을 할당받게 된다. NSCL(820)은 D/G1(810)으로부터 클라이언트 등록 메시지를 수신하면 클라이언트 등록 메시지를 MAS(830)에 전달한다. 클라이언트 등록 메시지를 전달받은 MAS(830)은 D/G1(810)에 대한 클라이언트_식별자 및 클라이언트_시크릿을 생성하고 이를 NSCL(820)을 통해 D/G1(810)에게 할당한다. 한편, 클라이언트_식별자 및 클라이언트_시크릿의 생성방법은 도 3의 STEP 01과 동일하므로 설명을 생략한다.Step 01 is a client registration step (S910). The D / G 1 810 performs a client registration process in the NSCL 820 to receive a client_id (Client_ID) and a client_secret (Client_Secret) as client credentials. When the NSCL 820 receives the client registration message from the D / G 1 810, the NSCL 820 transmits a client registration message to the MAS 830. The MAS 830 receiving the client registration message generates a client_identifier and a client_secret for the D / G1 810 and allocates it to the D / G1 810 via the NSCL 820. [ On the other hand, the method of generating the client_identifier and the client_secret is the same as that in STEP 01 of FIG. 3, and thus the description thereof will be omitted.

STEP 02는 서비스/리소스 검색 단계(S920)이다. 클라이언트가 권한부여 절차를 시작하기 위해서는 클라이언트가 필요로 하는 서비스를 제공하거나 리소스 정보를 가진 리소스 소유자를 찾는 절차가 필요하다. 위 서비스/리소스 검색 단계를 통하여 클라이언트는 리소스 소유자에 대한 정보(ID 또는 URI)와 리소스가 위치한 리소스 서버(D/GSCL)의 위치를 알게 된다. 이를 위한 수단으로, 리소스가 위치한 NSCL(820)를 통해 리소스 소유자의 위치(ID 또는 URI)와 리소스가 위치한 리소스 서버(D/GSCL)의 위치 등에 관한 정보를 획득하는 방법을 고려할 수 있다. 예를 들어 서비스/리소스 검색 단계(S920)는 D/G1(810)이 NSCL(820)에 원하는 정보의 종류 등에 관한 검색 필터 기준(Discovery Filter Criteria) 등이 포함된 검색 메시지를 보내는 과정, NSCL(820)이 검색 리소스를 이용하여 D/G1(810)이 제시한 검색 필터 기준과 매칭되는 리소스_URI 리스트를 검색하고 그 결과를 D/G1(810)에 전송하는 과정을 포함할 수 있다. 또한 서비스/리소스 검색 단계(S920)에서는 리소스 소유자인 NA(840)가 클라이언트인 D/G1(810)에게 자신의 URI, 리소스_URI 중 적어도 하나 이상을 알려주는 방법도 고려할 수 있을 것이다. 한편 클라이언트가 리소스 소유자 또는 리소스_URI를 이미 알고 있는 경우나 리소스 소유자 및 리소스의 위치가 사전에 설정되어 있는 경우에는 위 서비스/리소스 검색 단계는 생략될 수 있다. 즉, 클라이언트는 권한부여 요청 단계(S930) 이전에 리소스_URI 정보를 얻을 수 있는데, 이는 서비스/리소스 검색 단계(S920)에서 얻을 수도 있고, 서비스 제공자의 설정 내지 정책이나 다른 절차 등에 의해 사전에 리소스 소유자로부터 전달받을 수 있다.STEP 02 is a service / resource search step (S920). In order for the client to initiate the authorization process, there is a need to provide a service that the client needs or to find the resource owner with the resource information. Through the above service / resource search step, the client knows information (ID or URI) about the resource owner and the location of the resource server (D / GSCL) where the resource is located. As a means for this, a method of acquiring information on the location (ID or URI) of the resource owner and the location of the resource server (D / GSCL) where the resource is located can be considered through the NSCL 820 where the resource is located. For example, the service / resource search step S920 may include a process in which the D / G1 810 sends a search message including a discovery filter criterion about the type of information desired to the NSCL 820, and the like. 820 may search for a resource_URI list that matches the search filter criterion suggested by the D / G1 810 using the search resource and transmit the result to the D / G1 810. Also, in the service / resource search step S920, a method of informing the D / G1 810 that the resource owner NA 840 is a client of at least one of its own URI and resource_URI may be considered. On the other hand, if the client already knows the resource owner or the resource_URI, or if the location of the resource owner and the resource is preset, the above service / resource search step may be omitted. That is, the client can obtain the resource_URI information prior to the authorization request step (S930), which may be obtained in the service / resource search step (S920), or may be obtained in advance by the service provider's setting, You can get it from the owner.

STEP 03은 권한부여 요청 단계(S930)이다. 권한부여 요청 단계(S930)에서 클라이언트는 리소스 소유자에게 권한부여 요청(Authorization Request)을 수행한다. D/G1(810)은 권한부여 요청 메시지를 NSCL(820)에 전송한다. NSCL(820)은 리소스_URI에 대응하는 리소스 소유자가 누구인지를 SCL 또는 애플리케이션 리소스 레벨에서 검색한다. 검색된 리소스 소유자인 NA(840)에게 NSCL(820)은 권한부여 요청 메시지를 전달한다. 한편, 권한부여 요청 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 03과 동일하므로 설명을 생략한다.STEP 03 is an authorization request step (S930). In the authorization request step (S930), the client performs an authorization request to the resource owner. D / G 1 810 sends an authorization request message to NSCL 820. NSCL 820 retrieves at the SCL or application resource level who is the resource owner corresponding to resource_URI. The NSCL 820 delivers an authorization request message to the NA 840, which is the searched resource owner. Meanwhile, parameters that can be included in the authorization request message are the same as those in STEP 03 of FIG. 3, and thus description thereof will be omitted.

STEP 04는 클라이언트 검증(Verification) 단계(S940)이다. 리소스 소유자는 권한부여 요청 메시지에 대하여 요청한 클라이언트에 대해 검증을 수행한다. 클라이언트를 검증하는 방법에는 MAS(830)에 클라이언트의 검증을 요청하는 방법, 리소스 소유자에 연결된 엔드-유저가 검증을 해주는 방법, M2M 서비스 제공자(NSCL/NA, 820/840)에 검증을 요청하고 서비스 제공자의 접근권한 부여 정책에 따라 검증하는 방법이 있을 수 있다. 예시적으로, MAS(830)에 클라이언트의 검증을 요청하는 방법은 리소스 소유자인 NA(840)가 D/G1(810)이 등록된 MAS(830)에 클라이언트의 검증을 요청하는 과정, MAS(830)이 클라이언트 크리덴셜을 기초로 D/G1(810)이 정상적으로 MAS(830)에 등록된 장치인지 여부 등을 판단하는 검증 수행 과정 및 검증 수행 결과를 바탕으로 NA(840)에게 클라이언트 검증 응답 메시지를 전달하는 과정을 포함할 수 있다. 한편, 검증 요청 메시지에는 클라이언트 크리덴셜(Client_ID 및 Client_Secret) 등의 파라미터가 포함될 수 있으며, 클라이언트 검증 응답 메시지에는 클라이언트 크리덴셜, 인증서(Certificates) 등이 포함될 수 있다.Step 04 is a client verification step (S940). The resource owner performs verification on the requesting client for the authorization request message. A method for verifying a client includes a method of requesting a client's verification to the MAS 830, an end-user verifying method connected to the resource owner, a verification request to the M2M service provider (NSCL / NA, 820/840) There may be a method of verifying according to the granting policy of the provider. Illustratively, a method of requesting the MAS 830 to verify the client is a process in which the NA 840, which is the resource owner, requests verification of the client to the MAS 830 for which the D / G 1 810 is registered, Based on the client credentials, determines whether the D / G 1 810 is normally registered in the MAS 830 or not, and transmits a client verification response message to the NA 840 based on the verification result and the verification result And the like. Meanwhile, the verification request message may include a parameter such as a client credential (Client_ID and Client_Secret), and the client verification response message may include a client credential, a certificate, and the like.

STEP 05는 권한부여 승인 단계(S950)이다. 클라이언트 인증이 정상적으로 완료되면 NA(840)는 D/G1(810)이 해당 리소스에 접근할 수 있도록 접근 권한을 설정하도록 D/G2(850)에게 요청한다. D/G2(850)는 NA(840)의 요청에 따라 해당 리소스에 대한 접근권한 리소스(accessRight resource)를 생성하거나 이미 접근권한 리소스가 존재할 경우에는 그 속성을 갱신(Update)한다. 접근권한 리소스의 속성은 만료시간(Expiration Time)을 포함할 수 있고, D/G2(850)는 D/G1(810)의 접근권한에 만료시간을 설정할 수 있다. NA(840)는 D/G1(810)의 권한부여 요청이 승인되었음을 알리는 권한부여 승인 메시지를 NSCL(820)를 거쳐 MAS(830)에 전송한다. 접근 권한 설정을 요청하는 메시지 및 권한부여 승인 메시지에 포함될 수 있는 파라미터 내지 정보는 도 3의 STEP 03과 동일하므로 설명은 생략한다.STEP 05 is an authorization granting step (S950). When the client authentication is normally completed, the NA 840 requests the D / G 2 850 to set an access right so that the D / G 1 810 can access the resource. The D / G 2 850 generates an access right resource for the resource according to the request of the NA 840 or updates the attribute if the already accessed resource exists. The attribute of the resource to be accessed may include an expiration time, and the D / G 2 850 may set an expiration time in the access right of the D / G 1 810. The NA 840 sends an authorization grant message to the MAS 830 via the NSCL 820 indicating that the authorization request of the D / G 1 810 has been approved. The parameters and information that can be included in the message for requesting the setting of the access authority and in the authorization grant message are the same as those in STEP 03 of FIG.

STEP 06은 선택적 절차로서, 권한부여 코드 발급 및 액세스 토큰 요청 단계(S860)이다. MAS(830)는 D/G1(810)의 권한부여 요청이 승인되었다는 증거로, 권한부여 코드(Authorization Code)를 생성하여 D/G1(810)에게 발급한다. D/G1(810)은 발급받은 권한부여 코드를 사용하여, 리소스 정보를 조회하기 위해 요구되는 액세스 토큰(Access Token)의 발급을 MAS(830)에 요청한다. 한편, 액세스 토큰 발급 요청 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 06과 동일하므로 설명은 생략한다.STEP 06 is an optional procedure, an authorization code issue and an access token request step (S860). The MAS 830 generates an authorization code and issues it to the D / G 1 810 as proof that the authorization request of the D / G 1 810 is approved. The D / G1 810 requests the MAS 830 to issue an access token (Access Token) required to inquire the resource information using the issued authorization code. On the other hand, the parameters that can be included in the access token issue request message are the same as those in STEP 06 of FIG. 3, and thus description thereof is omitted.

STEP 07은 액세스 토큰 발급 단계(S970)이다. MAS(830)는 D/G1(810)의 권한부여 코드를 체크하고, 확인이 되면 액세스 토큰을 생성하여 리소스가 위치한 D/G2(850)에게 전송하고, 허용된 접근범위와 함께 생성된 액세스 토큰을 D/G1(810)에게 발급한다. SETP 06이 생략될 경우 MAS(830)는 권한부여 코드를 체크하지 않고, STEP 05에서 리소스 소유자로부터 권한부여 승인 메시지를 수신한 후 액세스 토큰을 생성한다. D/G1(810)은 수신한 액세스 토큰과 접근권한 리소스를 매핑하여 관리한다. MAS(830)는 액세스 토큰의 갱신을 위하여 액세스 토큰과 함께 갱신 토큰(Refresh Token)을 발급할 수 있다. 한편, 액세스 토큰 발급 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 07과 동일하므로 설명을 생략한다.Step 07 is an access token issuing step (S970). The MAS 830 checks the authorization code of the D / G 1 810, generates an access token when it is verified, sends it to the D / G 2 850 where the resource is located, To the D / G 1 810. If SETP 06 is omitted, the MAS 830 does not check the authorization code and generates an access token after receiving the authorization grant message from the resource owner in STEP 05. The D / G 1 810 manages the access token and the access right resource by mapping the received access token. MAS 830 may issue an update token with an access token for updating the access token. On the other hand, the parameters that can be included in the access token issuing message are the same as those in STEP 07 of FIG. 3, and thus the description thereof will be omitted.

STEP 08은 보호된 리소스에 접근하는 단계(S980)이다. D/G1(810)는 액세스 토큰을 기초로 D/G2(850)에 위치한 리소스에 접근하여 정보를 조회한다. D/G2(850)은 D/G1(810)로부터 전송받은 액세스 토큰과 자신이 MAS(830)로부터 수신한 액세스 토큰이 일치하는지 여부를 체크하고, 접근권한 리소스를 확인하여 해당 액세스 토큰과 매칭되는 접근 권한 범위내에서 해당 리소스에 대한 D/G1(810)의 접근을 허용한다.Step 08 is a step of accessing the protected resource (S980). The D / G 1 810 accesses the resource located in the D / G 2 850 based on the access token and inquires the information. The D / G2 850 checks whether the access token received from the D / G1 810 and the access token received from the MAS 830 match, and checks the access right resource to match the corresponding access token. Allows D / G1 810 access to the resource within the scope of access rights.

도 10은 클라이언트와 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 속해 있고, 리소스 소유자가 D/G2인 경우에 있어서 본 발명의 일 실시예에 따른 리소스 접근 권한 설정 과정의 개략적인 흐름도이다.10 is a schematic flowchart of a resource access right setting process according to an embodiment of the present invention when the client and the resource owner belong to the same M2M service provider domain and the resource owner is D / G2.

도 10에서 각 개체들간의 관계를 살펴보면, D/G1(810) 및 D/G2(850)가 동일한 M2M 서비스 제공자 도메인 내에 있으며, D/G1(810)이 클라이언트이고, D/G2(850)가 리소스 소유자에 해당한다. 클라이언트가 접근하고자 하는 리소스는 D/G2(750)의 SCL상에 위치한다. 도 10의 절차는 클라이언트, 리소스 소유자가 동일한 M2M 서비스 제공자 도메인에 있다는 점을 제외하고는 도 4의 절차와 유사하다.Referring to FIG. 10, the D / G 1 810 and the D / G 2 850 are in the same M2M service provider domain, the D / G 1 810 is a client, and the D / This corresponds to the resource owner. The resource that the client desires to access is located on the SCL of D / G2 750. The procedure of FIG. 10 is similar to the procedure of FIG. 4 except that the client, resource owner, is in the same M2M service provider domain.

도 10 및 이하의 설명에서 클라이언트로 D/G1(810)을 표시하였으나, 클라이언트가 엔드-유저(800)인 경우에도 동일한 접근 권한 설정 메커니즘이 적용될 수 있음을 유의해야 한다. It should be noted that although the D / G1 810 has been indicated by the client in Fig. 10 and the following description, the same access authority setting mechanism can be applied even when the client is the end-user 800. [

STEP 01(S1010), STEP 02(S1020), STEP 06(S1060), STEP 07(S1070), STEP 08(S1080)에서는 각각 도 9의 해당 STEP과 동일한 과정이 수행되므로 설명은 생략하고, 이하에서는 STEP 03, STEP 04, STEP 05에 대해서 설명하기로 한다.9 are performed in STEP 01 (S1010), STEP 02 (S1020), STEP 06 (S1060), STEP 07 (S1070), and STEP 08 (S1080) 03, STEP 04, and STEP 05 will be described.

STEP 03은 권한부여 요청 단계(S1030)이다. 권한부여 요청 단계(S1030)에서 클라이언트는 리소스 소유자에게 권한부여 요청(Authorization Request)을 수행한다. D/G1(810)은 권한부여 요청 메시지를 NSCL(820)에 전송한다. NSCL(820)은 리소스_URI에 대응하는 리소스 소유자가 누구인지를 SCL 또는 애플리케이션 리소스 레벨에서 검색한다. 검색된 리소스 소유자인 D/G2(850)에게 NSCL(820)은 권한부여 요청 메시지를 전달한다. 한편, 권한부여 요청 메시지에 포함될 수 있는 파라미터는 도 3의 STEP 03과 동일하므로 설명을 생략한다.Step 03 is an authorization request step (S1030). In the authorization request step (S1030), the client performs an authorization request to the resource owner. D / G 1 810 sends an authorization request message to NSCL 820. NSCL 820 retrieves at the SCL or application resource level who is the resource owner corresponding to resource_URI. The NSCL 820 sends an authorization request message to the D / G2 850, which is the searched resource owner. Meanwhile, parameters that can be included in the authorization request message are the same as those in STEP 03 of FIG. 3, and thus description thereof will be omitted.

STEP 04는 클라이언트 검증(Verification) 단계(S1040)이다. D/G2(850)는 NSCL(820)으로부터 전달된 권한부여 요청 메시지에 대하여 해당 클라이언트에 관한 검증을 수행한다. 클라이언트를 검증하는 방법에는 MAS(830)에 클라이언트의 검증을 요청하는 방법, M2M 서비스 제공자(NSCL, NA)에 검증을 요청하고 서비스 제공자의 접근권한 부여 정책에 따라 검증하는 방법이 있을 수 있다. 예시적으로, MAS(830)에 D/G1(810)의 검증을 요청하는 방법은 D/G2(850)가 NSCL(530)을 거쳐 MAS(540)에 클라이언트의 검증을 요청하는 과정, MAS(830)가 클라이언트 크리덴셜을 기초로 D/G1(810)가 정상적으로 MAS(830)에 등록된 장치인지 여부 등을 판단하는 검증 수행 과정 및 검증 수행 결과를 바탕으로 MAS(830)가 NSCL(820)을 거쳐 D/G2(840)에게 클라이언트 검증 응답 메시지를 전달하는 과정을 포함할 수 있다. 한편, 검증 요청 메시지에는 클라이언트 크리덴셜(Client_ID 및 Client_Secret) 등의 파라미터가 포함될 수 있으며, 클라이언트 검증 응답 메시지에는 클라이언트 크리덴셜, 인증서(Certificates) 등이 포함될 수 있다.Step 04 is a client verification step (S1040). The D / G2 850 verifies the corresponding client with respect to the authorization request message transmitted from the NSCL 820. A method of verifying a client may include a method of requesting the MAS 830 to verify the client, a method of verifying the M2M service provider (NSCL, NA), and a method of verifying according to a service provider's access authorization policy. Exemplarily, a method of requesting the MAS 830 to verify the D / G 1 810 is a process in which the D / G 2 850 requests the MAS 540 to verify the client via the NSCL 530, The MAS 830 determines whether the D / G 1 810 is a device registered in the MAS 830 based on the client credentials, And transmitting the client verification response message to the D / G 2 840 through the D / G 2 840. Meanwhile, the verification request message may include a parameter such as a client credential (Client_ID and Client_Secret), and the client verification response message may include a client credential, a certificate, and the like.

STEP 05는 권한부여 승인 단계(S1050)이다. 클라이언트 인증이 정상적으로 완료되면 D/G2(850)는 D/G1(810)이 해당 리소스에 접근할 수 있도록 해당 리소스에 대한 접근권한 리소스(accessRight resource)를 생성하거나 이미 접근권한 리소스가 존재할 경우에는 그 속성을 갱신(Update)한다. 여기서, 접근권한 리소스는 보호된 리소스에 대한 접근 권한에 대한 정보, 즉 보호된 리소스에 어떠한 개체가 무엇을 할 수 있는지에 관한 정보를 저장하고 있는 리소스이다. D/G2(850)는 D/G1(810)에 대한 권한부여가 승인되었음을 알리는 권한부여 승인 메시지를 NSCL(820)를 거쳐 MAS(830)에 전송한다. 접근 권한 설정을 요청하는 메시지 및 권한부여 승인 메시지에 포함될 수 있는 파라미터는 도 4의 STEP 05와 동일하므로 설명은 생략한다.
Step 05 is an authorization granting step (S1050). When the client authentication is normally completed, the D / G 2 850 generates an access resource resource for the resource so that the D / G 1 810 can access the resource, Update the attribute. Here, the access right resource is a resource that stores information on access rights to the protected resource, that is, information about which entity can do with the protected resource. The D / G2 850 sends an authorization grant message to the MAS 830 via the NSCL 820, informing that authorization to the D / G1 810 has been granted. The parameters that can be included in the message for requesting access authorization and in the authorization grant message are the same as those in STEP 05 in FIG.

이상의 설명은 도 3, 도 4, 도 6, 도 7, 도 9 및 도 10에서 각 단계가 순차적으로 실행하는 것으로 기재하고 있으나, 이는 본 발명의 일 실시예의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명의 일 실시예가 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 일 실시예의 본질적인 특성에서 벗어나지 않는 범위에서 도 3, 도 4, 도 6, 도 7, 도 9 및 도 10에 기재된 순서를 변경하여 실행하거나 위 단계들 중 하나 이상의 단계를 병렬적으로 실행하는 것으로 다양하게 수정 및 변형하여 적용 가능할 것이므로, 도 3, 도 4, 도 6, 도 7, 도 9 및 도 10은 시계열적인 순서로 한정되는 것은 아니다.The above description is made on the assumption that each step is performed sequentially in FIG. 3, FIG. 4, FIG. 6, FIG. 7, FIG. 9 and FIG. 10, but this is merely illustrative of the technical idea of the embodiment of the present invention It will be apparent to those skilled in the art that one embodiment of the present invention may be practiced with other embodiments without departing from the essential characteristics of one embodiment of the present invention. For example, as shown in FIGS. 3, 4, 6, 7, 9, 3, 4, 6, 7, 9, and 10 are time-series charts, and FIGS. 3, 4, 6, 7, 9, But is not limited to the order.

이상의 설명은 본 실시예의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 실시예가 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 실시예의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 실시예들은 본 실시예의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 실시예의 기술 사상의 범위가 한정되는 것은 아니다. 본 실시예의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술 사상은 본 실시예의 권리범위에 포함되는 것으로 해석되어야 할 것이다.
The foregoing description is merely illustrative of the technical idea of the present embodiment, and various modifications and changes may be made to those skilled in the art without departing from the essential characteristics of the embodiments. Therefore, the present embodiments are to be construed as illustrative rather than restrictive, and the scope of the technical idea of the present embodiment is not limited by these embodiments. The scope of protection of the present embodiment should be construed according to the following claims, and all technical ideas within the scope of equivalents thereof should be construed as being included in the scope of the present invention.

200: D/G1 210: MAS1
220: NSCL1 260: NSCL2
270: MAS2 280: D/G2
290: NA2 510: 엔드-유저
520: NA 530: NSCL
540: MAS 550: D/G
810: D/G1 820: NSCL
830: MAS 840: NA
850: D/G2200: D / G1 210: MAS1
220: NSCL1 260: NSCL2
270: MAS2 280: D / G2
290: NA2 510: End-User
520: NA 530: NSCL
540: MAS 550: D / G
810: D / G1 820: NSCL
830: MAS 840: NA
850: D / G2

Claims (1)

어떠한 M2M 서비스 제공자 도메인에도 속하지 않는 개체(이하 '클라이언트'라고 칭함)가 M2M 서비스 제공자 도메인의 단말 또는 게이트웨이에 위치한 리소스에 접근하는 방법에 있어서,
상기 리소스의 URI 정보를 기초로, 상기 리소스의 리소스 소유자에게 상기 리소스에 대한 접근 권한부여를 요청하는 과정;
상기 M2M 서비스 제공자 도메인의 MAS(M2M Authentication Sever)로부터 액세스 토큰(Access Token)을 발급받는 과정; 및
상기 발급받은 액세스 토큰을 기초로 상기 리소스에 접근하는 과정
을 포함하는 M2M 통신에서 클라이언트의 리소스 접근 방법.A method for an entity (hereinafter referred to as a 'client') not belonging to any M2M service provider domain to access a resource located at a terminal or gateway of an M2M service provider domain,
Requesting the resource owner of the resource to grant access to the resource based on the URI information of the resource;
Receiving an access token from an M2M authentication server (MAS) of the M2M service provider domain; And
Accessing the resource based on the issued access token
Resource access method of the client in the M2M communication, including.
KR1020130162703A 2013-12-24 2013-12-24 Method for authorizing access to resource in m2m communications KR20140006755A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020130162703A KR20140006755A (en) 2013-12-24 2013-12-24 Method for authorizing access to resource in m2m communications

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020130162703A KR20140006755A (en) 2013-12-24 2013-12-24 Method for authorizing access to resource in m2m communications

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
KR1020120057167A Division KR101453155B1 (en) 2012-05-30 2012-05-30 Method for Authorizing Access to Resource in M2M Communications

Publications (1)

Publication Number Publication Date
KR20140006755A true KR20140006755A (en) 2014-01-16

Family

ID=50141625

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020130162703A KR20140006755A (en) 2013-12-24 2013-12-24 Method for authorizing access to resource in m2m communications

Country Status (1)

Country Link
KR (1) KR20140006755A (en)

Similar Documents

Publication Publication Date Title
KR101453155B1 (en) Method for Authorizing Access to Resource in M2M Communications
KR101453154B1 (en) Method for Authorizing Access to Resource in M2M Communications
CN108141446B (en) Service layer dynamic authorization
US11522865B2 (en) Automated IoT device configuration using user profile
KR101962156B1 (en) Authorization processing method and apparatus
KR101274966B1 (en) Method for sharing data of device in the machine-to-machine communication and the system thereof
EP2656265B1 (en) Allocation of application identifiers
US10148651B2 (en) Authentication system
KR20180036971A (en) Subsystem for authorization and activation of features
WO2014042446A2 (en) Method and device for requesting for specific right acquisition on specific resource in wireless communication system
WO2019144963A1 (en) Methods, application server, iot device and media for implementing iot services
JP2016507823A (en) Method and apparatus for proximity control in a wireless communication system
WO2019056971A1 (en) Authentication method and device
WO2024149148A1 (en) Communication method, communication apparatus, and communication system
WO2021104152A1 (en) Methods for application login and application visiting application server, and electronic device
CN114221959A (en) Service sharing method, device and system
KR20140019275A (en) Method for authorizing access to resource in m2m communications
KR20140006755A (en) Method for authorizing access to resource in m2m communications
WO2010089952A1 (en) Information management system
WO2024179262A1 (en) Communication method and communication apparatus
WO2022252658A1 (en) Roaming access method and apparatus
KR102596406B1 (en) Apparatus and method for managing vehicle information
JP2024046393A (en) Authentication authorization method, authentication authorization program, and authentication authorization system
KR102025521B1 (en) Method of changing entity for managing subscriber certification module and apparatus using the same
CN118283619A (en) Network security control method and electronic equipment

Legal Events

Date Code Title Description
A107 Divisional application of patent
WITN Withdrawal due to no request for examination