計(jì)算系統(tǒng)已經(jīng)變得無所不在，從小嵌入式設(shè)備到手機(jī)和平板電腦到PC和后端服務(wù)器。這些計(jì)算系統(tǒng)中的每個(gè)計(jì)算系統(tǒng)被設(shè)計(jì)為處理軟件代碼。該元件允許用戶執(zhí)行與由計(jì)算系統(tǒng)提供的硬件交互的功能。在一些情況下，這些計(jì)算系統(tǒng)允許用戶建立和運(yùn)行虛擬機(jī)。這些虛擬機(jī)可以提供未由主機(jī)操作系統(tǒng)提供的功能或可以包括完全不同的操作系統(tǒng)。通過這種方式，虛擬機(jī)可以用于擴(kuò)展計(jì)算系統(tǒng)的功能。

技術(shù)實(shí)現(xiàn)要素：

在此所描述的實(shí)施例涉及建立計(jì)算系統(tǒng)之間的安全連接并且涉及在安全計(jì)算設(shè)備上提供計(jì)算機(jī)系統(tǒng)虛擬化。在一個(gè)實(shí)施例中，計(jì)算機(jī)系統(tǒng)接收至少一個(gè)指定功能被發(fā)起的請求。該請求包括用戶憑證和標(biāo)識(shí)計(jì)算設(shè)備的設(shè)備聲明。該計(jì)算機(jī)系統(tǒng)使用接收到的用戶憑證來認(rèn)證用戶，并且基于設(shè)備聲明，確定計(jì)算設(shè)備是已經(jīng)被批準(zhǔn)發(fā)起指定功能的執(zhí)行的批準(zhǔn)的計(jì)算設(shè)備。然后，在確定用戶已經(jīng)被認(rèn)證并且計(jì)算設(shè)備被批準(zhǔn)發(fā)起指定功能的執(zhí)行時(shí)，計(jì)算機(jī)系統(tǒng)發(fā)起指定功能的執(zhí)行。

在另一實(shí)施例中，計(jì)算機(jī)系統(tǒng)執(zhí)行一種用于在安全計(jì)算設(shè)備上提供計(jì)算機(jī)系統(tǒng)虛擬化的方法。該計(jì)算機(jī)系統(tǒng)建立安全計(jì)算設(shè)備，包括：建立標(biāo)識(shí)安全計(jì)算設(shè)備的設(shè)備聲明；建立更新策略，其被配置為確保安全計(jì)算設(shè)備將運(yùn)行最新軟件補(bǔ)丁；實(shí)例化應(yīng)用阻止“服務(wù)”，其被配置為確保僅指定白名單上的應(yīng)用被允許被執(zhí)行在安全計(jì)算設(shè)備上；并且建立防止至少一些入站網(wǎng)絡(luò)連接到達(dá)安全計(jì)算設(shè)備的聯(lián)網(wǎng)策略。該計(jì)算機(jī)系統(tǒng)進(jìn)一步在建立的安全設(shè)備上實(shí)例化虛擬機(jī)，其中虛擬機(jī)允許不在指定白名單中的至少一個(gè)應(yīng)用被執(zhí)行。

提供該概述以引入以在詳細(xì)描述中下文進(jìn)一步描述的簡化形式的概念的選擇。該概述不旨在標(biāo)識(shí)所要求保護(hù)的主題的關(guān)鍵特征或基本特征，其也不旨在用作輔助確定所要求保護(hù)的主題的范圍。

附加特征和優(yōu)點(diǎn)將在以下描述中被闡述，并且部分根據(jù)描述對本領(lǐng)域的普通技術(shù)人員將是明顯的或可以通過本文中的教導(dǎo)的實(shí)踐學(xué)習(xí)?？梢越柚谠谒降臋?quán)利要求中指出的手段和組合來實(shí)現(xiàn)和獲得本文所描述的實(shí)施例的特征和優(yōu)點(diǎn)。在此所描述的實(shí)施例的特征將從以下描述和隨附的權(quán)利要求變?yōu)楦浞置黠@。

附圖說明

為了進(jìn)一步澄清在此所描述的實(shí)施例的以上和其他特征，將通過參考附圖提供更具體描述。將理解到，這些附圖僅描繪在此所描述的實(shí)施例的示例并且因此將不被認(rèn)為是對其范圍的限制。將通過使用附圖以附加特殊性和細(xì)節(jié)來描述和解釋實(shí)施例，在附圖中：

圖1圖示了在其中在此所描述的實(shí)施例可以操作包括建立計(jì)算系統(tǒng)之間的安全連接的計(jì)算機(jī)架構(gòu)。

圖2圖示了用于建立計(jì)算系統(tǒng)之間的安全連接的示例方法的流程圖。

圖3圖示了用于在安全計(jì)算設(shè)備上提供計(jì)算機(jī)系統(tǒng)虛擬化的示例方法的流程圖。

圖4圖示了在其中在計(jì)算系統(tǒng)之間建立安全遠(yuǎn)程桌面連接的計(jì)算環(huán)境。

具體實(shí)施方式

本文所描述的實(shí)施例涉及建立計(jì)算系統(tǒng)之間的安全連接并且涉及在安全計(jì)算設(shè)備上提供計(jì)算機(jī)系統(tǒng)虛擬化。在一個(gè)實(shí)施例中，計(jì)算機(jī)系統(tǒng)接收至少一個(gè)指定功能被發(fā)起的請求。該請求包括用戶憑證和標(biāo)識(shí)計(jì)算設(shè)備的設(shè)備聲明。該計(jì)算機(jī)系統(tǒng)使用接收到的用戶憑證來認(rèn)證用戶，并且基于設(shè)備聲明，確定計(jì)算設(shè)備是已經(jīng)被批準(zhǔn)發(fā)起指定功能的執(zhí)行的批準(zhǔn)的計(jì)算設(shè)備。然后，在確定用戶已經(jīng)被認(rèn)證并且計(jì)算設(shè)備被批準(zhǔn)發(fā)起指定功能的執(zhí)行時(shí)，計(jì)算機(jī)系統(tǒng)發(fā)起指定功能的執(zhí)行。

在另一實(shí)施例中，計(jì)算機(jī)系統(tǒng)執(zhí)行一種用于在安全計(jì)算設(shè)備上提供計(jì)算機(jī)系統(tǒng)虛擬化的方法。該計(jì)算機(jī)系統(tǒng)建立安全計(jì)算設(shè)備，包括：建立標(biāo)識(shí)安全計(jì)算設(shè)備的設(shè)備聲明；建立更新策略，其被配置為確保安全計(jì)算設(shè)備將運(yùn)行最新軟件補(bǔ)丁；實(shí)例化應(yīng)用阻止“服務(wù)”，其被配置為確保僅指定白名單上的應(yīng)用被允許被執(zhí)行在安全計(jì)算設(shè)備上；以及建立防止至少一些入站網(wǎng)絡(luò)連接到達(dá)安全計(jì)算設(shè)備的聯(lián)網(wǎng)策略。該計(jì)算機(jī)系統(tǒng)進(jìn)一步在建立的安全設(shè)備上實(shí)例化虛擬機(jī)，其中虛擬機(jī)允許不在指定白名單中的至少一個(gè)應(yīng)用被執(zhí)行。

以下討論現(xiàn)在指代可以被執(zhí)行的若干方法和方法動(dòng)作。應(yīng)當(dāng)注意，盡管方法動(dòng)作可以以某個(gè)順序討論或在如以特定順序發(fā)生的流程圖中圖示，但是除非特別地陳述或要求，否則不必要求特定排序，這是因?yàn)閯?dòng)作依賴于在正被執(zhí)行的動(dòng)作之前完成的另一動(dòng)作。

本文所描述的實(shí)施例可以實(shí)現(xiàn)各種類型的計(jì)算系統(tǒng)。這些計(jì)算系統(tǒng)現(xiàn)在日益采用各種各樣的形式。計(jì)算系統(tǒng)可以例如是手持式設(shè)備、電器、膝上型計(jì)算機(jī)、臺(tái)式計(jì)算機(jī)、大型機(jī)、分布式計(jì)算系統(tǒng)或甚至常規(guī)地尚未被認(rèn)為是計(jì)算系統(tǒng)的設(shè)備。在該描述和權(quán)利要求中，術(shù)語“計(jì)算系統(tǒng)”寬廣地被定義為包括任何設(shè)備或系統(tǒng)(或其組合)，其包括至少一個(gè)物理和有形的處理器和能夠在其上具有可以由處理器執(zhí)行的計(jì)算機(jī)可執(zhí)行指令的物理和有形的存儲(chǔ)器。計(jì)算系統(tǒng)可以被分布在網(wǎng)絡(luò)環(huán)境上并且可以包括多個(gè)組成的計(jì)算系統(tǒng)。

如圖1中所圖示的，計(jì)算系統(tǒng)101通常包括至少一個(gè)處理單元102和存儲(chǔ)器103。該存儲(chǔ)器103可以是物理系統(tǒng)存儲(chǔ)器，其可以是易失性、非易失性或兩者的某種組合。該術(shù)語“存儲(chǔ)器”還可以在本文中被用于指代非易失性海量存儲(chǔ)(諸如物理存儲(chǔ)介質(zhì))。如果計(jì)算系統(tǒng)被分布，則處理、存儲(chǔ)器和/或存儲(chǔ)能力也可以被分布。

如在此所使用的，術(shù)語“可執(zhí)行模塊”或“可執(zhí)行部件”可以指代可以在計(jì)算系統(tǒng)上執(zhí)行的軟件對象、路由或方法。在此所描述的不同的部件、模塊、引擎和服務(wù)可以被實(shí)現(xiàn)為在計(jì)算系統(tǒng)上執(zhí)行的對象或過程(例如，分離的線程)。

在以下描述中，參考由一個(gè)或多個(gè)計(jì)算系統(tǒng)執(zhí)行的動(dòng)作描述實(shí)施例。如果在軟件中實(shí)現(xiàn)這樣的動(dòng)作，則執(zhí)行動(dòng)作的相關(guān)聯(lián)的計(jì)算系統(tǒng)的一個(gè)或多個(gè)處理器響應(yīng)于已經(jīng)執(zhí)行計(jì)算機(jī)可執(zhí)行指令而引導(dǎo)計(jì)算系統(tǒng)的操作。例如，可以在形成計(jì)算機(jī)程序產(chǎn)品的一個(gè)或多個(gè)計(jì)算機(jī)可讀介質(zhì)上實(shí)現(xiàn)這樣的計(jì)算機(jī)可執(zhí)行指令。這樣的操作的示例包含數(shù)據(jù)的操縱。該計(jì)算機(jī)可執(zhí)行指令(和操縱的數(shù)據(jù))可以被存儲(chǔ)在計(jì)算系統(tǒng)101的存儲(chǔ)器103中。計(jì)算系統(tǒng)101還可以包含通信信道，其允許計(jì)算系統(tǒng)101通過有線或無線網(wǎng)絡(luò)與其他消息處理器通信。

在此所描述的實(shí)施例可以包括或利用包括計(jì)算機(jī)硬件(諸如例如一個(gè)或多個(gè)處理器和系統(tǒng)存儲(chǔ)器)的專用或通用計(jì)算機(jī)系統(tǒng)，如下文更詳細(xì)討論的。該系統(tǒng)存儲(chǔ)器可以被包括在整個(gè)存儲(chǔ)器103內(nèi)。該系統(tǒng)存儲(chǔ)器還可以被稱為“主存儲(chǔ)器”，并且包括通過存儲(chǔ)器總線由至少一個(gè)處理單元102可尋址的存儲(chǔ)器位置，在該情況下在存儲(chǔ)器總線自身上聲明地址位置。系統(tǒng)存儲(chǔ)器已經(jīng)傳統(tǒng)地易失性的，但是在此所描述的原理還適用于在其中系統(tǒng)存儲(chǔ)器部分或甚至完全非易失性的情況。

本發(fā)明的范圍內(nèi)的實(shí)施例還包括用于攜帶或存儲(chǔ)計(jì)算機(jī)可執(zhí)行指令和/或數(shù)據(jù)結(jié)構(gòu)的物理和其他計(jì)算機(jī)可讀介質(zhì)。這樣的計(jì)算機(jī)可讀介質(zhì)可以是可以由通用或?qū)Ｓ糜?jì)算機(jī)系統(tǒng)訪問的任何可用介質(zhì)。存儲(chǔ)計(jì)算機(jī)可執(zhí)行指令和/或數(shù)據(jù)結(jié)構(gòu)的計(jì)算機(jī)可讀介質(zhì)是計(jì)算機(jī)存儲(chǔ)介質(zhì)。攜帶計(jì)算機(jī)可執(zhí)行指令和/或數(shù)據(jù)結(jié)構(gòu)的計(jì)算機(jī)可讀介質(zhì)是傳輸介質(zhì)。因此，以示例而非限制的方式，本發(fā)明的實(shí)施例可以包括至少兩個(gè)明顯不同種類的計(jì)算機(jī)可讀介質(zhì)：計(jì)算機(jī)存儲(chǔ)介質(zhì)和傳輸介質(zhì)。

計(jì)算機(jī)存儲(chǔ)介質(zhì)是存儲(chǔ)計(jì)算機(jī)可執(zhí)行指令和/或數(shù)據(jù)結(jié)構(gòu)的物理硬件存儲(chǔ)介質(zhì)。物理硬件存儲(chǔ)介質(zhì)包括計(jì)算機(jī)硬件(諸如RAM、ROM、EEPROM、固態(tài)驅(qū)動(dòng)器(“SSD”)、閃速存儲(chǔ)器、相變存儲(chǔ)器(“PCM”)、光盤存儲(chǔ)、磁盤存儲(chǔ)裝置或其他磁性存儲(chǔ)設(shè)備或可以被用于存儲(chǔ)以計(jì)算機(jī)可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)的形式的程序代碼的任何其他(一個(gè)多個(gè))硬件存儲(chǔ)設(shè)備，其可以由通用或?qū)Ｓ糜?jì)算機(jī)系統(tǒng)訪問和執(zhí)行以實(shí)現(xiàn)本發(fā)明的所公開的功能)。

傳輸介質(zhì)可以包括網(wǎng)絡(luò)和/或數(shù)據(jù)鏈路，其可以用于攜帶以計(jì)算機(jī)可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)的形式的程序代碼并且其可以由通用或?qū)Ｓ糜?jì)算機(jī)系統(tǒng)訪問。“網(wǎng)絡(luò)”被定義為一個(gè)或多個(gè)數(shù)據(jù)鏈路，其使能計(jì)算機(jī)系統(tǒng)和/或模塊和/或其他電子設(shè)備之間的電子數(shù)據(jù)的傳輸。當(dāng)信息通過網(wǎng)絡(luò)或另一通信連接(硬連線、無線、或者硬連線或無線的組合)被傳送或提供給計(jì)算機(jī)系統(tǒng)時(shí)，計(jì)算機(jī)系統(tǒng)可以將連接視為傳輸介質(zhì)。以上組合還應(yīng)當(dāng)包括在計(jì)算機(jī)可讀媒體的范圍內(nèi)。

進(jìn)一步地，在到達(dá)各種計(jì)算機(jī)系統(tǒng)部件時(shí)，以計(jì)算機(jī)可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)的程序代碼可以從傳輸介質(zhì)自動(dòng)地被傳送給計(jì)算機(jī)存儲(chǔ)介質(zhì)(或反之亦然)。例如，通過網(wǎng)絡(luò)或數(shù)據(jù)鏈路接收到的計(jì)算機(jī)可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)可以被緩沖在網(wǎng)絡(luò)接口模塊(例如，“NIC”)內(nèi)的RAM中，并且然后最終地被傳送到計(jì)算機(jī)系統(tǒng)RAM和/或計(jì)算機(jī)系統(tǒng)處的較少的易失性計(jì)算機(jī)存儲(chǔ)介質(zhì)。因此，應(yīng)當(dāng)理解，計(jì)算機(jī)存儲(chǔ)介質(zhì)可以被包括在還(或甚至主要地)利用傳輸介質(zhì)的計(jì)算機(jī)系統(tǒng)部件中。

計(jì)算機(jī)可執(zhí)行指令包括例如當(dāng)在至少一個(gè)處理器執(zhí)行時(shí)使得通用計(jì)算機(jī)系統(tǒng)、專用計(jì)算機(jī)系統(tǒng)或?qū)Ｓ锰幚碓O(shè)備執(zhí)行某個(gè)功能或功能組的指令和數(shù)據(jù)。計(jì)算機(jī)可執(zhí)行指令可以是例如二值化、中間格式指令(諸如匯編語言)或甚至源代碼。

本領(lǐng)域的技術(shù)人員將理解到，在此所描述的原理可以被實(shí)踐在具有許多類型的計(jì)算機(jī)系統(tǒng)配置的網(wǎng)絡(luò)計(jì)算環(huán)境中，包括個(gè)人計(jì)算機(jī)、臺(tái)式計(jì)算機(jī)、膝上型計(jì)算機(jī)、消息處理器、手持式設(shè)備、多處理器系統(tǒng)、基于微處理器或可編程的消費(fèi)電子產(chǎn)品、網(wǎng)絡(luò)PC、小型計(jì)算機(jī)、大型計(jì)算機(jī)、移動(dòng)電話、PDA、平板電腦、尋呼機(jī)、路由器、交換機(jī)等。本發(fā)明還可以被實(shí)踐在其中通過網(wǎng)絡(luò)鏈接(通過硬連線數(shù)據(jù)鏈路、無線數(shù)據(jù)鏈路、或由硬連線和無線數(shù)據(jù)鏈路的組合)鏈接的本地和遠(yuǎn)程計(jì)算機(jī)系統(tǒng)(二者都執(zhí)行任務(wù))的分布式系統(tǒng)環(huán)境中。如此，在分布式系統(tǒng)環(huán)境中，計(jì)算機(jī)系統(tǒng)可以包括多個(gè)組成的計(jì)算機(jī)系統(tǒng)。在分布式計(jì)算環(huán)境中，程序模塊可以位于本地存儲(chǔ)器存儲(chǔ)設(shè)備和遠(yuǎn)程存儲(chǔ)器存儲(chǔ)設(shè)備二者中。

本領(lǐng)域的技術(shù)人員還將理解到，可以在云計(jì)算環(huán)境中實(shí)踐本發(fā)明。云計(jì)算環(huán)境可以是分布式的，但是這不是所要求的。當(dāng)被分布時(shí)，云計(jì)算環(huán)境可以國際地分布在組織內(nèi)和/或具有跨越多個(gè)組織擁有的部件。在該描述和以下權(quán)利要求中，“云計(jì)算”被定義為用于使能對可配置的計(jì)算資源(例如，網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)、應(yīng)用和服務(wù))的共享池的按需網(wǎng)絡(luò)訪問權(quán)的模型?！霸朴?jì)算”的定義不限于當(dāng)適當(dāng)?shù)夭渴饡r(shí)可以從這樣的模型獲得的其他多個(gè)優(yōu)點(diǎn)中的任一個(gè)優(yōu)點(diǎn)。

更進(jìn)一步地，本文所描述的系統(tǒng)架構(gòu)可以包括各自有助于系統(tǒng)作為整體的功能的多個(gè)獨(dú)立部件。該模塊性考慮到當(dāng)接近平臺(tái)可擴(kuò)展性的問題時(shí)增加的靈活性并且為此提供各種優(yōu)點(diǎn)。可以通過使用具有有限的功能范圍的較小規(guī)模的部分更容易地管理系統(tǒng)復(fù)雜性和增長。通過使用這些松散耦合模塊增強(qiáng)平臺(tái)容錯(cuò)性。個(gè)體部件可以隨著商業(yè)需要指示增量地生長。模塊化開發(fā)還轉(zhuǎn)移到針對新功能的減少的上市時(shí)間。在不影響核心系統(tǒng)的情況下，可以添加或減去新的功能。

圖1圖示了在其中可以部署至少一個(gè)實(shí)施例的計(jì)算機(jī)架構(gòu)100。計(jì)算機(jī)架構(gòu)100包括計(jì)算機(jī)系統(tǒng)101A和101B。該計(jì)算機(jī)系統(tǒng)101A/101B可以是任何類型的本地或分布式計(jì)算機(jī)系統(tǒng)，包括云計(jì)算系統(tǒng)。每個(gè)計(jì)算機(jī)系統(tǒng)包括用于執(zhí)行不同的功能的模塊。例如，通信模塊104A/104B可以被配置為與其他計(jì)算系統(tǒng)通信。例如，計(jì)算機(jī)系統(tǒng)101A的通信模塊104A可以被配置為與計(jì)算機(jī)系統(tǒng)101B的通信模塊104B或與任何其他計(jì)算系統(tǒng)通信。通信模塊104A/104B可以包括任何有線或無線通信裝置，其可以從其他計(jì)算系統(tǒng)接收數(shù)據(jù)和/或?qū)?shù)據(jù)發(fā)送給其他計(jì)算系統(tǒng)。該通信模塊104A/104B可以被配置為與數(shù)據(jù)庫、移動(dòng)計(jì)算設(shè)備(諸如移動(dòng)電話或平板電腦)、嵌入式或其他類型的計(jì)算系統(tǒng)進(jìn)行交互。

計(jì)算機(jī)系統(tǒng)101A進(jìn)一步包括請求生成模塊108。該請求生成模塊108可以被配置為生成請求116，其可以包括不同的項(xiàng)。該請求自身可以包括執(zhí)行某個(gè)功能117的請求。例如，請求116可以包括執(zhí)行管理動(dòng)作(諸如添加或移除來自正在提供服務(wù)的虛擬機(jī)組)的請求。該請求可以指定功能117連同將被執(zhí)行的任何其他功能。該請求可以進(jìn)一步包括與用戶相關(guān)聯(lián)的一個(gè)或多個(gè)用戶憑證106。例如，用戶105可以將用戶憑證106提供給計(jì)算機(jī)系統(tǒng)101A。該用戶憑證可以是用戶名和密碼、令牌、生物識(shí)別數(shù)據(jù)(諸如指紋)或其他類型的憑證。這些憑證可以被傳遞給計(jì)算機(jī)系統(tǒng)101B作為執(zhí)行某個(gè)功能的請求116的一部分。

請求116可以進(jìn)一步包括設(shè)備聲明118。如在此所使用的該術(shù)語，該設(shè)備聲明是將計(jì)算機(jī)系統(tǒng)101A(唯一地)標(biāo)識(shí)到另一計(jì)算機(jī)系統(tǒng)的任何手段。該設(shè)備聲明可以與硬件標(biāo)識(shí)符相關(guān)聯(lián)或來源于硬件標(biāo)識(shí)符，或者可以基于能夠用于肯定地標(biāo)識(shí)計(jì)算機(jī)系統(tǒng)101A的其他信息。如上文所提到的，該計(jì)算機(jī)系統(tǒng)101A可以是任何類型的計(jì)算設(shè)備并且可以是電話、可穿戴設(shè)備、平板電腦、汽車或電器或任何其他類型的計(jì)算系統(tǒng)內(nèi)的嵌入式系統(tǒng)。計(jì)算機(jī)系統(tǒng)101A的設(shè)備聲明生成模塊110可以生成特別地標(biāo)識(shí)計(jì)算機(jī)系統(tǒng)101A的設(shè)備聲明。該設(shè)備聲明可以從請求116分離地被發(fā)送或可以被發(fā)送作為請求的一部分。對于用戶憑證106同樣如此。

計(jì)算機(jī)系統(tǒng)101B可以在通信模塊104B處接收請求116。認(rèn)證模塊119可以使用接收到的憑證106來認(rèn)證用戶105。如果用戶的憑證是正確的，則用戶105對于計(jì)算機(jī)系統(tǒng)101B被認(rèn)證。計(jì)算機(jī)系統(tǒng)101B的確定模塊120可以確定設(shè)備(即，計(jì)算機(jī)系統(tǒng)101A)是否是批準(zhǔn)的計(jì)算設(shè)備121。在一些實(shí)施例中，計(jì)算機(jī)系統(tǒng)101B可以存儲(chǔ)被授權(quán)為執(zhí)行某些功能的計(jì)算系統(tǒng)的可更新的列表。該確定模塊可以查看將被執(zhí)行的功能117并且指示哪個(gè)設(shè)備將請求功能的設(shè)備聲明118。批準(zhǔn)的計(jì)算設(shè)備121的列表可以指示哪些計(jì)算設(shè)備和/或哪些用戶被批準(zhǔn)以執(zhí)行所請求的功能117。如果認(rèn)證的用戶被批準(zhǔn)執(zhí)行功能，并且設(shè)備在批準(zhǔn)的計(jì)算設(shè)備列表121上并且功能是批準(zhǔn)的計(jì)算設(shè)備被授權(quán)執(zhí)行(或請求)的那個(gè)，那么計(jì)算機(jī)系統(tǒng)101B將批準(zhǔn)接收到的請求并且(例如，使用功能執(zhí)行模塊122)執(zhí)行功能自身或允許功能在另一計(jì)算系統(tǒng)上執(zhí)行(例如，在云上或在計(jì)算機(jī)系統(tǒng)101A上)。

更進(jìn)一步地，在本文中描述了允許計(jì)算系統(tǒng)被建立為安全計(jì)算系統(tǒng)的實(shí)施例。安全模塊109可以被實(shí)現(xiàn)為確保可以適于易損性的各種計(jì)算方面被鎖定下來以防止未授權(quán)或其他未經(jīng)批準(zhǔn)的使用。例如，策略建立模塊111可以被實(shí)現(xiàn)為建立包括更新策略112和聯(lián)網(wǎng)策略113的各種策略。該更新策略可以指示計(jì)算設(shè)備(例如，計(jì)算機(jī)系統(tǒng)101A)將繼續(xù)檢查軟件更新并且當(dāng)其被接收時(shí)應(yīng)用那些更新。該更新策略可以采取措施來確保更新將來自期望地點(diǎn)并且以期望的方式?？梢詳?shù)字地標(biāo)記更新以確保更新提供商是合法的。聯(lián)網(wǎng)策略113可以被實(shí)現(xiàn)為確保大部分(或所有)網(wǎng)絡(luò)端口被關(guān)閉并且大部分(或所有)輸入網(wǎng)絡(luò)連接被拒絕。實(shí)際上，聯(lián)網(wǎng)策略可以被鎖定為由管理員或系統(tǒng)設(shè)計(jì)師期望的程度。該網(wǎng)絡(luò)可以被配置為拒絕幾乎某些預(yù)定連接或請求，并且可以類似地被配置為防止所有或大部分出站網(wǎng)絡(luò)連接。通過這種方式，可以高度調(diào)節(jié)流進(jìn)和流出計(jì)算系統(tǒng)的數(shù)據(jù)以防止未授權(quán)的連接。

還可以在設(shè)備上實(shí)例化應(yīng)用阻止服務(wù)123以確保其是安全的。應(yīng)用阻止服務(wù)123可以被配置作為白名單，其阻止在白名單上未列出的任何應(yīng)用運(yùn)行。這可以包括從高級應(yīng)用代碼到低級內(nèi)核代碼的任何東西。該應(yīng)用阻止服務(wù)123可以被配置為觀察將被執(zhí)行的每個(gè)服務(wù)和每個(gè)功能并且確定其是否是批準(zhǔn)的應(yīng)用的一部分。通過這種方式，計(jì)算設(shè)備可以被鎖定以僅執(zhí)行已經(jīng)批準(zhǔn)的那些應(yīng)用。還可以采取進(jìn)一步的措施來建立安全計(jì)算設(shè)備，諸如將任務(wù)的執(zhí)行限于標(biāo)準(zhǔn)用戶，并且限制被允許由設(shè)備上的因特網(wǎng)瀏覽器應(yīng)用執(zhí)行的功能。下面連同下面在本文中相應(yīng)地在圖2和圖3的方法200和方法300中描述的其他實(shí)施例進(jìn)一步解釋這些想法。

鑒于上文所描述的系統(tǒng)和架構(gòu)，將參考圖2和圖3的流程圖更好地理解可以根據(jù)所公開的主題實(shí)現(xiàn)的方法。出于解釋的簡單性的目的，方法被示出并且被描述為一系列塊。然而，應(yīng)當(dāng)理解并且領(lǐng)會(huì)，所要求保護(hù)的主題不由這些塊的順序限制，這是因?yàn)橐恍K可以根據(jù)在本文中描繪和描述什么以不同的順序和/或與其他塊同時(shí)地發(fā)生。而且，并非所有所圖示的塊可以被要求實(shí)現(xiàn)在下文中所描述的方法。

圖2圖示了用于建立計(jì)算系統(tǒng)之間的安全連接的方法200的流程圖?，F(xiàn)在將頻繁參考環(huán)境100的部件和數(shù)據(jù)來描述方法200。

方法200包括從計(jì)算設(shè)備接收至少一個(gè)指定功能被發(fā)起的請求的動(dòng)作(動(dòng)作210)，該請求包括用戶憑證和標(biāo)識(shí)計(jì)算設(shè)備的設(shè)備聲明。例如，計(jì)算機(jī)系統(tǒng)101B的通信模塊104B可以從計(jì)算機(jī)系統(tǒng)101A接收指定功能117將被發(fā)起的請求116。可以通過計(jì)算機(jī)系統(tǒng)101B的功能執(zhí)行模塊122或通過另一計(jì)算機(jī)系統(tǒng)或計(jì)算系統(tǒng)的組合來執(zhí)行該功能。該請求116還可以包括由用戶105所提供的用戶憑證以及對應(yīng)于設(shè)備(例如，計(jì)算機(jī)系統(tǒng)101A)的設(shè)備聲明118。該設(shè)備聲明可以由設(shè)備聲明生成模塊110生成并且可以基于或來源于與計(jì)算機(jī)系統(tǒng)101相關(guān)聯(lián)的硬件或其他標(biāo)識(shí)符的任何組合而被生成。在一些情況下，設(shè)備聲明可以包括對應(yīng)于計(jì)算設(shè)備的數(shù)字證書。該數(shù)字證書唯一地標(biāo)識(shí)計(jì)算設(shè)備或證實(shí)設(shè)備聲明是真實(shí)的并且與被發(fā)送給請求116的計(jì)算系統(tǒng)相關(guān)聯(lián)。

方法200進(jìn)一步包括使用接收到的用戶憑證來認(rèn)證用戶的動(dòng)作(動(dòng)作220)。計(jì)算機(jī)系統(tǒng)101B的認(rèn)證模塊119可以訪問在請求116中接收到的用戶憑證106并且在確定憑證適當(dāng)(或不適當(dāng))時(shí)，認(rèn)證用戶(或拒絕認(rèn)證)。該確定模塊120可以然后基于設(shè)備聲明119確定計(jì)算設(shè)備(例如，101A)是已經(jīng)被批準(zhǔn)發(fā)起至少一個(gè)指定功能的執(zhí)行的批準(zhǔn)的計(jì)算設(shè)備(動(dòng)作230)。使用設(shè)備聲明118肯定地標(biāo)識(shí)計(jì)算機(jī)系統(tǒng)101A，確定模塊可以確定所標(biāo)識(shí)的設(shè)備在批準(zhǔn)的計(jì)算設(shè)備121的列表上。該列表可以隨時(shí)間更新，并且可以將不同的計(jì)算設(shè)備列出為被批準(zhǔn)用于某些任務(wù)或進(jìn)一步被批準(zhǔn)用于當(dāng)由某些用戶請求時(shí)的某些任務(wù)。因此，基于哪個(gè)功能被請求、誰請求該功能和/或請求功能被執(zhí)行的哪個(gè)設(shè)備，批準(zhǔn)的計(jì)算設(shè)備列表121可以包括不同的批準(zhǔn)設(shè)備。如上文所提到的，指定功能可以是任何類型的計(jì)算功能，并且可以包括管理功能、云管理任務(wù)或可以由計(jì)算機(jī)系統(tǒng)101B執(zhí)行的任何其他功能。

方法200包括在確定用戶已經(jīng)被認(rèn)證并且計(jì)算設(shè)備被批準(zhǔn)發(fā)起至少一個(gè)指定功能的執(zhí)行時(shí)，發(fā)起至少一個(gè)指定功能的執(zhí)行的動(dòng)作(動(dòng)作240)。因此，一旦確定模塊120確定用戶105已經(jīng)被認(rèn)證并且計(jì)算機(jī)系統(tǒng)101A被批準(zhǔn)發(fā)起指定功能117的執(zhí)行，則計(jì)算機(jī)系統(tǒng)101B的功能執(zhí)行模塊122可以執(zhí)行指定功能或者可以發(fā)起功能的執(zhí)行，使得在其他計(jì)算機(jī)系統(tǒng)上處理功能的全部或部分。

在一些情況下，確定計(jì)算設(shè)備是已經(jīng)被批準(zhǔn)以發(fā)起指定功能的執(zhí)行的批準(zhǔn)的計(jì)算設(shè)備包括：確定計(jì)算設(shè)備是安全計(jì)算設(shè)備或工作站。如本文所使用的，安全工作站是基于一個(gè)或多個(gè)因素被確定為將安全的計(jì)算系統(tǒng)。在一些實(shí)施例中，建立安全工作站可以包括以下各項(xiàng)中的任何或全部：建立標(biāo)識(shí)安全工作站的設(shè)備聲明；建立更新策略，其被配置為確保安全工作站將運(yùn)行最新的軟件補(bǔ)??；實(shí)例化應(yīng)用阻止服務(wù)，其被配置為確保僅指定白名單上的應(yīng)用被允許在安全工作站上執(zhí)行；以及建立聯(lián)網(wǎng)策略，其防止至少一個(gè)入站網(wǎng)絡(luò)連接到達(dá)安全工作站。當(dāng)確定工作站是否是安全時(shí)，可以附加地或備選地考慮其他因素。

在一些實(shí)施例中，如圖4中一般地所示，如在請求116中指定的待執(zhí)行的功能包括：建立對計(jì)算系統(tǒng)的遠(yuǎn)程桌面會(huì)話或其他認(rèn)證的會(huì)話。因此，用戶401可以使得遠(yuǎn)程桌面協(xié)議(RDP)請求402被生成。在一個(gè)場景中，請求由已經(jīng)被確定為安全的安全工作站404生成，并且在另一場景中，請求402由在安全工作站膝上型電腦404上運(yùn)行的虛擬機(jī)生成(雖然示出了膝上型電腦，但是將理解到，可以使用任何類型的計(jì)算系統(tǒng))。在圖4中所示的實(shí)施例中，遠(yuǎn)程桌面網(wǎng)關(guān)/認(rèn)證網(wǎng)關(guān)407可以被配置為僅允許來自安全工作站的請求在云408的遠(yuǎn)程桌面會(huì)話409(或其他認(rèn)證的會(huì)話)上被處理。因此，來自在安全工作站404上運(yùn)行的虛擬機(jī)403的請求將被阻止405，如將從其他非安全工作站或虛擬機(jī)請求。然而，來自安全工作站404的請求將被允許406，并且用戶401將能夠建立遠(yuǎn)程桌面會(huì)話409并且執(zhí)行針對云服務(wù)的管理任務(wù)或執(zhí)行如通常由策略或由用戶的權(quán)限允許的其他功能。

可以在包括并且除用戶401之外的多個(gè)不同的計(jì)算設(shè)備用戶之間共享安全工作站404?？梢詫Π踩ぷ髡具M(jìn)行配置，使得登錄的任何用戶可以僅執(zhí)行與標(biāo)準(zhǔn)用戶相關(guān)聯(lián)的功能而非管理用戶的那些功能。如此，多個(gè)不同的用戶可能能夠使用安全工作站執(zhí)行任務(wù)(諸如登錄到遠(yuǎn)程桌面會(huì)話，其中其可以然后作為管理員登錄(到遠(yuǎn)程機(jī)器)并且執(zhí)行管理任務(wù))。更進(jìn)一步地，安全工作站404可以是被批準(zhǔn)以執(zhí)行指定功能的多個(gè)批準(zhǔn)的計(jì)算設(shè)備之一。因此，在這樣的情況下，如果請求進(jìn)入執(zhí)行指定功能，則遠(yuǎn)程桌面網(wǎng)關(guān)/認(rèn)證網(wǎng)關(guān)407可以確定安全工作站404是經(jīng)批準(zhǔn)的計(jì)算設(shè)備的列表之一并且可以允許輸入請求?？梢越⒉呗詠碇甘菊J(rèn)證的用戶和批準(zhǔn)的計(jì)算設(shè)備的哪些組合被許可執(zhí)行任何給定功能，使得當(dāng)拒絕或允許來自某些用戶和/或設(shè)備的請求時(shí)，高層顆粒是可用的。

策略可以進(jìn)一步指示哪些應(yīng)用被允許生成請求并且使那些請求被處理。在一個(gè)實(shí)施例中，圖1的計(jì)算機(jī)系統(tǒng)101B從計(jì)算機(jī)系統(tǒng)101A接收標(biāo)識(shí)在其上運(yùn)行的應(yīng)用的應(yīng)用標(biāo)識(shí)。該確定模塊120確定應(yīng)用標(biāo)識(shí)標(biāo)識(shí)至少一個(gè)批準(zhǔn)的應(yīng)用，并且進(jìn)一步將應(yīng)用標(biāo)識(shí)確定包括在用于發(fā)起至少一個(gè)指定功能的執(zhí)行的確定中。因此，當(dāng)確定是否允許或拒絕指定功能被執(zhí)行的請求時(shí)，確定模塊120可以查看哪個(gè)用戶發(fā)送請求、請求從哪個(gè)計(jì)算設(shè)備被接收、哪個(gè)功能將被執(zhí)行，并且如果適用的話，在生成請求時(shí)涉及哪個(gè)應(yīng)用。該確定模塊120可以查看當(dāng)確定是否允許或拒絕任何給定請求時(shí)的以上的任何組合。因此，通過這種方式，計(jì)算系統(tǒng)(諸如101B)可以具有關(guān)于哪些用戶、設(shè)備和/或應(yīng)用被允許請求每個(gè)功能117的執(zhí)行的大的自由裁量權(quán)。

現(xiàn)在轉(zhuǎn)到圖3，圖示了用于在安全計(jì)算設(shè)備上提供計(jì)算機(jī)系統(tǒng)虛擬化的方法300的流程圖。現(xiàn)在將頻繁參考環(huán)境100的部件和數(shù)據(jù)來描述方法300。

方法300包括建立安全計(jì)算設(shè)備(310)的動(dòng)作，其包括：建立標(biāo)識(shí)安全計(jì)算設(shè)備的設(shè)備聲明的動(dòng)作(動(dòng)作310A)；建立更新策略的動(dòng)作(動(dòng)作310B)，該更新策略被配置為確保安全計(jì)算設(shè)備將運(yùn)行最新的軟件補(bǔ)??；實(shí)例化應(yīng)用阻止服務(wù)的動(dòng)作(動(dòng)作310C)，該應(yīng)用阻止服務(wù)被配置為確保僅指定白名單上的應(yīng)用被允許在安全計(jì)算設(shè)備上執(zhí)行；以及建立聯(lián)網(wǎng)策略的動(dòng)作(動(dòng)作310D)，該聯(lián)網(wǎng)策略防止至少一些入站網(wǎng)絡(luò)連接到達(dá)安全計(jì)算設(shè)備。方法300進(jìn)一步包括在建立的安全設(shè)備上實(shí)例化至少一個(gè)虛擬機(jī)的動(dòng)作，實(shí)例化的虛擬機(jī)允許不在指定白名單中的至少一個(gè)應(yīng)用被執(zhí)行(動(dòng)作320)。

因此，如圖4中所示，可以(使用310A-310D)建立安全工作站404，并且可以在安全工作站上實(shí)例化虛擬機(jī)403。然后，即使防止安全工作站接收大部分或所有入站網(wǎng)絡(luò)連接，虛擬機(jī)403也可以接收這樣的網(wǎng)絡(luò)連接。類似地，即使安全工作站將運(yùn)行防止非白名單應(yīng)用在安全工作站上運(yùn)行的應(yīng)用阻止服務(wù)，也可以在虛擬機(jī)上運(yùn)行白名單外的應(yīng)用。實(shí)際上，由于虛擬機(jī)與安全工作站用墻隔開，因而用戶可以執(zhí)行在安全工作站上將不被允許的大量功能。如此，虛擬機(jī)403可以在安全計(jì)算設(shè)備上提供用戶401的個(gè)人工作空間。安全工作站保持安全，并且用戶可以在虛擬機(jī)內(nèi)處理其正?；顒?dòng)。

在其中多個(gè)不同的用戶具有安全工作站上的賬戶的情況下，可以實(shí)例化多個(gè)不同的虛擬機(jī)(同時(shí)地或在不同的時(shí)間)以容納不同的用戶。在一些實(shí)施例中，可以建立硬件反饋環(huán)路來優(yōu)化各個(gè)個(gè)人工作空間之間的硬件使用。每個(gè)用戶可能能夠執(zhí)行功能(諸如打開虛擬機(jī)內(nèi)的遠(yuǎn)程桌面應(yīng)用)。然而，在圖4的場景中，將拒絕來自虛擬機(jī)的RDP請求402，這是因?yàn)槠鋵⒉粊碜园踩ぷ髡?即，不直接來自安全工作站404)。

補(bǔ)充或者取代上文所列出的那些，建立安全工作站可以包括許多不同的選項(xiàng)。實(shí)際上，建立安全計(jì)算設(shè)備可以進(jìn)一步包括：建立防止用戶利用安全計(jì)算設(shè)備上的管理權(quán)限執(zhí)行功能的策略。在這樣的情況下，用戶登錄到安全工作站404可以被限于根據(jù)具有比全組管理權(quán)限更少的權(quán)限的標(biāo)準(zhǔn)用戶或其他用戶執(zhí)行動(dòng)作。建立安全計(jì)算設(shè)備還可以包括建立確保計(jì)算設(shè)備將運(yùn)行防病毒應(yīng)用的防病毒策略或建立限制被允許由因特網(wǎng)瀏覽器執(zhí)行的功能的因特網(wǎng)瀏覽器策略。除了因特網(wǎng)瀏覽器應(yīng)用之外，這樣的策略可以被應(yīng)用到其他應(yīng)用，使得那些應(yīng)用還被限制在當(dāng)在安全工作站404上運(yùn)行時(shí)其能夠執(zhí)行的功能中。

因此，提供建立計(jì)算系統(tǒng)之間的安全連接的方法、系統(tǒng)和計(jì)算機(jī)程序產(chǎn)品。提供了在安全計(jì)算設(shè)備上提供計(jì)算機(jī)系統(tǒng)虛擬化的方法、系統(tǒng)和計(jì)算機(jī)程序產(chǎn)品。

在不脫離其精神或描述特性的情況下，可以以其他特定形式實(shí)現(xiàn)本文所描述的概念和特征。所描述的實(shí)施例在所有方面中將被認(rèn)為是說明性而非限制性的。因此，本公開的范圍由所附的權(quán)利要求而不是由前述描述指示。在權(quán)利要求的等價(jià)的意義和范圍內(nèi)的所有變化將被包括在其范圍內(nèi)。