本發(fā)明涉及異構(gòu)敏捷信息系統(tǒng)(heterogeneousagileinformationsystem)和信息技術(shù)環(huán)境的集中管理、控制和治理(governance)的方法及系統(tǒng)。

背景技術(shù)：

所謂的敏捷環(huán)境(agileenvironments)，例如由軟件即時(shí)或快速地定義、提供/取消提供和管理的虛擬化、基于云端的(例如專用、混合、公共)及其它環(huán)境，需要正確地確保防止未經(jīng)授權(quán)的訪問(wèn)/利用，并應(yīng)當(dāng)在適當(dāng)?shù)奈恢镁哂羞m當(dāng)?shù)陌踩胧?，從而通過(guò)主動(dòng)緩解因惡意攻擊和無(wú)意的失誤而導(dǎo)致的風(fēng)險(xiǎn)/威脅來(lái)確保業(yè)務(wù)持續(xù)性、合規(guī)性(compliance)和治理。一種這樣的措施是在適當(dāng)?shù)奈恢镁哂胸S富的、細(xì)粒度(fine-grained)的授權(quán)策略(例如，基于角色的訪問(wèn)控制和/或基于屬性的訪問(wèn)控制)，從而適當(dāng)限制/約束對(duì)資源的管理訪問(wèn)以及對(duì)資源的操作，其中，管理員可以是人、計(jì)算機(jī)系統(tǒng)或兩者的組合。現(xiàn)有的安全平臺(tái)和云管理平臺(tái)提供了這樣的能力，雖然形式有限。例如，現(xiàn)有的系統(tǒng)被限制為用于同構(gòu)(homogeneous)性質(zhì)的環(huán)境，其中企業(yè)只依賴于一種云虛擬化技術(shù)和/或?qū)τ谒乃行枨笾灰蕾囉谝粋€(gè)云供應(yīng)商。

然而，近來(lái)，企業(yè)已經(jīng)從同構(gòu)環(huán)境移向異構(gòu)和/或多云環(huán)境。資源配置的這種趨勢(shì)反映了這樣的事實(shí)，即通過(guò)這種方式可以使成本節(jié)約程度、運(yùn)營(yíng)效率、安全性、可用性和可靠性都得到提高。此外，新興技術(shù)如應(yīng)用容器(applicationcontainer)和軟件定義網(wǎng)絡(luò)(softwaredefinednetworking,sdn)進(jìn)一步簡(jiǎn)化了混合環(huán)境(例如多云環(huán)境)的采用。

使用異構(gòu)敏捷環(huán)境的趨勢(shì)為管理員和審核者(auditor)創(chuàng)造了一系列新的挑戰(zhàn)。對(duì)于管理授權(quán)策略，管理員必須現(xiàn)在了解用于管理這種環(huán)境的不同工具，并使用這種工具適當(dāng)?shù)嘏渲檬跈?quán)策略。由于不同的環(huán)境采用不同的用戶界面、應(yīng)用程序編程界面和資源，因此與常規(guī)上的同構(gòu)環(huán)境時(shí)相比，管理員的任務(wù)變得復(fù)雜了許多。更糟糕的是，在不同的敏捷環(huán)境之間，任何給定資源的術(shù)語(yǔ)或呈現(xiàn)越來(lái)越不一致。例如，在一個(gè)環(huán)境中的所謂虛擬機(jī)可以被分類為另一個(gè)環(huán)境中的服務(wù)器。一個(gè)沒(méi)有經(jīng)驗(yàn)的管理員可能無(wú)法認(rèn)識(shí)到這些實(shí)體執(zhí)行類似的功能，因此，可能會(huì)因配置不當(dāng)而使一個(gè)環(huán)境或另一個(gè)環(huán)境暴露或無(wú)法使用。此外，在不同的環(huán)境之間能夠?qū)Y源執(zhí)行的操作可能不相同，并且即使操作相同，操作的命名可能不同，這再次給管理員帶來(lái)困難。似乎這還不夠復(fù)雜，在不同的環(huán)境中對(duì)不同或甚至是類似的資源能夠執(zhí)行的操作的粒度(granularity)可能會(huì)非常不同，因此職責(zé)(duty)的一致分離(consistentseparation)可能會(huì)無(wú)法實(shí)現(xiàn)，或者過(guò)于復(fù)雜而無(wú)法正確配置。

技術(shù)實(shí)現(xiàn)要素：

在各種實(shí)施方式中，一種用于異構(gòu)敏捷環(huán)境的協(xié)調(diào)治理系統(tǒng)包括：基于計(jì)算機(jī)的策略管理單元(pae)，可通信地連接到組成所述異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境的各自管理平臺(tái)。所述pae配置為管理和報(bào)告治理策略，所述治理策略包括規(guī)則、角色，以及按照抽象和標(biāo)準(zhǔn)化的(i)資源呈現(xiàn)，(ii)能夠?qū)λ鲑Y源進(jìn)行的和由所述資源執(zhí)行的操作，(iii)可對(duì)將與所述資源交互的主體分配的角色，及(iv)所述呈現(xiàn)、操作和角色的各自屬性，對(duì)所述異構(gòu)敏捷環(huán)境的資源的分配。所述協(xié)調(diào)治理系統(tǒng)還包括基于計(jì)算機(jī)的決策單元(pde)，可通信地連接到組成所述異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境內(nèi)的資源，以接收一個(gè)或多個(gè)主體嘗試的治理操作的指示，所述pde配置為確定并報(bào)告是否應(yīng)許可嘗試的治理操作。所述協(xié)調(diào)治理系統(tǒng)還包括對(duì)于所述pae和所述pde可訪問(wèn)的一個(gè)或多個(gè)數(shù)據(jù)源，所述數(shù)據(jù)源存儲(chǔ)以下相關(guān)信息：(i)所述一個(gè)或多個(gè)主體和及其各自的屬性，和(ii)所述異構(gòu)敏捷環(huán)境的資源和所述資源的各自屬性。所述協(xié)調(diào)治理系統(tǒng)還包括基于計(jì)算機(jī)的策略執(zhí)行單元(pee)，可通信地連接到組成所述異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境的各自管理平臺(tái)和資源。所述pee配置為執(zhí)行和報(bào)告所述pde的授權(quán)決策。

組成所述異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境中的各個(gè)不同敏捷環(huán)境具有用于各自單獨(dú)敏捷環(huán)境內(nèi)的資源的單獨(dú)的關(guān)聯(lián)的訪問(wèn)策略。每個(gè)相應(yīng)的單獨(dú)敏捷環(huán)境具有用于各自單獨(dú)敏捷環(huán)境的主體、資源和操作的關(guān)聯(lián)的各自訪問(wèn)控制系統(tǒng)；并且，每個(gè)相應(yīng)的單獨(dú)敏捷環(huán)境的資源包括計(jì)算系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、應(yīng)用容器、應(yīng)用系統(tǒng)、管理系統(tǒng)和存儲(chǔ)系統(tǒng)中的一種或多種。

對(duì)于組成所述異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境中的相應(yīng)的每一個(gè)而言，所述基于計(jì)算機(jī)的pae保持如下方面的協(xié)調(diào)映射：

a.各自單獨(dú)敏捷環(huán)境的資源及所述資源的各自屬性以及對(duì)應(yīng)的等效虛擬化敏捷環(huán)境專用資源的抽象和標(biāo)準(zhǔn)化呈現(xiàn)，所述映射存儲(chǔ)在一個(gè)或多個(gè)數(shù)據(jù)存儲(chǔ)器中；

b.能夠被各自單獨(dú)敏捷環(huán)境的所述資源執(zhí)行的抽象和標(biāo)準(zhǔn)化操作及所述操作的各自屬性以及對(duì)應(yīng)的等效敏捷環(huán)境專用操作，所述映射存儲(chǔ)在一個(gè)或多個(gè)數(shù)據(jù)存儲(chǔ)器中；以及

c.可分配給將與各自單獨(dú)敏捷環(huán)境的所述資源交互的主體的抽象和標(biāo)準(zhǔn)化角色及所述角色的各自屬性以及對(duì)應(yīng)的等效敏捷環(huán)境專用角色，所述映射存儲(chǔ)在一個(gè)或多個(gè)數(shù)據(jù)存儲(chǔ)器中。

所述抽象和標(biāo)準(zhǔn)化角色可映射到能由各自單獨(dú)敏捷環(huán)境的資源執(zhí)行的抽象操作。

在本發(fā)明的進(jìn)一步的實(shí)施方式中，可提供一種執(zhí)行下述操作的方法。其中，一種用于異構(gòu)敏捷環(huán)境的協(xié)調(diào)治理系統(tǒng)接收嘗試操作的指示，或者所述異構(gòu)敏捷環(huán)境包括n個(gè)單獨(dú)敏捷環(huán)境，每個(gè)單獨(dú)敏捷環(huán)境包括一個(gè)或多個(gè)計(jì)算系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、應(yīng)用容器、應(yīng)用系統(tǒng)、管理系統(tǒng)和存儲(chǔ)系統(tǒng)，所述嘗試操作與所述單獨(dú)敏捷環(huán)境中的第一個(gè)單獨(dú)敏捷環(huán)境的資源相關(guān)。將與所述資源相關(guān)的嘗試操作的指示從第一個(gè)單獨(dú)敏捷環(huán)境的敏捷環(huán)境專用語(yǔ)言映射至所述異構(gòu)敏捷環(huán)境的抽象標(biāo)準(zhǔn)化語(yǔ)言。所述異構(gòu)敏捷環(huán)境的協(xié)調(diào)治理系統(tǒng)作出是否允許所述嘗試操作的決策；將所述決策從所述異構(gòu)敏捷環(huán)境的抽象標(biāo)準(zhǔn)化語(yǔ)言轉(zhuǎn)譯為所述第一個(gè)單獨(dú)敏捷環(huán)境的敏捷環(huán)境專用語(yǔ)言的命令。然后以所述第一個(gè)單獨(dú)敏捷環(huán)境的敏捷環(huán)境專用語(yǔ)言將所述命令發(fā)送至所述第一個(gè)單獨(dú)敏捷環(huán)境的管理平臺(tái)以用于執(zhí)行。所述異構(gòu)敏捷環(huán)境的抽象標(biāo)準(zhǔn)化語(yǔ)言可包括主體、資源和操作的抽象標(biāo)準(zhǔn)化呈現(xiàn)，其中主體是能對(duì)資源執(zhí)行一個(gè)或多個(gè)操作的執(zhí)行者；資源是敏捷環(huán)境中的計(jì)算機(jī)、網(wǎng)絡(luò)、存儲(chǔ)器、應(yīng)用容器或應(yīng)用系統(tǒng)；操作是對(duì)資源進(jìn)行的動(dòng)作或由資源執(zhí)行的動(dòng)作。

可以以所述異構(gòu)敏捷環(huán)境的抽象標(biāo)準(zhǔn)化語(yǔ)言將與所述n個(gè)單獨(dú)敏捷環(huán)境的資源相關(guān)的嘗試操作(例如通過(guò)儀表盤或其它方式)報(bào)告至所述協(xié)調(diào)治理系統(tǒng)的管理員。與所述第一個(gè)單獨(dú)敏捷環(huán)境的資源相關(guān)的嘗試操作的指示可以是對(duì)所述資源執(zhí)行的動(dòng)作的指示或由所述資源執(zhí)行的動(dòng)作的指示。此外，作出是否授權(quán)所述嘗試操作的決策可包括確定用于治理與所述資源相關(guān)的嘗試操作的策略是否許可所述嘗試操作。這種策略可以是治理策略、基于角色的訪問(wèn)控制策略、基于屬性的訪問(wèn)控制策略、位置策略和關(guān)系策略中的一種或多種。

本發(fā)明的協(xié)調(diào)治理系統(tǒng)提供了組成異構(gòu)敏捷環(huán)境的各自單獨(dú)敏捷環(huán)境的資源、操作和角色以及這種資源、操作和角色的各自屬性和背景的抽象和標(biāo)準(zhǔn)化。這種抽象使管理員不必了解和熟悉管理不同的敏捷環(huán)境所需的敏捷環(huán)境專用語(yǔ)法，并允許跨不同敏捷環(huán)境進(jìn)行標(biāo)準(zhǔn)化報(bào)告和審核。協(xié)調(diào)治理系統(tǒng)的數(shù)據(jù)源存儲(chǔ)信息映射，所述映射有利于對(duì)敏捷環(huán)境專用語(yǔ)法的這種抽象和標(biāo)準(zhǔn)化，當(dāng)發(fā)現(xiàn)敏捷環(huán)境專用語(yǔ)法的資源、操作和角色的新屬性和背景時(shí)，它們被映射至異構(gòu)敏捷環(huán)境語(yǔ)法中的新副本。

本發(fā)明的這些和進(jìn)一步的實(shí)施方式將在下文中進(jìn)行更詳細(xì)的描述。

附圖說(shuō)明

圖1描述了通過(guò)云管理平臺(tái)的常規(guī)訪問(wèn)控制系統(tǒng)與云資源交互的主體(subject)的示例；

圖2描述了通過(guò)各自的云管理平臺(tái)的常規(guī)訪問(wèn)控制系統(tǒng)與異構(gòu)云資源a和b交互的主體的示例；

圖3描述了按照本發(fā)明的一些實(shí)施方式管理的異構(gòu)敏捷環(huán)境的示例；

圖4描述了按照本發(fā)明的一些實(shí)施方式用于異構(gòu)敏捷環(huán)境的協(xié)調(diào)治理系統(tǒng)的示例；以及

圖5描述了按照本發(fā)明的一些實(shí)施方式的示例性計(jì)算機(jī)系統(tǒng)。

具體實(shí)施方式

在多個(gè)異構(gòu)敏捷環(huán)境之間要處理大量工具，更重要的是，工具具有孤立性(isolatednature)且不能有一組共同/一致的授權(quán)策略，這可能導(dǎo)致不良或不當(dāng)?shù)沫h(huán)境及其相應(yīng)的資源的配置。這使得這些環(huán)境及其資源更容易成為被利用(exploitation)的目標(biāo)。為了解決這樣的問(wèn)題，在此提供用于異構(gòu)敏捷信息系統(tǒng)和信息技術(shù)環(huán)境的集中管理和控制的方法及系統(tǒng)。

為了更好地允許讀者理解本發(fā)明的方法和系統(tǒng)，以下術(shù)語(yǔ)用于本說(shuō)明書(shū)及所附的權(quán)利要求書(shū)中。敏捷信息系統(tǒng)或敏捷信息技術(shù)環(huán)境(在此統(tǒng)稱為敏捷環(huán)境)的特征在于：多個(gè)主體通過(guò)服務(wù)請(qǐng)求所作出的即時(shí)(或幾乎即時(shí))和動(dòng)態(tài)變化，以及以自動(dòng)的方式對(duì)于這種需要類似的即時(shí)(或幾乎即時(shí))和動(dòng)態(tài)響應(yīng)的服務(wù)請(qǐng)求的安全授權(quán)。敏捷環(huán)境包括由多個(gè)虛擬化計(jì)算系統(tǒng)組成的具有或不具有相關(guān)的網(wǎng)絡(luò)和存儲(chǔ)資源的虛擬化計(jì)算環(huán)境、軟件定義網(wǎng)絡(luò)(sdn)環(huán)境、虛擬化網(wǎng)絡(luò)功能、應(yīng)用容器技術(shù)、以及存儲(chǔ)和應(yīng)用環(huán)境。在這種背景(context)下，主體是作出請(qǐng)求或?qū)?duì)象執(zhí)行操作的實(shí)體，其中，主體可以是人或非人實(shí)體(npe)，例如在計(jì)算機(jī)系統(tǒng)上運(yùn)行的自主服務(wù)(autonomousservice)、腳本或應(yīng)用程序。在某些情況下，主體可以被稱為請(qǐng)求實(shí)體(requestingentity)。操作是對(duì)對(duì)象執(zhí)行的動(dòng)作。

每個(gè)敏捷環(huán)境由邏輯對(duì)象(有時(shí)稱為資源)組成，即，邏輯對(duì)象是被保護(hù)以防止未經(jīng)授權(quán)的使用/訪問(wèn)的實(shí)體。對(duì)象可以是計(jì)算對(duì)象、網(wǎng)絡(luò)對(duì)象、存儲(chǔ)對(duì)象或應(yīng)用程序?qū)ο蟆Ｃ總€(gè)對(duì)象具有幫助對(duì)其自身進(jìn)行描述和識(shí)別的一組屬性(對(duì)象屬性或資源屬性)。對(duì)象屬性通常通過(guò)保證關(guān)聯(lián)(assuredassociation)的簡(jiǎn)便工具或方式綁定到相應(yīng)的對(duì)象。類似地，主體具有關(guān)聯(lián)的主體屬性，主體屬性可包括將一個(gè)主體與其它主體區(qū)分開(kāi)的唯一身份或標(biāo)識(shí)。

如上所述，授權(quán)策略和相關(guān)的訪問(wèn)控制是用于限制訪問(wèn)對(duì)象的典型手段。訪問(wèn)控制是允許或拒絕一個(gè)主體訪問(wèn)對(duì)象的決策(decision)，且與授權(quán)同義。為此，權(quán)限(privileges)代表主體的授權(quán)行為，并實(shí)現(xiàn)為策略或規(guī)則。因此，策略基于相應(yīng)的權(quán)限以及給予對(duì)象的保護(hù)來(lái)治理主體的授權(quán)行為。一般而言，存在兩種風(fēng)格的授權(quán)策略，即基于角色的訪問(wèn)控制(rbac)和基于屬性的訪問(wèn)控制(abac)。前者簡(jiǎn)單地依靠主體的角色來(lái)確定是否應(yīng)當(dāng)允許或拒絕操作。而對(duì)于后者，主體和對(duì)象的屬性以及背景都作用于確定授權(quán)。這種屬性包括分類、用途和位置；背景包括當(dāng)前的風(fēng)險(xiǎn)態(tài)勢(shì)和健康狀況。

如下文進(jìn)一步說(shuō)明的，典型地通過(guò)相關(guān)的訪問(wèn)控制系統(tǒng)(acs)來(lái)執(zhí)行(enforce)或?qū)崿F(xiàn)每個(gè)敏捷環(huán)境的授權(quán)策略。這種訪問(wèn)控制系統(tǒng)集合(assemble)授權(quán)信息，授權(quán)信息可包括與受保護(hù)對(duì)象、請(qǐng)求訪問(wèn)的主體、治理對(duì)對(duì)象的訪問(wèn)的策略相關(guān)的信息以及作出決策所需的任何背景信息(contextualinformation)，并且這種訪問(wèn)控制系統(tǒng)評(píng)估此信息以提出決策。在一些情況下，將由策略管理單元(pae)收集(gather)信息，由決策單元(pde)提出決策，并由策略執(zhí)行單元(pee)執(zhí)行決策?？梢岳蒙矸莺驮L問(wèn)治理系統(tǒng)(對(duì)于主體而言)以及云治理系統(tǒng)(對(duì)于對(duì)象而言)來(lái)獲得所需的背景信息。在多個(gè)實(shí)例中，acs可以包含部分或全部的這種功能，并且此術(shù)語(yǔ)在本說(shuō)明書(shū)中通篇使用。本發(fā)明提供云治理系統(tǒng)不可知(agnostic)的acs，以便于跨異構(gòu)敏捷環(huán)境的授權(quán)策略的統(tǒng)一集中管理。

圖1例示了通過(guò)云管理平臺(tái)16的常規(guī)訪問(wèn)控制系統(tǒng)14與云資源12交互的主體10的示例。在此示例中，通過(guò)acs14來(lái)管理單個(gè)云資源。因此，可以通過(guò)acs14發(fā)送主體10所作出的服務(wù)請(qǐng)求，并由acs14驗(yàn)證主體10的憑證(credential)和/或訪問(wèn)權(quán)，以確定是否應(yīng)將服務(wù)請(qǐng)求發(fā)送給云管理平臺(tái)16來(lái)執(zhí)行。云資源12可被視為物理和/或虛擬化系統(tǒng)；云計(jì)算系統(tǒng)(例如，專用、混合和/或公共云計(jì)算系統(tǒng))；支持多用戶(multi-tenant)應(yīng)用程序的系統(tǒng)；或被提供資源、釋放(例如取消提供)資源并在必要時(shí)由軟件遠(yuǎn)程管理的(例如即時(shí)的)任何其它系統(tǒng)，包括集裝箱化系統(tǒng)(containerizedsystem)、軟件定義系統(tǒng)和/或它們的任意組合。將云資源12視為快速且動(dòng)態(tài)變化的敏捷環(huán)境有利于處理多個(gè)用戶的(自)服務(wù)請(qǐng)求。發(fā)明名稱為“intelligentsecuritycontrolsystemforvirtualizedecosystems”的美國(guó)專利申請(qǐng)no.13/717,511中描述了這種系統(tǒng)的示例，通過(guò)引用將該專利申請(qǐng)的全部?jī)?nèi)容結(jié)合在此。虛擬化系統(tǒng)具有資源比如計(jì)算機(jī)硬件、操作系統(tǒng)、存儲(chǔ)裝置、計(jì)算機(jī)網(wǎng)絡(luò)、應(yīng)用程序和/或它們的任意組合的虛擬版本。多用戶應(yīng)用程序是運(yùn)行于計(jì)算機(jī)系統(tǒng)上的軟件示例，并處理多個(gè)客戶端組織(client-organization)發(fā)起的服務(wù)請(qǐng)求。利用多用戶架構(gòu)模型，多用戶應(yīng)用程序可以被設(shè)計(jì)為邏輯分割數(shù)據(jù)并定制應(yīng)用程序的配置，使得每個(gè)客戶端組織體驗(yàn)定制的虛擬應(yīng)用程序，并演示(demonstrate)相應(yīng)的系統(tǒng)和訪問(wèn)的足夠分離度(adequateseparation)。

云計(jì)算是能夠?qū)δ芾米钌俚墓芾砉ぷ骰蚍?wù)供應(yīng)商交互來(lái)快速提供和釋放的可配置計(jì)算資源(例如網(wǎng)絡(luò)、網(wǎng)絡(luò)帶寬、服務(wù)器、存儲(chǔ)器、應(yīng)用程序和服務(wù))的共享池(sharedpool)進(jìn)行隨時(shí)隨地的、便利的、按需的網(wǎng)絡(luò)訪問(wèn)的模型。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(nist)在2011年9月的特刊800-145中刊發(fā)的由petermell和timothygrace所著的“thenistdefinitionofcloudcomputing”中定義了云計(jì)算，通過(guò)引用將此刊文的全部?jī)?nèi)容結(jié)合在此。云計(jì)算系統(tǒng)的特性可包括(但不限于)以下任意一種：按需自服務(wù)(或自助服務(wù))、寬域的網(wǎng)絡(luò)訪問(wèn)、資源池(resourcepooling)、快速?gòu)椥?rapidelasticity)和測(cè)量服務(wù)。按需自服務(wù)允許提供所需的計(jì)算能力，例如服務(wù)器時(shí)間和網(wǎng)絡(luò)存儲(chǔ)器，而不需要人與服務(wù)供應(yīng)商交互。寬域的網(wǎng)絡(luò)訪問(wèn)是指在網(wǎng)絡(luò)上可用的能力，并且指通過(guò)有助于異構(gòu)薄或厚客戶端應(yīng)用程序(例如在移動(dòng)電話、平板電腦、筆記本電腦和/或工作站上)使用的機(jī)制進(jìn)行的訪問(wèn)。云計(jì)算系統(tǒng)供應(yīng)商可以利用多用戶模型形成計(jì)算資源池以服務(wù)多個(gè)客戶(例如來(lái)自多個(gè)組織的用戶)，其中根據(jù)客戶需求動(dòng)態(tài)分配和重新分配不同的物理和虛擬資源。能力可以彈性地、有時(shí)可以自動(dòng)地提供或釋放，從而與需求相對(duì)應(yīng)地快速縮放(scaleoutwardandinward)。云系統(tǒng)可通過(guò)利用計(jì)量能力(例如，按使用支付或按使用收費(fèi))自動(dòng)控制并優(yōu)化資源使用。資源的使用可以得到監(jiān)管、控制和報(bào)告，這給供應(yīng)商和服務(wù)的客戶提供了透明度。

云計(jì)算系統(tǒng)服務(wù)模型可以包括(但不限于)下述的服務(wù)軟件(saas)、服務(wù)平臺(tái)(paas)、以及服務(wù)基礎(chǔ)架構(gòu)(iaas)。saas給客戶提供使用云基礎(chǔ)架構(gòu)(cloudinfrastructure)上運(yùn)行的服務(wù)供應(yīng)商應(yīng)用程序的能力。云基礎(chǔ)架構(gòu)可以是硬件和軟件的集合，可以視為包含物理層和抽象層(abstractionlayer)。物理層可由支持云服務(wù)的硬件資源組成。抽象層被部署在物理層上，并且可具有一個(gè)或多個(gè)云計(jì)算特性?？梢詮亩鄠€(gè)客戶端裝置比如薄客戶端(例如網(wǎng)頁(yè)瀏覽器)或程序界面訪問(wèn)saas的應(yīng)用程序。在saas的一些實(shí)施方式中，客戶不管理或控制底層云基礎(chǔ)架構(gòu)，可選地除了應(yīng)用程序配置設(shè)定之外。paas向客戶提供將使用供應(yīng)商提供的編程語(yǔ)言、庫(kù)、服務(wù)和/或其它工具創(chuàng)建的客戶相關(guān)或獲得的應(yīng)用程序部署到云基礎(chǔ)架構(gòu)上的能力。在paas的一些實(shí)施方式中，客戶不管理或控制底層云基礎(chǔ)架構(gòu)，但客戶可以控制部署的應(yīng)用程序以及可選地控制配置設(shè)定。iaas向客戶提供供應(yīng)處理的能力以及存儲(chǔ)器、網(wǎng)絡(luò)和其它基本計(jì)算資源。客戶能夠部署并運(yùn)行任意軟件，例如操作系統(tǒng)和應(yīng)用程序。在iaas的一些實(shí)施方式中，客戶可能不管理或控制底層云基礎(chǔ)架構(gòu)，但可以控制操作系統(tǒng)、存儲(chǔ)器和部署的應(yīng)用程序；并可選地控制網(wǎng)絡(luò)組件(例如防火墻)。云計(jì)算系統(tǒng)可以是專用云、社區(qū)云、公共云、混合云、和/或任何其它類型的云。專用云基礎(chǔ)架構(gòu)被提供用于包括多個(gè)客戶(例如業(yè)務(wù)單元)的單個(gè)組織。社區(qū)云基礎(chǔ)架構(gòu)被提供用于來(lái)自組織的具有共享關(guān)切(例如使命、安全需求、策略和/或合規(guī)性考慮)的客戶的特定社區(qū)。公共云基礎(chǔ)架構(gòu)被提供用于普通大眾?；旌显苹A(chǔ)架構(gòu)是保留獨(dú)有實(shí)體但利用能實(shí)現(xiàn)數(shù)據(jù)和應(yīng)用程序可移植性(portability)的標(biāo)準(zhǔn)化或?qū)Ｓ眉夹g(shù)(例如用于云之間的負(fù)載平衡的云突發(fā))綁定在一起的兩個(gè)或更多個(gè)不同的云基礎(chǔ)架構(gòu)(專用、社區(qū)或公共)的組合。

圖2例示了通過(guò)云管理平臺(tái)16’和16”各自的常規(guī)訪問(wèn)控制系統(tǒng)14’和14”與異構(gòu)云資源a12’和b12”交互的主體10的示例。在此示例中，通過(guò)分開(kāi)的acs14’和14”管理不同的云資源。因此能夠通過(guò)用于相應(yīng)云資源的相應(yīng)acs僅發(fā)送主體10的服務(wù)請(qǐng)求。這意味著管理員必須了解用于管理不同云資源的acs和云管理平臺(tái)，且必須正確利用不同的用戶界面和/或應(yīng)用程序編程界面盡量適當(dāng)?shù)嘏渲貌煌h(huán)境的授權(quán)策略。因此，相對(duì)于單個(gè)(或多個(gè)同構(gòu))云資源的情況，管理員的任務(wù)變得復(fù)雜了很多。

示例有助于解釋涉及三個(gè)那么少的不同云資源的復(fù)雜性?？紤]的情況涉及虛擬機(jī)器管理員(vmadmin)角色，此角色用于定義與云資源的給定vm管理員相關(guān)的一組許可(permission)。通常這包括比如創(chuàng)建vm的能力、關(guān)閉vm的能力等。假設(shè)企業(yè)具有通過(guò)虛擬服務(wù)器(vmware)的virtualcentertm創(chuàng)建的內(nèi)部(onpremise)vm以及公共云中的vm(例如通過(guò)amazonwebservicetm可用的vm，或利用openstacktm操作系統(tǒng)管理的vm)，管理員將必須熟悉以下所有內(nèi)容以管理此vmadmin角色。

對(duì)于內(nèi)部vm而言，管理員將需要使用vmwarevspheretm客戶端用戶界面(ui)或應(yīng)用程序編程界面(api)來(lái)創(chuàng)建virtualcentertm中的適當(dāng)角色，并給角色分配必需的權(quán)限。為了確定必需的權(quán)限，管理員將必須了解將要允許vmadmin角色執(zhí)行的操作，更重要的是了解在virtualcentertm環(huán)境中如何呈現(xiàn)角色和操作。例如為了創(chuàng)建虛擬機(jī)，相應(yīng)的vmware等效api為createvm_task，執(zhí)行此操作所需的相應(yīng)權(quán)限為virtualmachine.config.modify，virtualmachine.inventory.create。

在對(duì)amazonwebservice上的vm配置訪問(wèn)控制的情況中(稱為ec2實(shí)例)，管理員將必須使用身份和訪問(wèn)管理器ui或aws命令行界面(cli)來(lái)適當(dāng)配置aws所定義的角色和許可。在利用openstacktm云操作系統(tǒng)管理的云資源中運(yùn)行vm的情況中，管理員將必須利用openstackkeystonetm服務(wù)創(chuàng)建角色，然后編輯用于給定服務(wù)(例如計(jì)算(新星(nova)))的稱為policy.json的策略配置文件。在policy.json文件中，必須了解openstack專用的操作，并利用相關(guān)操作分配角色。對(duì)于此示例而言，為了允許viadmin角色創(chuàng)建vm而添加的條目是“compute:create”:”viadmin”?？梢钥吹剑捎谠黾恿祟~外的管理平臺(tái)，這甚至變得更為復(fù)雜。

為了緩解管理多個(gè)單獨(dú)的敏捷環(huán)境(例如云資源12，12’和12”)帶來(lái)的難度，本發(fā)明提供一種協(xié)調(diào)治理系統(tǒng)，包括基于計(jì)算機(jī)的策略管理單元(pae)，pae可通信地連接至多個(gè)單獨(dú)敏捷環(huán)境的各個(gè)管理平臺(tái)。這些單獨(dú)敏捷環(huán)境因此可被視為整個(gè)異構(gòu)敏捷環(huán)境的資源。異構(gòu)敏捷環(huán)境的pae配置為管理并報(bào)告治理策略，包括規(guī)則、角色、以及按照抽象和標(biāo)準(zhǔn)化的(i)資源呈現(xiàn)(representation)，(ii)能夠?qū)λ鲑Y源進(jìn)行的和由所述資源執(zhí)行的操作，(iii)可對(duì)將與所述資源交互的主體分配的角色，及(iv)所述呈現(xiàn)、操作和角色的各自屬性，對(duì)異構(gòu)敏捷環(huán)境的資源的分配。要注意的是，雖然這些單獨(dú)敏捷環(huán)境可以被視為異構(gòu)敏捷環(huán)境的資源，但這些單獨(dú)敏捷環(huán)境的每一個(gè)也具有其自身的資源，且由異構(gòu)敏捷環(huán)境的pae管理的治理策略可以在單獨(dú)敏捷環(huán)境的層面(level)上和單獨(dú)敏捷環(huán)境的資源層面上抽象和標(biāo)準(zhǔn)化呈現(xiàn)、操作和角色。

本發(fā)明的協(xié)調(diào)治理系統(tǒng)還包括基于計(jì)算機(jī)的決策單元(pde)，決策單元(pde)可通信地連接到組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境內(nèi)的資源，以接收一個(gè)或多個(gè)主體嘗試的治理操作的指示(indication)。協(xié)調(diào)治理系統(tǒng)的pde配置為確定并報(bào)告是否應(yīng)許可嘗試的這種治理操作。

此外，協(xié)調(diào)治理系統(tǒng)包括pae和pde可訪問(wèn)的一個(gè)或多個(gè)數(shù)據(jù)源。數(shù)據(jù)源在某些情況下可以為數(shù)據(jù)庫(kù)、存儲(chǔ)器、或更短暫的存儲(chǔ)單元比如高速緩存，數(shù)據(jù)源存儲(chǔ)以下相關(guān)信息：(i)一個(gè)或多個(gè)主體和及其各自的屬性，和(ii)異構(gòu)敏捷環(huán)境的資源和所述資源的各自屬性(以及，在某些情況下，多個(gè)單獨(dú)敏捷環(huán)境的計(jì)算、存儲(chǔ)、聯(lián)網(wǎng)和其它資源及其屬性)。此信息包括多個(gè)單獨(dú)敏捷環(huán)境及其相應(yīng)資源及其各自屬性以及對(duì)應(yīng)的等效敏捷環(huán)境專用(environment-specific)資源的抽象和標(biāo)準(zhǔn)化呈現(xiàn)的映射。

基于計(jì)算機(jī)的策略執(zhí)行單元(pee)可通信地連接到組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境的各個(gè)管理平臺(tái)和/或資源。這種pee可被配置為執(zhí)行和報(bào)告pde的授權(quán)決策。

如上所述，組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境中的各個(gè)不同敏捷環(huán)境都具有與其各自的資源相關(guān)的訪問(wèn)策略。此外，每個(gè)單獨(dú)敏捷環(huán)境具有用于其用戶、資源和操作的相關(guān)聯(lián)的各自訪問(wèn)控制系統(tǒng)。此外，各個(gè)單獨(dú)敏捷環(huán)境的資源均可包括一個(gè)或多個(gè)計(jì)算系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、管理系統(tǒng)、應(yīng)用容器、應(yīng)用系統(tǒng)和/或存儲(chǔ)系統(tǒng)。

如上所述，在協(xié)調(diào)治理系統(tǒng)內(nèi)，對(duì)于組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境中的相應(yīng)的每一個(gè)而言，基于計(jì)算機(jī)的pae可保持多個(gè)單獨(dú)敏捷環(huán)境及其相應(yīng)資源及其各自屬性以及對(duì)應(yīng)的等效敏捷環(huán)境專用資源的抽象和標(biāo)準(zhǔn)化呈現(xiàn)的協(xié)調(diào)映射(harmonizedmapping)。這些映射可存儲(chǔ)在一個(gè)或多個(gè)數(shù)據(jù)源中。

此外，對(duì)于組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境中的相應(yīng)的每一個(gè)而言，基于計(jì)算機(jī)的pae保持能夠被各自單獨(dú)敏捷環(huán)境的資源執(zhí)行的抽象和標(biāo)準(zhǔn)化操作以及所述操作的各自屬性以及對(duì)應(yīng)的等效敏捷環(huán)境專用操作的協(xié)調(diào)映射。這些映射也可存儲(chǔ)在一個(gè)或多個(gè)數(shù)據(jù)源中。

最后，對(duì)于組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境中的相應(yīng)的每一個(gè)而言，基于計(jì)算機(jī)的pae保持分配給將與所述單獨(dú)敏捷環(huán)境及其資源交互的主體的抽象和標(biāo)準(zhǔn)化角色以及所述角色的各自屬性以及對(duì)應(yīng)的等效敏捷環(huán)境專用角色的協(xié)調(diào)映射。這些映射也可存儲(chǔ)在一個(gè)或多個(gè)數(shù)據(jù)源中。抽象角色典型地由一組抽象操作組成。因此，本發(fā)明提供映射到跨任意資源(主體、應(yīng)用程序、系統(tǒng)等)的抽象操作的協(xié)調(diào)角色組(harmonizedsetofroles)。

這些各種映射提供了不同敏捷環(huán)境之間的統(tǒng)一性和一致性。例如，對(duì)操作、對(duì)象等跨不同敏捷環(huán)境使用單組標(biāo)簽可以使管理員卸掉了必須知曉和保持對(duì)應(yīng)于這種項(xiàng)目的敏捷環(huán)境專用語(yǔ)法(syntax)的負(fù)擔(dān)。映射還可以提供多對(duì)一的關(guān)系，將可能作為敏捷環(huán)境專用語(yǔ)法中的多個(gè)指令/標(biāo)簽瓦解(collapse)為本發(fā)明所提供的異構(gòu)敏捷環(huán)境的抽象、標(biāo)準(zhǔn)化語(yǔ)法中的單個(gè)操作/標(biāo)簽。同時(shí)，通過(guò)允許專用于抽象標(biāo)準(zhǔn)化呈現(xiàn)內(nèi)的可選屬性，可保留底層(underlying)的敏捷環(huán)境專用粒度。

根據(jù)本發(fā)明采用的抽象也對(duì)調(diào)用相似操作的不同方法之間的敏捷環(huán)境專用語(yǔ)法進(jìn)行標(biāo)準(zhǔn)化。例如，一些敏捷環(huán)境允許通過(guò)api呼叫進(jìn)行管理，而另一些敏捷環(huán)境需要使用命令行界面。通過(guò)對(duì)這些區(qū)別進(jìn)行抽象，本發(fā)明屏蔽了底層需求，并允許管理員專注于所需的操作，而不是必需調(diào)用對(duì)于給定敏捷環(huán)境的那些操作用到的方法。此外，根據(jù)本發(fā)明所提供的抽象允許具體說(shuō)明(specification)與調(diào)用所需操作相關(guān)的風(fēng)險(xiǎn)等級(jí)。例如，可以包含具體說(shuō)明與命令或指令相關(guān)的風(fēng)險(xiǎn)等級(jí)的操作的新屬性(新屬性在敏捷環(huán)境專用語(yǔ)法中不可用)，并且新屬性可用作警告管理員和其它主體預(yù)定操作會(huì)產(chǎn)生的潛在損壞或破壞的手段。因此，本發(fā)明允許進(jìn)行跨異構(gòu)敏捷環(huán)境的協(xié)調(diào)管理、報(bào)告和審核。

按照本發(fā)明的實(shí)施方式，用于異構(gòu)敏捷環(huán)境的協(xié)調(diào)治理系統(tǒng)包括n個(gè)單獨(dú)資源，每個(gè)單獨(dú)資源包括由計(jì)算系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、管理系統(tǒng)、應(yīng)用容器、應(yīng)用系統(tǒng)、和/或存儲(chǔ)系統(tǒng)組成的一個(gè)或多個(gè)敏捷環(huán)境，并且協(xié)調(diào)治理系統(tǒng)可接收與第一個(gè)單獨(dú)敏捷環(huán)境的資源相關(guān)的嘗試操作的指示；將與資源相關(guān)的嘗試操作的指示從第一個(gè)單獨(dú)敏捷環(huán)境的敏捷環(huán)境專用語(yǔ)言映射至異構(gòu)敏捷環(huán)境的抽象、標(biāo)準(zhǔn)化語(yǔ)言；作出是否允許嘗試操作的決策；將決策從異構(gòu)敏捷環(huán)境的抽象、標(biāo)準(zhǔn)化語(yǔ)言轉(zhuǎn)譯為第一個(gè)單獨(dú)敏捷環(huán)境中的敏捷環(huán)境專用語(yǔ)言的命令；并且將第一個(gè)單獨(dú)敏捷環(huán)境中的敏捷環(huán)境專用語(yǔ)言的命令發(fā)送至第一個(gè)單獨(dú)敏捷環(huán)境的acs(或類似的管理單元)以由該acs執(zhí)行。與n個(gè)單獨(dú)敏捷環(huán)境的資源相關(guān)的嘗試操作的相關(guān)報(bào)告可以用異構(gòu)敏捷環(huán)境的抽象、標(biāo)準(zhǔn)化語(yǔ)言通過(guò)其儀表盤(dashboard)提供，和/或可通過(guò)電子郵件或其它方式發(fā)送這種報(bào)告。

通常，任何這種嘗試操作的指示將包括對(duì)n個(gè)單獨(dú)敏捷環(huán)境的資源進(jìn)行的或由n個(gè)單獨(dú)敏捷環(huán)境的資源執(zhí)行的動(dòng)作的指示。因此，作出是否對(duì)這種嘗試操作授權(quán)的決策涉及確定治理與資源相關(guān)的嘗試操作的相應(yīng)策略是否許可這種嘗試操作。這種策略可以被視為治理策略，并可包括基于角色的訪問(wèn)控制策略、基于屬性的訪問(wèn)控制策略、位置策略(placement-policies)和/或關(guān)系策略。

如下文進(jìn)一步解釋的，異構(gòu)敏捷環(huán)境的抽象標(biāo)準(zhǔn)化語(yǔ)言包括主體、資源和操作的抽象標(biāo)準(zhǔn)化呈現(xiàn)。更一般而言，根據(jù)本發(fā)明，給每種資源類型提供一組定義明確的(well-defined)、敏捷環(huán)境不可知(或敏捷環(huán)境供應(yīng)商不可知)的抽象標(biāo)準(zhǔn)化操作。表1提供了這種操作和基于這種操作的角色的示例。基于抽象標(biāo)準(zhǔn)化操作的這些角色可應(yīng)用于完全不同的管理平臺(tái)。

表1：抽象操作和角色的示例

除了一組抽象標(biāo)準(zhǔn)化操作之外，本發(fā)明還提供跨多個(gè)異構(gòu)敏捷環(huán)境的標(biāo)準(zhǔn)化的資源的抽象呈現(xiàn)。例如，可以定義稱為虛擬機(jī)的對(duì)象，使其一致性地代表awsec2實(shí)例，或者vmwarevm實(shí)例，或者openstack服務(wù)器。此外，用于主體和資源這兩者的抽象標(biāo)準(zhǔn)化屬性被提供，舉例來(lái)說(shuō)，可以歸類為：

a.靜態(tài)—表示靜態(tài)特性，例如訪客操作系統(tǒng)類型、硬件類型、分類等。

b.瞬時(shí)—表示動(dòng)態(tài)特性，例如信任級(jí)別、漏洞(vulnerability)、姿態(tài)(posture)、補(bǔ)丁版本、地理位置等。

可以基于模式(pattern)來(lái)發(fā)現(xiàn)和/或計(jì)算這些屬性。

協(xié)調(diào)治理系統(tǒng)還支持基于主體和資源的背景且具有適當(dāng)限制的細(xì)粒度規(guī)則。規(guī)則定義為角色和代表一組主體的群(group)之間的關(guān)聯(lián)?？蛇x的是，可以給規(guī)則定義一個(gè)或多個(gè)限制來(lái)實(shí)現(xiàn)進(jìn)一步區(qū)分?；谏衔乃龅某橄髮傩?，這些限制可代表表達(dá)式/查詢。

為了能在大規(guī)模的環(huán)境中實(shí)現(xiàn)自動(dòng)化，當(dāng)定義規(guī)則時(shí)，可使用部分或全部以下技術(shù)：

a.繼承：繼承提供了定義規(guī)則、將規(guī)則分配入容器/集合以及使規(guī)則自動(dòng)應(yīng)用于集合的所有成員的能力。例如，如果定義規(guī)則以具體說(shuō)明授權(quán)誰(shuí)關(guān)閉vm并將規(guī)則與代表一組vm的vm文件夾關(guān)聯(lián)，然后通過(guò)繼承，該規(guī)則會(huì)自動(dòng)應(yīng)用于屬于該文件夾的所有vm。這種繼承可以延伸為提供定義動(dòng)態(tài)集合的能力。例如，動(dòng)態(tài)vm集合可被定義為具有設(shè)置為“絕密”的分類屬性的所有vm的列表。在這種情況下，當(dāng)創(chuàng)建新的vm且其分類屬性設(shè)置為“絕密”時(shí)，對(duì)新的vm自動(dòng)應(yīng)用所述規(guī)則。

b.傳播：傳播提供以特定等級(jí)(例如在代表資源層次的樹(shù)的根節(jié)點(diǎn)上)定義規(guī)則的能力，使規(guī)則自動(dòng)應(yīng)用于根節(jié)點(diǎn)的所有子節(jié)點(diǎn)(descendant)。例如，可以將規(guī)則應(yīng)用于代表管理系統(tǒng)的一個(gè)資源中，并自動(dòng)將規(guī)則傳播至該管理系統(tǒng)所管理的所有資源。

c.優(yōu)先級(jí)：優(yōu)先級(jí)指示規(guī)則應(yīng)被評(píng)估的順序并可表示特定規(guī)則是否是必須對(duì)給定資源進(jìn)行處理的唯一規(guī)則。因此，優(yōu)先級(jí)可以限制決定授權(quán)或位置決策需要評(píng)估/應(yīng)用的規(guī)則的數(shù)量(以及可能的性質(zhì))。這樣可以提高大規(guī)模異構(gòu)敏捷環(huán)境中的性能。

d.嵌入：在動(dòng)態(tài)環(huán)境中，資源可能會(huì)從一個(gè)環(huán)境移到另一個(gè)環(huán)境，和/或從存檔/備份版本恢復(fù)，和/或根據(jù)原始主模板(pristinemastertemplate)實(shí)體化(instantiated)。在所有這些場(chǎng)景中，屬性和/或規(guī)則可以被嵌入為元數(shù)據(jù)，并在實(shí)體化時(shí)讀取/更新。

e.預(yù)配置而可定制規(guī)則(pre-configuredyetcustomizablerule)：預(yù)配置而可定制規(guī)則的概念有助于安全自動(dòng)化，從而能管理大型動(dòng)態(tài)環(huán)境。初始化時(shí)，可以為各個(gè)資源定制默認(rèn)的策略模板。例如，對(duì)于描述可執(zhí)行所定義的操作的主體的虛擬機(jī)的策略模板的情況，當(dāng)vm實(shí)體化時(shí)，可以自動(dòng)應(yīng)用默認(rèn)規(guī)則。在一些實(shí)施方式中，默認(rèn)規(guī)則可以被參數(shù)化，使得當(dāng)規(guī)則與資源相關(guān)聯(lián)時(shí)，可以用實(shí)際值來(lái)代替參數(shù)化屬性。例如，對(duì)于具有按照參數(shù)化標(biāo)簽($標(biāo)簽)定義的關(guān)聯(lián)限制的規(guī)則的情況，當(dāng)規(guī)則應(yīng)用于vm時(shí)，將實(shí)際值代替$標(biāo)簽(例如，位置＝mtv)。

表2給出了規(guī)則示例。

表2：規(guī)則示例

對(duì)于每個(gè)單獨(dú)敏捷環(huán)境而言，保持所有敏捷環(huán)境專用操作和對(duì)應(yīng)的等效抽象操作的映射。如上文所述，這些映射存儲(chǔ)在協(xié)調(diào)治理系統(tǒng)的組件可訪問(wèn)的一個(gè)或多個(gè)數(shù)據(jù)存儲(chǔ)器(datastore)中。表3提供了這種映射的示例。

表3：敏捷環(huán)境專用操作及其對(duì)應(yīng)的等效抽象操作之間的映射示例

通過(guò)檢查對(duì)應(yīng)于各個(gè)操作的api請(qǐng)求和響應(yīng)來(lái)手動(dòng)和/或自動(dòng)創(chuàng)建這些映射。

圖3例示了通過(guò)各自的云管理平臺(tái)16’和16”插入在主體10和異構(gòu)云資源a12’和b12”之間的協(xié)調(diào)治理系統(tǒng)18的示例。代替通過(guò)不同的各自acs管理不同的云資源，通過(guò)協(xié)調(diào)治理系統(tǒng)18將主體10的服務(wù)請(qǐng)求發(fā)送至各個(gè)云資源的各個(gè)云管理平臺(tái)。這意味著管理員不必再了解用于管理不同云資源的云環(huán)境專用管理平臺(tái)，以及其不同環(huán)境、用戶界面和/或應(yīng)用程序編程界面的相關(guān)授權(quán)策略。而是，管理員可以使用協(xié)調(diào)治理系統(tǒng)來(lái)管理具有多個(gè)單獨(dú)敏捷環(huán)境(本示例中的云資源a12’和b12”)的異構(gòu)敏捷環(huán)境。協(xié)調(diào)治理系統(tǒng)將與單獨(dú)敏捷環(huán)境的資源相關(guān)的嘗試操作的指示從其敏捷環(huán)境專用語(yǔ)言映射至抽象標(biāo)準(zhǔn)化的語(yǔ)言。此外，協(xié)調(diào)治理系統(tǒng)作出是否允許嘗試操作的決策，如果決策允許嘗試操作，則將決策從異構(gòu)敏捷環(huán)境的抽象標(biāo)準(zhǔn)化語(yǔ)言轉(zhuǎn)譯為單獨(dú)敏捷環(huán)境(預(yù)期資源是其中一部分)的敏捷環(huán)境專用語(yǔ)言的命令，并將單獨(dú)敏捷環(huán)境的敏捷環(huán)境專用語(yǔ)言的命令發(fā)送給單獨(dú)敏捷環(huán)境的管理平臺(tái)中的acs(或類似的管理單元)以供執(zhí)行。因此，協(xié)調(diào)治理系統(tǒng)用作用于管理跨多個(gè)異構(gòu)敏捷環(huán)境的訪問(wèn)控制策略的單個(gè)設(shè)備。用于這些異構(gòu)敏捷環(huán)境的策略基于抽象操作被集中定義，且協(xié)調(diào)治理系統(tǒng)將與資源相關(guān)的用戶操作轉(zhuǎn)譯為抽象操作，并進(jìn)行必要的實(shí)施。協(xié)調(diào)治理系統(tǒng)可以作為中心或集中pep，或通過(guò)向各個(gè)系統(tǒng)適當(dāng)提供訪問(wèn)控制信息而與多個(gè)單獨(dú)敏捷環(huán)境的各種訪問(wèn)控制系統(tǒng)中現(xiàn)存的pep協(xié)同工作。

圖4更詳細(xì)地例示了協(xié)調(diào)治理系統(tǒng)18。如圖所示，協(xié)調(diào)治理系統(tǒng)包括基于計(jì)算機(jī)的策略管理單元(pae)20。利用pae，管理員可以定義角色、規(guī)則、抽象操作、抽象操作到敏捷環(huán)境專用操作的映射，并可給各種資源分配規(guī)則。例如通過(guò)基于網(wǎng)絡(luò)的ui、cli或者可編程地通過(guò)restfulapi來(lái)易于實(shí)現(xiàn)這種定義和分配。如上文所述，pae20可通信地連接至多個(gè)單獨(dú)敏捷環(huán)境的各個(gè)管理平臺(tái)16’，16”，并配置為管理和報(bào)告協(xié)調(diào)治理系統(tǒng)的治理策略。

協(xié)調(diào)治理系統(tǒng)還包括基于計(jì)算機(jī)的決策單元(pde)22，決策單元(pde)可通信地連接至組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境內(nèi)的資源，以接收由一個(gè)或多個(gè)主體10嘗試的治理操作的指示。pde配置為確定并報(bào)告是否許可嘗試的這種治理操作。典型地，策略執(zhí)行單元(pee)24與pde協(xié)商決策并適當(dāng)?shù)貓?zhí)行決策。pee向pde提供與主體有關(guān)的信息、主體所執(zhí)行的操作以及與正在執(zhí)行的操作相關(guān)的資源的有關(guān)信息。然后pde通過(guò)將pee提供的操作映射至適當(dāng)?shù)某橄髽?biāo)準(zhǔn)化操作來(lái)作出決策，對(duì)抽象操作到敏捷環(huán)境專用操作映射數(shù)據(jù)庫(kù)26產(chǎn)生適當(dāng)影響；通過(guò)與pae協(xié)商來(lái)準(zhǔn)備需要評(píng)估的所有可應(yīng)用規(guī)則的列表；并處理所述規(guī)則(必要時(shí)按照優(yōu)先級(jí)順序)來(lái)確定要采取的動(dòng)作。處理規(guī)則相當(dāng)于確定處于相應(yīng)角色中的給定主體是否有能力執(zhí)行與指示的資源相關(guān)的期望操作。角色由屬于該角色的主體可執(zhí)行的一組抽象操作來(lái)組成。

基于計(jì)算機(jī)的pee24可通信地連接至組成異構(gòu)敏捷環(huán)境的多個(gè)單獨(dú)敏捷環(huán)境的各個(gè)管理平臺(tái)和/或資源，并配置為執(zhí)行和報(bào)告pde的授權(quán)決策。在一些實(shí)施方式中，pee可以實(shí)現(xiàn)為攔截向敏捷環(huán)境管理平臺(tái)的所有輸入請(qǐng)求(即主體對(duì)資源執(zhí)行的操作)的透明代理服務(wù)器引擎。pee按上文所述將相關(guān)信息傳輸給pde以確定是否應(yīng)允許操作?；跊Q策，pee允許或拒絕請(qǐng)求。協(xié)調(diào)治理系統(tǒng)可以將這種交互的細(xì)節(jié)記錄日志(logged)28。

實(shí)現(xiàn)策略授權(quán)并執(zhí)行的一種可選方法是，在用于確定授權(quán)決策和執(zhí)行授權(quán)決策的各個(gè)云管理平臺(tái)16’，16”中利用(leverage)策略基礎(chǔ)架構(gòu)。為此，利用pae定義的規(guī)則和其它策略效應(yīng)(policyartifact)必須被適當(dāng)?shù)剞D(zhuǎn)譯為相應(yīng)的云管理平臺(tái)專用呈現(xiàn)，且這種效應(yīng)需要被提供給云管理平臺(tái)。可選的策略提供單元(ppe)30可對(duì)此負(fù)責(zé)。

在一些情況中，協(xié)調(diào)治理系統(tǒng)可接收與不具有到其抽象標(biāo)準(zhǔn)化呈現(xiàn)的現(xiàn)有映射的單獨(dú)敏捷環(huán)境的資源相關(guān)的信息。例如，特定的敏捷環(huán)境供應(yīng)商可添加未給該環(huán)境預(yù)先定義的對(duì)象屬性。在這種情況下，當(dāng)發(fā)現(xiàn)此新屬性時(shí)，先前未映射的屬性會(huì)使pde警告pae該未映射的屬性。一旦收到這種警告，pae可分析新屬性以嘗試對(duì)其分類。例如，pae可根據(jù)其與相應(yīng)對(duì)象的關(guān)聯(lián)性將新屬性歸類為網(wǎng)絡(luò)相關(guān)、計(jì)算相關(guān)等。這樣分類后，pae可警告管理員新屬性，并提議該屬性可能的類別，管理員可以從多個(gè)選項(xiàng)中作出選擇以定義新屬性，并將其綁定至協(xié)調(diào)治理系統(tǒng)的抽象標(biāo)準(zhǔn)化語(yǔ)法中的映射。然后將新映射保存至適當(dāng)?shù)臄?shù)據(jù)存儲(chǔ)器中，從而可供未來(lái)使用。新映射還可以與可用于新屬性的操作(例如創(chuàng)建、運(yùn)行、刪除等)相關(guān)聯(lián)。然后，當(dāng)發(fā)現(xiàn)其它敏捷環(huán)境的類似屬性時(shí)，這些新屬性可以映射至新的抽象呈現(xiàn)。在新發(fā)現(xiàn)對(duì)象、主體、資源等的情況中也可以應(yīng)用這種處理。

例如，在用于給定類別(例如“計(jì)算”)的給定資源類型(例如“vm”)的協(xié)調(diào)治理系統(tǒng)的語(yǔ)法中，可存在已定義的操作，例如“編輯”、“創(chuàng)建”和“刪除”。因此，操作可以表達(dá)為compute.vm.edit,，或compute.vm.create等。在此表達(dá)式的多個(gè)等級(jí)上可以存在屬性。例如，操作的屬性可包括“cpu”(還可具有“最小”和“最大”閾值屬性等)。資源類型的屬性可包括ip地址、名稱等。類別是跨敏捷環(huán)境的共用元素。當(dāng)發(fā)現(xiàn)一種資源類型的新屬性時(shí)，系統(tǒng)將利用其特性(例如名稱-值配對(duì))進(jìn)行識(shí)別，并建議(例如基于pae可用的背景信息)該新屬性可分配到的類別。管理員能夠利用建議的類別或不同類別定義映射，并將映射保存在適當(dāng)?shù)臄?shù)據(jù)存儲(chǔ)器中。然后，當(dāng)識(shí)別其它敏捷環(huán)境中的類似屬性時(shí)，可以給這些屬性分配上述新創(chuàng)建的映射，從而保持協(xié)調(diào)治理系統(tǒng)的抽象標(biāo)準(zhǔn)化語(yǔ)法。

在上述說(shuō)明中已經(jīng)描述了某些處理。在本發(fā)明的實(shí)際實(shí)施中，組成上述處理的步驟可以是能并行運(yùn)行的事件驅(qū)動(dòng)例程，并能按各種順序載入(launched)和執(zhí)行。此外，本文所描述的處理程序可涉及使用各種計(jì)算機(jī)系統(tǒng)和上面存儲(chǔ)有計(jì)算機(jī)可讀指令的計(jì)算機(jī)可讀存儲(chǔ)媒介。圖5提供了計(jì)算機(jī)系統(tǒng)32的示例，計(jì)算機(jī)系統(tǒng)32代表了本文所討論的電子裝置或計(jì)算機(jī)系統(tǒng)中的任意一種。要注意的是，并非所有的不同計(jì)算機(jī)系統(tǒng)都可具有計(jì)算機(jī)系統(tǒng)32的所有特征。比如計(jì)算機(jī)系統(tǒng)32這樣的計(jì)算機(jī)系統(tǒng)可以稱為其它名稱，例如端點(diǎn)、手持裝置、移動(dòng)裝置、智能電話、多處理器系統(tǒng)、基于微處理器的電子裝置、基于數(shù)字信號(hào)處理器的裝置、聯(lián)網(wǎng)計(jì)算機(jī)系統(tǒng)、微計(jì)算機(jī)、大型計(jì)算機(jī)(mainframecomputer)、個(gè)人電腦、服務(wù)器、客戶端、筆記本電腦、平板電腦等。這些標(biāo)簽對(duì)于本發(fā)明而言是不重要的。

計(jì)算機(jī)系統(tǒng)32包括總線34或用于傳輸信息的其它通信機(jī)制，以及與總線連接用于處理信息的處理器36。計(jì)算機(jī)系統(tǒng)32還包括主存儲(chǔ)器38，例如隨機(jī)存取存儲(chǔ)器(ram)或其它動(dòng)態(tài)存儲(chǔ)裝置，主存儲(chǔ)器38與總線連接用于存儲(chǔ)信息和待由處理器執(zhí)行的指令。主存儲(chǔ)器38還可用于存儲(chǔ)待由處理器執(zhí)行的指令的執(zhí)行期間的臨時(shí)變量或其它中間信息。計(jì)算機(jī)系統(tǒng)32進(jìn)一步包括只讀存儲(chǔ)器(rom)40或其它靜態(tài)存儲(chǔ)裝置，只讀存儲(chǔ)器(rom)40或其它靜態(tài)存儲(chǔ)裝置與總線連接用于存儲(chǔ)靜態(tài)信息和處理器36的指令。提供存儲(chǔ)裝置42，存儲(chǔ)裝置42可以是硬盤、基于閃存的存儲(chǔ)介質(zhì)或其它存儲(chǔ)介質(zhì)中的一種或多種，并與總線連接以存儲(chǔ)信息和指令(例如操作系統(tǒng)、應(yīng)用程序等)。

計(jì)算機(jī)系統(tǒng)32可通過(guò)總線34連接至用于向用戶顯示信息的顯示器44，例如液晶或發(fā)光二極管顯示器。輸入裝置46例如具有字符數(shù)字和其它按鍵的鍵盤與總線連接，從而將信息和命令選擇傳輸給處理器。在一些實(shí)施方式中，鍵盤可以是通過(guò)觸摸屏顯示器呈現(xiàn)的軟件構(gòu)造(construct)。用戶輸入裝置的另一種類型是指針控制裝置48，例如鼠標(biāo)、滾輪、指針?lè)较蜴I和/或用于將方向信息和命令選擇傳輸給處理器36并控制顯示器上的指針移動(dòng)的任何其它輸入裝置。使用觸摸屏顯示器時(shí)，可以直接在顯示器上利用基于手指的手勢(shì)實(shí)現(xiàn)指針控制功能。其它用戶接口裝置，例如麥克風(fēng)，揚(yáng)聲器等未詳細(xì)顯示，但也可以包含在本發(fā)明中，用于接收用戶輸入和/或呈現(xiàn)輸出。

本文所指的處理可以使用處理器36來(lái)實(shí)現(xiàn)，處理器36執(zhí)行包含在主存儲(chǔ)器38中的計(jì)算機(jī)可讀指令的適當(dāng)序列。這些指令可以從其它計(jì)算機(jī)可讀介質(zhì)中讀入主存儲(chǔ)器例如存儲(chǔ)裝置42中，執(zhí)行主存儲(chǔ)器中包含的指令序列會(huì)使處理器執(zhí)行相關(guān)動(dòng)作。在可選實(shí)施方式中，硬連線電路或固件控制處理單元(例如場(chǎng)可編程門陣列)可用于代替處理器36，或與處理器36組合，其相關(guān)計(jì)算機(jī)軟件指令可用于實(shí)現(xiàn)本發(fā)明。可以用任意計(jì)算機(jī)語(yǔ)言來(lái)呈現(xiàn)計(jì)算機(jī)可讀指令，并且除非另有特殊聲明，否則應(yīng)當(dāng)理解為，在本發(fā)明的通篇說(shuō)明書(shū)中，所用的術(shù)語(yǔ)例如“處理”、“計(jì)算”、“計(jì)量”、“確定”、“顯示”等是指適當(dāng)編程的計(jì)算機(jī)系統(tǒng)(例如計(jì)算機(jī)系統(tǒng)32或類似的電子計(jì)算裝置，用于將表示為其寄存器或存儲(chǔ)器內(nèi)的物理(電子)量的數(shù)據(jù)處理并轉(zhuǎn)換為類似地表示為其存儲(chǔ)器或寄存器或其它這種信息存儲(chǔ)器、傳輸或顯示裝置內(nèi)的物理量的其它數(shù)據(jù))的動(dòng)作和處理。

計(jì)算機(jī)系統(tǒng)32還包括與總線34連接的通信接口50。通信接口50提供與計(jì)算機(jī)網(wǎng)絡(luò)(例如互聯(lián)網(wǎng))的雙向數(shù)據(jù)通信通道，從而提供與上文所述的各種服務(wù)器的連接以及提供在上文所述的各種服務(wù)器之間的連接。例如，通信接口50可以是局域網(wǎng)(lan)卡(有線和/或無(wú)線)，從而給兼容的lan提供數(shù)據(jù)通信連接，兼容的lan自身通過(guò)一個(gè)或多個(gè)因特網(wǎng)服務(wù)供應(yīng)商網(wǎng)絡(luò)可通信地連接至因特網(wǎng)。這種通信路徑的精確細(xì)節(jié)對(duì)于本發(fā)明而言是不重要的。重要的是，計(jì)算機(jī)系統(tǒng)32能通過(guò)通信接口發(fā)送和接收消息和數(shù)據(jù)，并可以通過(guò)這種方式與經(jīng)由因特網(wǎng)可訪問(wèn)的主機(jī)通信。計(jì)算機(jī)系統(tǒng)32可包括附加能力和設(shè)備，例如電源單元(可包括電池)、供電端口、一根或多根天線、一個(gè)或多個(gè)數(shù)據(jù)端口以及一個(gè)或多個(gè)無(wú)線通信模塊。本文所述的各種數(shù)據(jù)庫(kù)是基于計(jì)算機(jī)的記錄保存系統(tǒng)。換句話說(shuō)，這些數(shù)據(jù)庫(kù)都是協(xié)同工作從而允許信息(數(shù)據(jù))的存儲(chǔ)和取回的計(jì)算機(jī)硬件和軟件的組合。因此，它們可以類似于計(jì)算機(jī)系統(tǒng)32，并且往往它們的特征在于具有能容納大量信息的存儲(chǔ)介質(zhì)。

雖然已經(jīng)顯示和描述了優(yōu)選實(shí)施方式，但應(yīng)理解的是，這些僅僅是舉例的方式呈現(xiàn)，本發(fā)明應(yīng)僅通過(guò)所附的權(quán)利要求書(shū)來(lái)衡量(measure)。