用于订户实体的初始网络接入的制作方法

本文中呈现的实施例涉及用于订户实体到无线电接入网络的初始网络接入的方法、订户实体、计算机程序和计算机程序产品。本文中呈现的另外的实施例涉及用于允许订户实体到无线电接入网络的初始网络接入的方法、网络节点、计算机程序和计算机程序产品。本文中呈现的另外的实施例涉及用于订户实体的认证的方法、订阅门户实体、计算机程序和计算机程序产品。

背景技术：

移动网络正被用于连接各种各样的装置以用于广泛的服务；效用仪表的自动化读取、汽车和商用交通工具的智能连接性以使驾驶员能够访问导航、信息娱乐或故障服务、交通灯、家庭安全和辅助生活。

订户身份模块或订户标识模块（sim）是一种集成电路芯片，其旨在安全地存储国际移动订户身份（imsi）号码及其相关密钥，以及与订阅相关的其它信息，所述其它信息用于标识和认证装置上的订阅。sim电路是通用集成电路卡（uicc）物理智能卡的功能的一部分。

gsm协会（gsma）（其中gsm是全球移动通信系统的简称）已经发布了被表示为sgp.22-rspv2.1（下面被表示为sgp.22v2.1）的技术规范，该规范定义了用于消费者装置的远程sim供应；以及被表示为sgp.02的技术规范，该规范公开了用于嵌入式uicc（euicc）的远程供应架构，该架构以机器到机器（m2m）类型通信装置为目标。

在远程sim供应中，运营商使用被称为sm-dp+/sm-dp（其中sm-dp是订阅管理-数据准备的简称）的实体以用于创建sim配置文件（profile），例如通用（u）sim配置文件，其稍后从sm-dp/sm-dp+安装到euicc。对于消费者装置，通过消费者装置上的本地配置文件助手（lpa）将配置文件安装到装置上（例如euicc上）的发行者安全域配置文件（isd-p）。对于m2m装置，sm-dp经由单独的（外部）实体sm-sr将配置文件安装到装置上的isd-p。

为了将配置文件下载到装置，装置首先需要建立网络连接。

在一些情况下，例如对于嵌入式sim装置，下载初始配置文件的初始网络连接性可以通过诸如wi-fi之类的非蜂窝无线电网络来执行。这意味着，除了用于蜂窝无线电网络的接口之外，装置还必须具有支持wi-fi的无线电网络接口。这增加了对于装置中潜在地仅需要用于第一配置文件下载的特征的成本和空间。

注意，即使没有有效的订阅或imsi，装置也能够接收一些蜂窝无线电网络信息，并且因此了解哪些移动网络运营商是可用的。然而，在没有首先具有有效的订阅和imsi的情况下，不允许装置建立到任何移动网络运营商的操作连接。

对于装置而言使用备选凭证附着到网络也许是可能的。此类备选凭证的示例是装置证书，参见如在http://portal.3gpp.org/ngppapp/createtdoc.aspxmode=view&contributionid=716408#处可获得的“securemechanismtoachieveremotecredentialprovisioningforiotdevices”。这将涉及装置附着到网络的新方式。嵌入式sim装置将具有用于标识和认证装置的装置证书。当向sm-dp+/sm-dp进行认证时，使用该装置证书。

装置、无线电接入网络节点以及核心网络都必须被修改，以便支持非传统标识符（即，除了imsi以外的标识符）的使用，所述非传统标识符例如是证书，其用于向网络认证装置。

因此，仍然需要用于实现订户实体到无线电接入网络的初始网络接入的改进的机制。

技术实现要素：

本文中实施例的目的是要实现订户实体到无线电接入网络的高效初始网络接入。

根据第一方面，呈现了用于订户实体到无线电接入网络的初始网络接入的方法。该方法由订户实体执行。该方法包括向网络节点传送附着消息。附着消息指示订户实体到网络节点的无线电接入网络的网络接入请求。该方法包括接收源自网络节点的标识请求。标识请求请求订户实体的标识。该方法包括向网络节点传送响应消息。响应消息包括订户实体的接入标识符。接入标识符指示订户实体是无订阅的。该方法包括从网络节点接收准许。准许允许订户实体受限的网络接入。

根据第二方面，呈现了一种用于订户实体到无线电接入网络的初始网络接入的订户实体。订户实体包括处理电路。处理电路被配置成使得订户实体向网络节点传送附着消息。附着消息指示订户实体到网络节点的无线电接入网络的网络接入请求。处理电路被配置成使得订户实体接收源自网络节点的标识请求。标识请求请求订户实体的标识。处理电路被配置成使得订户实体向网络节点传送响应消息。响应消息包括订户实体的接入标识符。接入标识符指示订户实体是无订阅的。处理电路被配置成使得订户实体从网络节点接收准许。准许允许订户实体受限的网络接入。

根据第三方面，呈现了一种用于订户实体到无线电接入网络的初始网络接入的订户实体。订户实体包括被配置成向网络节点传送附着消息的传送模块。附着消息指示订户实体到网络节点的无线电接入网络的网络接入请求。订户实体包括被配置成接收源自网络节点的标识请求的接收模块。标识请求请求订户实体的标识。订户实体包括被配置成向网络节点传送响应消息的传送模块。响应消息包括订户实体的接入标识符。接入标识符指示订户实体是无订阅的。订户实体包括被配置成从网络节点接收准许的接收模块。准许允许订户实体受限的网络接入。

根据第四方面，呈现了一种用于订户实体到无线电接入网络的初始网络接入的计算机程序。计算机程序包括计算机程序代码，该计算机程序代码当在订户实体的处理电路上运行时，使得订户实体执行根据第一方面的方法。

根据第五方面，呈现了用于允许订户实体到无线电接入网络的初始网络接入的方法。该方法由网络节点执行。该方法包括接收源自订户实体的附着消息。该方法包括向订户实体传送标识请求。标识请求请求订户实体的标识。该方法包括从订户实体接收响应消息。响应消息包括订户实体的接入标识符。接入标识符指示订户实体是无订阅的。该方法包括向订户实体传送准许。准许允许订户实体受限的网络接入。

根据第六方面，呈现了一种用于允许订户实体到无线电接入网络的初始网络接入的网络节点。网络节点包括处理电路。处理电路被配置成使得网络节点接收源自订户实体的附着消息。处理电路被配置成使得网络节点向订户实体传送标识请求。标识请求请求订户实体的标识。处理电路被配置成使得网络节点从订户实体接收响应消息。响应消息包括订户实体的接入标识符。接入标识符指示订户实体是无订阅的。处理电路被配置成使得网络节点向订户实体传送准许。准许允许订户实体受限的网络接入。

根据第七方面，呈现了一种用于允许订户实体到无线电接入网络的初始网络接入的网络节点。网络节点包括被配置成接收源自订户实体的附着消息的接收模块。网络节点包括被配置成向订户实体传送标识请求的传送模块。标识请求请求订户实体的标识。网络节点包括被配置成从订户实体接收响应消息的接收模块。响应消息包括订户实体的接入标识符。接入标识符指示订户实体是无订阅的。网络节点包括被配置成向订户实体传送准许的传送模块。准许允许订户实体受限的网络接入。

根据第八方面，呈现了一种用于允许订户实体到无线电接入网络的初始网络接入的计算机程序。计算机程序包括计算机程序代码，该计算机程序代码当在网络节点的处理电路上运行时，使得网络节点执行根据第五方面的方法。

根据第九方面，呈现了一种用于订户实体的验证的方法。该方法由订阅门户实体执行。该方法包括从无线电接入网络的网络节点获得订户实体的接入标识符，针对该无线电接入网络已经请求了订户实体的网络接入。该方法包括执行订户实体的验证，其中在验证期间，从网络节点接收的接入标识符被订阅门户实体用作参考。

根据第十方面，呈现了一种用于订户实体的验证的订阅门户实体。订阅门户实体包括处理电路。处理电路被配置成使得订阅门户实体从无线电接入网络的网络节点获得订户实体的接入标识符，针对该无线电接入网络已经请求了订户实体的网络接入。处理电路被配置成使得订阅门户实体执行订户实体的验证，其中在验证期间，从网络节点接收的接入标识符被订阅门户实体用作参考。

根据第十一方面，呈现了一种用于订户实体的验证的订阅门户实体。订阅门户实体包括获得模块，该获得模块被配置成从无线电接入网络的网络节点获得订户实体的接入标识符，针对该无线电接入网络已经请求了订户实体的网络接入。订阅门户实体包括被配置成执行订户实体的验证的验证模块，其中在验证期间，从网络节点接收的接入标识符被订阅门户实体用作参考。

根据第十二方面，呈现了一种用于订户实体的验证的计算机程序，该计算机程序包括计算机程序代码，该计算机程序代码当在订阅门户实体的处理电路上运行时，使得订阅门户实体执行根据第九方面的方法。

根据第十三方面，呈现了一种计算机程序产品，该计算机程序产品包括根据第四方面、第八方面和第十二方面中的至少一个的计算机程序以及在其上存储计算机程序的计算机可读存储介质。计算机可读存储介质可以是非暂时性计算机可读存储介质。

有利地，这些方法、这些订户实体、这些网络节点、这些订阅门户实体以及这些计算机程序提供订户实体到无线电接入网络的高效初始网络接入。

有利地，这些方法、这些订户实体、这些网络节点、这些订阅门户实体以及这些计算机程序允许订户实体（或其托管终端装置）使用蜂窝无线电接入网络用于订阅的订购。这意味着装置不需要出于该目的的任何其它网络接入（例如，使用wi-fi的因特网接入）。这减小了装置的成本，并且潜在地还减小了其大小，因为可以省略其它网络接入所需的附加电路。

有利地，这些方法、这些订户实体、这些网络节点、这些订阅门户实体以及这些计算机程序消除了将不可信wi-fi网络用于初始网络接入的需要。

有利地，这些方法、这些订户实体、这些网络节点、这些订阅门户实体以及这些计算机程序允许使用传统的基于imsi的网络接入过程，但是其中用接入标识符替代了实际imsi。

有利地，这些方法、这些订户实体、这些网络节点、这些订阅门户实体以及这些计算机程序避免了用于认证和初始网络接入的装置证书的用户，从而在这个方面不要求订户实体、无线电接入网络节点和核心网络的仅少许修改。

有利地，这些方法、这些订户实体、这些网络节点、这些订阅门户实体以及这些计算机程序使得接入标识符不仅能够用于订阅的订购，而且能够用于下载配置文件。

从以下详细公开、从所附从属权利要求以及从附图，所附实施例的其它目的、特征和优点将是显而易见的。

通常，除非本文中另有明确定义，否则权利要求中使用的所有术语要根据它们在技术领域中的普通含义来解释。除非另有明确声明，否则对“一/一个/该元件、设备、组件、部件、模块、步骤等”的所有引用都要被开放地解释为指的是元件、设备、组件、部件、模块、步骤等中的至少一个实例。除非明确声明，否则本文中公开的任何方法的步骤不必以所公开的确切顺序来执行。

附图说明

现在参考附图通过示例描述发明性概念，在附图中：

图1是图示根据实施例的通信系统的示意图；

图2、3和4是根据实施例的方法的流程图；

图5是根据实施例的方法的信令图；

图6是示出根据实施例的订户实体的功能单元的示意图；

图7是示出根据实施例的订户实体的功能模块的示意图；

图8是示出根据实施例的网络节点的功能单元的示意图；

图9是示出根据实施例的网络节点的功能模块的示意图；

图10是示出根据实施例的订阅门户实体的功能单元的示意图；

图11是示出根据实施例的订阅门户实体的功能模块的示意图；以及

图12示出根据实施例的包括计算机可读部件的计算机程序产品的一个示例。

具体实施方式

现在将在下文中参考附图更全面地描述发明性概念，在附图中示出了发明性概念的某些实施例。然而，发明性概念可以以许多不同的形式来体现，并且不应被解释为限于本文中阐明的实施例；而是，这些实施例通过示例被提供，使得本公开将是彻底和完整的，并且将向本领域技术人员充分传达发明性概念的范围。在整个描述中，相似的数字指示相似的元件。由虚线图示的任何步骤或特征应被认为是可选的。

图1是图示其中可以应用本文中呈现的实施例的通信系统100的示意图。通信系统100包括订户实体200、网络节点300、订阅门户实体400和订阅服务器500。

在一些方面，订户实体200是esim实体。订户实体200通常包括配置文件处理单元以及远程订阅处理和存储单元，配置文件处理单元可以被提供为发行者安全域根（isd-r）功能260，或者仅简称为isd-r，远程订阅处理和存储单元例如是嵌入式通用集成电路卡（euicc）250。根据一些方面，在euicc内提供isd-r。嵌入式sim（esim、e-sim或虚拟sim）电路的功能可以是euicc的功能的一部分。订户实体200可以是终端装置的一部分，该终端装置是消费者装置（例如移动电话、调制解调器、船舶、车辆或无人机）或机器类型通信（mtc）装置（例如传感器或物联网装置等）。订户实体200经由其托管终端装置通常能够进行无线通信。

在一些方面，网络节点300是移动性管理实体（mme）节点。一般而言，网络节点300是控制节点，其处理核心网络（cn）和订户实体200的终端装置之间的信令并提供用于演进型分组系统（eps）的访问者位置寄存器（vlr）功能性。它支持关联于承载及连接管理的功能。

在一些方面，订阅门户实体400是类似于sm-dp+实体的实体。订阅门户实体400可被实现为网络节点300的网络内的单独实体或实现为订阅服务器500内的服务。

在一些方面，订阅服务器500是sm-dp+服务器和/或订阅管理器——发现服务（sm-ds）服务器。

图1进一步图示可与订户实体200和订阅门户实体400交互的用户600。

如上面所公开的，需要用于实现订户实体200到无线电接入网络的初始网络接入的改进的机制。

因此，本文中公开的实施例涉及用于订户实体200到无线电接入网络的初始网络接入、用于允许订户实体200到无线电接入网络的初始网络接入以及用于订户实体200的认证的机制。为了获得这样的机制，提供了一种订户实体200、一种由订户实体200执行的方法、一种包括例如以计算机程序的形式的代码的计算机程序产品，该代码当在订户实体200的处理电路上运行时，使得订户实体200执行所述方法。为了获得这样的机制，还提供了一种网络节点300、一种由网络节点300执行的方法、以及一种包括例如以计算机程序的形式的代码的计算机程序产品，该代码当在网络节点300的处理电路上运行时，使得网络节点300执行所述方法。为了获得这样的机制，还提供了一种订阅门户实体400、一种由订阅门户实体400执行的方法、以及一种包括例如以计算机程序的形式的代码的计算机程序产品，该代码当在订阅门户实体400的处理电路上运行时，使得订阅门户实体400执行所述方法。

现在对图2进行参考，其图示了一种根据实施例的如由订户实体200执行的用于订户实体200到无线电接入网络的初始网络接入的方法。

假设为订户实体200请求网络接入。因此，订户实体200被配置成执行步骤s102：

s102：订户实体200向网络节点300传送附着消息。附着消息指示订户实体200到网络节点300的无线电接入网络的网络接入请求。

假设网络节点300对订户实体200进行响应。因此，订户实体200被配置成执行步骤s104：

s104：订户实体200接收源自网络节点300的标识请求。标识请求请求订户实体200的标识。

本文中公开的实施例基于订户实体200使用接入标识符（而不是装置凭证、imsi等）来用于至少得到例如对蜂窝无线电接入网络的受限网络接入。因此，订户实体200被配置成执行步骤s106：

s106：订户实体200向网络节点300传送响应消息。响应消息包括订户实体200的接入标识符。接入标识符指示订户实体200是无订阅的。

在接收到该接入标识符时，网络节点300将立即允许网络接入，然而可能仅针对限制的服务集合。因此，订户实体200被配置成执行步骤s108：

s108：订户实体200从网络节点300接收准许。准许允许订户实体200受限的网络接入。

现在将公开涉及如由订户实体200执行的订户实体200到无线电接入网络的初始网络接入的进一步细节的实施例。

如下面将进一步公开的，可以存在针对订户实体200准许的不同类型的网络接入。特别地，根据实施例，准许允许订户实体200对订阅门户实体400的受限的网络接入。

在一些方面，网络节点300向订户实体200提供订阅订购门户实体400的地址。特别地，根据实施例，准许包括订阅门户实体400的网络地址。

在一些方面，网络节点300发送订阅订购门户实体400的地址作为网络配置的一部分或作为资源发现的一部分。特别地，根据实施例，订户实体200被配置成执行（可选的）步骤s110：

s110：订户实体200接收源自网络节点300的资源发现信息和/或网络配置信息。网络配置信息和/或资源发现信息包括订阅门户实体400的网络地址。

网络节点300可能允许订户实体200接入的服务之一是订阅的订购。在一些方面，订户实体200因此访问订阅管理门户实体400，并且使用接入标识符来执行与订阅门户实体400的（相互）认证。特别地，根据实施例，订户实体200被配置成执行（可选的）步骤s112：

s112：订户实体200向订阅门户实体400传送生成用于订户实体200的订阅配置文件的请求。

然后，订户实体200可能仍然使用接入标识符而涉及如下面公开的步骤s408、s410、s411、s412中的任何一个，以便下载和安装订阅配置文件。

在一些方面，通过计算订户实体200的eid的其自身哈希（hash）并将之用作参考，来由订阅管理门户实体400验证接入标识符。特别地，根据实施例，生成订阅配置文件的请求包括订户实体200的身份信息，并且订户实体200由订阅门户实体400基于身份信息来认证。

进一步详细地，（相互）认证可用于验证订户实体200操作地连接到正确的网络节点300。这可以例如通过使用具有仅服务器侧证书的https连接来实现。为了证实订户实体200，并且因此提供相互认证，可以使用euicc证书。可以以多种方式实现用于订户实体200验证服务器证书的信任锚。一个示例实现方式是移动网络运营商将订阅门户实体400作为（潜在地由移动网络运营商拥有的）sm-dp+服务下的服务来递送。由于已经存在由gsma根ca证书在sm-dp+和装置之间建立的信任锚，因此不需要其它信任锚。

对于订户实体200而言，可以有不同的方式来选择要向哪个网络节点300传送附着消息。在一些方面，借助于配置来选择网络节点300。该配置可以由用户输入定义或者在订户实体200中预设和/或基于选择策略。特别地，根据实施例，朝向哪个网络节点300传送附着消息基于配置信息。

现在对图3进行参考，其图示了一种根据实施例的如由网络节点300执行的用于允许订户实体200到无线电接入网络的初始网络接入的方法。

s202：网络节点300接收附着消息。附着消息源自订户实体200。

s204：网络节点300向订户实体200传送标识请求。标识请求请求订户实体200的标识。

s206：网络节点300从订户实体200接收响应消息。响应消息包括订户实体200的接入标识符。接入标识符指示订户实体200是无订阅的；以及

s210：网络节点300向订户实体200传送准许。准许允许订户实体200受限的网络接入。

现在将公开涉及如由网络节点300执行的允许订户实体200到无线电接入网络的初始网络接入的进一步细节的实施例。

如上面所公开的，根据实施例，准许允许订户实体200对订阅门户实体400的受限的网络接入。

在一些方面，当网络节点300将接入标识符标识为不是常规imsi时，其可能绕过订户实体200的进一步认证。特别地，根据实施例，在网络节点300尚未认证订户实体200的情况下传送准许。

在一些方面，网络节点300使接入标识符对订阅门户实体400可用。特别地，根据实施例，网络节点300被配置成执行（可选的）步骤s208：

s208：网络节点300向订阅门户实体400提供接入标识符。

如上面所公开的，在一些方面，网络节点300向订户实体200提供订阅订购门户实体400的地址。特别地，根据实施例，准许包括订阅门户实体400的网络地址。

如上面所公开的，在一些方面，网络节点300发送订阅订购门户实体400的地址作为网络配置的一部分或作为资源发现的一部分。特别地，根据实施例，网络节点300被配置成执行（可选的）步骤s212：

s212：网络节点300向订户实体200传送网络配置信息和/或资源发现信息。网络配置信息和/或资源发现信息包括订阅门户实体400的网络地址。

现在对图4进行参考，其图示了一种根据实施例的如由订阅门户实体400执行的用于订户实体200的验证的方法。

s302：订阅门户实体400从无线电接入网络的网络节点300获得订户实体200的接入标识符，其中已经针对该无线电接入网络请求了订户实体200的网络接入。

s306：订阅门户实体400执行订户实体200的验证。在验证期间，从网络节点300接收的接入标识符被订阅门户实体400用作参考。

现在将公开涉及如由订阅门户实体400执行的订户实体200的认证的进一步细节的实施例。

如上面所公开的，在一些方面，订户实体200访问订阅管理门户实体400。特别地，根据实施例，订阅门户实体400被配置成执行（可选的）步骤s304：

s304：订阅门户实体400接收生成用于订户实体200的订阅配置文件的请求。请求源自订户实体200。

在这个方面，当订阅门户实体400在步骤s304中接收请求时，其可能已经生成了实际的订阅配置文件。

在一些方面，响应于对于订阅配置文件生成的请求而执行验证和（可选的）认证。特别地，根据实施例，在接收到请求时执行订户实体200的验证。

一般而言，执行验证以仅允许移动网络运营商已经允许访问的订户实体连接到订阅门户实体400，而执行认证以验证请求订阅配置文件的订户实体200的实际身份。

一般而言，一旦订户实体200连接到订阅门户实体400，便由订阅门户实体400验证接入标识符，但是在订阅门户实体400允许订户实体200订购订阅配置文件之前，订户实体200的身份可以（可选地）由订阅门户实体400认证。

在一些方面，订阅门户实体400通过导出其自己的接入标识符并将其与从网络节点300接收的接入标识符进行比较来执行验证。特别地，根据实施例，将从网络节点300接收的接入标识符与如由订阅门户实体400基于从订户实体200接收的参数结合请求而生成的接入标识符进行比较。

可以存在为订户实体200准许的不同类型的网络接入。

在一些方面，网络接入限于导致并包括将订阅配置文件下载到订户实体200的所有步骤。特别地，根据实施例，订户实体200的网络接入限于订户实体200针对订阅配置文件下载而需要执行的动作。

可以存在网络接入被准许到的不同类型的网络。在一些方面，网络接入被准许到使用蜂窝无线电接入技术的网络。特别地，根据实施例，蜂窝无线电接入技术被用于订户实体200的网络接入。

可以存在不同类型的接入标识符。

根据实施例，接入标识符基于订户实体200的身份信息（例如eid）的哈希。

进一步详细地，为了生成接入标识符，订户实体200或订户实体200的配置文件处理单元（例如，euicc或iuicc）确定订户实体200的eid的哈希。可以使用eid的哈希（或另一个单向函数）而不是简单的eid，来以安全可链接的方式将接入标识符的大小减小到适合imsi大小要求的大小。

根据实施例，接入标识符是随机值。

进一步详细地，接入标识符可以完全随机化，而不是依赖于eid。这可能使得一些标识能力被丢失，因为eid或其哈希是可以被认证和验证的标识符，而完全随机化的接入标识符可以被验证但不可以被认证。

根据实施例，接入标识符基于订户实体200的身份信息的哈希并且基于至少一个随机数。

进一步详细地，哈希可以被生成为eid和随机数r的组合。现在，如果在订阅门户实体400处存在经哈希的部分的验证（例如结合以上步骤s306），那么订户实体200将需要将该随机值r与eid一起发送到订阅门户实体400，使得订阅门户实体400可以计算相同的哈希值。接入标识符的这种形成带来了附加的优点。首先，订户实体200将能够每次为初始连接性请求生成独特接入标识符。这将为接入标识符赋予某种隐私保护。其次，由于接入标识符每次都是新的，因此它在网络中将不是直接可追踪的（而是仅通过订阅门户实体400）。因此，移动网络运营商将不能阻止任何特定接入标识符得到初始连接性。

根据实施例，接入标识符具有指示接入标识符不是常规imsi的前缀。

进一步详细地，上面公开类型的接入标识符（身份信息的哈希、随机值、或至少一个随机数与身份信息的哈希）中的任何一个都可以被附加到预先已知的特殊前缀。这样的前缀的非限制性示例是“00000”。因此，接入标识符可以具有以下形式：接入标识符=前缀+hash（身份信息），或接入标识符=前缀+随机数，或接入标识符=前缀+hash（身份信息，至少一个随机数），其中hash（z）表示参数z的哈希，并且其中“x+y”表示将字符串y附加到字符串x。

另外，接入标识符的长度可以等于常规imsi的长度。

现在将参考图5的信令图详细公开基于上面公开的实施例中的至少一些的一个特定实施例。

特别地，图5是用于订户实体200发起临时连接、并且然后使用该连接来订购订阅并且随后下载订阅配置文件的信令图。假设订户实体200搜索可用的网络或移动网络运营商，并且基于用户输入、选择策略、预设信息或诸如可用蜂窝无线电接入网络的可见信号强度等之类的其它信息来选择网络或移动网络运营商。网络或移动网络运营商可以在装置中以优选的顺序在网络或移动网络运营商的列表中提供。

s401：订户实体200向所选择的网络或移动网络运营商的网络节点300发送附着请求。

s402：网络节点300请求订户实体200的网络订阅的标识。

s403：订户实体200还不具有任何网络订阅，并且因此响应于标识请求而发送接入标识符。

s404：已经将接入标识符标识为不是常规imsi的网络节点300绕过认证并准许受限的网络接入，至少为了订户实体200建立到订阅门户实体400的操作连接。

s405：网络节点300向订阅门户实体400提供接入标识符。

s406：已经允许订户实体200的网络接入的网络节点300向订户实体200提供连接请求被准许的确认。网络节点300可选地提供订户实体200可以从其订购网络订阅的订阅订购门户实体400的地址。无线电接入网络节点或网络节点300还可发送订阅门户实体400的地址作为网络配置的一部分或作为资源发现的一部分。

s407：订户实体200访问所选择的移动网络运营商的订阅门户实体400，并且使用其eid和相关联的证书以及移动网络运营商证书来执行与订阅门户实体400的（相互）认证。上面描述了用于（相互）认证的示例过程。

s408：（可选的）订户实体200在（相互）认证之后，执行与订阅门户实体400的针对网络订阅的合同协商。可以使用用户输入以便订户实体200指定要选择哪种网络订阅。可以使用用户输入以便订户实体200向订阅门户实体400提供必要的信息，例如个人身份、计费信息等。

s409：（可选的）订阅门户实体400请求订阅服务器500使用在步骤s408接收的信息来生成订阅配置文件。备选地，在步骤s408之前生成订阅配置文件,并且在步骤s409中使用在步骤s408中接收的信息从订阅配置文件池选择订阅配置文件。

s410：（可选的）订阅门户实体400为订户实体200或其用户提供订阅配置文件的激活码（ac）。

s411：（可选的）订户实体200通过直接应用ac或者通过首先获得ac作为用户输入来发起订阅配置文件的下载。

s412：订户实体200使用ac从订阅服务器500下载订阅配置文件。使用通过使用接入标识符设置的初始连接性也允许对订阅服务器500的这种接入。订户实体200现在具有其可以用于得到完全网络接入的适当的订阅配置文件。备选地，从订阅门户实体400下载订阅配置文件。

当订户实体200有可能在不使用ac的情况下下载订阅配置文件时，步骤s410和s411是可选的。

另外，当订户实体200缺少用户接口并且其中订阅配置文件已经由订阅服务器500生成时，步骤s408、s409、s410和s411是可选的。

订户实体200可以使用选择策略、预设信息或其它信息在例如其中订户实体200不具有合适的用户接口的场景中选择网络或移动网络运营商。如果对于选择策略存在合适的用户接口，则选择策略可以由例如用户来配置，但是通常选择策略将由制造商设置以用于帮助订户实体200为其自身引导（bootstrap）连接性。选择策略可以使得用户能够容易地知道订户实体200将附着到哪个网络或移动网络运营商，例如，在带有优选网络或移动网络运营商的有序列表的情况下或当根据字母顺序选择网络或移动网络运营商时将是这种情况。以这种方式，用户将预先知道要（可选地）向哪个订阅门户实体400提供装置身份和计费信息。然后，订阅门户实体400可以在成功认证订户实体200之后仅提供订阅配置文件而不请求任何用户或计费信息。以这种方式，订户实体200可以部署在任何地方而不用任何进一步需要的用户交互。例如，订户实体200可以基于某种选择策略（例如，字母顺序）来选择一个网络或移动网络运营商，并且一旦订户实体200具有通过所选择的网络或移动网络运营商的全球连接性，则用户可以配置实际优选网络或移动网络运营商，并且订户实体200然后得到用于优选网络或移动网络运营商的新的订阅配置文件。进一步详细地，用户可以远程地将订户实体200配置成从指示的移动网络运营商和/或订阅门户实体400获得新的配置文件。这种配置可以使用装置管理门户或通过直接连接到订户实体来执行。备选地，用户可以从移动网络运营商订购配置文件，并且配置文件可用的信息将被记录在订阅服务器500中，订户实体200将从订阅服务器500被告知其有要提取的新的配置文件。

另外，当订户实体200使用静态选择策略用于初始（或之后使用基于选择策略的）配置文件下载时，订户实体200可以请求具有按字节计数支付订阅的订阅配置文件，所述按字节计数支付订阅可以被快速终止，使得用户一将订户实体200已经配置成从优选移动网络运营商下载实际优选的订阅配置文件，就可以终止如此策略选择的订阅配置文件，而不招致因使用初始选择的网络或移动网络运营商的大量花费。

图6按照多个功能单元示意性地图示了根据实施例的订户实体200的组件。使用能够执行存储在例如以存储介质230的形式的计算机程序产品1210a（如图12中）中的软件指令的合适的中央处理单元（cpu）、多处理器、微控制器、数字信号处理器（dsp）等中的一个或多个的任何组合来提供处理电路210。处理电路210还可以被提供为至少一个专用集成电路（asic）或现场可编程门阵列（fpga）。

特别地，处理电路210被配置成使得订户实体200执行如上面所公开的操作或步骤s102-s112的集合。例如，存储介质230可以存储操作的集合，并且处理电路210可以被配置成从存储介质230取回操作的集合以使得订户实体200执行操作的集合。操作的集合可以被提供为可执行指令的集合。因此，处理电路210由此被布置成执行如本文中所公开的方法。

存储介质230还可以包括永久性存储设备，其例如可以是磁存储器、光存储器、固态存储器或甚至远程安装的存储器中的任何单个或组合。

订户实体200还可以包括用于与通信系统100的其它实体、功能、节点和装置进行通信的通信接口220。因此，通信接口220可以包括一个或多个传送器和接收器，其包括模拟和数字组件。通信接口220还可以被配置用于用户交互，并且从而实现用户接口的功能性。

处理电路210例如通过向通信接口220和存储介质230发送数据和控制信号、通过从通信接口220接收数据和报告、以及通过从存储介质230取回数据和指令，来控制订户实体200的一般操作。订户实体200的其它组件以及相关的功能性被省略，以便不使本文中呈现的概念模糊不清。

图7按照多个功能模块示意性地图示了根据实施例的订户实体200的组件。图7的订户实体200包括多个功能模块；被配置成执行步骤s102的传送模块210a、被配置成执行步骤s104的接收模块210b、被配置成执行步骤s106的传送模块210c、以及被配置成执行步骤s108的接收模块210d。图7的订户实体200还可以包括多个可选功能模块，例如被配置成执行步骤s110的接收模块210e和被配置成执行步骤s112的传送模块210f中的任何一个。一般而言，每个功能模块210a-210f可以采用硬件或采用软件来实现。优选地，一个或多个或所有功能模块210a-210f可以由处理电路210（可能与通信接口220和存储介质230协作）来实现。处理电路210可以因此被布置成从存储介质230提取如由功能模块210a-210f提供的指令，并且执行这些指令，从而执行如本文中所公开的订户实体200的任何步骤。

订户实体200可以被提供为独立装置或者至少一个另外的装置的一部分。例如，如上面所公开的，订户实体200可以是esim。如上面进一步公开的，订户实体200可以是终端装置的一部分，该终端装置是消费者装置（例如移动电话、调制解调器、船舶、车辆或无人机）或机器类型通信（mtc）装置（例如传感器或物联网装置等）。尽管图6中图示了单个处理电路210，但是处理电路210可以分布在多个装置或节点中。这同样适用于图7的功能模块210a-210f和图12的计算机程序1220a（参见下文）。

图8按照多个功能单元示意性地图示了根据实施例的网络节点300的组件。使用能够执行存储在例如以存储介质330的形式的计算机程序产品1210b（如图12中）中的软件指令的合适的中央处理单元（cpu）、多处理器、微控制器、数字信号处理器（dsp）等中的一个或多个的任何组合来提供处理电路310。处理电路310还可以被提供为至少一个专用集成电路（asic）或现场可编程门阵列（fpga）。

特别地，处理电路310被配置成使得网络节点300执行如上面所公开的操作或步骤s202-s212的集合。例如，存储介质330可以存储操作的集合，并且处理电路310可以被配置成从存储介质330取回操作的集合以使网络节点300执行操作的集合。操作的集合可以被提供为可执行指令的集合。因此，处理电路310由此被布置成执行如本文中所公开的方法。

存储介质330还可以包括永久性存储设备，其例如可以是磁存储器、光存储器、固态存储器或甚至远程安装的存储器中的任何单个或组合。

网络节点300还可以包括用于与通信系统100的其它实体、功能、节点和装置进行通信的通信接口320。

因此，通信接口320可以包括一个或多个传送器和接收器，其包括模拟和数字组件。

处理电路310例如通过向通信接口320和存储介质330发送数据和控制信号、通过从通信接口320接收数据和报告、以及通过从存储介质330取回数据和指令，来控制网络节点300的一般操作。网络节点300的其它组件以及相关的功能性被省略，以便不使本文中呈现的概念模糊不清。

图9按照多个功能模块示意性地图示了根据实施例的网络节点300的组件。图9的网络节点300包括多个功能模块；被配置成执行步骤s202的接收模块310a、被配置成执行步骤s204的传送模块310b、被配置成执行步骤s206的接收模块310c和被配置成执行步骤s210的传送模块310e。图9的网络节点300还可以包括多个可选功能模块，例如被配置成执行步骤s208的提供模块310d和被配置成执行步骤s210的传送模块310e中的任何一个。一般而言，每个功能模块310a-310f可以采用硬件或采用软件来实现。优选地，一个或多个或所有功能模块310a-310f可以由处理电路310（可能与通信接口320和存储介质330协作）来实现。处理电路310可以因此被布置成从存储介质330提取如由功能模块310a-310f提供的指令，并且执行这些指令，从而执行如本文中所公开的网络节点300的任何步骤。

网络节点300可以被提供为独立装置或至少一个另外的装置的一部分。例如，网络节点300可以被提供在无线电接入网络的节点中或在核心网络的节点中。如上面所公开的，在一些方面中，网络节点300是mme节点，并且因此位于核心网络中。备选地，网络节点300的功能性可以分布在至少两个装置或节点之间。这些至少两个节点或装置可以是相同网络部分（例如无线电接入网络或核心网络）的一部分，或者可以散布在至少两个这样的网络部分之间。

因此，由网络节点300执行的指令的第一部分可以在第一装置中执行，并且由网络节点300执行的指令的第二部分可以在第二装置中执行；本文中公开的实施例不限于任何特定数量的装置，在所述装置上可以执行由网络节点300执行的指令。因此，根据本文中公开的实施例的方法适合于由驻留在云计算环境中的网络节点300执行。因此，尽管图8中图示了单个处理电路310，但是处理电路310可以分布在多个装置或节点中。这同样适用于图9的功能模块310a-310f和图12的计算机程序1220b（参见下文）。

图10按照多个功能单元示意性地图示了根据实施例的订阅门户实体400的组件。使用能够执行存储在例如以存储介质430的形式的计算机程序产品1210c（如图12中）中的软件指令的合适的中央处理单元（cpu）、多处理器、微控制器、数字信号处理器（dsp）等中的一个或多个的任何组合来提供处理电路410。处理电路410还可以被提供为至少一个专用集成电路（asic）或现场可编程门阵列（fpga）。

特别地，处理电路410被配置成使得订阅门户实体400执行如上面所公开的操作或步骤s302-s306的集合。例如，存储介质430可以存储操作的集合，并且处理电路410可以被配置成从存储介质430取回操作的集合以使得订阅门户实体400执行操作的集合。操作的集合可以被提供为可执行指令的集合。因此，处理电路410由此被布置成执行如本文中所公开的方法。

存储介质430还可以包括永久性存储设备，其例如可以是磁存储器、光存储器、固态存储器或甚至远程安装的存储器中的任何单个或组合。

订阅门户实体400还可以包括用于与通信系统100的其它实体、功能、节点和装置进行通信的通信接口420。因此，通信接口420可以包括一个或多个传送器和接收器，其包括模拟和数字组件。

处理电路410例如通过向通信接口420和存储介质430发送数据和控制信号、通过从通信接口420接收数据和报告、以及通过从存储介质430取回数据和指令，来控制订阅门户实体400的一般操作。订阅门户实体400的其它组件以及相关的功能性被省略，以便不使本文中呈现的概念模糊不清。

图11按照多个功能模块示意性地图示了根据实施例的订阅门户实体400的组件。图11的订阅门户实体400包括多个功能模块；被配置成执行步骤s302的获得模块410a；以及被配置成执行步骤s306的验证模块410c。图11的订阅门户实体400还可以包括多个可选功能模块，例如被配置成执行步骤s304的接收模块410b。一般而言，每个功能模块410a-410c可以采用硬件或采用软件来实现。优选地，一个或多个或所有功能模块410a-410c可以由处理电路410（可能与通信接口420和存储介质430协作）来实现。处理电路410可以因此被布置成从存储介质430提取如由功能模块410a-410c提供的指令，并且执行这些指令，从而执行如本文中所公开的订阅门户实体400的任何步骤。

订阅门户实体400可以被提供为独立装置或至少一个另外装置的一部分。例如，可以在无线电接入网络的节点中或在核心网络的节点中或甚至在服务网络的节点中提供订阅门户实体400。备选地，订阅门户实体400的功能性可分布在至少两个装置或节点之间。这些至少两个节点或装置可以是相同网络部分（例如无线电接入网络或核心网络或服务网络）的一部分，或者可以散布在至少两个这样的网络部分之间。

因此，由订阅门户实体400执行的指令的第一部分可以在第一装置中执行，并且由订阅门户实体400执行的指令的第二部分可以在第二装置中执行；本文中公开的实施例不限于任何特定数量的装置，在所述装置上可执行由订阅门户实体400执行的指令。因此，根据本文中公开的实施例的方法适合于由驻留在云计算环境中的订阅门户实体400执行。因此，尽管图10中图示了单个处理电路310，但是处理电路410可以分布在多个装置或节点中。这同样适用于图11的功能模块410a-410c和图12的计算机程序1220c（参见下文）。

图12示出了包括计算机可读部件1230的计算机程序产品1210a、1210b、1210c的一个示例。在该计算机可读部件1230上，可以存储计算机程序1220a，该计算机程序1220a可以使得处理电路210以及与其操作地耦合的实体和装置（例如通信接口220和存储介质230）执行根据本文中描述的实施例的方法。计算机程序1220a和/或计算机程序产品1210a可以因此提供用于执行如本文中所公开的订户实体200的任何步骤的部件。在该计算机可读部件1230上，可以存储计算机程序1220b，该计算机程序1220b可以使得处理电路310以及与其操作地耦合的实体和装置（例如通信接口320和存储介质330）执行根据本文中描述的实施例的方法。计算机程序1220b和/或计算机程序产品1210b可以因此提供用于执行如本文中所公开的网络节点300的任何步骤的部件。在该计算机可读部件1230上，可以存储计算机程序1220c，该计算机程序1220c可以使得处理电路410以及与其操作地耦合的实体和装置（例如通信接口420和存储介质430）执行根据本文中描述的实施例的方法。计算机程序1220c和/或计算机程序产品1210c可以因此提供用于执行如本文中所公开的订阅门户实体400的任何步骤的部件。

在图12的示例中，计算机程序产品1210a、1210b、1210c被图示为光盘，例如cd（致密盘）或dvd（数字通用盘）或蓝光盘。计算机程序产品1210a、1210b、1210c还可以被体现为存储器，例如随机存取存储器（ram）、只读存储器（rom）、可擦除可编程只读存储器（eprom）或电可擦除可编程只读存储器（eeprom），并且更特别地，被体现为诸如usb（通用串行总线）存储器或闪速存储器（例如致密闪速存储器）之类的外部存储器中的装置的非易失性存储介质。因此，虽然计算机程序1220a、1220b、1220c在这里被示意性地示为所描绘的光盘上的轨道，但是计算机程序1220a、1220b、1220c可以以适合于计算机程序产品1210a、1210b、1210c的任何方式来存储。

上面参考几个实施例已经主要地描述了发明性概念。然而，如本领域技术人员容易领会的，除了上面公开的实施例之外的其它实施例同样可能在如所附专利权利要求所限定的发明性概念的范围内。