对受保护的文件应用权利管理策略的制作方法

对受保护的文件应用权利管理策略
1.分案申请信息
2.本发明专利申请是申请日为2016年10月27日、申请号为201680062972.0、发明名称为“对受保护的文件应用权利管理策略”的发明专利申请案的分案申请。
3.相关申请
4.于2015年10月30日递交的、序列号为5865/che/2015的印度专利申请，以及于2015年12月22日递交的、序列号为14/977,648的美国专利申请均以其全部内容通过引用并入本文中。
技术领域
5.本技术涉及对受保护的文件应用权利管理策略。


背景技术：

6.一些数据存储供应商操作数据中心，在其中将数据存储分配给若干用户。用户可以使用一个或更多个通过网络与数据存储系统通信的客户端设备存储和检索数据，诸如，图像、视频和文字处理文档。这些数据与用户账户相关联。在企业环境中，管理员可能希望通过使用第三方使能的信息权管理(irm)或数字权管理(drm)技术，对与存储在远程存储账户中的文件相关联的文件或文档施加限制。
7.在一些情况下，irm或drm技术需要额外的用户干预或用户交互，以便访问具有已应用的irm或drm层的文件。在一些情况下，用户可能将额外的用户交互视为不想要的、乏味的或复杂的。结果是，即使企业施加了某些内容必须受irm或drm技术保护的规则，用户仍可能避免对敏感的企业内容应用irm或drm技术。在这些情况下，敏感内容可能泄露到企业外部，从而引发不想要的后果。


技术实现要素：

8.本发明的一个方面涉及一种用于提供客户端设备上策略保护的文件访问的方法，所述方法包括：向管理服务发送访问策略保护的文件的请求，所述请求包括第一凭证，其中所述请求基于所述第一凭证被认证；响应于所述请求从所述管理服务接收包括第二凭证的配置简档，其中对所述策略保护的文件的访问基于所述第二凭证而被允许；安装所述配置简档，所述配置简档使得所述客户端设备的文件管理应用程序可访问所述第二凭证，所述配置简档使得所述客户端设备的用户无法访问所述第二凭证；以及访问所述策略保护的文件，其中所述文件管理应用程序基于所述第二凭证提供对所述策略保护的文件的访问。
9.本发明的另一方面涉及一种非暂时性计算机可读介质，包括用于提供策略保护的文件访问的可执行指令，其中所述指令在由至少一个处理器执行时，使客户端设备至少：向管理服务发送访问策略保护的文件的请求，所述请求包括第一凭证，其中所述请求基于所述第一凭证被认证；响应于所述请求从所述管理服务接收包括第二凭证的配置简档，其中对所述策略保护的文件的访问基于所述第二凭证而被允许；安装所述配置简档，所述配置
简档使得所述客户端设备的文件管理应用程序可访问所述第二凭证，所述配置简档使得所述客户端设备的用户无法访问所述第二凭证；以及访问所述策略保护的文件，其中所述文件管理应用程序基于所述第二凭证提供对所述策略保护的文件的访问。
10.本发明的又一方面涉及一种用于提供策略保护的文件访问的系统，所述系统包括：包括至少一个处理器的客户端设备；以及包括可执行指令的存储器，其中所述指令在由所述至少一个处理器执行时，使所述客户端设备至少：向管理服务发送访问策略保护的文件的请求，所述请求包括第一凭证，其中所述请求基于所述第一凭证被认证；响应于所述请求从所述管理服务接收包括第二凭证的配置简档，其中对所述策略保护的文件的访问基于所述第二凭证而被允许；安装所述配置简档，所述配置简档使得所述客户端设备的文件管理应用程序可访问所述第二凭证，所述配置简档使得所述客户端设备的用户无法访问所述第二凭证；以及访问所述策略保护的文件，其中所述文件管理应用程序基于第二凭证提供对所述策略保护的文件的访问。
11.附图的简要描述
12.参考下面的附图可以更好地理解本公开的许多方面。附图中的组件不一定按比例绘制，而是着重于清楚地示出本公开的原理。而且，在附图中，相似的附图标记在多个视图中指定相应的部分。
13.图1是根据多个示例的联网环境的图。
14.图2是根据多个示例的、示出由图1的联网环境下的客户端设备中的文件管理应用程序实现的功能的示例的流程图。
15.图3是根据多个实施例的、示出由图1的计算环境下的文件管理服务实现的功能的示例的流程图。
16.图4是根据多个实施例的、示出由图1的计算环境下的文件管理服务实现的功能的示例的流程图。
17.图5是根据多个示例的、示出由图1的联网环境下的客户端设备中的文件管理应用程序实现的功能的示例的流程图。
18.图6是根据多个实施例的、示出由图1的计算环境下的文件管理服务实现的功能的示例的流程图。
19.图7是根据多个示例的、示出由图1的联网环境下的计算环境中的管理服务实现的功能的示例的流程图。
20.图8是根据多个实施例的、示出由图1的客户端设备中的文件管理应用程序实现的功能的示例的流程图。
21.详细描述
22.本公开涉及使用可由客户端设备通过网络访问的数据存储系统来存储和检索受信息权管理(irm)或数字权管理(drm)技术保护的文件。在本公开的上下文中，虽然主要使用术语irm，但是根据本公开的示例，也可以采用替代权利管理技术(诸如drm技术)来代替irm技术。在一个示例中，与远程存储区域相关联的信息权服务可以将文件与内容策略相关联，所述远程存储区域与用户账户相关联。
23.内容策略指定特定文件在客户端设备上休眠时是否应当采用irm技术进行保护。内容策略还可以指定是否允许所述文件由用户和其他用户共享。在某些情况下，内容策略
可以指定可以与哪些用户或用户组共享文件。内容策略还可以指定如果与其他用户共享文件或当与其他用户共享文件时，是否应将irm策略应用于文件。
24.在一个示例中，可以通过与远程存储区域相关联的信息权服务和通过在用户设备上执行的应用程序来自动应用irm策略，以确保将存储在用户设备上的文件存储为采用irm层的受保护文件。作为另一个示例，当一个用户与另一个用户共享文件时，可以自动应用irm策略，以降低文件内容仍处于企业控制之下的可能性。因此，本公开的示例可以提供用于将irm策略应用于文件和文档的机制，从而可以使用由企业或由第三方实体提供的irm技术和服务来产生对文件的追踪和数据安全。
25.参看图1，示出了根据多个实施例的联网环境100。图1中示出的联网环境100包括通过网络113彼此进行数据通信的计算环境103、客户端设备106、信息权服务器109以及可能的其他组件。网络113包括例如因特网、一个或更多个内联网、外联网、广域网(wan)、局域网(lan)、有线网、无线网、其他合适的网络或者两个或更多个网络的任何组合。网络可以包括卫星网络、电缆网、以太网、电话网或其他类型的网络。
26.计算环境103可以包括例如服务器计算机或提供计算能力的任何其他系统。或者，计算环境103可以采用多个计算设备，例如可以将这些计算设备布置在一个或更多个服务器库、计算机库或其他布置中。这样的计算设备可以位于单个装置中或者可以分布于许多不同的地理位置。例如，计算环境103可以包括一起形成托管计算资源、网格计算资源或任何其他分布式计算布置的多个计算设备。在一些情况下，计算环境103可以作为弹性计算资源的至少一部分来操作，其中处理资源、网络资源、存储资源或其他计算相关资源的分配容量可以随时间变化。计算环境103还可以包括一个或更多个虚拟化计算机实例或作为一个或更多个虚拟化计算机实例来操作，所述虚拟化计算机实例被执行，以便实施本文中所描述的功能。通常，可以根据特定的安全协议来操作计算环境103，从而将其认为是受信的计算环境。
27.可以通过计算环境103执行各种系统。而且，各种数据被存储在计算环境103可访问的数据存储116中。图1中所示的数据存储116可以代表多个企业数据存储116。存储在数据存储116中的数据与下面描述的各种组件的操作相关联。
28.可以在计算环境103中执行管理服务119和其他系统。可以执行管理服务119，以管理或监督多个客户端设备106的操作。在一些实施例中，诸如一个或更多个公司或其他组织之类的企业可以操作管理服务119，以监督或管理其雇员、承包商、客户或具有企业内的用户账户的其他用户的客户端设备106的操作。
29.管理服务119可以执行文件管理服务126和其他可能的组件。管理控制台123可以通过管理服务119的管理员辅助企业的设备的管理。例如，管理控制台123可以生成一个或更多个用户界面，所述用户界面促进与管理服务119的交互。这些用户界面可以促进输入用于管理服务119的命令或其他信息。此外，用户界面可以包括关于由管理服务119管理的客户端设备106的统计数据或其他信息的呈现。
30.文件管理服务126可以获得并存储关于与一个或更多个客户端设备106或管理服务119相关联的文件的各种信息。也就是说，文件管理服务126可以创建和维持特定文件相关联的活动日志。在一个实施例中，与特定文件相关联的活动日志可指定文件被存储于的一个或更多个位置，加密和/或解密文件所需的一个或更多个加密密钥，与文件相关联的许
可(例如，访问权利)，文件版本，何时、如何以及由谁访问或与谁共享文件的历史列表，或者与文件相关的其他信息。例如，与董事会会议文档相关联的活动日志可以指定以下文档：(1)与访问权利相关联的文档，所述访问权利限制访问四个董事会成员、限制在10月27日下午1点和下午2点之间访问，以及限制访问防止复制功能的环境；(2)由四位董事会成员用户在10月26日共享的文档；(3)由四位董事会成员用户在10月27日下午1点下载，从下午1点到下午2点存储在四位董事会成员用户的设备上，并于下午2点从四位董事会成员用户的设备中移除的文档。为了辅助查看与特定文件相关联的活动日志，文件管理服务126可以提供用户界面，通过所述用户界面被授权用户可以查看活动日志(例如文件的创建者、文件的管理员)。
31.文件管理服务126还可以辅助访问存储在数据存储116以及可能由第三方操作的其他数据存储或远程存储位置中的用户的文件。当文件被用户下载到客户端设备106或与另一用户共享时，文件管理服务126还可以确定是否应当将irm策略应用于特定文件。文件管理服务126还可以确定在这些场景中应所述应用哪种类型的irm策略。
32.存储在数据存储116中的数据可以包括文件数据129、受管理的设备数据133和其他信息。文件数据129可以包括与一个或更多个文件136相对应的数据和对应于每个文件136的内容策略137，文件136代表企业用户被存储或由企业用户存储。对应于文件136的内容策略137表示当文件136由用户下载到或代表用户下载到客户端设备106时，关于是否应所述将特定文件136存储为具有应用的irm策略的受保护文件的信息。当文件136在客户端设备106上休眠时，内容策略137还可以识别应当应用于文件136的特定irm策略或irm技术。
33.在一些示例中，文件136可以存储在数据存储116外部并且可以由第三方数据存储供应商操作的资源库中。例如，用户可以将与第三方资源库相关联的存储账户和与管理服务119相关联的企业内的用户账户链接。例如，用户可以将文件存储在第三方资源库中，其中第三方资源库链接到企业内的用户账户。然后用户可以使用文件管理应用程序139访问存储在第三方资源库中的文件。在这种情况下，文件数据129可以将对存储在第三方资源库中的文件136的引用和与文件136相关联的内容策略137一起存储。这样，文件管理应用程序139或文件管理服务126可以在使用文件管理应用程序139访问或共享文件时应用由内容策略137指定的irm策略。
34.内容策略137还可以指定是否可以与企业内或企业外部的其他用户共享文件136。内容策略137可以识别特定文件136被允许与哪些用户或用户组共享。内容策略137还可以在与另一用户共享文件136之前识别应所述应用于文件136的irm策略。在一些示例中，文件数据129还可以包括关于存储在数据存储116中的文件136的其他信息。例如，文件数据129可以包括用于特定文件136的唯一标识符、位置、加密密钥、许可、文件版本、访问历史或其他信息。在一些示例中，还可以将内容策略137应用于位于与用户相关联的存储区域内的特定文件夹或目录。
35.作为另一示例，内容策略137还可以与某些接收者用户相关联。在这种情况下，内容策略137可以指定每当将文件136发送至特定的接收者用户时，应将特定的irm策略应用于文件136。例如，内容策略137可以通过电子邮件地址、电话号码、用户名、用户角色或任何其他用户标识符来识别接收者用户。在一些示例中，内容策略137可以指定用于发送至企业外部的用户的文件136的特定irm策略以及用于企业内部的一个或更多个用户的另一irm策
略。内容策略137还可以指定应所述应用于存储在第三方资源库中的文件136的特定irm策略。在一种情况下，内容策略137可以指定文件管理服务126或文件管理应用程序139应所述将特定的irm策略应用于存储在第三方资源库中的文件。
36.受管理的设备数据133可以包括关于客户端设备106的信息，客户端设备106由管理服务119管理或控制。用于特定客户端设备106的受管理的设备数据133可以包括例如分配给客户端设备106的用户的标识、分配给客户端设备的与用户相关联的认证数据、安装在客户端设备106中的应用程序的标识、关于客户端设备106的操作的历史数据以及其他信息。
37.此外，特定客户端设备106的受管理的设备数据133可以包括一个或更多个设备简档(device profile)。设备简档可以包括一组可以由管理服务119指定的一个或更多个合规规则(compliance rule)。每个合规规则可以指定将客户端设备106视为符合合规规则而必须满足的一个或更多个条件。作为非限制性示例，合规规则可以指定禁止将特定的应用程序安装在客户端设备106上。作为另一个非限制性示例，合规规则可以指定当客户端设备106从低功率(例如，“睡眠”)状态“醒来”时要求生成锁定屏幕，以及指定用户解锁锁定屏幕需要密码。此外，一个或更多个合规规则可以基于时间、地理位置或其他预定义条件。当满足特定设备简档的合规规则时，管理服务119可以将对应的客户端设备106视为符合设备策略。
38.客户端设备106代表可以耦合到网络113的多个客户端设备106。例如，客户端设备106可以包括诸如计算机系统之类的基于处理器的系统。计算机系统可以体现为台式计算机、膝上型计算机、个人数字助理、智能手机或具有类似能力的任何其他设备的形式。客户端设备106可以包括显示器以及一个或更多个输入设备(诸如鼠标或触摸屏)，这些输入设备辅助输入到客户端设备106中的用户输入或其他类型的数据输入。
39.客户端设备106可以执行文件管理应用程序139、管理组件143以及可能的其他组件。文件管理应用程序139可以访问、管理、编辑或执行关于存储在客户端设备106上的文件的其他功能。作为示例，文件可以包括图像、视频、文字处理文档、电子表格或其他类型的内容。在一些示例中，文件管理应用程序139可以通过要求客户端设备106在被授权访问文件之前符合由管理服务119指定的合规规则，来对访问存储在客户端设备106上的文件施加限制。文件管理应用程序139可以生成允许客户端设备106的用户查看文件内容的用户界面。例如，文件管理应用程序139可以呈现诸如文档、图像或视频之类的文件。此外，文件管理应用程序139还可以提供编辑能力，使得用户可以编辑文件的内容并确定在何处将编辑的文件上传到文件管理服务126上，文件管理服务126可以将编辑的文件保存到数据存储116中。
40.此外，文件管理应用程序139可以为用户提供共享功能。在一种情况下，文件管理应用程序139可以允许用户将文件或对文件的引用发送给另一用户。另一用户可以是企业的成员并与用户账户相关联。另一用户还可以是在企业内没有用户账户的外部用户。
41.可以在客户端设备106中执行管理组件143以监视或管理客户端设备106的数据、应用程序、硬件组件、位置或其他参数的至少一部分。管理组件143还可以识别客户端设备106是否按照用于已分配给客户端设备106的一个或更多个设备简档的一个或更多个合规规则来进行操作。在一些实施例中，管理组件143可以起到设备管理服务的功能，所述设备管理服务作为客户端设备106的操作系统的一部分来操作。在其他实施例中，管理组件143
可以起到设备管理代理的作用，所述设备管理代理在客户端设备106的应用层中操作并且监视正在客户端设备106中执行的至少一些活动。在其他实施例中，管理组件143可以包括与软件组件交互的应用程序包，以辅助监督、监控或管理客户端设备106的一个或更多个资源。或者，管理组件143可以是例如使用软件开发工具包(sdk)开发的应用程序的一部分，所述软件开发工具包辅助在所述应用程序内包含监视或管理客户端设备106的至少一部分资源的功能。
42.在客户端设备106启动时，客户端设备106可以自动执行管理组件143。另外，可以将管理组件143作为客户端设备106中的后台进程来运行。因此，在一些实施例中，可以在无用户干预的情况下执行管理组件143。此外，管理组件143可以与管理服务119进行通信，以便辅助管理服务119管理客户端设备106。例如，管理组件143可以从管理服务119获得合规规则，并且管理组件143可以确定客户端设备106是否按照那些合规规则进行操作。
43.在另一示例中，管理组件143发送指示客户端设备106的设置状态的数据，并且管理服务119使用所述数据来确定客户端设备106是否按照合规规则来操作。如果确定客户端设备106不符合一个或更多个合规规则，则管理组件143或管理服务119使得执行补救措施。补救措施的示例包括通知设备的用户或管理服务119的管理员，使设备设置被改变以使客户端设备106变为符合合规规则，以及擦除客户端设备106中的数据。
44.客户端设备106还可以具有客户端数据存储151，其存储诸如与对应于客户端设备106的用户账户相关联的文件之类的数据。客户端数据存储151可以包括闪存、硬盘驱动器或客户端设备106的可以容纳数据的其他大容量存储资源。客户端数据存储151可以包括存储中由应用程序或应用程序开发者分离的访问受保护的部分。在一个示例中，客户端数据存储151可以包括文件数据153，其代表与企业中的特定用户账户的文件136相关联的数据的本地副本。
45.因此，本地文件数据153可以包括存储在客户端设备106上并且与计算环境103中的用户账户相关联的一个或更多个本地文件155。本地文件155可以包括存储在数据存储116中的代表特定用户账户的文件136的子集。此外，对于存储在本地文件数据153中的每个本地文件155，还存储有与所述文件相关联的内容策略157的副本。在一个示例中，文件管理应用程序139可以辅助在客户端数据存储151和数据存储116之间下载或同步本地文件155与文件136。
46.信息权服务器109可以包括例如服务器计算机或提供计算能力的任何其他系统。或者，信息权服务器109可以采用多个计算设备，例如可以将这些计算设备布置在一个或更多个服务器库、计算机库或其他布置中。计算设备可以位于单个装置中，或者可以分布于许多不同的地理位置。例如，信息权服务器109可以包括多个计算设备，这些计算设备一起形成托管计算资源、网格计算资源或任何其他分布式计算布置。在一些情况下，信息权服务器109可以作为弹性计算资源的至少一部分来操作，其中处理、网络、存储或其他计算相关资源的分配容量可随时间变化。信息权服务器109还可以包括一个或更多个虚拟化计算机实例或作为一个或更多个虚拟化计算机实例来操作，所述一个或更多个虚拟化计算机实例被执行，以便执行在此描述的功能。
47.信息权服务器109可以表示由位于与计算环境103相关联的企业外部的第三方操作的多个服务器或服务。为了确定特定用户是否有权访问由客户端设备106的用户保护的
文件或者操作计算环境103的实体，信息权服务器109可以表示与某些irm技术或信息权提供者相关联的任何服务器或服务。信息权提供者可以是提供irm服务的公共irm提供者，其中基于用户提供的凭证，由信息权服务器109验证用户对特定文件的访问。换句话说，irm提供者可以向客户端设备106的用户以及与用户相关联的企业提供irm服务。为此，企业的用户可以与信息权服务器109内的用户账户相关联，信息权服务器109与认证凭证链接。
48.在一个示例中，可以将特定irm层应用于文件，从而使得使用特定查看器应用程序对文件的内容的访问受到限制，直到用户使用用户名、密码或其他形式的凭证向信息权服务器109认证。当用户向信息权服务器109认证时，信息权服务器109可以指示诸如文件管理应用程序139或另一查看器应用程序之类的查看器应用程序允许访问文件的内容。信息权服务器109还可以记录关于由irm层保护的文件136的活动。例如，对受irm策略保护的文件136进行访问的查看器应用程序可以在每当用户或用户凭证的身份访问文件136时进行报告，所述用户凭证的身份用于访问特定文件136。在一些示例中，信息权服务器109还可以记录对将由irm策略保护的文件136共享或发送给其他用户的尝试。
49.信息权服务器109可以执行信息权系统161，信息权系统161执行与信息权服务器109相关联的各种活动。信息权系统161可以提供应用程序编程接口(api)或促进信息权系统与客户端设备106或文件管理服务126之间的通信的任何其他适合的接口。与信息权服务器109相关联的数据(诸如与用户相关联的数据、已经用irm策略保护的文件以及与对应于文件136的活动相关联的日志数据)可以存储在信息权数据存储163中。
50.接下来，提供了对联网环境100中的各种组件的操作的示例的描述。首先，可以将与用户相关联的客户端设备106登记为采用管理服务119的托管设备。此外，客户端设备106可以与由计算环境103或第三方数据存储服务提供的数据存储服务相关联。
51.企业内的用户账户可以与存储在数据存储116中的文件136相关联。在一些情况下，用户账户还可以与信息权服务器109内的用户账户和认证凭证相关联。文件136可以由管理员分配给数据存储116内的一个或更多个用户账户。文件136还可以与内容策略137相关联，所述内容策略137指定如果文件136被下载到客户端设备106并且存储为本地文件155，是否应当将其存储为受保护文件，所述受保护文件采用应用于本地文件155的irm策略。如果任一文件与另一用户共享，则内容策略137还可指定是否应将irm策略应用于本地文件155或存储在数据存储116中的文件136。
52.在一些情况下，可以建立默认内容策略137，其应用于与特定用户账户相关联的新创建的文件136，无论新创建的文件136是存储在数据存储116中还是第三方资源库中。在一些情况下，可以为依赖于众多因素而新创建的不同文件136建立多个默认内容策略137。例如，依赖于文件136的存储位置(诸如文件136是否存储在与企业相关联的数据存储116或第三方数据存储服务中)，可以建立单独的默认内容策略137。另一个默认内容策略137可以应用于用户的存储区域内的特定文件夹。内容策略137还可以为企业内的不同文件类型、用户或用户组而建立。此外，当创建特定文件136时，可基于客户端设备106的位置来建立不同的默认内容策略137。可以确定可应用于新创建的文件136的内容策略137的类型的另一个数据点是客户端设备106的合规状态。与客户端设备106符合合规规则的情况相比，如果在不符合一个或更多个合规规则的客户端设备106上创建本地文件155，则可将不同的内容策略137与本地文件155相关联。
53.因此，文件管理服务器126可以将默认内容策略137发送到文件管理应用程序139，其可以存储在客户端设备106上并且可以是客户端设备106上新创建的本地文件155。文件管理应用程序139或客户端设备106上的其他应用程序可以用于在客户端设备106上创建本地文件155。在这种情况下，如默认内容策略137所指定的，一旦创建本地文件155，文件管理应用程序139可以将irm策略应用于所述本地文件155，并且可以将本地文件155存储为应用了irm策略的受保护文件。然后文件管理应用程序139可以将采用irm策略保护的本地文件155上传到文件管理服务126。
54.在一个示例中，在从文件管理应用程序139接收到已经用irm策略保护的本地文件155时，文件管理服务126可以从本地文件155移除irm策略并且将文件136存储在数据存储116中。文件管理服务126还可以生成文件数据129，所述文件数据129识别与文件136相关联的用户或用户组。文件管理服务126还可以将文件136与内容策略137相关联。在一种情况下，可以使用管理员账户的凭证或文件管理服务126也可以访问的其他凭证采用irm策略对本地文件155进行保护，而不是用客户端设备106的用户的用户账户。由于irm策略是使用文件管理服务126可以访问的凭证来应用的，因此文件管理应用程序139可以从本地文件155移除irm策略并存储文件136，而无需应用的irm策略或irm层。此外，因为可以使用除用户账户以外的账户来应用irm策略，所以也可以防止与客户端设备相对应的用户移除或改变在将文件136存储为本地文件155时所应用的irm策略。
55.在一些示例中，可以通过使用配置简档(configurationprofile)由管理服务119将凭证提供给客户端设备106，文件管理应用程序139采用所述凭证可以移除irm层以访问本地文件155。管理服务119可以将密钥或其他形式的凭证嵌入配置简档，所述配置简档由客户端设备106的管理组件143或操作系统发送到客户端设备106并安装在客户端设备106上。
56.在一种情况下，为了访问具有应用的irm层的本地文件155，文件管理应用程序139可以从安装在客户端设备106上的配置简档中检索与irm层相关联的凭证。在这种情况下，文件管理应用程序139可以访问具有应用的irm层的本地文件155，而无需用户干预或用户提供任何凭证。在一些情况下，用户甚至可能不知道本地文件155具有应用的irm层，因为与irm技术相关联的凭证被安装在客户端设备106上的配置简档中，所述配置简档由管理服务119推送到客户端设备106，并且一旦将客户端设备106登记(enroll)到管理服务119，则由管理组件143安装。类似地，为了将irm层应用于本地文件155，文件管理应用程序139可以使用一个或更多个凭证来生成受保护文件，所述凭证被嵌入在由管理组件143或客户端设备106的操作系统安装在客户端设备106上的配置文件中。
57.在一些示例中，文件管理应用程序139可以查询管理组件143，以在从配置简档中检索凭证之前确定客户端设备106是否违反一个或更多个合规规则。如果客户端设备106违反合规规则，则文件管理应用程序139可以向用户指示由于违反合规规则而限制或不被允许访问本地文件155。
58.在一些示例中，管理组件143可以监视客户端设备106符合合规规则，所述合规规则由管理服务119指定。如果客户端设备106违背了一个或更多个合规规则，管理组件143可以停用或从客户端设备106移除与irm技术相关联的凭证。在一个示例中，管理组件143通过客户端设备106的操作系统可以停用配置简档，其中与irm技术相关联的凭证存储在所述配
置简档中。
59.文件管理应用程序139还可以促进文件136或本地文件155的共享。文件136、本地文件155或存储在第三方资源库中的文件可以与所应用的irm策略共享，从而可以使用由与irm策略相关联的irm技术计划的安全机制来防止对文件136或本地文件155的未经授权使用或分发。可以在与文件136相关联的内容策略137中指定可以共享文件136的项目。例如，内容策略137可以指定可以在没有将irm策略应用于文件136的情况下与企业内的其他用户共享文件136。内容策略137还可以指定只能与应用了特定irm策略的其他用户共享文件136或本地文件155，所述特定irm策略要求文件136或本地文件155的接收者在与由内容策略137指定的irm策略相对应的irm服务器109上也具有用户账户。
60.在一种情况下，文件管理应用程序139可以允许用户输入用户想要与之共享文件136或本地文件155的文件136或本地文件155接收者的用户标识符。用户标识符可以是用户的电子邮件地址或与信息权服务器109相关联的另一个用户名。如果用户希望共享的文件与本地文件155相对应，则文件管理应用程序139可以确定与本地文件155相关联的内容策略157是否指定了本地文件155的共享限制。共享限制可以识别允许与其共享文件的用户或用户组以及在被共享之前必须应用于本地文件155的指定irm策略。在这种情况下，如果本地文件155被存储在休眠时应用irm策略，则文件管理应用程序139可以移除irm策略并应用由内容策略157指定的irm策略以生成受保护的文件。
61.在一个示例中，所应用的irm策略可以识别被允许对文件内容进行访问的用户。接下来，文件管理应用程序139可以发起将受保护文件发送至接收者。例如，可以将受保护的文件附加到电子邮件消息，或使用由文件管理应用程序139或客户端设备106执行的任何其他应用程序支持的文件共享机制来共享受保护的文件。在另一个示例中，受保护文件可以被添加到用户的用户账户，使得接收者用户可以使用文件管理应用程序139访问所述文件。
62.在一些场景中，文件管理应用程序139可以允许用户浏览存储在数据存储116中的文件136，这些文件与用户的用户账户相关联，这些文件不作为本地文件155存储在客户端设备106上。相应地，文件管理应用程序139也可以发起对存储在数据存储116上的文件136的共享。在这种情况下，用户可以输入文件136的一个或更多个接收者的用户标识符，诸如电子邮件地址或用户名。文件管理应用程序139可以生成与接收者用户共享文件136的请求并将其发送到文件管理服务126。作为响应，文件管理服务126可以识别应用于文件136的内容策略137。如果内容策略137允许与所识别的接收者共享文件，则文件管理服务126可以应用irm策略，所述irm策略指定与文件136相关联的由内容策略137授予的许可。然后文件管理服务126可以将文件136发送至接收者或者将文件136与接收者的各自用户账户相关联。
63.文件管理应用程序139和文件管理服务126还可以记录关于文件136或本地文件155的活动。例如，如果用户与另一个用户共享采用irm策略保护的文件136或本地文件155，则文件136或本地文件155的内容可以采用文件管理应用程序139或其他查看器应用程序将活动数据报告给信息权服务器109或文件管理服务126。在一个示例中，与应用于文件136或本地文件155的irm策略相关联的特定irm技术可以使查看器应用程序向信息权服务器109报告打开或访问受保护文件的内容的任何尝试。文件管理服务126可以从信息权服务器109获得与特定受保护文件相关联的日志数据。此外，查看器应用程序还可以报告访问或共享受保护文件的未经授权尝试。文件管理服务126还可以获得与关联于文件的未经授权活动
相关联的日志数据。
64.在一些示例中，与特定irm技术相关联的信息权服务器109可以将全球唯一标识符(guid)分配给文件136或本地文件155，所述文件136或本地文件155使用与信息权服务器109相关联的irm策略保护。在其中查看文件136或本地文件155的查看器应用程序可以将与文件136或本地文件155相关联的使用数据报告给信息权服务器109。文件管理服务126可以获得与特定文件136或本地文件155相关联的guid，并且还可以获得关于文件136或本地文件155的使用数据。在一种情况下，管理员或其他用户可以访问关于文件136或本地文件155的活动或审计日志。如果与所应用的irm策略相关联的irm技术允许重新分配文件136或本地文件155，则活动或审计日志可以允许用户查看在何时和以怎样的频率访问特定文件136或本地文件155以及是否已将文件136或本地文件155重新分配给其他用户。
65.参看图2，示出了提供文件管理应用程序139的一部分操作的示例的流程图。具体地，图2提供了文件管理应用程序139辅助创建本地文件155并且采用irm策略保护本地文件155的示例。可选地，可以将图2的流程图视为描绘在客户端设备106中实现的方法的要素的示例。
66.从步骤203开始，文件管理应用程序139可以创建本地文件155。响应于来自用户的请求，文件管理应用程序139可以创建本地文件155。例如，用户可以使用客户端设备106创建文档、图像、照片或其他类型的文件，以存储在客户端数据存储151中。在步骤206中，文件管理应用程序139可以识别默认内容策略157是否与文件类型、文件的存储位置、用户的用户账户或用户组、或可由一个或更多个默认内容策略157指定的本地文件155的其他方面相关联。如上所述，文件管理应用程序139可以从文件管理服务126获得默认内容策略157，其可以由管理员或者代表企业管理文件管理服务126的其他用户指定。
67.在步骤209中，文件管理应用程序139可以基于所识别的默认内容策略157来生成内容策略157，采用所述内容策略157可以将本地文件155存储在客户端数据存储151中。在步骤213中，文件管理应用程序139可以确定当本地文件155在客户端设备106上休眠时，与本地文件155相关联的内容策略157是否指定必须将irm策略应用于文件。如果内容策略157未指定必须将irm策略应用于本地文件155，则过程前进至步骤219，在所述处，文件管理应用程序139将本地文件155上传至文件管理服务126。如果内容策略157指定本地文件155必须采用irm策略保护，则过程前进到步骤216，在所述处文件管理应用程序139将指定的irm策略应用于存储在客户端数据存储151中的本地文件155。
68.参看图3，示出了提供文件管理服务126的一部分操作的示例的流程图。具体地，图3提供了文件管理服务126获取存储在代表用户的数据存储115中的文件136的示例。可选地，可将图3的流程图视为描述了在计算环境103中所实现的方法的要素的示例。
69.从步骤303开始，文件管理服务可以获取将文件136存储在代表用户的数据存储116中的请求。所述请求可以从在客户端设备106上执行的文件管理应用程序139或者通过另一个用户界面接收，通过所述另一个用户界面可以将文件136上传到文件管理应用程序126。在框305中，文件管理服务126可以识别与文件136相关联的内容策略137。如果从提交将文件136存储在数据存储116中的请求的客户端设备106接收到文件136，则可以向内容策略137提供文件136。在另一情况中，内容策略137可以是由文件管理服务126针对文件136生成的默认内容策略137。在步骤307中，文件管理服务126可以生成与数据存储116中的文件
136相关联的内容策略137。
70.在步骤309中，文件管理服务126可以确定内容策略137是否指定irm策略应所述与文件136相关联。如果是，则在步骤313中，文件管理服务126可以在内容策略137中指明(designate)所指定的irm策略。如果不是，则所述过程可以前进到步骤311。在步骤311中，文件管理服务126可以将内容策略137和文件136相互关联。在步骤315中，文件管理服务器126可以将文件136和内容策略137存储在数据存储116中。此后，所述过程可以前进到完成。
71.参看图4，示出了提供文件管理服务126的一部分操作的示例的流程图。具体地，图4提供了文件管理服务126提供来自数据存储116的文件136的示例。可选地，可将图4的流程图视为描绘了在计算环境103中实现的方法的要素的示例。
72.在步骤403开始，文件管理服务126获取从数据存储116中检索文件136的请求。在步骤405中，文件管理服务126可以通过确定对应于所述请求的用户或客户端设备106是否被授权访问所请求的文件136来认证所述请求。如果请求未通过认证，则所述过程可以前进到完成。如果所述请求通过认证，则所述过程可以前进到步骤407，在所述处文件管理服务126可以检索与所请求的文件136相关联的内容策略137。在步骤409中，文件管理服务126可以确定内容策略137是否指定当文件136在客户端设备106上休眠时必须将irm策略应用于文件136。如果是，则在步骤411中，文件管理服务126可以应用由内容策略137指定的irm策略。
73.接下来，过程可以前进到步骤413，在所述处将所请求的文件136发送到与检索文件136的请求相关联的客户端设备106。如果在步骤409中，文件管理服务126确定将文件136发送到客户端设备106不需要irm策略，则所述过程可以从步骤409直接前进到步骤413。此后，所述过程可以前进至完成。
74.参看图5，示出了提供文件管理应用程序139的一部分操作的示例的流程图。具体地，图5提供了文件管理应用程序139发起与另一用户共享文件的示例。可选地，可将图5的流程图视为描述在客户端设备106中实现的方法的要素的示例。
75.在步骤501开始，文件管理应用程序139可以获取共享与用户账户相关联的文件136或本地文件155的请求。在步骤503中，文件管理应用程序139可以获取与文件136或本地文件155相关联的内容策略137。在步骤505中，文件管理应用程序139可以确定是将文件136存储为本地文件155还是安置在数据存储116中。如果不将文件136存储为本地文件155，则所述过程可以前进到步骤507。在步骤507中，文件管理应用程序139可以向文件管理服务126发送共享文件136的请求，文件管理服务126可以代表文件管理应用程序139处理共享存储在数据存储116中的文件136的请求。此后，所述过程可以前进至完成。
76.如果将文件136存储为本地文件155，则过程可以前进到步骤509，在所述处文件管理应用程序139确定irm策略是否由与本地文件155相关联的内容策略157指定。如果是，则过程前进到步骤511。在步骤511中，文件管理应用程序139生成本地文件155的副本，而不应用任何irm策略。如果本地文件155与所应用的irm策略一起存储，则文件管理应用程序139可以移除irm策略，因为它可以访问管理员凭证或应用irm策略所采用的配置简档中的凭证。如果不是，则所述过程可以前进到步骤515，在所述处将本地文件155发送至接收者。在步骤513中，文件管理应用程序139可以应用由内容策略157指定的irm策略来生成受保护的文件。在步骤515中，文件管理应用程序139可以将受保护的文件发送给接收者。此后，所述
过程前进至完成。
77.参看图6，示出了提供文件管理服务126的一部分操作的示例的流程图。具体而言，图6提供了文件管理服务126辅助与接收者共享来自数据存储116的文件136的示例。可选地，可将图6的流程图视为描述在计算环境103中实现的方法的要素的示例。
78.在步骤601开始，文件管理服务126可以获取共享存储在数据存储116中的文件136的请求。如在图5的讨论中所指出的，文件管理应用程序139可以辅助共享与特定用户账户相关联的文件136，所述文件未作为本地文件155存储在客户端设备106上，在所述客户端设备106上执行文件管理应用程序139。在步骤603中，文件管理服务126可以检索与文件136相关联的内容策略137。在步骤605中，文件管理服务126可以分析内容策略137，以确定内容策略137是否指定了必须应用于文件136的irm策略，以便对文件136进行共享。
79.如果内容策略137指定不需要应用irm策略，则过程可以前进到步骤611，在所述处文件管理服务126可以将文件发送至所述请求所指定的接收者。如果内容策略137指定必须应用irm策略，则在步骤607中，文件管理服务126可以生成文件136的副本。在步骤609中，文件管理服务126可以将irm策略应用于文件的副本以生成受保护的文件。在步骤611中，文件管理服务126可以将受保护的文件发送给所述请求所指定的接收者。此后，所述过程可以前进至完成。
80.参看图7，示出了提供管理服务119的一部分操作的示例的流程图。具体地，图7提供了管理服务119向客户端设备106提供与irm技术相关联的凭证的示例。可选地，可将图7的流程图视为描述在计算环境103中实现的方法的要素的示例。
81.首先，在步骤703中，管理服务119可以检测客户端设备106向管理服务119的登记。例如，用户可以通过提供他或她的用户名和密码来向管理服务119登记客户端设备106，所述管理服务119由用户在其中具有用户账户的企业进行操作。一旦登记客户端设备106，管理服务119可以生成用于客户端设备106的配置简档，其包括与由文件管理服务139应用于本地文件115的irm策略相关联的一个或更多个凭证。在步骤707中，管理服务119可以将配置简档发送到客户端设备106。在一个示例中，可以将配置简档发送到管理组件143，管理组件143可以将配置简档安装在客户端设备106上。在另一种情况下，配置简档可以由客户端设备106的操作系统安装。在任一种情况下，可以安装配置简档以使客户端设备106的用户不可访问一个或更多个凭证。此后，所述过程可以前进至完成。
82.参看图8，示出了提供管理组件143的一部分操作的示例的流程图。具体地，图8提供管理组件143停用将irm策略应用于本地文件155所采用的凭证的示例。可选地，可将图8的流程图视为描述在客户端设备106中实现的方法的要素的示例。
83.如上所述，与irm技术相关联的凭证可以安装在客户端设备106上的配置简档中。配置简档可以由管理组件143安装。例如，一旦向管理服务119登记了客户端设备106，则管理服务119就将包括一个或更多个凭证的配置简档发送给客户端设备106，所述一个或更多个凭证可用于一种或更多种irm技术。配置简档可以由管理组件143使用操作系统应用程序编程接口(api)来接收和安装，操作系统应用程序编程接口(api)向管理组件143和管理服务119提供设备管理能力。
84.在步骤803中，管理组件143可以检测客户端设备106对合规规则的违反。例如，客户端设备106的操作系统或其他方面可能已经被用户篡改。可能已经在客户端设备106上安
装了未经授权的应用程序或软件。客户端设备106的地理位置或网络位置可反映设备处于未经授权的位置。在另一情况中，客户端设备106的网络地址可以反映客户端设备106连接到被授权网络。在步骤805中，管理组件143可以确定被违反的合规规则是否指定包含一个或更多个凭证的管理简档应所述被停用或者鉴于违反合规规则从客户端设备106上移除。如果所违反的合规规则没有指定一个或更多个凭证应所述被停用或从客户端设备106移除，则所述过程可以前进至完成。
85.如果所违反的合规规则指定了包含一个或更多个凭证的配置简档应当被停用或移除，则在步骤807中，管理组件143可以这样做。此后，所述过程前进至完成。可通过使存储在配置简档内的凭证对文件管理应用程序139不可用而停用包含一个或更多个凭证的配置简档。在另一种情况下，管理组件143可以从客户端设备106中删除或移除配置简档。在又一示例中，管理组件143可以对配置简档内的一个或更多个凭证进行加密，使得凭证对于文件管理应用程序139是不可访问的。
86.图2-8的流程图示出了本文描述的组件的实现方式的操作和功能的示例。本文描述的组件可以具体化为硬件、软件或硬件和软件的组合。如果具体化为软件，则每个元素可以代表包括用于实现一个或更多个指定的逻辑功能的程序指令的代码模块或代码部分。所述程序指令可以具体化为源代码的形式，所述源代码包括用编程语言编写的人类可读语句或包括由合适的执行系统(诸如计算机系统或其他系统中的处理器)可识别的机器指令的机器代码。如果具体化为硬件，则每个元件可以表示实现一个或更多个指定的逻辑功能的电路或多个互连电路。
87.尽管图2-8的流程图示出了特定的执行顺序，但可以理解的是，执行顺序可以与所示出的顺序不同。两个或更多个元素的执行顺序可以相对于所示出的顺序进行交换。此外，连续示出的两个或更多个元素可以同时执行或部分同时执行。此外，在一些示例中，可以跳过或省略流程图中示出的一个或更多个元素。此外，可以将任何数量的计数器、状态变量、警告信号或消息添加到本文描述的逻辑流程中，用于增强实用性、计费、性能测量或故障排除辅助的目的。应所述理解，所有这些变化都在本公开的范围内。
88.客户端设备106或本文描述的其他组件中的每一个都可包括至少一个处理电路。处理电路可以包括一个或更多个处理器和耦合到本地接口的一个或更多个存储设备。本地接口可以包括具有伴随地址/控制总线或任何其他合适的总线结构的数据总线。用于处理电路的一个或更多个存储设备可以存储由处理电路的一个或更多个处理器可执行的数据或组件。同样，可以将数据存储存储在一个或更多个存储设备中。
89.本文描述的文件管理服务126、文件管理应用程序139和其他部件可以具体化为硬件的形式、具体化为由硬件可执行的软件或者软件和硬件的组合。如果具体化为硬件，则可以将本文描述的组件实现为采用任何合适的硬件技术的电路或状态机。硬件技术可以包括一个或更多个微处理器、具有用于在应用一个或更多个数据信号时实现各种逻辑功能的逻辑门的离散逻辑电路、具有适当逻辑门的专用集成电路(asic)、可编程逻辑器件(例如，现场可编程门阵列(fpga)和复杂可编程逻辑器件(cpld))。
90.而且，本文描述的包括软件或程序指令的一个或更多个组件可以包含在任何非暂时性计算机可读介质中，以供指令执行系统(诸如计算机系统或其他系统中的处理器)使用或与其结合使用。计算机可读介质可以包含、存储或维持由指令执行系统使用或与其结合
使用的软件或程序指令。
91.计算机可读介质可以包括物理介质，诸如磁的、光的、半导体的或其他合适的介质。合适的计算机可读介质的示例包括但不限于，固态硬盘、磁盘驱动器、闪存存储器。进一步地，本文描述的任何逻辑或组件可以以各种不同的方式实现和构建。所描述的一个或更多个组件可以实现为单个应用程序的组件或模块。进一步地，本文描述的一个或更多个组件可以在一个计算设备中执行或通过使用多个计算设备来执行。
92.需要强调的是，本公开的上述示例仅仅是为了更清楚地理解本公开的原理而阐述的实现方式的示例。在实质上不脱离本公开的精神和原理的情况下，可对上面描述的示例进行许多修改和变形。所有这些修改和变形均意图被包括在本公开的范围内。