保护计算设备中的数据使用的制作方法

专利名称：保护计算设备中的数据使用的制作方法
技术领域：
本发明涉及数据保护，尤其涉及保护计算设备中的数据使用。
背景技术：
当前的计算趋势已经显示了从传统台式计算机到移动计算设备的潮流。诸如膝上 型计算机、上网本、平板和移动电话的移动计算设备，提供了便携性和性能的便利，能够执 行包括电子邮件、Web浏览、字处理、照片编辑、内容消费等常见任务。然而，这些设备的移 动本质相比于台式计算机而言提出了独特的挑战。
移动计算设备通常存储敏感数据或允许对敏感数据的访问，诸如与企业相关的数 据。例如，对于个人而言将移动计算设备既用于私人任务也用于企业相关任务越来越常见。 随着个人行进(例如，去工作/从工作返回)，敏感企业数据可能被暴露给多个通信网络，包 括蜂窝网络和W1-Fi网络，其中某些可能不安全。归因于企业数据在远离企业网络时被移 动计算设备不经意地或故意地共享的可能性，这可能对企业提出安全威胁。
常常实现移动设备的数据安全策略和控制以努力消除或至少减轻上述和其它安 全相关的问题。这些安全策略和控制使用全部或没有(all or nothing)的方法来实现。如 果允许，许多用户选择没有(nothing)的方法，因为由扫描(sweep)策略施加的额外开销常 常不利地影响他们的设备对私人数据的可用性。然而，通常，这些安全策略和控制以降低关 于对私人数据访问的可用性为代价而被实施。
此处所做出的公开正是关于这些和其他考虑事项而提出的。发明内容
在此描述了用于保护计算设备中的数据使用的概念和技术。根据此处公开的概念 和技术，安全策略和控制被应用到特定数据而不是包含数据的整个设备。该特定数据可以 是任何类型的数据，包括，但不限于，企业数据和私人数据。这个方法提供了企业对安全和 数据控制的需求以及私人数据的使用和控制便捷的需求之间的平衡。此外，这个方法允许 用户选择性地设置他或她的用于访问与各种消费者服务相关联的私人数据的数据访问策 略。例如，用户可建立用于访问电子邮件服务的口令提示，但对于访问图片、音乐或一些其 它数据不需要口令或其它认证机制。根据此处公开的概念和技术，利用各种口令要求、选择 性数据高速缓存、数据传输、临时数据存储，和/或数据要被擦除或呈现为不能访问的预定 义条件，提供对敏感数据的控制。
根据一个方面，计算机被配置以接收对策略的定义、存储该策略，并将该策略发送 到计算设备，该策略被配置以控制对计算设备上的数据的访问，在此对数据的访问根据策 略来控制。在一些实施例中，策略包括锁定策略，锁定策略包括指定一个或多个锁定层面的 指令，每一个响应于对有效认证凭证的接收而允许对数据或其一部分的访问。在一些实施 例中，策略包括存储控制策略，存储控制策略包括规定计算设备上的数据的存储的指令。存 储控制策略可指示数据是否可被高速缓存在计算设备上、可指示数据可被高速缓存在计算设备上多久、可指示数据可被储存在计算设备上多久、数据何时可被传输到设备或从设备 传输以及如何可被传输到设备或从设备传输，或者可指示一个或多个条件，在该一个或多 个条件下数据要被擦除或呈现为不可访问。
根据另一方面，计算机，诸如移动计算设备，被配置为接收策略、接收对与策略相 关联的特定数据的请求，并根据策略允许或拒绝对特定数据的访问。策略可以是如上所述 的锁定策略或存储控制策略。
根据又一方面，移动计算设备被配置以存储与移动计算设备的用户相关联的私人 数据、存储与企业相关联的企业数据、存储控制对企业数据的访问的一个或多个策略、接收 对企业数据的至少一部分的数据请求，并根据一个或多个策略选择性地允许对企业数据的 一部分的访问而无需约束对私人数据的访问。
应当理解，上述主题可被实现为计算机控制的装置、计算机进程、计算系统或诸如 计算机可读存储介质之类的制品。通过阅读下面的详细描述并审阅相关联的附图，这些及 各种其他特征将变得显而易见。
提供本发明内容以便以简化形式介绍将在以下详细描述中进一步描述的一些概 念。本发明内容并不旨在标识所要求保护的主题的关键特征或必要特征，也不旨在将本发 明内容用来限制所要求保护的主题的范围。此外，所要求保护的主题不限于解决在本公开 的任一部分中所提及的任何或所有缺点的实现。


图1是示出用于此处公开的各实施例的示例性操作环境的系统图。
图2是示出根据一示例性实施例的企业文档存储分层结构的图。
图3是示出根据示例性实施例的移动计算设备存储分层结构的图。
图4是示出根据一示例性实施例的用于创建和管理策略的方法的各方面的流程 图。
图5是示出根据一示例性实施例的用于在数据服务器处执行策略的方法的各方 面的流程图。
图6是示出根据一示例性实施例的用于向移动计算设备提供数据和相关联的策 略的方法的各方面的流程图。
图7是示出根据一示例性实施例的用于在移动计算设备处执行策略的方法的各 方面的流程图。
图8是示出能够实现此处所提出的实施例的各方面的计算系统的示例性计算机 硬件和软件架构的计算机架构图。
具体实施方式
以下详细描述针对用于保护计算设备中的数据使用的概念和技术。根据此处描 述的概念和技术，安全策略和控制被应用到特定数据而不是包含数据的整个设备。更具体 地，根据此处公开的概念和技术，利用各种口令要求、选择性数据高速缓存、临时数据存储， 和/或数据要被擦除或呈现为不可访问的预定义条件，提供对敏感数据的控制。此处公开 的概念和技术，有时，在对企业数据的访问控制的上下文中描述。然而，应当理解，此处公开的概念和技术可另外地或另选地被用于控制对其它类型数据的访问。
尽管在结合计算机系统上的操作系统和应用程序的执行而执行的程序模块的一 般上下文中提出了本文描述的主题，但是本领域技术人员将认识到，其他实现可以结合其 他类型的程序模块来执行。一般而言，程序模块包括执行特定任务或实现特定抽象数据类 型的例程、程序、组件、数据结构和其他类型的结构。此外，本领域技术人员将明白，可以利 用其他计算机系统配置以实施本文描述的主题，这些计算机系统配置包括手持式设备、多 处理器系统、基于微处理器的或可编程消费电子产品、小型计算机、大型计算机等等。
在以下详细描述中，参考了构成详细描述的一部分并作为说明示出了各具体实施 方式或示例的附图。现在参考附图(全部若干附图中相同的标号表示相同的元素)，将提出 用于保护数据使用的计算系统、计算机可读存储介质和计算机实现的方法的各方面。
现在参考图1，将描述用于本文所提出的各实施例的一个操作环境100的各方面。 图1中示出的操作环境100包括移动计算设备102，诸如，但不限于膝上型计算机、上网本、 平板、个人数字助理、移动视频游戏系统、电子阅读器，或移动电话。移动计算设备102被示 为与第一接入网络104 (诸如蜂窝网络、WIFI网络、WIMAX网络，或包括其它无线网络或有 线网络的另一网络)通信。第一接入网络104方便了对互联网106的访问，通过它移动计算 设备102可访问服务器计算机108。第一接入网络104可以另外提供对移动计算设备102 的语音接入。例如，第一接入网络104可向移动计算设备102提供蜂窝语音或网际协议语 音(“V0IP”)接入。
移动计算设备102还另外地或另选地建立与第二接入网络110 (其也可以是蜂窝 网络、WIFI网络、WIMAX网络，或包括其它无线网络或有线网络的另一网络)的通信。第二 访问网络110可以另外提供对移动计算设备102的语音接入。
在一些实施例中，接入网络104、110对于移动计算设备102是同时可用的，诸如当 接入网络104、110之一是蜂窝网络而另一个是WIFI或WIMAX网络。在一些实施例中，可替 换地，接入网络104、110物理地分开，使得移动计算设备102不能够同时与接入网络104、 110两者通信。例如，第一接入网络104可以是用户家的WIFI网络或其它网络，而第二接入 网络110是用户工作处的WIFI网络或其它网络。可以构想，移动计算设备102可被配置以 同时维护与接入网络104、110两者的连接。此外，通过在移动计算设备102上可用的一个 或多个设置，移动计算设备102可通过接入网络104、110之一来区分相对于另一个的数据 访问优先级。
在所示的实施例中，第二接入网络110方便对企业内联网112的访问，进而与企 业策略服务器计算机114、企业服务器计算机116通信，并通过防火墙118与互联网106通 信。企业策略服务器计算机114包括操作系统120、策略创建应用122、策略管理应用124， 和策略126。操作系统120是用于控制企业策略服务器计算机114的操作的计算机程序。 策略创建应用122和策略管理应用124执行在操作系统120的顶部以提供此处描述的各种 功能。策略创建应用122是用户(例如管理员)可通过其创建并配置策略126的应用程序。 策略管理应用124是用户通过它可以管理策略126的应用程序。策略创建应用122和策略 管理应用124被示为不同的应用程序，然而应该理解，在一些实施例中，这些应用的功能被 组合。
在一些实施例中，策略126由与企业内联网112相关联的企业管理员通过企业策略服务器计算机114的策略创建应用122来创建。在其它实施例中，策略126被远程地创 建并被发送到企业策略服务器计算机114或由企业策略服务器计算机114导入用于存储。 在任何情况下，企业策略服务器计算机114被配置以将策略126的一个或多个分发到企业 服务器计算机116、服务器计算机108、或另一数据资源，诸如文档储存库、文件共享、网站 服务器、电子邮件服务器，或一些其它数据源，使得数据源可通过移动计算设备102控制对 其上存储的数据的访问。企业策略服务器计算机还被配置以将策略126的一个或多个分发 到移动计算设备102，使得对至少临时储存在移动计算设备102上的数据的访问可被控制。
策略126通常包括定义访问锁定和/或数据的存储控制的指令，该数据与企业相 关联并且可以被移动计算设备102访问和/或储存在移动计算设备102中。该数据可包括， 但不限于，联系人、电子邮件、文档、图片、视频、应用和/或Web内容。包括定义访问锁定的 指令的策略在此被称为“锁定策略”。包括定义存储控制的指令的策略在此被称为“存储控 制策略”。应该理解，任何给定数据片段可以与一个或多个锁定策略和/或一个或多个存储 控制策略相关联，并且因此被一个或多个锁定策略和/或一个或多个存储控制策略控制。
锁定策略包括指定一个或多个锁定层面的指令，每个锁定层面允许对已经被定义 为在那个特定锁定层面可访问的数据或数据的一部分的访问。用户可能需要提供认证机 制，诸如口令、个人识别号(“PIN”)、生物测定数据、射频标识(“RFID”)、定位(例如，GPS、三 角测量，或辅助GPS)、附连网络，或任何组合的其它形式的认证，以访问特定锁定层面。在一 些实施例中，锁定策略能够指定用户需要位于特定位置(例如，通过GPS或其它位置确定技 术来确定)以访问特定数据。在一些实施例中，锁定策略指定用户设备需要被连接到特定网 络以访问特定数据。在一些实施例中，锁定策略指定用户需要利用特定认证机制授权访问 来访问指定数据。在一些实施例中，更高层面的锁定足够锁定位于更低层面的文档，无需通 过相同或不同认证机制的进一步的认证。另选地，在解锁全部锁定层面之前，可能在每个锁 定层面或特定数量的锁定层面需要认证。
存储控制策略包括规定移动计算设备102上的数据存储的指令。在一些实施例 中，存储控制策略包括指示特定数据是否可被高速缓存在移动计算设备102上的指令，并 且还可包括指示数据可被高速缓存在移动计算设备102上多久的指令。在一些实施例中， 存储控制策略包括指示特定数据可被存储在移动计算设备102上多久的指令。在一些实施 例中，存储控制策略包括指示一个或多个条件，在这一个或多个条件下特定数据要被擦除 或呈现为不可访问。
在一些实施例中，在移动数字证书中定义策略126的一个或多个。例如，当向企业 登记诸如移动计算设备102的设备时，设备可被分配一个移动数字证书，移动数字证书接 着被设备使用以访问通过企业内联网112提供的数据。通过策略管理应用124可方便将移 动计算设备112登记到企业的登记过程。
在一些实施例中，策略126的一个或多个被创建为由服务器(例如企业服务器计 算机116)应用到文档读者(诸如驻留在移动计算设备102上的，被配置以读取并且，在一些 示例中，修改特定数据类型的应用)的信息权限管理(“IRM”)或数字权限管理(“DRM”)的一 部分。
在一些实施例中，策略126的一个或多个被创建来启用对来自移动计算设备102 的特定数据的远程擦除。应该理解，远程擦除允许私人数据和其它企业数据保留在移动计算设备102上。
在一些实施例中，一个或多个策略126被创建以控制特定数据可何时被传输和/ 或接收。例如，策略可指定敏感企业数据仅可从一个或多个指定网络发送和/或从一个或 多个指定网络接收，诸如仅企业内联网112，而不是在任何其它诸如蜂窝网络或家庭WIFI 接入网络上。
在一些实施例中，一个或多个策略126被创建以指定特定数据不在移动计算设备 126上，或更一般地，可改变其位置的任何设备上被访问。
在一些实施例中，一个或多个策略126被创建以指定特定数据在地理位置X在时 间Y期间是有效的，之后该特定数据就不再有效。
可以构想，锁定策略和/或存储控制策略可至少部分地基于移动计算设备102的 一个或多个特征或组件来实施。例如，策略可基于(例如，通过全球定位系统和/或三角测 量确定的)位置、时间、和/或基于移动计算设备102上的特定功能或应用的使用来选择性 地实施。
各种策略的任何前述实施例可以以各种配置组合，使得不同保护层面适合于特定 数据。例如，第一策略可指定一个或多个位置，在那里仅当用户能够成功提供诸如根据第二 策略访问数据的通行码或PIN的认证凭证时才授予对数据的访问。
在一些实施例中，策略126的一个或多个被发送到企业服务器计算机116、服务器 计算机108，和/或移动计算设备102。企业服务器计算机116被配置来将所接收的策略的 一个示例储存为用于应用到企业服务器数据130的企业服务器策略128。企业服务器数据 130是企业服务器计算机116通过企业内联网112和接入网络110向移动计算设备102储 存和供应的数据。服务器计算机108被配置来将所接收的策略的一个实例储存为用于应用 到服务器数据134的服务器策略132。服务器数据134是服务器计算机108通过企业内联 网106和接入网络104向移动计算设备102储存和供应的数据。移动计算设备102被配置 以将所接收的策略的实例存储为用于应用到移动设备数据138的移动设备策略136。移动 设备数据138可包括企业服务器数据130或其部分的实例、服务器数据134或其部分的实 例，和/或在移动计算设备102上本地地创建的数据，一个或多个策略126对其可用。
根据各实施例，企业策略服务器计算机114、企业服务器计算机116，和/或服务 器计算机108是个人计算机(“PC”)，诸如台式、平板、或膝上计算机系统。企业策略服务器 计算机114、企业服务器计算机116，和/或服务器计算机108可包括其它类型的计算系统， 包括，但不限于，服务器计算机、手持式计算机、上网本计算机、平板计算机、嵌入式计算机 系统、个人数字助理、移动电话、智能手机、或其它计算设备。
应该理解，操作环境100的一些实现包括多个企业策略服务器计算机114、多个企 业服务器计算机116、多个服务器计算机108、多个移动计算设备102、多于两个的接入网络 104、110、多个互联网106、多个企业内联网112、和/或多个防火墙118。也应该理解，多个 操作系统120、多个策略创建应用122、多个策略管理应用124、和/或用于储存策略126的 多个储存库可由企业策略服务器计算机114使用，和/或这些组件的一个或多个可由另一 个企业服务器计算机(未示出)提供。此外，尽管图1中未示出，企业服务器计算机116、服 务器计算机108、和移动设备102每一个可连同操作系统和一个或多个应用程序来被配置， 一个或多个应用程序被配置以在操作系统之上执行以提供此处描述的各个功能。因此，所示实施例应该被理解为示例性的，并且不应该被解释为以任何方式构成限制。
现在转到图2，将描述示出示例性企业文档存储分层结构200的图。企业文档存储 分层结构200包括根层202。在一些实施例中，根层202是控制对企业内联网112的访问的 锁定层面。认证到根层202的用户具有对企业内联网112的访问，但是可能有或可能没有 对企业内联网112内的额外资源的访问，这取决于规定在根层202的访问的一个或多个策 略的定义。在所示实施例中，这些资源包括电子邮件平台204、协作平台层206，和文件共享 层208，其中每一个是用于控制对企业内联网112中的指定资源的访问的锁定层面。应当理 解，可将锁定层面给予与企业相关联的任何平台、计算机系统，或移动计算设备，并且可以 或可以不基于规定其访问的变化的锁定层面来与一个或多个其它平台、计算机系统，和/ 或计算设备被分层地组织。
电子邮件平台层204是用于控制对与企业的电子邮件平台相关的资源的访问的 锁定层面。电子邮件平台，在一些实施例中，是服务器侧的协作性电子邮件应用程序，诸如 从华盛顿州雷蒙德市的微软公司获得的MICR0S0FTEXCHANGE，尽管可以构想其它电子邮件 平台。电子邮件平台层204包括邮箱层210、一个或多个邮箱文档212、公用文件夹层214， 和一个或多个公用文档216。
邮箱层210是用于控制对电子邮件平台上可用的邮箱的访问的锁定层面。邮箱可 能是企业内用户或工作组特有的。邮箱文档212包括电子邮件文档或与特定邮箱相关联的 其它文档。在邮箱层210下的邮箱文档112可以是，单独地或共同地，经由一个或多个策略 访问受限的。公用文件夹层214是用于控制对一个或多个公用文档216的访问的锁定层面。 公用文档216与公用文件夹层214相关联。
返回协作性平台层206，该层是用于控制对与企业的协作性平台相关的资源的访 问的锁定层面。协作性平台，在一些实施例中，是协作性Web应用程序，诸如从华盛顿州雷 蒙德市的微软公司获得的MICROSOFT SHAREP0INT,尽管可以构想其它的协作性Web应用程 序。协作性平台层206包括站点层218，文档库层220，和一个或多个文档222。站点层218 是控制对协作性平台上可用的一个或多个站点的访问的锁定层面。这些站点可被配置为， 例如，SHAREP0INT洪享点)站点。站点层218可用的站点可，进而，包括位于一个或多个文 档库层220的一个或多个文档库。文档库层220是控制对一个或多个文档222的访问的锁 定层面。
返回文件共享层208，该层是用于控制对与企业的文件共享平台相关的资源的访 问的锁定层面。文件共享层208是包括一个或多个在目录层2243的目录的锁定层面。目 录层224是控制对一个或多个文档226的访问的锁定层面。
应该理解，上述企业文档存储分层结构200示出策略可应用于何处。可在每个层 面，在文档层，指定用于移动数据锁定、高速缓存、数据传输、和数据保存的策略，并且可从 或可不从另一层面(例如父层面)继承上述策略。然而，一般而言，对于给定文档，最严格的 策略可通过组合来自任何文档216、222、226 (在它们各自路径上向上朝着根层202)的策 略来应用。对于锁定策略，较高的锁定层面可足够锁定较低层面的文档，无需在每个层面认 证。
现在转到图3，将描述示出示例性移动计算设备存储分层结构300的图。移动计算 设备存储分层结构300包括移动设备层302，其进而包括联系人层304、电子邮件层306，和文档层308。联系人层304、电子邮件层306，和文档层308与私人数据310和企业数据312 相关联。可在联系人层304、电子邮件层306，文档层308，和/或为企业数据312应用策略。
尽管私人数据310和企业数据312的数据类型(例如联系人、电子邮件，和文档)可 被合并到被配置为利用各种数据类型的应用和用户界面中，策略被应用到企业数据312。私 人数据310可保持在移动计算设备102的所有者和/或用户的控制之下无需被策略的实施 约束。
现在转到图4，将描述用于创建和管理策略的方法400的各方面。应该理解，不一 定按任何特定次序来呈现此处公开的方法的操作，并且构想了用替换次序来执行部分或全 部操作是可能的。为了易于描述和说明，按所示次序来呈现各操作。可以添加、省略和/或 同时执行操作，而不脱离所附权利要求书的范围。
还应当理解，所示方法可以在任何时候结束并且不必完整地执行。方法的操作中 的部分或全部和/或基本上等价的操作可以通过执行计算机存储介质上包括的计算机可 读指令来执行，如以下所定义的。如在说明书和权利要求书中使用的术语计算机可读指令 摂及其变型在本文中被广泛地使用，以包括例程、应用、应用模块、程序模块、程序、组件、数 据结构、算法等等。计算机可读指令可以在各种系统配置上实现，包括单处理器或多处理器 系统、小型计算机、大型计算机、个人计算机、手持式计算设备、基于微处理器的可编程消费 电子广品、其组合等等。
因此，应该理解，本文所述的逻辑操作被实现为⑴一系列计算机实现的动作或 运行于计算系统上的程序模块；和/或(2)计算系统内的互连的机器逻辑电路或电路模块。 取决于计算系统的性能及其他要求，该实现是设计问题。因此，此处描述的逻辑操作被不同 地称为状态、操作、结构设备、动作或模块。这些操作、结构设备、动作和模块可以用软件、固 件、专用数字逻辑、及其任何组合来实现。
方法400在操作402开始，在那里企业策略服务器计算机114接收策略的定义来 控制对指定数据的访问。策略定义可由管理员通过策略创建应用122来提供。从操作402， 方法400前进到操作404，在那里企业策略服务器计算机114将与指定数据相关联的策略储 存为策略126之一。管理员可能希望向一个或多个服务器提供策略并且可指定利用策略管 理应用124要向哪些服务器发送策略。例如，在操作406，管理员可引导企业策略服务器计 算机114将策略发送到企业服务器计算机116和/或服务器计算机108。方法400在操作 408处结束。
现在转到图5，将描述用于在诸如企业服务器计算机116或服务器计算机108的数 据服务器处实施策略的方法500。为了便于描述而非限制，企业服务器计算机116将被描述 为执行方法500的操作。
方法500在操作502开始，在那里企业服务器计算机116从企业策略服务器计算 机114接收策略。从操作502，方法500前进到操作504，在那里企业服务器计算机116将 与指定数据相关联的策略储存为企业服务器策略130之一。方法500接着前进到操作506， 在那里企业服务器计算机116从移动计算设备102接收对与所储存的策略相关联的指定数 据的请求。在操作508，响应于接收该请求，企业服务器计算机116根据策略允许或拒绝移 动计算设备102对指定数据的访问。方法500在操作510处结束。
现在转到图6，将描述用于向移动计算设备102提供数据和相关联策略的方法600。为了便于描述而非限制，企业服务器计算机116将被描述为执行方法600的操作。
方法600在操作602开始，在那里企业服务器计算机116从企业策略服务器计算 机114接收策略。从操作602，方法600前进到操作604，在那里企业策略服务器计算机114 将与指定数据相关联的策略储存为企业服务器策略130之一。方法600接着前进到操作 606，在那里企业服务器计算机116从移动计算设备102接收对与所储存的策略相关联的指 定数据的请求。在操作608，响应于接收到请求，企业服务器计算机116向移动计算设备102 发送指定数据和相关联策略，在此根据策略实施对指定数据的访问。方法600在操作610 处结束。
现在转到图7，将描述在移动计算设备102实施策略的方法700。方法700在操作 702开始，在那里移动计算设备102接收策略。在一些实施例中，响应于移动技术设备102 生成并发送到服务器的数据请求或策略请求，移动计算设备102从诸如服务器计算机108、 企业策略服务器计算机114、或企业服务器计算机116的服务器接收策略。在一些实施例 中，移动计算设备102响应于管理员指令，通过策略管理应用124、企业策略服务器计算机 114，从服务器接收策略，以将策略推送的移动计算设备102。
从操作702，方法700前进到操作704，在那里移动计算设备102接收对与所接收 的策略相关联的指定数据的请求。在操作706，响应于接收数据请求，移动计算设备102提 示用户根据策略进行认证。如果响应于认证提示由用户提供的认证凭证是有效的，则方法 700前进到操作710，在那里移动计算设备102允许用户访问指定数据。方法700随后行进 至操作712，在那里方法700结束。但是，如果响应于认证提示由用户提供的认证凭证不是 有效的，则方法700前进到操作714，在那里移动计算设备102拒绝访问指定数据。方法700 随后行进至操作712，在那里方法700结束。
图8示出了能够执行此处所描述的用于保护移动技术设备中的数据使用的软件 组件的设备的示例性计算机体系结构800。因此，图8中所示的计算机体系结构800示出 了用于服务器计算机、移动电话、PDA、智能电话、台式计算机、上网本计算机、平板计算机和 /或膝上型计算机的体系结构。计算机体系结构800可用于执行此处所呈现的针对此处所 描述的任何计算机系统(诸如移动计算设备120、企业策略服务器计算机114、企业服务器 计算机116，和服务器计算机108)的软件组件的任何方面。
图8所示的计算机架构800包括中央处理单元802(“CPU”)、包括随机存取存储器 806 (“RAM”)和只读存储器(“ROM”)808的系统存储器804、以及将存储器804耦合至CPU 802的系统总线810。基本输入/输出系统被存储在ROM 808中，该系统包含帮助诸如在启 动期间计算机体系结构800中的元件之间传递信息的基本例程。计算机体系结构800还包 括用于储存，如果合适的话，操作系统120 (或其它操作系统)、策略配置应用122、策略管理 应用124、策略126、企业服务器策略128、服务器策略132、移动计算设备策略136、企业服务 器数据130、服务器数据134，和移动计算设备数据138的大容量存储设备812。
大容量存储设备812可以通过连接到系统总线810的大容量存储控制器(未示出) 连接到CPU802。大容量存储设备812及其相关联的计算机可读介质为计算机体系结构800 提供非易失性存储。虽然对此处包含的计算机可读介质的描述引用了诸如硬盘或CD-ROM 驱动器之类的大容量存储设备，但是本领域的技术人员应该明白，计算机可读介质可以是 可由计算机体系结构800访问的任何可用计算机存储介质或通信介质。
通信介质包括诸如载波或其它传输机制等已调制数据信号中的计算机可读指令、 数据结构、程序模块或其它数据，且包含任何传递介质。术语“已调制数据信号”指的是其 一个或多个特征以在信号中编码信息的方式被更改或设定的信号。作为示例而非限制，通 信介质包括诸如有线网络或直接线连接之类的有线介质，以及诸如声学、RF、红外及其他无 线介质之类的无线介质。上述的任意组合也应包含在计算机可读介质的范围内。
作为示例而非限制，计算机存储介质可包括以用于存储诸如计算机可读指令、数 据结构、程序模块或其它数据等信息的任何方法或技术实现的易失性和非易失性、可移动 和不可移动介质。例如，计算机介质包括但不限于，RAM、R0M、EPR0M、EEPR0M、闪存或其他固 态存储器技术、CD-ROM、数字多功能盘(“DVD”)、HD-DVD、蓝光(BLU-RAY)或其他光学存储、 磁带盒、磁带、磁盘存储或其他磁性存储设备、或能用于存储所需信息且可以由计算机体系 结构800访问的任何其他介质。为了权利要求书的目的，短语“计算机存储介质”及其变型 不包括波、信号和/或其他瞬态和/或无形通信介质本身。
根据各实施例，计算机体系结构800可在联网环境中运行，其中联网环境使用通 过诸如第一接入网络104、第二接入网络110、企业内联网112，和/或互联网106的网络 814与远程计算机的逻辑连接。计算机体系结构800可以通过连接至总线810的网络接口 单元816来连接到网络814。应当理解，网络接口单元816还可以被用来连接到其他类型的 网络和远程计算机系统。计算机架构800还可以包括用于接收和处理来自多个其他设备的 输入的输入/输出控制器818，这些设备包括键盘、鼠标或者电子指示笔(未在图8中示出)。 类似地，输入/输出控制器818可以提供至显示屏、打印机或其他类型的输出设备(也未在 图8中示出)的输出。
应当理解，本文所描述的软件组件在被加载到CPU 802中并被执行时可以将CPU 802和总体计算机体系结构800从通用计算系统变换成为方便本文所提出的功能而定制的 专用计算系统。CPU 802可以用任意数量的晶体管或其他分立的电路元件(它们可以分别 地或共同地呈现任意数量的状态)构建。更具体地，CPU 802可以响应于包含在本文所公开 的软件模块中的可执行指令来作为有限状态机操作。这些计算机可执行指令可以通过指定 CPU 802如何在各状态之间转换来变换CPU 802，由此变换了构成CPU 802的晶体管或其它 分立硬件元件。
对本文所提出的软件模块的编码也可变换本文所提出的计算机可读介质的物理 结构。在本说明书的不同实现中，物理结构的具体变换可取决于各种因素。这样的因素的示 例可以包括，但不仅限于用于实现计算机可读介质的技术、计算机可读介质被表征为主存 储器还是辅存储器等等。例如，如果计算机可读介质被实现为基于半导体的存储器，则本文 所公开的软件可以通过变换半导体存储器的物理状态而编码在计算机可读介质上。例如， 软件可以变换构成半导体存储器的晶体管、电容器或其它分立电路元件的状态。软件还可 变换这些组件的物理状态以在其上存储数据。
作为另一示例，本文所公开的计算机可读介质可以使用磁或光技术来实现。在这 些实现中，本文所提出的软件可以在其中编码了软件时变换磁或光介质的物理状态。这些 变换可以包括改变给定磁性介质内的特定位置的磁性。这些变换还可以包括改变给定光学 介质内的特定位置的物理特征或特性，以改变这些位置的光学特性。在没有偏离本说明书 的范围和精神的情况下，物理介质的其他转换也是可以的，前面提供的示例只是为了便于此讨论。
鉴于以上内容，应当理解，在计算机体系结构800中发生许多类型的物理变换以 便存储并执行本文所提出的软件组件。还应当理解，计算机体系结构800可包括其它类型 的计算设备，包括手持式计算机、嵌入式计算机系统、个人数字助理、以及本领域技术人员 已知的其它类型的计算设备。还可以构想的是，计算机架构800可以不包括图8所示的全部 组件、可以包括未在图8中明确示出的其他组件、或者可利用完全不同于图8所示的架构。
基于上述内容，应当意识到，本文已经公开了用于保护数据使用的技术。尽管用对 计算机结构特征、方法和变换动作、特定计算机器和计算机可读介质专用的语言描述了本 文所提出的主题，但可以理解，所附权利要求书中定义的本发明不必限于本文所述的具体 特征、动作或介质。相反，这些具体特征、动作和介质是作为实现权利要求的示例形式来公 开的。
上述主题仅作为说明提供，并且不应被解释为限制。可对此处所述的主题作出各 种修改和改变，而不必遵循所示和所述的示例实施例和应用，且不背离所附权利要求书中 所述的本发明的真正精神和范围。
权利要求
1.一种其上存储有计算机可读指令的计算机存储介质，所述指令在由计算机执行时致使所述计算机 接收策略的定义，所述策略被配置来控制对计算设备上的数据的访问； 储存所述策略；以及 将所述策略发送到所述计算设备，其中所述计算设备被配置来根据所述策略访问所述数据。
2.如权利要求1所述的计算机存储介质，其特征在于，所述策略包括以下之一 包括指定一个或多个锁定层面的指令的锁定策略，所述锁定层面的每一个响应于对有效认证凭证的接收而允许对数据或其一部分的访问； 包括指定一个或多个锁定层面的指令的锁定策略，所述锁定层面的每一个响应于计算设备位于特定位置而允许对数据或其一部分的访问；或 包括规定计算设备上的数据的存储的指令的存储控制策略。
3.如权利要求2所述的计算机存储介质，其特征在于，所述存储控制策略包括指示所述数据是否能够被高速缓存在所述计算设备上的指令。
4.如权利要求3所述的计算机存储介质，其特征在于，所述存储控制策略还包括指示所述数据能够被高速缓存在所述计算设备上多久的指令。
5.如权利要求2所述的计算机存储介质，其特征在于，所述存储控制策略还包括指示所述数据能够被储存在所述计算设备上多久的指令。
6.如权利要求2所述的计算机存储介质，其特征在于，所述存储控制策略包括至少一个或多个条件的指令，在所述一个或多个条件下数据要被擦除或或呈现为不能访问。
7.如权利要求1所述的计算机存储介质，其特征在于，所述策略在所述计算设备的移动数字证书中定义。
8.一种其上存储有计算机可读指令的计算机存储介质，所述指令在由计算设备执行时致使所述计算设备 接收策略； 接收对与所述策略相关联的指定数据的请求；以及 根据所述策略允许或拒绝对所述指定数据的访问。
9.如权利要求8所述的计算机存储介质，其特征在于所述策略包括以下之一 包括指定一个或多个锁定层面的指令的锁定策略，所述锁定层面的每一个响应于对有效认证凭证的接收而允许对数据或其一部分的访问； 包括指定一个或多个锁定层面的指令的锁定策略，所述锁定层面的每一个响应于计算设备位于特定位置而允许对数据或其一部分的访问；或包括指示以下之一的指令的存储控制策略 所述数据是否能够被高速缓存在所述计算机上，以及，如果所述数据能够被高速缓存，所述数据能够被高速缓存多久； 所述数据能够被储存在所述计算设备上多久；或 一个或多个条件，在所述一个或多个条件下数据要被擦除或或呈现为不能访问，所述一个或多个条件包括至少一个位置。
10.一种移动计算设备，包括.处理器；以及 与所述处理器通信的存储器，所述存储器包括储存在其上的指令，当由所述处理器执行时，所述指令使得所述处理器 储存与所述移动计算设备的用户相关联的私人数据； 储存与企业相关联的企业数据； 储存一个或多个策略，每个策略包括控制对所述企业数据的访问和所述企业数据的处理的至少之一的指令； 接收对于所述企业数据的至少一部分的数据请求；以及 根据所述一个或多个策略，选择性地允许对所述企业数据的所述部分的访问，无需约束对所述私人数据的访问。
全文摘要
本发明涉及保护计算设备中的数据使用。将策略应用到指定数据而不是包含指定数据的整个计算设备。对指定数据的访问由利用各种口令或其它认证凭证要求、选择性数据高速缓存、数据传输、临时数据存储，和／或指定数据要被擦除或呈现为不能访问的预定义条件的策略来控制。策略可被管理员定义并推送到移动计算设备，在此策略被实施。
文档编号G06F21/62GK102999730SQ20121034237
公开日2013年3月27日 申请日期2012年9月14日 优先权日2011年9月15日
发明者D·J·布伦南, A·德塞, R·拉玛纳坦 申请人:微软公司