经由次级状态推断管理状态的制作方法

计算机和计算系统已经影响现代生活的几乎每个方面。计算机通常在工作、休闲、健康、运输、娱乐、家务管理等中被涉及。

手持式移动计算设备已经变得无所不在。例如，许多人具有所谓的智能电话或平板计算机。这样的设备允许用户使用蜂窝数据系统或其他网络系统来访问广泛的服务。例如，使用这样的设备，用户可以访问电子邮件、因特网、在线数据库，等等。具有个人智能电话(或其他智能设备)的人可能常常想要使用这些个人设备来访问属于其被雇用的公司的那些公司资源。

IT管理员现今能够管理移动设备，以通过各种策略管理系统来配置、监视和评价移动设备的合规性。他们这样做来保护公司服务和数据。

某些现代操作系统和常常移动设备上的某些操作系统不提供检测系统是否在管理下的能力。因此，被嵌入在应用中的代理不能检测操作系统是否被管理，并且如果被管理的话，则应用并且修复策略。

本文所要求保护的主题不限于解决任何缺点或仅在环境(诸如上文所描述的那些环境)中操作的实施例。相反，该背景仅被提供用于说明其中可以实践本文所描述的一些实施例的一个示例性技术。

技术实现要素：

本文所说明的一个实施例包括一种可以实践在计算环境中的方法。该方法包括用于确定设备是否被管理的动作。该方法包括作为运行特定应用的一部分，确定特定状态和/或数据(诸如特定专用字体、特定证书链或特定xml策略设置)是否存在于设备上。当特定状态和/或数据存在于设备上时，该方法包括确定设备被管理；否则，确定设备未被管理。

提供该概述以引入以在详细描述中下文进一步描述的简化形式的概念的选择。该概述不旨在标识所要求保护的主题的关键特征或基本特征，其也不旨在用作辅助确定所要求保护的主题的范围。

附加特征和优点将在以下描述中被阐述并且部分从描述将是明显的，或可以通过本文中的教导的实践而被学习。可以借助于在所附的权利要求中特别指出的装置和组合实现和获得本发明的特征和优点。本发明的特征将从以下描述和随附的权利要求变得更充分地明显，或可以通过如在下文中所阐述的本发明的实践而被学习。

附图说明

为了描述可以获得上文记载的优点和其他优点和特征的方式，将通过参考在附图中图示的特定实施例来提供上文简要描述的主题的更特定描述。理解这些附图仅描述典型实施例并且因此将不被认为在范围方面是限制性的，将通过使用附图以附加特殊性和细节描述和解释实施例，在附图中：

图1图示了其中设备可以使用专用数据或状态来确定设备被管理的环境；

图2图示了确定设备是否被管理的方法；

图3图示了确定设备是否被管理的另一方法；以及

图4图示了确定设备是否被管理的又一方法。

具体实施方式

本文所描述的一些实施例可以提供在不要求对服务的调用的情况下检测设备是否被管理的功能。例如，实施例可以通过使用次级状态和/或信息的存在来推断设备被管理。例如，在一些实施例中，专用字体可以被安装在设备上。字体的存在指示设备被管理。在备选实施例中，可以安装指示设备被管理的安全性证书。在又一备选实施例中，xml设置可以被设置在设备上。

因此，推断设备被管理不必通过API完成，而是通过使用次级状态和/或信息的存在。通常，管理代理可以直接通过使用API(诸如来自华盛顿雷德蒙德的微软公司的产品的'IsManaged()')或通过使用配置信息(诸如文件的注册、配置条目或存在)来检测设备被管理。从加利福尼亚库比蒂诺的苹果公司可获得的IOS被太紧地锁住以致于应用不能读取其沙箱外的数据，并且不存在应用内设置全局设置的方式。因此，注册设置、配置条目或文件不能被用于指示设备被管理。

各种不同的状态和/或信息可以用于指示设备被管理。一些设备可以包括用于允许管理员将字体向下推送到设备。在该实施例中，管理服务(诸如从华盛顿雷德蒙德的微软公司可获得的Intune)将字体推送到设备。然后，被嵌入在应用中的代理查询该字体的存在。通过给定该字体唯一并且不可能的名称，代理可以推断当字体被检测到时设备已经进入管理状态，这是因为用户否则将不具有其设备上的该字体。如果管理员想要停止管理机器，其移除字体，并且从那针对应用的代理可以推断因为字体不再存在，所以设备不再被管理。

在备选实施例中，使用链在一起的证书对。管理设备具有将根证书向下推送到设备证书链的能力。应用调用已知端点以得到子证书—即具有对被安装在设备证书链中的根证书的信任链的证书。应用可以使用操作系统调用来验证该子证书仍然向上链到根并且使用该信息来推断设备被管理。如果信任链被破坏，则由于证书已经由管理员移除，因而应用知道其不再处于被管理状态并且应当采取改正动作。

现在参考图1，示出了根据本文所描述的一些实施例可以执行的各种动作的详细示例。在图1中所图示的示例中，在步骤1处，设备102通过应用商店106安装应用104。备选地，应用可以来自侧加载(side loading)或通过移动设备管理(MDM)。在步骤2处，用户注册用于通过MDM网关108管理的设备102。在步骤3处，设备102被登记用于利用MDM网关108被管理，并且状态和/或信息110被传递到设备102。例如，状态和/或信息可以是如先前所描述的字体。在备选实施例中，状态和/或信息可以是如上文所描述的证书。状态和/或信息110可以被绑定到设备102处的管理简档116。在步骤4处，MDM注册设备102上的状态和/或其他信息110。这可以通过注册管理简档116而完成。应用104更新其状态以指示在其已经验证状态和/或其他信息110之后其在管理设备上。应用104将然后表现为在管理设备上。

应用在管理设备上将通常导致对该应用的功能的控制和/或对由应用所产生和/或所使用的数据的控制。例如，当应用在管理设备上时，可以存在对可以如何访问和使用数据的控制。作为示例，实施例可能希望阻止用户使用被管理应用中的剪切和粘贴功能以使管理环境外的公司数据的迁移更加困难。备选地或者附加地，实施例可能希望保护公司数据，使得当设备未被管理时，公司数据不能被访问并且不被允许被存储在未被管理的设备上。因此，例如，如果当设备是被管理设备时，设备访问和存储或创建公司数据，并且在稍后的时间处，设备变得不再被管理，存储在设备上的任何公司数据将从设备被擦除。

可以以多种不同的方式完成从设备擦除该数据。例如，在一些实施例中，可以对所有数据、公司或其他方面总体地擦除设备。备选地，当留下个人或其他数据时，设备可以仅具有在选择性擦除操作中擦除中的公司数据。

可以使用应用104周围的包装器120实现对功能和数据访问的控制。

再次返回图1中所图示的描绘，各种动作被图示用于撤回设备——即，将设备移除被管理。如在图1中所图示的，控制台112处的管理员指示设备102应当撤回。在步骤5处，控制台112将针对设备102的撤回命令发送到管理服务114。在一些实施例中，控制台112可以是从华盛顿雷德蒙德的微软公司可获得的Office 365管理控制台。在一些实施例中，管理服务114可以是从华盛顿雷德蒙德的微软公司可获得的Intune服务。如在步骤6处所图示的，撤回命令从管理服务114被发送到MDM网关108。如在步骤7处所图示的，撤回命令被发送到设备102。如在步骤8处所图示的，从设备102移除状态和/或信息110。还可以从设备102移除设备102处的管理简档116。下次应用104被启动时，其将检测到状态和/或信息110是丢失或无效的。例如，如果字体已经从设备102被移除或者子证书不再是有效的并且不能向上链到父证书，因为父证书已经被移除，那么应用可以确定设备102不再被管理。这时候，可以执行擦除或选择性擦除以从设备102移除公司数据。

各种实施例可以实现对设备管理的周期性或其他基于时间的控制。例如，在其中子证书被用于指示设备102被管理的实施例中，证书可以终止或变为无效的。如果证书终止或变为无效的，设备102可以通过网关108联系管理服务114，如在步骤9处所图示的，以确定设备102是否仍然被管理。如果管理服务指示设备未被管理，那么设备102可以使状态和/或信息110被移除并且可以被擦除，如上文所描述的。如果管理服务114指示设备102仍然被管理，那么新子证书可以从证书服务118被下载以完成信任链，使得可以做出设备102被管理的确定。

在备选示例中，设备102可以通过网关108周期性地轮询管理服务114以确定设备102是否仍然被管理。如果管理服务114指示在该轮询中设备不再被管理，那么设备102可以使状态和/或信息110被移除并且可以被擦除，如上文所描述的。

以下讨论现在指代可以执行的若干方法和方法动作。尽管方法动作可以以某个顺序讨论或在如以特定顺序发生的流程图中被图示，但是除非特别地陈述或要求，否则不必要求特定排序，这是因为动作依赖于在动作被执行之前完成的另一动作。

现在参考图2，图示了方法200。该方法200可以被实践在计算环境中。该方法200包括用于确定设备是否被管理的动作。在一些实施例中，在不需要联系管理服务或运行作为超级用户的应用的情况下，这可以被完成。该方法200包括作为运行特定应用的一部分，确定特定专用字体是否存在于设备上(动作202)。例如，如在图1中所图示的，当状态和/或信息是专用字体文件(诸如具有唯一或异常名字的字体)时，可以做出状态和/或信息110存在于设备102上的确定。

当字体存在于设备上时，200的方法进一步包括确定设备被管理；否则，确定设备未被管理(动作204)。

当做出设备未被管理的确定时，方法200可以进一步包括擦除设备。

可以实践其中字体被钉到管理简档(诸如管理简档116)的方法200。例如，字体可以被钉到管理简档，使得如果管理简档被移除(这意味着设备不再被管理)，则字体也被移除。

可以实践其中应用通过侧加载被安装的方法200。因此，可以实现其中应用从除了组织提供的管理应用储存库(诸如由华盛顿雷德蒙德的微软公司所提供的公司门户)之外的源安装的实施例。这可以通过使用位于应用104与设备102的操作系统之间的包装器120来完成。包装器可以用于确定专用字体是否在设备上，以确定设备是否被管理并且因此限制应用的功能和数据访问。

类似地，可以实践其中应用从应用商店被安装(而不是从管理应用储存库被推送)的方法200。这可以通过使用位于应用104与设备102的操作系统之间的包装器120来完成。包装器可以被用于确定专用字体是否在设备上，以确定设备是否被管理并且因此限制应用的功能和数据访问。

然而，可以实践其中应用从管理应用储存库被安装的方法200。在该示例中，应用104可以包括用于在不需要包装器120的情况下符合管理策略的功能。

该方法200可以进一步包括每次应用被运行时检查字体。备选地，方法200可以进一步包括在周期性基础上检查字体。

可以实践其中确定字体是否存在比针对应用的安装时间更晚的时间点处发生的方法200。可以在比针对应用的安装时间更晚的时间点处被安装字体。

现在参考图3，图示了方法300。该方法300可以被实践在计算环境中。该方法300包括用于确定设备是否被管理的动作。在一些实施例中，在不需要联系管理服务或运行作为超级用户的应用的情况下，这可以被完成。该方法300包括作为运行特定应用的一部分，确定特定证书链是否存在于设备上(动作302)。

当证书链存在于设备上时，300方法进一步包括确定设备被管理；否则，确定设备未被管理(动作304)。

可以实践在其中当做出设备未被管理的确定时方法进一步包括擦除设备的方法300。

可以实践其中证书链被钉到管理简档的方法300。

该方法300可以进一步包括每次应用被运行时检查证书链。

该方法300可以进一步包括在周期性基础上检查证书链。

可以实践在其中确定证书链是否存在比针对应用的安装时间更晚的时间点处发生的方法300。

现在参考图4，图示了方法400。该方法400可以被实践在计算环境中。该方法400包括用于确定设备是否被管理的动作。在一些实施例中，在不需要联系管理服务或运行作为超级用户的应用的情况下，这可以被完成。该方法200包括作为运行特定应用的一部分，确定特定xml策略设置是否存在于设备上(动作402)。

当xml策略设置存在于设备上时，方法400进一步包括确定设备被管理；否则，确定设备未被管理(动作404)。

可以实践在其中当做出设备未被管理的确定时方法进一步包括擦除设备的方法400。

可以实践其中xml策略设置被钉到管理简档的方法400。

该方法400可以进一步包括每次应用被运行时检查xml策略设置。

该方法400可以进一步包括在周期性基础上检查xml策略设置。

可以实践在其中确定xml策略设置是否存在比针对应用的安装时间更晚的时间点处发生的方法400。

进一步地，可以通过包括一个或多个处理器和计算机可读介质(诸如计算机存储器)的计算机系统实践方法。特别地，计算机存储器可以存储计算机可执行指令，计算机可执行指令当由一个或多个处理器执行时使得各种功能被执行(诸如实施例中记载的动作)。

本发明的实施例可以包括或利用包括计算机硬件的专用或通用计算机，如下面更详细讨论的。本发明的范围内的实施例还包括用于携带或存储计算机可执行指令和/或数据结构的物理和其他计算机可读介质。这样的计算机可读介质可以是可以由通用或专用计算机系统访问的任何可用介质。存储计算机可执行指令的计算机可读介质是物理存储介质。携带计算机可执行指令的计算机可读介质是传输介质。因此，以示例而非限制的方式，本发明的实施例可以包括至少两个明显不同种类的计算机可读介质：物理计算机可读存储介质和传输计算机可读介质。

物理计算机可读存储介质包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储(诸如CD、DVD等)、磁盘存储或其他磁性存储设备、或可以用于存储以计算机可执行指令或数据结构的形式的期望的程序代码装置并且可以由通用或专用计算机访问的任何其他介质。

“网络”被定义为一个或多个数据链路，其使能计算机系统和/或模块和/或其他电子设备之间的电子数据的传输。当信息通过网络或另一通信连接(硬连线、无线或、硬连线或无线的组合)被传送或提供给计算机时，计算机适当地将连接视为传输介质。传输介质可以包括网络和/或数据链路，其可以被用于携带以计算机可执行指令或数据结构的形式的期望的程序代码装置并且可以由通用或专用计算机访问。以上组合还被包括在计算机可读介质的范围内。

进一步地，在到达各种计算机系统部件时，以计算机可执行指令或数据结构的形式的程序代码装置可以从传输计算机可读介质自动地传送给物理计算机可读存储介质(或反之亦然)。例如，通过网络或数据链路所接收的计算机可执行指令或数据结构可以缓冲在网络接口模块(例如，“NIC”)内的RAM中，并且然后最终地被传送到计算机系统RAM和/或计算机系统处的较少的易失性计算机可读物理存储介质。因此，计算机可读物理存储介质可以被包括在还(或甚至主要)利用传输介质的计算机系统组件中。

计算机可执行指令包括例如使得通用计算机、专用计算机或专用处理设备执行某个功能或功能组的指令和数据。计算机可执行指令可以是例如二值化、中间格式指令(诸如汇编语言)或甚至源代码。虽然已经以特定于结构特征和/或方法动作的语言描述了主题，但是应当理解到，所附的权利要求中定义的主题不必限于上文所描述的特定特征或动作。相反，所描述的特征和动作被公开为实现权利要求的示例形式。

本领域的技术人员将理解到，本发明可以被实践在具有许多类型的计算机系统配置的网络计算环境中，包括个人计算机、台式计算机、膝上型计算机、消息处理器、手持式设备、多处理器系统、基于微处理器或可编程的消费电子产品、网络PC、小型计算机、大型计算机、移动电话、PDA、寻呼机、路由器、交换机等。本发明还可以实践在其中通过网络链接(由硬连线数据链路、无线数据链路、或者由硬连线和无线数据链路的组合)的本地和远程计算机系统二者执行任务的分布式系统环境中。在分布式系统环境中，程序模块可以位于本地存储器存储设备和远程存储器存储设备二者中。

备选地或者附加地，可以至少部分通过一个或多个硬件逻辑组件执行本文所描述的功能。例如，并且非限制性地，可以使用的说明性类型的硬件逻辑组件包括现场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统系统(SOC)、复杂可编程逻辑设备(CPLD)等。

在不脱离本发明的精神或特性的情况下，可以以其他特定形式实现本发明。所描述的实施例在所有方面中将被认为是说明性而非限制性的。因此，本发明的范围由所附的权利要求而不是由前述描述指示。在权利要求的等价的意义和范围内的所有变化将被包括在其范围内。