混合模式云内部部署(ON-PREMISE)安全通信的制作方法

本文公开的主题总体上涉及安全和访问控制解决方案、视频处理以及云计算，且更具体地，涉及应用于访问控制和安全管理解决方案的混合模式云/内部部署(on-premise)安全通信。

内部部署软件交付模型是一种软件布署模型，涉及的企业购买诸如服务器等硬件、将资金投资到软件许可证、投资给专门的it人员进行维护和支持等。内部部署是传统的软件布署模型，其中企业在机构内部布署应用程序，例如企业的内部部署。内部部署的计算基础设施的初始投资通常较高，但可能会带来长期回报。内部部署模型的一个优点是企业可以控制系统和数据。内部部署平台被认为比云平台更安全，因为企业数据在内部(例如在内部专用网络内)存储和处理。

云计算是一种广泛采用和发展的概念。通常，云计算指的是一种用于通过互联网实现对可配置计算资源的共享池(例如网络、服务器、存储装置、应用程序、功能等)的普遍、方便和按需访问的模型。对于计算资源的提供商及其客户两者，与云计算相关联的好处有许多。例如，客户可以在云提供商供应的云基础设施上开发和布署各种商业应用程序，而省去了采购和管理执行所述应用程序所需的硬件和软件的成本和复杂性。客户不需要管理或控制底层云基础设施，例如包括网络、服务器、操作系统、存储装置等，但仍然可以控制布署的应用程序。另一方面，提供商的计算资源可用于为多个客户提供根据客户端的负载动态分配和重新分配的不同的物理和虚拟资源。此外，可以通过互联网访问云资源和应用程序。

通常，安全和访问控制解决方案是实现为在本地、内部部署的服务器和计算机上安装和维护的软件解决方案。对于小型企业来说，获取和维护这些解决方案可能很贵。对于大型企业来说，维护所需的内部部署解决方案可能过于繁琐。因此，期望提供一种可以通过使用例如某种形式的云计算来帮助减轻与内部部署安全解决方案相关联的一些成本的方法和系统。

技术实现要素：

根据一个实施方案，除了上述一个或多个特征之外，或作为替代方案，所述方法的另外的实施方案包括一种用于混合模式云/内部部署安全通信的方法。所述方法包括：调试内部部署装置，使用第一名称和用户的登录凭证通过客户端web浏览器连接到web地址，以及在基于云的服务处验证用户的登录凭证，并且如果登录凭证被认证则建立与客户端web浏览器的通信，并且允许客户端web浏览器与基于云的服务之间的通信。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括：所述调试包括生成一组加密密钥，使用第一名称从第一网络地址连接到基于云的服务并且将内部部署装置信息传输到基于云的服务，并在基于云的服务处生成内部部署装置的唯一名称/假名。所述调试还包括：使用可访问的dns服务将唯一名称/假名解析到基于云的服务的网络地址，并将唯一名称传输到内部部署装置，基于加密密钥的唯一名称/假名使用内部部署装置生成证书签名请求(csr)，并将csr传输到基于云的服务，使用来自受信任的认证机构(ca)的csr来请求数字证书，并且一旦ca发布数字证书就接收数字证书，并将数字证书传输到内部部署装置，并配置内部部署装置以使用数字证书。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括：尝试使用客户端web浏览器连接到内部部署装置以完成用户请求，从基于云的服务向客户端web浏览器以加密方式传输与内部部署装置相关的用户相关联的信息，并将客户端web浏览器重定向到与在调试期间采用的唯一名称/假名相关联的网络地址。此外，另外的实施方案还可以包括：尝试使用客户端web浏览器连接到唯一名称/假名，并且如果内部部署装置的ip地址是未知的，则进行域名解析(dns)以解析和识别所述ip地址，使用客户端浏览器连接到解析的ip地址，并将与内部部署装置相关的用户相关联的信息传输到内部部署装置，将在调试期间发布给内部部署装置的数字证书传输到客户端web浏览器，并使用客户端web浏览器以加密方式验证数字证书；以及如果数据/声明/权利允许，则从与内部部署装置相关的用户相关联的信息中以加密方式验证数据/声明/权利，并允许用户请求。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括在客户端浏览器中存储与内部部署装置相关的用户相关联的信息。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括内部部署装置从客户端浏览器请求与内部部署装置相关的用户相关联的信息。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括与内部部署装置相关的用户相关联的信息包括以下各项中的至少一项：权利、安全声明、许可特征信息、用户名、失效日期以及服务器数据。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括将信息作为url参数或http标头提供。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括基于用户请求生成结果。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括将结果存储在客户端浏览器中。此外，甚至将结果存储为httpcookie。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括内部部署装置是以下各项中至少一项的一部分：安全系统、访问控制系统、灭火系统或hvac系统或电梯控制系统。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括将第一名称预编程到内部部署装置中。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括认证机构是独立的第三方。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括唯一名称是服务提供商所独有的。

本文还在实施方案中描述了一种用于混合模式云/内部部署安全通信的系统。所述系统包括内部部署装置，其被调试以提供与基于云的系统的安全通信；其中所述调试包括：内部部署装置生成一组加密密钥，基于云的服务使用第一名称连接到第一网络地址，并将内部部署装置信息传输到基于云的服务，基于云的服务为内部部署装置生成唯一名称服名，并且公共可用dns将唯一名称/假名解析到基于云的服务的网络地址并将唯一名称传输到内部部署装置。所述系统还包括内部部署装置基于加密密钥的唯一名称/假名生成证书签名请求(csr)，并将csr传输到基于云的服务，基于云的服务使用来自受信任的认证机构(ca)的csr来请求数字证书，并且一旦ca发布数字证书就接收数字证书，并将数字证书传输到内部部署装置，并且内部部署装置被配置为使用数字证书。所述系统还包括客户端web浏览器使用第一名称和用户的登录凭证连接到web地址；以及基于云的服务验证用户的登录凭证，并且如果登录凭证被认证则建立与客户端web浏览器的通信，并且允许客户端web浏览器与基于云的服务之间的通信。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括客户端web浏览器尝试连接到内部部署装置以完成用户请求，基于云的服务将与内部部署装置相关的用户相关联的信息以加密方式传输到客户端web浏览器；并且客户端web浏览器被重定向到与在调试期间采用的唯一名称/假名相关联的网络地址。此外，另外的实施方案可以包括客户端web浏览器尝试连接到唯一名称/假名，并且如果内部部署装置的ip地址是未知的则进行域名解析(dns)以解析和识别所述ip地址，使用客户端浏览器连接到解析的ip地址，并将与内部部署装置相关的用户相关联的信息传输到内部部署装置，内部部署装置将在调试期间发布的数字证书传输到客户端web浏览器，并且使用客户端web浏览器以加密方式验证数字证书；如果数据/声明/权利允许，则内部部署装置从与内部部署装置相关的用户相关联的信息中以加密方式验证数据/声明/权利，并允许用户请求。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括客户端浏览器存储与内部部署相关的用户相关联的信息。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括内部部署装置从客户端浏览器请求与内部部署装置相关的用户相关联的信息。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括与内部部署装置相关的用户相关联的信息包括以下各项中的至少一项：权利、安全声明、和许可特征信息、用户名、失效日期以及服务器数据。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括将信息作为url参数或http标头提供。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括内部部署装置基于用户请求生成结果。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括客户端浏览器将结果存储为httpcookie。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括内部部署装置是以下各项中至少一项的一部分：安全系统、访问控制系统、灭火系统或hvac系统或电梯控制系统。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括将第一名称预编程到内部部署装置中。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括认证机构是独立的第三方。

除了上述一个或多个特征之外，或作为替代方案，另外的实施方案可以包括唯一名称是服务提供商所独有的。

本文还在另一实施方案中描述了一种配置混合模式云/内部部署安全通信的计算机程序产品，所述计算机程序产品包括计算机可读存储介质，所述计算机可读存储介质具有与其一起体现的程序指令，所述程序指令可由一个或多个处理器执行以使所述处理器实施本文描述的方法。

除非另有明确说明，否则前述特征和元件可以各种组合进行组合而没有排他性。根据以下描述和附图，这些特征和元件以及其操作将变得更加明显。然而，应理解，以下描述和附图旨在本质上是说明性和解释性的而非限制性的。

附图简要说明

通过以下结合附图的具体实施方式，本公开的前述和其他特征以及优点是明显的，其中：

图1描绘根据一个或多个示例性实施方案的云计算环境；

图2描绘根据一个或多个示例性实施方案的抽象模型层；

图3是展示根据一个或多个示例性实施方案用于实践本文教导的处理系统的一个示例的框图；

图4示出根据一个或多个示例性实施方案的基于云的通信过程的框图；

图5示出根据一个或多个示例性实施方案的用于调试用于混合模式云/内部部署通信的内部部署装置的方法的流程图；

图6示出根据一个或多个示例性实施方案的混合模式云/内部部署通信的方法的流程图；并且

图7示出根据一个或多个示例性实施方案的混合模式云/内部部署通信的方法的流程图。

具体实施方式

企业可以选择完全在内部运行应用程序，或者完全在云平台上运行应用程序。然而，云和内部部署平台都有优点和缺点。与云平台的安全和合规性相关的问题可能是一个缺点。另一方面，对于内部部署平台，成本可能是缺点。由于对内部部署基础设施的初始投资可能很高，已经投资内部部署平台的企业可能更愿意逐步采用云平台(如果可以的话)，以便使回报最大化并保护其初始投资。为了灵活性和较低的实施成本，同时具有内部部署应用程序的功能性和安全性，企业可能需要一套基于云的安全管理应用程序。因此，混合软件交付模型可以为这些企业带来更多价值。

混合交付模型是基于内部部署的应用程序与基于云的应用程序(例如按需)之间的混合模型。例如，在应用程序在具有敏感数据的内部部署平台上操作的情况下，可能不希望将此类数据存储在云平台上并且通过互联网访问。在这种情况下，在内部部署平台上运行的应用程序可以使用云服务的地方可以使用混合软件交付。可操作以在内部部署平台和云平台上布署和运行的应用程序(所述应用程序的原始源代码具有很少修改或无修改)在本文中称为混合应用程序。例如，混合应用程序可以在内部部署平台上布署和/或运行，并且使用由云平台(例如公共或虚拟私有云)提供的服务或其他资源。此外，混合应用程序可以在云平台上布署和/或运行，并且使用诸如后端系统的内部部署平台的资源。混合软件交付模型可能适合的另一种情况是企业更喜欢在云平台上运行其现有内部部署应用程序。例如，在一个点上内部运行和操作的商业应用程序可以被扩展或迁移到云平台，例如，以使用由云平台提供的功能和现代开发环境和模型。然而，为了使在内部操作的应用程序能够在云上操作，企业可能不得不承担与开发新应用程序相当的成本，从而导致对内部部署投资的更差保护。此外，当应用程序迁移到云平台时，可能必须为内部部署平台和云平台维护两个版本的应用程序，从而增加应用程序的维护成本。

应用内部部署或云软件交付模型的企业通常可能必须在安全和成本之间取得平衡。客户与应用程序以及内部部署和云装置之间的通信必须得到保护。通信通常是使用基于标准的方法来保护的，例如传输层安全(tls)。然而，tls的应用程序受到更加困难和繁琐的实现方式的阻碍。例如，对于tls，没有简单的获取签名证书的方法，并且缺乏对网络主机的一致命名使得不得不与内部信息技术(it)人员进行重大协调。除了运输安全之外，为客户企业解决方案提供内部部署和混合应用程序的提供商还需要防篡改许可，这在硬件或虚拟服务器受客户控制的情况下很难实现。

因此，对企业有利的是，用户在首先针对基于云的应用程序进行认证后以安全方式无缝访问基于云的以及内部部署的应用程序。为了实现这样的方案，本文在实施方案中公开的是混合解决方案，其提供具有提供以下功能的云托管应用程序：启动器用户接口；用户和授权管理，内部部署服务器和模块的网络名称解析(域名系统解析(dns))；基于web的单点登录/联合身份提供商；数字证书发行；以及许可管理。混合解决方案还将提供内部部署“网关”应用程序，其功能是提供使用上述云应用程序注册唯一名称、性能和网络地址的能力，验证云应用程序提供的凭证信息的能力。

本文描述的实施方案是在具有安全通信的混合云/内部部署解决方案中实现的定向访问控制安全管理解决方案。本文公开的一个或多个实施方案提供了用于确保内部部署装置与应用程序和基于云的应用程序之间的安全通信而没有显著影响或内部部署配置的简化方案。有利地，在一个或多个实施方案上，所描述的方法实现了具有防篡改许可、集中式授权管理和多租户的安全通信，并且实现了到完全云托管解决方案的渐进路径，并且还避免了对安全通道和专用接口和编程的需要。

根据一个或多个实施方案，实现云计算混合模式云/内部部署安全通信解决方案可以提供诸如安全通信、网络主机名解析、网络传输层安全、认证授权和许可等优点。应理解，尽管本文参考安全和访问控制解决方案描述了实施方案，但是这些描述仅用于说明而不应被视为限制。所描述的实施方案可以容易地应用于需要混合云/内部部署解决方案并且安全通信将是有利的的任何应用程序。例如，本文公开的实施方案可以同样适用于应用程序安全、访问控制解决方案、灭火系统、加热、通风和冷却(hvac)以及电梯控制系统。

可以预先理解，尽管本公开包括云计算上的具体实施方式，但是本文所述的教导的实现方式不限于云计算环境。相反，各实施方案能够结合现在已知或以后开发的任何其他类型的计算环境一起实现。

云计算是一种用于实现对可配置计算资源的共享池(例如网络、网络带宽、服务器、处理、存储器、存储装置、应用程序、虚拟机和服务)的方便、按需网络访问的服务交付模型，其可以通过最少的管理工作或与服务提供商的交互来快速配置和发布。此云模型可以包括至少五种特征、至少三种服务模型以及至少四种布署模型。

特征如下：

按需自助服务：云用户可以根据需要自动单方面提供计算性能(例如服务器时间和网络存储)，而无需与服务提供商进行人工交互。

广泛网络访问：性能可通过网络获得，并通过标准机制访问，这些标准机制促进对异构的瘦或胖客户端平台(例如移动电话、笔记本电脑和pda)的使用。

资源池：提供商的计算资源汇集在一起，以使用多租户模型为多个用户提供服务，其中不同的物理和虚拟资源是根据需求动态分配和重新分配的。位置独立感式是存在的，因为用户通常不控制或不知道所提供资源的确切位置，但是可能能够指定更高抽象级别(例如国家、州或数据中心)的位置。

快速弹性：性能可以被快速且弹性地提供，在某些情况下可以自动快速扩展并且快速发布以快速扩展。对于用户而言，可以提供的性能通常似乎是无限的，并且可以在任何时间以任何数量购买。

测量服务：云系统通过在适合于服务类型(例如存储、处理、带宽和活动用户帐户)的某种抽象级别上利用计量性能来自动控制和优化资源使用。可以监测、控制和报告资源使用，从而为所使用的服务的提供商和用户提供透明性。

服务模型如下：

软件即服务(saas)：为用户提供的性能是使用在云基础设施上运行的提供商的应用程序。可以通过诸如web浏览器(例如基于web的电子邮件)的瘦客户端接口从各种客户端装置访问这些应用程序。用户不管理或控制底层云基础设施，包括网络、服务器、操作系统、存储、甚至单独的应用程序性能，可能存在的例外是对用户特定应用程序配置的有限设置。

平台即服务(paas)：为用户提供的性能是将使用提供商支持的编程语言和工具创建的用户创建或获取的应用程序布署到云基础设施上。用户不管理或控制底层云基础设施(包括网络、服务器、操作系统或存储)，但可以控制已布署的应用程序并且可能控制应用程序托管环境配置。

基础设施即服务(iaas)：为用户提供的性能是提供处理、存储、网络以及其他基本计算资源，其中用户能够布署和运行任意软件，可以包括操作系统和应用程序。用户不管理或控制底层云基础设施，但是控制操作系统、存储、布署的应用程序，并且可能对选择组网部件(例如主机防火墙)进行有限控制。

布署模型如下：

私有云：云基础设施仅为组织运行。它可以由组织或第三方管理，并且可以是内部部署(on-premise)或外部部署(off-premise)。

社区云：云基础设施由若干组织共享，并支持具有共同关注点(例如任务、安全要求、策略、以及合规性考虑)的特定社区。它可以由组织或第三方管理，并且可以是内部部署或外部部署。

公共云：云基础设施可供一般公众或大型行业集团使用，并由销售云服务的组织所有。

混合云：云基础设施是两个或更多个云(私有云、社区云或公共云)的合成，它们仍然是独特的实体，但通过标准化的或专有的技术绑定在一起，从而实现数据和应用程序的可移植性(例如用于云之间的负载平衡的云爆发)。

云计算环境是面向服务的，侧重于无状态、低耦合、模块化和语义互操作性。云计算的核心是包括互连节点网络的基础设施。

现在参考图1，描绘说明性的云计算环境10。如图所示，云计算环境10包括一个或多个云计算节点12，内部部署计算装置14a-e可以与之通信。内部部署计算装置14a-e通常连接到内部部署局域网(lan)17、广域网(wan)或蜂窝等，以促进与云计算节点12的通信。例如，内部部署计算装置可以是个人数字助理(pda)或蜂窝电话14a、台式计算机/终端/服务器14b、膝上型计算机14c、车辆14d或安全或访问控制面板14e。计算装置14a-e还可以被配置为彼此通信或与各种传感器16通信。根据需要，与其他计算装置14a-e或传感器16的通信可以是有线的或无线的。如果需要，通信也可以通过局域网(lan)进行，如箭头17所描绘。云计算节点12可以在一个或多个网络中(例如如上所述的私有云、社区云、公共云或混合云)或者在其一个或多个组合中彼此通信和/或被物理地或虚拟地分组(未示出)。这允许云计算环境10提供基础设施、平台和/或软件即服务，云用户不需要为此维护本地计算装置级别的资源或使其最小化。应理解，图1中示出的计算装置14的类型仅旨在说明，并且计算节点12和云计算环境10可以通过任何类型的网络和/或网络可寻址连接(例如使用web浏览器)与任何类型的计算机化装置通信。

现在参考图2，示出由云计算环境10(图1)提供的一组功能抽象层。应事先理解，图2中所示的部件、层和功能仅旨在为说明性的，并且各实施方案不限于此。如所描绘的，提供了以下层和相应的功能。

硬件和软件层60包括硬件和软件部件。硬件部件的示例包括：主机61；基于risc(精简指令集计算机)架构的服务器62；服务器63；刀片服务器64；存储装置65；以及网络和组网部件66。在一些实施方案中，软件部件包括网络应用服务器软件67和数据库软件68。

虚拟化层70提供抽象层，从该抽象层可以提供以下虚拟实体的示例：虚拟服务器71；虚拟存储装置72；虚拟网络73，包括虚拟专用网络；虚拟应用程序和操作系统74；以及虚拟客户端75。

在一个示例中，管理层80可以提供下面描述的功能。资源提供81提供用于在云计算环境内执行任务的计算资源和其他资源的动态采购。计量和定价82提供资源在云计算环境中被利用时的成本跟踪，以及用于使用这些资源的计费或发票。在一个示例中，这些资源可以包括应用程序软件许可。安全提供对云用户和任务的身份验证，以及对数据和其他资源的保护。用户门户83为用户和系统管理员提供对云计算环境的访问。服务级别管理84提供云计算资源分配和管理，使得满足所需的服务级别。服务级别协议(sla)规划和实现85提供云计算资源的预先安排和采购，对于该云计算资源，根据sla预期了未来需求。

工作负载层90提供可以利用云计算环境的功能的示例。可能从该层提供的工作负载和功能的示例包括：映射和导航91；软件开发和生命周期管理92；虚拟教室教育交付93；数据分析处理94；交易处理95；以及跨多个通信系统的消息处理96。

根据本公开的各种实施方案，提供了用于在混合模式云/内部部署环境中提供具有安全通信的安全管理解决方案的方法、系统和计算机程序产品。在一个或多个示例性实施方案中，本文公开了一种用于确保内部部署应用程序与基于云的应用程序之间的安全通信而没有显著影响或内部部署配置的简化方案。根据一个或多个实施方案，实现云计算混合模式云/内部部署安全管理解决方案可以提供诸如安全通信、网络主机名解析、网络传输层安全、认证授权和许可的优点。

参考图3，示出用于给定计算装置14的处理系统100的实施方案，其可用于实现本文的教导。在本实施方案中，系统100具有一个或多个中央处理单元(处理器)101a、101b、101c等(统称为处理器101)。在一个实施方案中，每个处理器101可以包括精简指令集计算机(risc)微处理器。处理器101经由系统总线113耦合到系统存储器114和各种其他部件。只读存储器(rom)102耦合到系统总线113，并且可以包括基本输入/输出系统(bios)，其控制系统100的某些基本功能。

图3还描绘耦合到系统总线113的输入/输出(i/o)适配器107和网络适配器106。i/o适配器107可以是与硬盘103和/或磁带存储驱动器105或任何其他类似部件通信的小型计算机系统接口(scsi)适配器。i/o适配器107、硬盘103和磁带存储装置105在此统称为大容量存储装置104。用于在处理系统100上执行的操作系统120可以存储在大容量存储装置104中。网络适配器106将总线113与外部网络116互连，使得数据处理系统100能够与其他此类系统通信。屏幕(例如显示监视器)115通过显示适配器112连接到系统总线113，显示适配器可以包括图形适配器以改善图形密集型应用程序和视频控制器的性能。在一个实施方案中，适配器107、106和112可以连接到一个或多个i/o总线，这些i/o总线通过中间总线桥(未示出)连接到系统总线113。用于连接诸如硬盘控制器、网络适配器和图形适配器的外围装置的合适的i/o总线通常包括通用协议，例如外围部件互连(pci)。附加输入/输出装置被示为通过用户接口适配器108和显示适配器112连接到系统总线113。键盘109、鼠标110和扬声器111都通过用户接口适配器108互连到总线113，用户接口适配器可以包括例如将多个装置适配器集成到单个集成电路中的超级i/o芯片。

因此，如图3中所配置的，系统100包括处理器101形式的处理性能、包括系统存储器114和大容量存储装置104的存储性能、诸如键盘109和鼠标110的输入装置、以及包括扬声器111和显示器115的输出性能。在一个实施方案中，系统存储器114和大容量存储装置104的一部分共同存储操作系统以协调图3中所示的各种部件的功能。应理解，所描述的系统的部件仅用于说明目的。可以根据需要省略、集成或分配所描述的特征和功能，以适应特定应用程序。

现在转向图4，部分混合模式云/内部部署安全管理系统200和方法的图示，其将允许企业在首先针对基于云的应用程序进行认证后以安全方式无缝访问基于云的以及内部部署的应用程序。在图中，描绘基于云的部件(如图2所描绘)与内部部署部件之间的互连和通信的细节。在实施方案中，该方法包括提供云应用程序和启动器ui234的基于云的部分或功能230、用于授权管理的用户安全许可232、用于内部部署服务器的安全通信网络主机名解析(dns)236、网络传输层安全认证、授权，即基于web的单点登录/联合身份提供商、数字证书生成以及许可管理238。内部部署部分210向企业提供使用上述云应用程序注册唯一名称、性能和网络地址的能力，验证云应用程序提供的凭证信息的能力。系统200的内部部署部分210包括一个或多个内部部署计算装置14a-e(如图1所示)，包括但不限于处理系统100或其一部分(如参考图3所述的)。每个内部部署计算装置14可以是安全面板、控制装置、移动装置、服务器或云网关等。如关于图1所述的，内部部署部分还可以包括传感器16和彼此通信的其他装置14。通常显示为212的内部部署客户端采用内部部署计算装置214来根据需要执行应用程序。在安全或访问控制应用程序中，计算装置14可以是安全或访问控制面板或服务器，并且传感器16可以是可以被系统采用的各种传感器。例如，运动传感器、占用传感器、门或窗传感器、门读取器等。

本文描述的实施方案是在具有安全通信的混合云/内部部署解决方案中实现的定向访问控制安全管理解决方案。在一个或多个示例性实施方案中，如本文所公开的，提供了一种用于确保内部部署应用程序与基于云的应用程序之间的安全通信而没有显著影响或内部部署配置的简化方案。有利地，在一个或多个实施方案中，所描述的方法消除了对维护与云的安全通信的安全通道和专用接口和编程的需要，允许了防篡改许可、集中式授权管理和多租户，并且实现了到完全云托管解决方案的渐进路径。

设置和初始化

现在同样转向图5，提供了描绘混合模式云/内部部署安全管理方法500的流程图。在实施方案中，为了便于实现并允许企业以安全方式无缝访问基于云的和内部部署的应用程序，进行初始设置或调试以针对基于云的应用程序建立认证。也就是，在内部部署装置与基于云的应用程序之间建立安全通信。首先，如在过程步骤505处所描绘的，将安全系统200的新的内部部署装置214(装置、服务器或云网关)放置在内部并通电。在过程步骤510处，内部部署装置214生成一组加密非对称密钥。这些密钥是使用传统的众所周知的过程生成的，并且被保存以便稍后在过程中用作认证的一部分以便于建立安全通信。然后，内部部署装置214在如线211所描绘的过程证书生成238处使用由安全系统200提供的众所周知的名称(例如“https：//registration.security.lenel.com”)连接到基于云的服务230，并传输其网络/ip地址(例如‘192.168.1.2’)以及其自身的固件版本和性能列表，如过程步骤515处所描绘的。通常，在制造时将众所周知的名称编程到内部部署装置214中。在过程步骤520处，基于云的服务证书生成过程238为云系统的名称空间内的内部部署装置214生成唯一的名称/假名。(例如“14992568-5e09-48d2-beb2-be87186636fe.security.lenel.com”)。基于云的服务230设置其dns服务236以将名称‘14992568-5e09-48d2-beb2-be87186636fe.security.lenel.com’解析到由内部部署装置214提供的网络/ip地址(例如‘192.168.1.2’)，如在过程步骤525处所描绘的，然后将其传输回内部部署装置214，如线237所描绘的。内部部署装置214接收唯一名称/假名，然后使用先前生成的加密密钥生成唯一名称/假名的数字证书签名请求(csr)，如过程步骤530处所描绘的，并将csr传输到基于云的服务230，如线215所描绘的。在过程步骤535处，证书生成服务238处的基于云的服务230自动联系受信任的第三方认证机构(ca)250(例如entrust.com)，并使用所提供的csr来请求新的数字证书，如线217所描绘的。ca发布证书并将其传输回基于云的服务230。然后，基于云的服务230将证书传输到内部部署装置214。最后，在过程步骤540处，内部部署装置214被配置为使用新生成的证书。现在，客户被配置为通过网页使用基于云的服务230以授权新添加的内部部署装置214成为其安全或访问控制系统200的一部分。此时，系统准备好与新的内部部署装置214一起使用。

用户连接

现在同样转向图6，描述了客户的交互以实现提供安全系统200的期望功能。在图6中，提供了描绘混合模式云/内部部署安全管理方法600的流程图。在实施方案中，如过程步骤605处所描绘的，完成了如图5所描绘和如上描述的调试过程500。然后，为了发起通信，寻求使用安全或访问控制系统200的企业客户使用其计算机/平板电脑/电话/具有互联网功能的装置上的互联网web浏览器216(示为内部部署客户端)或应用程序甚至另一个计算装置14a-e来连接到上面标识的众所周知的web地址以获得访问并开始使用安全系统200(例如“https：//customer.security.lenel.com”)，如线221所示。在应用程序和启动器234以及客户端浏览器216处基于云的系统230协商tls保护的会话以验证身份并确保通信的安全。然后，客户使用他们的用户名和密码(或其他/另外的认证方式)来如线213所示在用户安全许可服务232处向基于云的系统230证明他们的身份，正如标准登录的一部分，其中基于云的系统230验证所提供的凭证，并且如果凭证有效，则接受连接，如过程步骤610处所描绘的。此时，已经建立了客户端web浏览器216与基于云的应用程序230之间的通信，如过程步骤615处所描绘的，执行的认证用户和基于云的应用程序230的认证可以依靠通过客户端web浏览器216向用户提供信息。客户现在能够使用基于云的系统230的应用程序234来执行他们被授权执行的任何动作。

在实施方案中，如果客户希望执行需要与内部部署系统210交互的动作，则采用以下附加步骤来与内部部署装置214建立认证和安全通信。现在同样转到图7，描绘了一个流程图，所述刘流程图描绘用户通过web浏览器216连接到内部部署装置214的过程。在过程步骤705处，用户尝试使用如上所述并且再次在线221处描绘的客户端web浏览器216连接到内部部署装置214以完成用户请求。基于云的系统230收集与经过认证的用户相关联(如上面过程600中参考图6描述的)并且与内部部署系统210相关的权利/安全声明/其他数据，以加密方式对它们进行签名并将其传输到客户端浏览器216，如线225所描绘的和如过程步骤710处所示的。可选地，客户端浏览器216可以将信息存储为httpcookie227以供后续使用，如过程步骤715处所描绘的。

继续过程步骤720，启动器服务234处的基于云的系统230将客户端浏览器216重定向到url，该url包括在设置期间注册的名称(如上面参考图5描述的并且如线229所示的)。(例如‘https：//14992568-5e09-48d2-beb2-be87186636fe.security.lenel.com/on-premises-app/’)。应注意，基于云的系统230可以可选地包括作为url参数或http标头的权限/安全声明/其他数据。此外，该数据可以以加密方式签名。最终，客户端浏览器216现在将尝试连接到注册名称，如过程步骤725处所描绘的。为了建立连接，客户端浏览器216需要将名称解析回ip地址，如果是该客户端第一次使用该名称，则需要进行域名系统(dns)解析。以下是标准(rfc1034和rfc1035)步骤顺序，例如，(https：//www.ietf.org/proceedings/42/slides/nat-heffeman-slides-98aug/sld001.htm)。客户端浏览器216联系本地网络内部部署dns服务器218。内部部署dns服务器218将请求发送到dns根服务器(https：//www.iana.org/domains/root/servers)(未示出)。根dns服务器将内部部署dns服务器218引用到基于云的系统的dns服务器236，如线231所描绘的。内部部署dns服务器218向基于云的系统的dns服务器236发送请求。基于云的系统的dns236服务器使用内部部署装置214的ip地址回复内部部署dns服务器218。然后，内部部署dns服务器218使用完成的解析结果ip地址回复客户端浏览器216。现在转到过程步骤730，一旦地址被解析，客户端浏览器216就连接到内部部署装置214并开始协商tls会话以保证未来的传输。内部部署装置214参与协商并在如上参考图5所述的设置的过程中将发布给它的证书传输到客户端浏览器216，如线233所示。然后，客户端浏览器216可以以加密方式验证证书。一旦建立连接，客户端浏览器216就将基于云的系统230先前提供的url参数和/或标头(通常称为声明/许可)传送到内部部署装置214，如过程步骤735处所描绘的。有利地，内部部署系统装置214现在可以可选地请求访问临时存储的数据(例如，与可选地存储或存储为httpcookie的与内部部署装置相关的用户相关联的信息)并且客户端浏览器216将会提供它，因为它们共享同一上级子域。

继续过程步骤740，内部部署应用程序以加密方式验证来自权威来源(基于云的系统230)的数据/声明/权利。然后，用户请求内部部署装置214的期望动作，并且如果(之前提供的)权利/声明允许执行，则安全系统200的内部部署装置214执行所请求的动作。可选地，客户端web浏览器216将结果/数据存储在cookie227中，以在稍后的时间访问基于云的服务器230，如过程步骤745处所描绘的。用户可以继续使用内部部署装置214，或者可以被重定向回基于云的系统地址。有利地，下一次通过客户端web浏览器216进行操作的用户需要访问内部部署装置214时，由于dns解析结果缓存或tls会话恢复，根据相关标准可以缩短或跳过上面一些查找或安全协商。

尽管仅结合有限数量的实施方案详细描述了本公开，但应容易理解，本公开不限于这些公开的实施方案。相反，可以修改本公开以并入有任何数量的变型、变更、替换、组合、子组合或之前未描述的等效布置，但是它们与本公开的范围相当。此外，虽然已经描述了本公开的各种实施方案，但是应理解，本公开的各方面可以仅包括一些所述实施方案。

以下定义和缩写用于解释权利要求和说明书。本文使用的术语仅用于描述特定的实施方案的目的，而不旨在为限制性的。如本文所使用的，单数形式“一”、“一个”和“该”旨在也包括复数形式，除非上下文另有明确说明。术语“一个”、“至少一个”和“一个或多个”可以被理解为包括大于或等于一的任何整数，即一个、两个、三个、四个等。术语“多个”可以被理解为包括大于或等于二的任何整数，即两个、三个、四个、五个等。术语“连接”可以包括间接“连接”和直接“连接”。

还应理解，本说明书中使用的术语“包括(comprises)”和/或“包括(comprising)”、“包括(includes)”、“包括(including)”、“具有”或“含有”或其任何其他变更指定存在所述特性、整数、步骤、操作、元件和/或部件，但并不排除存在或附加一个或多个其他特性、整数、步骤、操作、元件、部件和/或其组合。术语“示例性”在本文中用于表示“用作示例、实例或说明”。本文中描述为“示例性”的任何实施方案或设计不必被解释为优于或好于其他实施方案或设计。

说明书中对“一个实施方案”、“实施方案”、“示例实施方案”等的引用指示所描述的实施方案可以包括特定的特性、结构或特征，但是每个实施方案可以包括或不包括特定的特性、结构或特征。而且，这些短语不一定指的是相同的实施方案。此外，当结合实施方案描述特定特性、结构或特征时，提出的是本领域技术人员已知可以结合其他实施方案影响这种特性、结构或特征，不管是否已明确描述。

所附权利要求中的所有装置或步骤加功能元件的相应结构、材料、动作和等同物旨在包括用于结合如具体要求保护的其他要求保护的元件执行功能的任何结构、材料或动作。已经出于说明和描述的目的给出了描述，但是并不旨在穷举或限制所公开形式的实施方案。在不脱离公开的范围的情况下，许多修改和变化对于本领域普通技术人员来说是明显的。为了最好地解释本公开的原理和实际应用，并使本领域其他普通技术人员能够理解具有适合于预期的特定用途的各种修改的各种实施方案，选择和描述了这些实施方案。

这些实施方案可以是任何可能的技术细节集成级别的系统、方法和/或计算机程序产品。该计算机程序产品可以包括一个(或多个)计算机可读存储介质，其上具有计算机可读程序指令，用于使处理器执行本公开的各方面。

计算机可读存储介质可以是有形装置，其可以保留和存储供指令执行装置使用的指令。计算机可读存储介质可以是例如但不限于电子存储装置、磁存储装置、光存储装置、电磁存储装置、半导体存储装置或前述的任何合适的组合。计算机可读存储介质的更具体示例的非详尽列表包括以下内容：便携式计算机磁盘、硬盘、随机存取存储器(ram)、只读存储器(rom)、可擦除可编程只读存储器(eprom或闪存)、静态随机存取存储器(sram)、便携式光盘只读存储器(cd-rom)、数字通用光盘(dvd)、存储棒、软盘、机械编码装置(如在其上记录有指令的凹槽中的打孔卡或凸起结构)、以及前述的任何合适的组合。本文使用的计算机可读存储介质不应被解释为暂时性信号本身，例如无线电波或其他自由传播的电磁波、通过波导或其他传输介质传播的电磁波(例如通过光纤电缆的光脉冲)或通过电线传输的电信号。

本文描述的计算机可读程序指令可以通过网络(例如互联网、局域网、广域网和/或无线网)从计算机可读存储介质下载到对应计算/处理装置或下载到外部计算机或外部存储装置。该网络可以包括铜传输电缆、光传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理装置中的网络适配器卡或网络接口从网络接收计算机可读程序指令，并转发计算机可读程序指令以存储在对应计算/处理装置内的计算机可读存储介质中。

用于执行本公开的操作的计算机可读程序指令可以是汇编指令、指令集架构(isa)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、用于集成电路的配置数据或者用一种或多种编程语言的任何组合编写的源代码或目标代码，包括诸如java、smalltalk、c++等的面向对象的编程语言，以及诸如“c”编程语言或类似编程语言的传统程序编程语言。可以完全在用户的计算机上，部分地在用户的计算机上，作为独立软件包，部分地在用户的计算机上和部分地在远程计算机上或完全在远程计算机或服务器上执行计算机可读程序指令。在后一种情况下，远程计算机可以通过任何类型的网络连接到用户的计算机，包括局域网(lan)或广域网(wan)，或者可以(例如通过互联网使用互联网服务提供商)连接到外部计算机。在一些实施方案中，包括例如可编程逻辑电路、现场可编程门阵列(fpga)或可编程逻辑阵列(pla)的电子电路可以通过利用计算机可读程序指令的状态信息来使电子电路个性化来执行计算机可读程序指令，以便执行本公开的各方面。

本文参考根据实施方案的方法、设备(系统)和计算机程序产品的流程图示和/或框图来描述根据一个或多个实施方案的各方面。将理解，流程图示和/或框图的每个框以及流程图示和/或框图中的框的组合可以通过计算机可读程序指令实现。

这些计算机可读程序指令可以被提供给通用计算机、专用计算机或其他可编程数据处理设备的处理器以产生机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令来创建用于实现一个或多个流程图和/或框图的框中指定的功能/动作的装置。这些计算机可读程序指令还可以存储在计算机可读存储介质中，该计算机可读存储介质可以指示计算机、可编程数据处理设备和/或其他装置以特定方式运行，使得其中存储有指令的计算机可读存储介质包括一种制品，该制品包括实现流程图和/或框图的框中指定的功能/动作的各方面的指令。

计算机可读程序指令还可以被加载到计算机、其他可编程数据处理设备或其他装置上，以使得在计算机、其他可编程设备或其他装置上执行一系列操作步骤以产生计算机实现的过程，使得在计算机、其他可编程设备或其他装置上执行的指令实现在流程图和/或框图的框中指定的功能/动作。

附图中的流程图和框图示出根据各种实施方案的系统、方法和计算机程序产品的可能实现方式的结构、功能和操作。就这一点而言，流程图或框图中的每个框可以表示指令的模块、片段或部分，其包括用于实现指定逻辑功能的一个或多个可执行指令。在一些替代实现方式中，框中标注的功能可以以并非附图中标注的顺序发生。例如，连续示出的两个框实际上可以基本上同时执行，或者这些框有时可以以相反的顺序执行，这取决于所涉及的功能。还应注意，框图和/或流程图示的每个框以及框图和/或流程图示中的框的组合可以由执行指定功能或动作或执行专用硬件和计算机指令的组合的基于专用硬件的系统来实现。

已经出于说明的目的呈现了对各种实施方案的描述，但并不旨在穷举或限制所公开的实施方案。在不脱离所描述实施方案的范围和精神的情况下，许多修改和变化对于本领域普通技术人员来说将是明显的。选择本文使用的术语是为了最好地解释所述实施方案的原理，对市场中发现的技术的实际应用或技术改进，或使本领域其他普通技术人员能够理解本文公开的实施方案。

因此，本公开不应被视为受前述描述的限制，而是仅受所附权利要求的范围限制。