使用客户机健康实施框架在网络中认证的制作方法

专利名称：使用客户机健康实施框架在网络中认证的制作方法
使用客户机健康实施框架在网络中认证
背景技术：
对于大多数专用网络，在允许客户机计算机访问网络上的资源之前需要某种形式的认证。在计算机或计算机的用户提供可能基于一个或多个“因素”的认证信息时，可认证客户机计算机。因素可以是用户拥有的某物，如智能卡，或者是用户知道的某事，如密码，或者是用户的某属性，如指纹或眼睑读取。认证所需的这些因素的数目可取决于不正确地授予访问权的风险或客户机计算机未被授权访问网络的可能性。认证信息可直接基于这些因素中的一个或多个。在其它情况下，认证信息可从这些因素中的一个或多个中间接地得出。客户机计算机可向网络管理员信任的源提供这些因素中的一个或多个，然后该源可发放证书，从而将设备标识为有效客户机。证书可单独或结合其它因素来认证客户机计算机。不管信息是如何获得的，它可用作客户机计算机和访问控制机制之间交换的一部分，使得访问控制机制只在客户机可被认证的情况下才授予访问权。可采用各种机制来实施是对客户机授予还是拒绝授予访问权的确定。通常，在认证过程之后，使用认证信息以及附加参数执行授权过程来确定特定客户机的访问权限。网络的特定机制可取决于网络的传输层的实现。一般而言，一旦客户机被认证，传输层将向客户机消息或从客户机路由消息。对于未被认证的设备，即使它物理连接到网络，传输层也不向该设备或从该设备传递消息。与上文不相关的网络管理员的第二问题是“客户机健康实施”。在此上下文中，“健康”指示设备的保护组件的配置。这些组件可以是软件工具，如反病毒软件或防火墙。或者， 保护组件可以是操作系统的一部分，如补救文件管理系统中漏洞的补丁或其它操作系统组件。定义组件的健康的配置信息可包括诸如为组件设置的操作参数的数据，还可包括组件的操作状态，如它是运行的还是禁用的。不具有保护组件的、或不正确配置的、或禁用保护组件的客户机计算机存在感染计算机病毒的风险，或者易遭受恶意方的攻击，造成网络风险。如果给予感染病毒的计算机网络访问权，那么病毒将很容易在网络中传播，尤其是专用网络。专用网络通常被配置成防护来自网络外的攻击。它们通常较少地被配置成防护来自网络上设备的威胁，因为假设网络上的所有客户机都是可信的，而且信息在可信设备之间的自由流动是所期望的。由于其不良的健康而暴露于来自外部方攻击的设备将成为恶意方获得对整个专用网络的访问权的管道。因此，“健康”不良的客户机设备将被排除或仅给予对专用网络的有限访问权。由于这些原因，许多专用网络使用某种形式的客户机健康实施。作为示例，美国华盛顿州雷蒙德市的微软公司提供名为Network Access I^rotection (网络访问保护 )的健康实施框架。在使用该框架的网络中，即使可向网络认证设备，该设备最初也不允许访问或者不允许继续网络访问，除非它向健康策略服务器提供可接受的健康陈述。健康陈述指示客户机设备上保护组件的配置。如果健康陈述指示设备顺应网络策略，那么健康策略服务器可向网络访问控制机制指示可允许该设备访问。另一方面，如果健康陈述不顺应网络策略，那么健康策略服务器可向网络访问控制机制指示不允许该设备访问。对于拒绝访问的设备，健康策略服务器还可以通知该设备客户机不顺应的理由，从而客户机可自行补救。

发明内容
通过使用客户机健康实施框架执行认证服务来改进网络管理。客户机健康实施框架适于通过将认证信息格式化为健康陈述的一部分来认证客户机设备。产生并确认认证信息的组件可使用接口结合到系统中，这些接口可以另外存在于客户机健康实施框架中。因此，设备认证可容易地结合到为客户机健康实施配置的任何网络中。另外，由于认证组件依赖于客户机健康实施系统来实现向设备授予还是拒绝授予网络访问权的决定，因此认证组件不需要与实施机制相连。结果，认证方法可以增加或改变而不需要改变网络协议或实施机制。同样，可使用相同的认证组件，而不考虑下层的网络传输。由于认证组件依赖于客户机健康实施系统的功能，因此认证组件相对简单并且能容易地用不同实施机制来操作。以上是对由所附权利要求定义的本发明的非限定性的概述。附图简述附图不旨在按比例绘制。在附图中，各个附图中示出的每一完全相同或近乎完全相同的组件由同样的标号来表示。出于简明的目的，不是每一个组件在每张附图中均被标号。在附图中

图1是根据本发明的实施例的其中可认证客户机设备的示例网络环境的略图；图2是图1的客户机设备和健康策略服务器中的组件的体系结构框图；图3A、3B、3C和3D是示出可用于图2所示的组件之间的通信的消息的配置的示例的略图；以及图4是根据本发明的某些实施例操作网络的方法的示例过程的流程图。详细描述发明人认识到且明白对将认证功能结合到客户机健康实施框中架的期望。由于该方法依赖于客户机健康实施框架来实现对授予还是拒绝授予网络访问权的决定，因此认证组件可以相对简单。结果，认证可以容易地实现，或者认证方法可以容易地改变。例如，认证方法可以容易地组合。另外，由于认证通过客户机健康实施框架而独立于实施机制，因此认证方法可以增加或改变，而不用改变下层的网络传输协议或实施机制。另外，客户机健康实施框架的功能可适于提供认证相关的功能。作为示例，客户机健康实施系统中支持基于客户机健康状态的改变来改变网络访问的功能可用于实现记录响应于用户输入或者在不活动超时时间段之后设备从网络断开的功能。作为另一示例，常规上由客户机健康实施框架提供的类型的健康陈述回复可用于向设备提供质询，该质询实现信道绑定以增加安全性。认证组件可使用接口结合到客户机健康实施框架中，这些接口存在用于将健康实施组件接入框架。虽然认证系统通常是刚性的，但是发明人认识到且明白，诸如网络访问保护""框架的客户机健康实施系统包括简单且容易获得的接口以增加新的健康实施组件，这是因为网络访问保护 框架依赖于第三方在可用的保护软件改变时提供健康组件。
在客户机健康实施框架中，其中由被设计为收集有关不同保护组件的信息的健康陈述代理收集关于客户机设备的健康信息，客户机认证组件可以与健康陈述代理相同的方式连至框架。虽然不提供有关保护组件的配置信息，但是这种认证组件可与用户和/或一个或多个设备交互以获得认证信息。认证信息然后可被提供给客户机健康访问代理，客户机健康访问代理然后可将它作为健康陈述的一部分提供给框架中存在的健康策略服务器。在健康策略服务器上，健康陈述中与保护组件的配置相关联的部分可提供给作为框架一部分的组件健康确认器。用于确定是否授权客户机访问网络的认证组件可使用与用于结合组件健康确认器相同的接口结合到健康策略服务器中。因此，当未提供合适的认证时，服务器以与其接收客户机未被适当配置的指示相同的方式，从认证组件接收不允许客户机网络访问的指示。作为响应，服务器向用于客户机健康实施的相同实施机制指示不应授予网络访问权。与客户机健康实施系统结合以支持认证的组件除了授予或拒绝授予访问权外，还可利用客户机健康实施系统的功能。例如，在健康陈述被更新为指示不顺应健康状态的情况下撤消网络访问的客户机健康实施系统中，客户机认证组件可使用触发更新健康陈述的接口来指示认证状态的改变。例如当客户机认证组件接收到明确的用户输入或检测到指示授权用户不再使用客户机设备的用户不活动时间段时，客户机认证组件可发送该触发。作为另一示例，向客户机设备指示需要什么补救的客户机健康实施系统的特征可适用于执行认证相关的功能，如信道绑定或执行涉及信息来回交换的其它协议。此处描述的技术可用于任何合适的客户机健康实施框架。具有这种框架的计算机系统的示例实施例在图1中示出。图1示出计算机系统100的略图，计算机系统可由常规计算机系统中所使用的设备构造。然而，计算机系统100与常规计算机系统的不同之处在于计算机系统100中的设备被编程为允许客户机认证使用客户机健康实施框架的功能。计算机系统100包括专用网络，在此示为受管网络120，它具有连接到网络的多个资源，如服务器124。客户机设备可连接到网络并访问网络资源。然而，网络是专用的，因为对网络的访问可只限于被授权的客户机设备。在该示例中，受管网络120可以是公司或企业中的网络。或者，受管网络120可以是较大网络的域或其它部分。受管网络120可由提供网络访问准则的个人或实体管理。在此处描述的示例系统中，访问准则包括健康策略和可标识经授权的客户机设备的信息。健康策略可以是本领域中公知的健康策略。例如，健康策略可以规定设备必须已安装且正运行反病毒软件包的某个版本，或者设备具有特定防火墙版本，该特定防火墙版本已安装并启用可阻止被视为不安全的网络通信的特定设置。然而，可采用现在已知的或将来开发的任何健康策略或健康策略的组合。至于可标识经授权的客户机设备的信息，可使用任何合适的信息。在某些实施例中，可认证设备，因为设备的用户已被授权访问网络。在这些实施例中，认证信息可以与设备的用户相关。另外，授权整个物理计算机访问网络不是必须的。例如，如果计算机支持多个用户会话，那么可只授权用户会话的一个子集访问网络。在这些实施例中，认证信息可以与一个或多个特定用户会话相关。因此，本发明不受向其提供认证的实体的类型的限制。如图1所示，受管网络120包括网络设备，如服务器124以及客户机IlOB和110C。此处广域网(WAN) 122示为互连网络设备。为了简化说明示出该配置。受管网络可包括除图1中所示之外的多个设备。同样，单个WAN 122作为受管网络120的互连体系结构的示例示出，但是受管网络可包括不同的或附加的互连体系结构。设备可经接入点连接至受管网络120。为了简化，示出单个接入点116。图1的示例示出客户机IlOB和IlOC已经被给予对受管网络120的访问权。图1示出客户机IlOA 经接入点116寻求连接到受管网络120，因此它示为位于受管网络120之外。接入点116可以是无线接入点、硬接线接入点或任何其它类型的接入点，无论是现在已知还是将来开发的。在图1的示例中，接入点116包括切换设备118和健康策略服务器112。如以下将更详细描述的，健康策略服务器112可经由接口 113或以任何其它合适的方式配置。切换设备118表示可包括在网络中的任何多种类型的切换设备。此处，切换设备 118示出网络的传输层的组件。切换设备118可以是诸如路由器、开关、集线器、网关或任何其它合适切换设备的设备。虽然在商业实现中，可以有多个切换设备用于经网络适当地路由分组，但为了简明只示出一个这样的设备。在操作中，当诸如客户机IlOA的客户机寻求访问受管网络120时，健康策略服务器112确定是否应当给予客户机IlOA对受管网络120的访问权。健康策略服务器112被编程为根据客户机健康策略来确定是授予还是拒绝授予网络访问权。健康策略服务器112 可基于设备的健康状态确定是否可授予设备网络访问权。另外，健康策略服务器112还可以被配置成认证客户机。健康策略服务器112将网络访问权的确定传送至实施机制。实施机制可包含在网络120的传输层中。例如，健康策略服务器112可与切换设备118通信，指示切换设备在授予设备网络访问权的情况下应当将网络分组路由至该设备或从该设备路由网络分组，或者在拒绝授予网络访问权的情况下不应当将网络分组路由至该设备或从该设备路由网络分组。特定实施机制和健康策略服务器112经其与实施机制通信的特定机制对本发明并不重要。然而，为了实现健康策略服务器112，采用与实施机制的通信，这可根据已知通信机制执行。如此处所述，相同的实施机制和用于客户机健康实施的通信机制可用于将网络访问仅限于经授权的设备。为了实现认证，健康策略服务器112可接收关于诸如客户机IlOA的客户机的认证信息。认证信息可以用任何合适的方式来获得。认证信息可完全或部分基于经设备的用户接口输入至客户机设备IlOA的信息。作为替换或补充，认证信息可以完全或部分基于与外部设备的交互。在这种情形下，认证信息可以是用外部设备执行的成功认证的证据。这种证据可以是证书或其它安全口令形式的。外部设备可这样提供认证信息，健康策略服务器 112可使用认证信息来确定是否授予访问权，以及在实施机制支持多个访问权级别情况下授予适当级别的访问权。在图1所示的实施例中，外部设备是认证服务器150。认证服务器150可以任何合适的方式认证设备。如图所示，认证服务器150可维持关于经授权设备的信息的数据存储 152，该信息可用于标识设备是否被授权。如果使用二因素认证，数据存储152可包含经授权设备和安全信息的列表，安全信息诸如是应当由每个经授权设备提供的口令。然而，可使用任何其它合适的方法，并且数据存储152可包含认证经授权设备中所用的不同或附加类型的信息，包括经授权设备的预存密钥或其它安全信息。在所示的实施例中，客户机IlOA示为经诸如因特网的公共网络130访问认证服务器150。在该实施例中，客户机IlOA和认证服务器150之间的通信可被加密或以其它方式保护。然而，任何合适的机制可用于客户机IlOA和认证服务器150之间的通信。另外，在所示的实施例中，认证服务器示为在网络120之外。其它实施例是可能的，包括使认证服务器150位于网络120上。在客户机健康实施系统的某些实现中，一种 “隔离(quarantine)”形式可以通过提供不同的网络访问权级别来实现。健康状态不顺应健康访问策略的设备可允许有限的网络访问权。对于隔离中的设备，有限的访问权可允许该设备访问服务器，该设备可从服务器获得保护软件、其保护组件的更新或补救客户机使其能顺应网络健康策略所需的其它信息。因此，某些客户机健康实施系统支持对所选网络设备的有限访问。可配置网络120，使得认证服务器152位于网络120上并且是可由被隔离的客户机访问的设备之一。用这种方式，不具有健康策略服务器112所接受的认证信息的设备可被隔离，并允许与认证服务器150通信以获得认证信息。因此，与网络120相关的认证服务器150的位置对本发明来说并不重要。转向图2，示出了可用于实现客户机IlOA和健康策略服务器112的体系结构在所示实施例中，客户机IlOA可使用本领域中已知的用于构造适于连接至网络的计算设备的技术来实现。客户机IlOA示出配有实现客户机健康实施框架的客户机侧的组件。在所示的实施例中，这些组件包括客户机健康访问代理210、健康陈述代理216A、216B、216C、和实施客户机250。如同在常规客户机健康实施框架中一样，客户机健康访问代理210收集与客户机 IlOA上的保护组件相关的健康信息。客户机健康访问代理210将该信息格式化成健康陈述对0，并传送至健康策略服务器112。响应于健康陈述，客户机IlOA可从服务器112接收健康陈述响应M2。如果客户机IlOA足够“健康”而有资格进行网络访问，健康陈述响应242可指示授予访问权。相反， 如果客户机IlOA不健康，健康陈述响应242可指示客户机IlOA上的一个或多个组件需要补救。在某些实施例中，健康陈述响应242还可包括在补救客户机IlOA的过程中有用的信息，如可提供所需升级的补救服务器的位置。在所示的实施例中，客户机健康访问代理210从示为健康陈述代理216A、216B和 216C的健康陈述代理接收健康状态信息。在所示的实施例中，每个健康陈述代理提供关于保护组件的信息。例如，可为反病毒组件、防火墙和操作系统的更新管理器中的每一个提供健康陈述代理。在图2中，示出三个健康陈述代理。然而，该数目是为了简化的目的示出的， 并且可包括任何数目的健康陈述代理。不管客户机IlOA上安装的保护组件的数目和类型以及相关健康陈述代理的数目如何，客户机健康访问代理210使用来自健康陈述代理的信息来开发健康陈述M0。健康陈述240可以是任何合适的形式。在所示的实施例中，健康陈述240可包含用于关于每个保护组件的信息的单独字段，客户机IlOA具有与每个保护组件相关联的健康陈述代理。然而，其它实现是可能的。例如，健康陈述可具有用于网络健康策略所引用的每个保护组件的字段，它指示该保护组件是否安装在客户机IlOA上。或者，来自多个健康陈述代理的信息可聚集成一个或多个组合值，然后将其转发到健康策略服务器112。同样，虽然描述了组合关于多个保护组件的配置信息的单个健康陈述，但是发送单独的健康陈述以传送关于每个保护组件的信息是可能的。在所描述的实施例中，在健康陈述代理和保护组件之间存在一对一对应。虽然一对一对应不是必需的，但这便于客户机健康实施系统的实现，因为健康陈述代理可以随着客户机IlOA的保护组件的增加或移除而增加或移除。如图所示，每个健康陈述代理经相同格式的所定义的接口与客户机健康访问代理 210相连。在该示例中，示出接口 230。每个健康陈述代理可实现为插件，或使用允许健康陈述代理和客户机健康访问代理之间动态链接的其它机制。用这种方式，用户或其它方可容易地在客户机IlOA上安装健康陈述代理，以匹配需要顺应网络健康访问策略的已安装的保护组件。在某些实施例中，健康陈述代理可与保护组件一同提供，但是这种代理可在任何合适的时间从任何合适的源获得。因此，接口 230可支持健康陈述代理在其安装时注册， 从而允许客户机健康访问代理210从任何安装的健康陈述代理获得信息而不管该代理是何时安装的。客户机健康访问代理210与健康陈述代理216A、216B和216C之间的信息交换可由任何合适的一个或多个事件触发，且接口 230可配置成支持这些事件的通信。。例如当客户机IlOA尝试获得对网络的访问权时，客户机健康访问代理210可从每个健康陈述代理 216A、216B和216C请求健康信息，使得代理210可产生健康陈述。作为补充或替换，只要任何保护组件的状态改变，其相关联的健康陈述代理就可向客户机健康访问代理210提供更新，然后可再次触发210以发出更新的健康陈述。不管健康策略服务器112何时从客户机IlOA接收到健康陈述，在最初连接至网络时或是在客户机IlOA连接至网络时，策略服务器112可处理健康陈述以确定客户机IlOA 是否顺应网络健康策略，使得客户机IlOA可被授予对网络的服务器或可继续具有网络访问权。为了处理健康陈述，健康策略服务器可包括服务器健康代理220和一个或多个组件健康确认器，示为组件健康确认器226A、226B和226C。健康策略服务器112可包括对应于每个健康陈述代理的组件健康确认器。每个确认器可配置成将一部分健康陈述与适用于保护组件的健康策略比较。服务器健康代理220 解析健康陈述240并将每个健康陈述代理216A、216B和216C产生的部分提供给对应的组件健康确认器226A、226B或226C。在图2的示例中，示出三个组件健康确认器。然而，该数目是为了说明的目的示出，并且可包括任何合适数目的确认器。虽然该数目的确认器为每个健康陈述代理提供一个确认器，但是健康陈述代理和组件健康确认器之间的一对一关系不是必需的。健康策略服务器可配置成具有的确认器多于任何客户机上的健康陈述代理，从而健康策略服务器可处理来自多个客户机的健康陈述，其中每个客户机可具有不同的保护组件配置。同样，虽然在所示实施例中每个组件健康确认器处理来自单个健康陈述代理的一部分健康陈述，但是在某些实施例中，每个组件健康确认器可处理来自多于一个组件健康确认器的健康信息。不管组件健康确认器的数目有多少，组件健康确认器可经由预定义的接口 232连至服务器健康代理220。接口 232可支持新组件健康确认器的注册，从而允许组件健康确认器动态地链接至服务器健康代理。例如，每个组件健康确认器226A、226B和226C可实现为插件。用这种方式，网络管理员或其它方可容易地在健康策略服务器112上安装组件健康确认器以分析由寻求网络访问的设备上的任何客户机健康代理所提供的健康信息。在操作中，当服务器健康代理220接收到健康陈述时，服务器健康代理220解析健康陈述并将健康陈述240的各部分提供给组件健康确认器。每个组件健康确认器将健康陈述中其相应的部分所包含的信息与健康访问策略比较，并做出基于健康的访问权确定。该确定可指示产生健康陈述的客户机配置有顺应策略或不顺应策略的一个或多个保护组件。 如果一个或多个组件不顺应策略，组件健康确认器也可指示补救客户机使其顺应策略所需的动作。例如，组件健康确认器可指示保护组件的最小软件版本或顺应策略所需的相关联数据文件。不管组件健康确认器所做出的决定的本质如何，来自所有组件健康确认器的结果可被提供给服务器健康代理220。服务器健康代理220可聚集组件健康确认器226A、2^B 和226C所提供的结果，以做出客户机IlOA是否被授予网络访问权的总体决定。在做出总体决定时可使用任何合适的算法来聚集来自组件健康确认器的响应。作为一个示例，只在从所有组件健康确认器接收到的决定指示客户机IlOA上的保护组件顺应网络健康策略时， 才授予访问权。然而，在其它实施例中，可使用对某些形式的不顺应作相比其它不顺应更重的加权并且只在检测到较重加权形式的不顺应或检测到多个较轻加权形式的不顺应时才拒绝授予访问权的算法来授予或拒绝授予访问权。不管用于聚集来自组件健康确认器226A、226B和226C的结果的机制是什么，可在健康陈述响应M2中提供健康评估的结果。通过形成健康陈述响应并将其发送至客户机 110A，服务器健康代理220可发信号通知客户机设备IlOA健康评估的结果。如果客户机 IlOA不顺应网络健康策略，健康陈述响应242中可指示该事实。在这种情形下，健康陈述响应242可指示不顺应的组件。在某些实施例中，健康陈述响应242还可包含关于补救客户机IlOA使之顺应网络健康策略所需动作的信息。除了将关于健康状态的决定传送回客户机110A，服务器健康代理220还可将关于网络访问权的决定传送至实施机制。在图2所示的实施例中，该决定被传送至实施机制中的实施服务器组件260。实施服务器组件沈0向适于接收设备的标识和对该设备的访问权决定的服务器健康代理220呈现已知接口。在所示的实施例中，访问权决定可以是授予网络访问权的决定、授予有限网络访问权的决定(如在客户机补救时隔离该客户机)、或拒绝授予网络访问权的决定。然而，在某些实施例中，实施机制可默认为拒绝授予网络访问权， 并且只在访问权决定为授予至少有限网络访问权时才可使用明确通信。不管服务器健康代理220和实施服务器组件260之间接口的形式如何，实施服务器组件260控制实施机制实现对客户机的访问权决定。实现访问权决定所采用的特定动作可取决于网络的配置和所用的特定实施机制。实施动作例如可包括配置传输层中的切换设备以识别或忽略发往或来自设备的消息作为另一示例，在某些实施例中，实施动作可包括发出网络地址或设置分配给客户机设备的物理地址的期满时间。在客户机IlOA上，客户机健康代理210接收健康陈述响应M2，并基于响应的内容作出响应。如果健康陈述响应242指示需要补救任何组件，客户机健康代理210可将健康陈述响应242的部分提供给与这些组件相关联的客户机健康代理。客户机健康代理然后可补救这些组件，如通过向用户显示信息或自动尝试下载组件更新。因为在所示的实施例中每个健康陈述代理与保护组件相关联，所以可为组件设计补救动作。另外，客户机健康代理210可将访问权决定发送至客户机侧实施组件250。当客户机IlOA被授予至少有限网络访问权时，客户机侧实施组件250可与服务器实施组件260交互以获得网络地址或者以其它方式参与协议以获得网络访问权。用于获得网络访问权的特定动作和特定协议可取决于网络中使用的特定实施机制，但是可使用用于获得网络访问权的已知技术。然而，在所示的实施例中，客户机侧实施组件250和服务器实施组件260之间的交互不需要包括向实施机制认证客户机110A。而是，在所示的实施例中，认证可由认证组件执行，这些认证组件结合到由客户机健康访问代理210和服务器健康代理220提供的客户机健康实施框架中。在图2的实施例中，对客户机IlOA的认证由客户机IlOA上安装的认证代理214 和健康策略服务器112上安装的认证确认器2M执行。认证代理214产生指示客户机IlOA 是否被认证以访问网络120的信息。认证代理214可用任何合适的方式获得这种信息。例如，图2示出认证代理214可经由用户接口 212与用户交互。通过用户接口 212，认证代理 214可获得本领域中已知的信息用于认证客户机设备。该信息可以包括用户名和口令。作为另一示例，通过用户接口 212获得的信息可包括用户的指纹扫描或任何其它合适的信息。作为替换或补充，认证代理可与外部认证机制交互。在图2所示的实施例中，认证服务器150是外部认证机制的示例。认证代理214与认证服务器150通信以获得可提供给认证确认器224以表明客户机IlOA被授权访问网络120的信息。认证确认器2M信任认证服务器150。因此，如果认证服务器150发放顺应X. 509的证书或指示其已认证客户机 IlOA的某些其它令牌，那么认证确认器2M可接收该令牌作为客户机IlOA被认证以访问网络120的指示。然而，认证服务器150指示客户机IlOA被认证以访问网络120的特定格式对本发明并不重要，并且可使用任何合适的机制。作为更具体的示例，认证代理214可经由用户接口 212获得关于客户机设备IlOA 的用户的标识信息。该信息可被提供给认证服务器150。认证服务器150然后可访问包含关于经授权的网络用户的信息的数据存储152。认证服务器150可使用已知的安全技术将经由认证代理214接收到的信息与数据存储152中的信息比较，以确定客户机IlOA的用户是否被授权访问网络120。该比较可使用已知的安全技术作出，尽管可使用任何合适的机制来确定与客户机设备IlOA相关联的用户或其它实体是否被授权网络访问。不管认证代理214如何获得认证信息，可将该认证信息传送至健康策略服务器 112作为健康陈述240的一部分。在所示的实施例中，通过以与健康陈述代理216A、216B和 216C相同的方式将认证代理214连至客户机健康实施框架来将认证信息结合到健康陈述 240中。在图2的实施例中，认证代理214经由接口 230连至客户机健康访问代理210。用这种方式，认证代理214可以与健康陈述代理216A、216B和216C相同的方式向客户机健康访问代理210注册。当客户机健康访问代理210产生健康陈述240时，它因此从认证代理 214获得认证信息，客户机健康访问代理210在其格式化健康陈述240时使用该认证信息。在健康策略服务器112上，服务器健康代理220将接收结合有认证信息的健康陈述对0。服务器健康代理220在解析健康陈述240时将由认证代理214提供的认证信息导向对应的认证确认器224。如图所示，认证确认器224以与组件健康确认器226A、226B和 226C相同的方式经接口 232连至服务器健康代理220。因此，一旦认证确认器2 经接口 232向服务器健康代理220注册，服务器健康代理222可引导认证信息以供在认证确认器 224中进行处理。认证确认器2M可配置成确认健康陈述MO中包含的认证信息是否指示客户机 IlOA被授权网络访问。在认证信息包括来自认证服务器150的证书或其它令牌的实施例中，认证确认器2M可通过确定证书或其它令牌是否由认证服务器150产生来确定客户机设备110是否被认证以便网络访问。认证确认器2M可使用已知方法作出这种确定，如通过将公钥应用于该令牌以确定它是否包含用认证服务器150保存的私钥加密的信息。作为另一示例，认证确认器2 可将接收到的认证信息传送至认证服务器150，并且认证服务器 150可回复客户机IlOA是否被认证的指示。然而，认证确认器2 可采用任何合适的机制来确定是否信任健康陈述MO中的信息作为客户机设备110的认证。认证确认器2M基于对健康陈述240中包括的认证信息的分析可向服务器健康代理220提供是否可授予客户机IlOA对网络120的访问权的指示。认证确认器2M提供的信息可被格式化为与诸如确认器226A、226B和226C的组件健康确认器提供的健康决定相同的格式。在该示例中，认证确认器2M用客户机设备IlOA可被授予访问权、应当被拒绝授予访问权、或应当采取进一步步骤以获得访问权的指示来响应。当需要进一步步骤时，认证确认器2 可将这种指示格式化为与来自组件健康确认器226A、226B或226C的关于客户机IlOA需要补救的指导相同格式的要求。通过使用补救格式，认证确认器2M可提供客户机IlOA所需的信息以执行附加的认证步骤。例如，认证确认器2M可提供可用于执行信道绑定的信息作为“补救”消息的一部分。作为更具体的示例，这种补救消息可包括专为客户机IlOA产生的质询。服务器健康代理220以与其格式化可从组件健康确认器226A、226B和226C获得的其它补救信息相同的方式格式化健康陈述响应M2中的该质询。因此，客户机健康访问代理210 —旦接收到健康陈述响应242就解析健康陈述响应242并以与将补救信息提供给健康陈述代理216A、 216B或216C相同的方式将质询信息提供给认证代理214。因此，客户机健康实施框架提供将质询传递至认证代理214的机制。认证代理214可依次将质询提供给认证服务器150。认证服务器150可将质询结合到其提供给认证代理214的认证信息中。认证代理然后可将包括质询的该认证信息提供给客户机健康访问代理210。客户机健康访问代理210然后可产生新的健康陈述，其包括由认证代理214使用该质询获得的认证信息。该新的健康陈述一旦被服务器健康代理220接收，就将被再次导向认证确认器 224。认证确认器2 —旦接收到具有质询的认证信息，就可确定认证信息是客户机IlOA 新获得的，而不是之前产生的认证信息的副本。作为响应，认证确认器2M可向服务器健康代理2 指示客户机IlOA被认证以便网络访问。服务器健康代理220可组合认证信息和组件健康确认器226A、226B或226C所呈现的指示客户机设备IlOA是否根据网络的健康策略被适当配置的决定。服务器健康代理可使用该组合信息来作出是否可授予客户机设备IlOA网络访问权的总体评估。基于客户机健康访问代理和认证两者的访问权决定可由服务器健康代理220提供给服务器实施组件260。如上所述，服务器实施组件260然后可基于服务器健康代理220 所作的确定适当地配置网络120以允许或阻止客户机IlOA访问。用该技术，服务器实施组件260不需要采取进一步步骤来认证客户机110A，因为该认证已结合到服务器健康代理 220所作的访问权决定中。用于执行认证的组件之间的信息交换可以任何合适的方式格式化。图3A、3B、3C 和3D示出可使用的消息格式的示例。图3A示出可用于认证代理214和诸如认证服务器 150的外部设备之间的初始通信的消息310。在该示例中，消息310可响应于认证代理214 认证客户机设备IlOA的动作从认证服务器150发送至认证代理214。消息310包括保存在认证客户机IlOA时认证服务器150发放的证书的字段312。消息310中的字段314可包括生存时间值、时间戳或指示认证服务器150提供的认证对认证客户机110有效的时间段的其它信息。然而，这种时间值是可任选的并且可用被省略。或者，这种时间值可以包括在证书312中或以其它方式被封装到消息310中。图;3B示出表示诸如健康陈述240的健康陈述的消息320的示例。在该示例中，消息320包含多个字段，每个字段与一健康陈述代理相关联。例如，字段3M示为包含关于反病毒配置的信息。该信息可由与反病毒软件相关联的健康陈述代理产生。同样，字段3 示为包含关于防火墙配置的信息。字段326中的信息可由与安装在客户机IlOA上的防火墙相关联的健康陈述代理产生。字段3 示为包括关于客户机IlOA的补丁配置的信息。该信息可由与客户机IlOA的操作系统中的更新管理器相关联的健康陈述代理产生。用相同的方式，字段330包含安全信息。字段330中的安全信息可由认证代理214 产生。安全信息可包括从认证服务器150的消息310中获得的证书和生存时间信息。然而， 认证代理214可以可被认证确认器2 识别的任何合适的格式来格式化安全信息330。消息320还可包括关于在消息320中提供其信息的组件的数目的信息。如上所述，接口 230允许通过向客户机健康访问代理210注册来向客户机健康实施框架增加组件代理。因此，在不同时间，客户机健康访问代理210具有其相关信息的组件的数目可取决于安装的组件的数目而改变。因此，消息320可包括指示在消息320中提供其信息的组件的数目的字段322。应当理解，字段322是消息320可包含信息的示意性表示，该信息可由服务器健康代理使用以将消息320适当地解析成与特定组件相关联的信息。该信息不是必需如图所示地在单个字段中提供，而是可以经由消息320的格式或使用其它机制提供。不管如何对该“计数”信息格式化，组件的计数包括认证代理214，因为客户机健康访问代理210 将认证代理214视为附加组件代理。图3C示出可以是诸如健康陈述响应M2的健康陈述响应的消息340。如同消息 320 一样，消息340包括指示其相关信息被提供的组件的数目的信息。在作出该计数的过程中，将认证确认器2 视为附加组件。如同消息320 —样，消息340示意性地示为包含指示其相关信息被提供的组件的数目的字段342。然而，任何合适的格式或机制可用于允许客户机健康访问代理210标识在消息340中提供其信息的组件的数目。在该示例中，消息340包含对应于消息320中的字段的每一个的字段。每个字段指示是否需要对相关联的组件进行补救。因此，在图3B和3C的示例中，字段344包含关于是否需补救安装在客户机设备IlOA上的反病毒软件的信息。字段346包含指示是否需补救安装在客户机设备IlOA上的防火墙的信息。字段348包含指示是否需要操作系统的补丁的信息。消息340的每个字段还可包括关于如何执行对组件的补救的信息。字段350可包含认证确认器M2响应于消息320的字段330中包含的安全信息所产生的信息。字段350 中的消息可指示客户机设备IlOA是否被认证以便网络访问。然而，客户机IlOA可能没有需要补救的认证组件，字段350仍然可包含除认证信息是否充分认证客户机110以进行网络访问之外的信息。认证过程期间所用的信息可由认证确认器2M提供并和补救信息一样插入字段350。在某些实施例中，认证确认器2M可将多步骤确认过程中所用的信息作为补救信息打包。因此，字段350可包含由认证确认器2 产生的导向认证代理214以在确认过程中的后续步骤使用的信息。在图3C所示的实施例中，字段350包括可用于执行信道绑定的质询。然而，认证代理214和认证确认器2M之间的认证交换中使用的任何合适信息都可被格式化为补救信息，从而将它经由客户机健康实施框架无修改地传送至服务器健康代理220或客户机健康访问代理210。图3D示出又一消息360，它可由认证代理214响应于接收到补救信息从认证服务器150获得。在图3C所示的实施例中，认证代理214响应于包括如字段350(图3C)中的质询的补救指示，可发起认证服务器150的认证过程。在认证过程中，认证代理214可将来自字段350的质询提供给认证服务器150。因此，当认证服务器150用消息360响应时， 除了包括字段362中的证书和字段364中的生存时间值外(这类似于字段312和314(图 3A)中所包括的内容)，认证服务器150还可以一方式结合质询，该方式允许认证确认器224 识别消息360是响应于其质询而产生的。用这种方式，认证确认器2M可区分认证服务器 150为特定客户机所产生的安全信息和可能已被为其产生安全信息的客户机以外的设备截取并使用的之前产生的认证信息。转向图4，示出图1的系统的操作过程。图4的过程提供了可用于操作网络从而使用客户机健康实施框架来认证客户机的方法的示例。另外，图4示出客户机健康实施框架的特征可适于提供与客户机认证相关联的功能。在所示的示例中，框架响应客户机健康的改变的能力可适于实现与认证相关联的注销功能。图4的过程可响应于可触发设备尝试向网络认证其本身的任何事件而开始。例如，如果客户机IlOA中的设置指示网络120(图1)是客户机IlOA —通电就应当连接的默认网络，那么一旦客户机IlOA通电就发起图4的过程。或者，图4的过程可响应于连接至网络120的用户命令或其它合适的触发事件而开始。不管如何触发图4的过程，该过程在框410处开始。在框410，获得用户输入。该输入提供可用于认证客户机IlOA的信息。用户输入可以是用户名和口令对的形式的。然而，可以任何合适的格式来获得输入。不管获得用户输入的方式，过程然后前进至框412，其中客户机设备IlOA向带外服务器认证其本身。在图2的实施例中，该带外服务器是认证服务器150，且框412的处理由认证代理214执行。然而，可使用任何合适的认证客户机设备的机制。在框414，客户机一旦使用带外服务器成功认证，它就获得指示客户机计算机被认证以便访问网络的认证信息。在该示例中，认证信息可被格式化为证书或某些其它令牌。在框416，客户机设备IlOA形成包括在框414获得的令牌的健康陈述。在图4的示例中，健康陈述还包括可从客户机IlOA中执行的其它组件获得的健康报告。健康陈述可被格式化为图3B中的消息320。然而，健康陈述可使用任何合适的格式。健康陈述可由客户机访问代理210(图2、形成，但是任何合适的机制可用于形成健康陈述。在框418，客户机设备IlOA结合对网络访问权的请求发送在框416中格式化的健康陈述。该请求可以与已知客户机健康实施框架所用的相同的方式作出。然而，用于请求网络访问权的特定格式并不重要，并且可使用任何合适的请求网络访问权的机制。该过程随后前进至判定框420。在判定框420，过程取决于接收到的对框418中发送的网络访问权请求的响应而分支。如果响应包括客户机设备IlOA需要补救的指示，过程前进至判定框430。或者，如果响应不包含需要补救的指示，过程可分支到框450而旁路补救处理。在需要补救的情形下，过程可从判定框420分支到判定框430。在判定框430，过程可再次取决于是否指示对认证组件补救而分支。在健康策略服务器用消息340 (图3C)形式的响应来答复的实施例中，字段350中的质询指示需要进一步处理来认证客户机设备。当接收到这种消息时，过程从判定框430分支到框431。在框431，可任选地获得进一步的用户输入。在框432，客户机IlOA可向带外服务器提供在框431获得的用户输入或在框410获得的用户输入以及补救消息中包括的信息 (在此示为来自健康策略服务器112的质询)作为后续认证过程的一部分。框432中访问的带外服务器可以与框412中访问的服务器相同。框432中所用的认证过程可以与框412 中所用的相同并增加了质询。然而，框432处的过程可采用任何合适的认证机制。图4示出框432处的认证成功的过程流。响应于成功认证，在框434，客户机设备 IlOA可获得用框432提供的质询认证的令牌。任何合适的机制可用于将质询与令牌结合， 以表明令牌是响应于接收到质询而产生的。作为一个示例，质询可与令牌串接，这两者可用产生令牌的设备的密钥签署。不管如何使用质询来认证令牌，在过程返回到框416时可使用在框434获得的经认证的令牌。在框416，可产生新的健康陈述，并且在框418结合对网络访问权的请求发送新的健康陈述。如果认证过程在提供用质询认证的令牌时完成，客户机不应接收需要补救的响应指示。过程然后可从判定框420分支到框450，其中获得网络访问权。然而，在认证组件之间需要进一步交换的实施例中，过程可进一步包括附加处理以产生用于进一步交换的信息作为认证过程的一部分。在这些交换中，发送到服务器的信息可按健康陈述格式化。发送到客户机的信息可格式化为健康陈述响应中的补救指示。用这种方式，与根据任何所需协议完成认证所需的交换一样多的交换随着认证代理214发送健康陈述中的认证相关信息和认证确认器2M发送响应或健康陈述响应中的其它认证信息发生。不管认证客户机设备IlOA所需的交换的数目多少，对于客户机健康访问代理210 或服务器健康代理220而言，为了执行该认证不需要相对于常规用于客户机健康实施的配置的改变。不管完成认证过程所需的迭代的数目多少，当完成认证过程时，认证确认器2 将指示访问权可被授予客户机IlOA而无需补救。因此，如果没有其它组件需要认证，过程将从判定框420分支到框440。然而，如果其它组件需要认证，则过程将从判定框430分支到框440。在框440，可补救安装在设备IlOA上的保护组件。保护组件的补救可使用本领域中已知的机制来执行，并且可基于与每个保护组件相关联的健康陈述响应中包含的特定 fn息ο在保护组件的补救之后，过程可再次返回至框416，其中将产生新的健康陈述。新的健康陈述可指示客户机设备IlOA已认证并补救其保护组件，并且满足网络120的健康策略和认证要求。当上述情况发生时，在框450客户机IlOA将能够访问网络。一旦客户机 IlOA可获得网络访问权，客户机IlOA就可访问网络120上的设备，如服务器124，或根据授予的网络访问权执行其它网络操作。当然，虽然图4中未明确示出，但是如果设备不能完成认证，那么图4的过程将永不会达到框450并且该设备不会被授予网络访问权。在某些实施例中，网络访问权可无限继续。然而，在某些实施例中，可将网络实现为识别一个或多个注销事件。当没有检测到注销事件时，图4的过程可返回到框450，从而允许用户继续网络访问。然而，如果检测到注销事件，则该过程可从判定框460分支到框 462。在该示例中，由认证代理214来检测注销事件。在所示的示例中，注销事件可以与用户输入相关联。例如，认证代理可将经由用户输入212接收到的特定命令识别为注销事件以注销网络。然而，也可识别其它形式的注销事件。例如，认证代理214可跟踪用户活动，并且可在某一时间间隔期间没有检测到用户活动的情况下认为注销事件已发生。受监视的用户活动可与网络功能相关，或者可更一般地与和客户机IlOA的任何交互相关。作为注销事件的另一示例，如果认证代理214从认证服务器150接收到消息310形式的消息，认证代理214可在消息310 (图3A)的字段314中的生存时间值所指示的时间产生注销事件。不管如何定义注销事件，当这种事件发生时，处理可从判定框460分支到判定框 462。该分支例如可在认证代理214经由接口 230用信号通知客户机健康访问代理210发生状态改变时发生。响应于该通知，在框462可发送更新的健康陈述。框462处的处理可由客户机健康访问代理210执行，并且可与结合框418所描述的处理相类似地执行。然而， 在框462，由于客户机IlOA的认证期满或被撤销，所以在框462发送的健康陈述不包含指示客户机设备IlOA已经认证的令牌。因此，响应于在框462发送的健康陈述，认证确认器 224(图2、将指示应拒绝授予客户机IlOA的网络访问权。响应于该指示，服务器健康代理 220将与服务器实施组件260通信，指示应当撤销客户机IlOA的网络访问权。服务器实施组件260然后将撤销客户机IlOA的网络访问权。服务器实施组件206撤销访问权的特定机制对本发明并不重要，并且可取决于网络120中所用的特定传输机制。不管所用的特定实施机制是什么，图4的过程然后可结束。然而，客户机设备可通过在后续时间重复图4的过程来再次获得网络访问权。至此描述了本发明的至少一个实施例的若干方面，可以理解，本领域的技术人员可容易地想到各种更改、修改和改进。例如，描述了客户机设备的认证由带外机制执行的实施例。在这些实施例中，认证组件确认健康陈述中包含的认证信息是否来自可信的源。然而，带外机制执行的部分或全部认证功能可通过认证代理214和认证确认器2 之间的交互来执行。作为另一变体的一个示例，以上描述了使用单个认证代理和单个认证确认器。由于至客户机健康实施系统的接口支持多个组件，所以可在客户机设备上安装各自使用不同认证方法的多个认证代理，并具有相应的认证确认器。客户机将不得不根据服务器健康代理220指示访问权可被授予客户机的各个方法来认证。用这种方法，可容易地组合多个认证机制。同样，虽然描述了认证信息由认证服务器150产生的实施例，但是认证服务器150 为产生认证信息而执行的部分或全部动作可由认证代理214执行。这样的更改、修改和改进旨在成为本发明的一部分，且旨在处于本发明的精神和范围内。因此，上述描述和附图仅用作示例。可以用多种方式中的任一种来实现本发明的上述实施例。例如，可使用硬件、软件或其组合来实现各实施例。当使用软件实现时，该软件代码可在无论是在单个计算机中提供的还是在多个计算机之间分布的任何合适的处理器或处理器集合上执行。此外，应当理解，计算机可以用多种形式中的任一种来具体化，如机架式计算机、 台式计算机、膝上型计算机、或平板计算机。另外，计算机可以具体化在通常不被认为是计算机但具有合适的处理能力的设备中，包括个人数字助理(PDA)、智能电话、或任何其他合适的便携式或固定电子设备。同样，计算机可以具有一个或多个输入和输出设备。这些设备主要可被用来呈现用户界面。可被用来提供用户界面的输出设备的示例包括用于可视地呈现输出的打印机或显示屏和用于可听地呈现输出的扬声器或其他声音生成设备。可被用于用户界面的输入设备的示例包括键盘和诸如鼠标、触摸板和数字化输入板等定点设备。作为另一示例，计算机可以通过语音识别或以其他可听格式来接收输入信息。这些计算机可以通过任何合适形式的一个或多个网络来互连，包括作为局域网或广域网，如企业网络或因特网。这些网络可以基于任何合适的技术并可以根据任何合适的协议来操作，并且可以包括无线网络、有线网络或光纤网络。而且，此处略述的各种方法或过程可被编码为可在采用各种操作系统或平台中任何一种的一个或多个处理器上执行的软件。此外，这样的软件可使用多种合适的程序设计语言和/或程序设计或脚本工具中的任何一种来编写，而且它们还可被编译为可执行机器语言代码或在框架或虚拟机上执行的中间代码。就此，本发明可被具体化为用一个或多个程序编码的一个或多个计算机可读介质 (例如，计算机存储器、一个或多个软盘、紧致盘、光盘、磁带、闪存、现场可编程门阵列或其他半导体器件中的电路配置、或其他有形计算机存储介质)，当这些程序在一个或多个计算机或其他处理器上执行时，它们执行实现本发明的上述各个实施例的方法。这一个或多个计算机可读介质可以是便携的，使得其上存储的一个或多个程序可被加载到一个或多个不同的计算机或其他处理器上以便实现本发明上述的各个方面。此处以一般的意义使用术语“程序”或“软件”来指可被用来对计算机或其他处理器编程以实现本发明上述的各个方面的任何类型的计算机代码或计算机可执行指令集。另外，应当理解，根据本实施例的一个方面，当被执行时实现本发明的方法的一个或多个计算机程序不必驻留在单个计算机或处理器上，而是可以按模块化的方式分布在多个不同的计算机或处理器之间以实现本发明的各方面。计算机可执行指令可以具有可由一个或多个计算机或其他设备执行的各种形式， 诸如程序模块。一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。通常，在各实施例中，程序模块的功能可以视需要组合或分散。而且，数据结构能以任何合适的形式存储在计算机可读介质上。为简化说明，数据结构可被示为具有通过该数据结构中的位置而相关的字段。这些关系同样可以通过对各字段的存储分配传达各字段之间的关系的计算机可读介质中的位置来得到。然而，可以使用任何合适的机制来在数据结构的各字段中的信息之间建立关系，包括通过使用指针、标签、 或在数据元素之间建立关系的其他机制。本发明的各个方面可单独、组合或以未在前述实施例中具体讨论的各种安排来使用，从而并不将其应用限于前述描述中所述或附图中所示的组件的细节和安排。例如，可使用任何方式将一个实施例中描述的各方面与其他实施例中描述的各方面组合。同样，本发明可被具体化为方法，其示例已经提供。作为该方法的一部分所执行的动作可以按任何合适的方式来排序。因此，可以构建各个实施例，其中各动作以与所示的次序所不同的次序执行，不同的次序可包括同时执行某些动作，即使这些动作在各说明性实施例中被示为顺序动作。在权利要求书中使用诸如“第一”、“第二”、“第三”等序数词来修饰权利要求元素本身并不意味着一个权利要求元素较之另一个权利要求元素的优先级、先后次序或顺序、 或者方法的各动作执行的时间顺序，而仅用作将具有某一名字的一个权利要求元素与(若不是使用序数词则)具有同一名字的另一元素区分开的标签以区分各权利要求元素。同样，此处所使用的短语和术语是出于描述的目的而不应被认为是限制。此处对 “包括”、“包含”、或“具有”、“含有”、“涉及”及其变型的使用旨在包括其后所列的项目及其等效物以及其它项目。
18
权利要求
1.一种操作客户机计算机(110A)的方法，所述客户机计算机被配置成向服务器(112) 提供健康陈述，所述服务器基于所述客户机计算机的健康选择性地授权网络访问，所述方法包括获得(414，434)指示所述客户机计算机被认证以便访问网络的认证信息； 格式化(416)健康陈述以包括所述认证信息；以及结合对网络访问权的请求向所述服务器提供(41 所述健康陈述。
2.如权利要求1所述的方法，其特征在于，所述服务器包括健康策略服务器(112)。
3.如权利要求1所述的方法，其特征在于，所述认证信息包括安全令牌(312，362)。
4.如权利要求3所述的方法，其特征在于，所述安全令牌包括X.509证书(312，362)。
5.如权利要求3所述的方法，其特征在于，还包括 向第二服务器(150)认证012)所述客户机；以及从所述第二服务器接收(414)所述安全令牌。
6.如权利要求1所述的方法，其特征在于所述方法还包括产生指示所述客户机计算机上反病毒软件的配置的反病毒配置信息 (324)；以及格式化所述健康陈述(320)还包括格式化所述健康陈述以包括所述反病毒配置信息。
7.如权利要求1所述的方法，其特征在于，还包括 监视与所述客户机计算机的用户交互G60)；以及当经过超过阈值的时间段未检测到用户交互时，向所述服务器发送(46 所述客户机的健康陈述已改变的指示。
8.如权利要求1所述的方法，其特征在于，还包括 接收指示网络注销的用户输入G60)；以及响应于用户输入，向所述服务器发送(46 所述客户机的健康陈述已改变的指示。
9.一种用客户机健康实施框架来配置的客户机计算机(110A)，所述客户机健康实施框架包括客户机健康访问代理010)，所述客户机健康访问代理适于经由接口(230)从一个或多个健康陈述代理016A，216B，216C)获得信息并将健康陈述(MO)发送到健康策略服务器(112)，所述健康策略服务器适于确认所述健康陈述并在所述健康陈述被确认时授权访问网络，所述客户机计算机还包括包括存储在计算机存储介质上的计算机可执行指令的认证代理014)，用于认证所述客户机计算机以访问所述网络，并且用于经由所述接口向所述客户机健康访问代理提供指示所述客户机计算机的认证状态的信息；由此所述客户机健康访问代理向所述健康策略服务器发送包括认证信息的健康陈述 (320)。
10.如权利要求9所述的客户机计算机，其特征在于，所述认证代理(710)适于通过用第二服务器(150)认证来认证所述客户机计算机。
11.如权利要求10所述的客户机计算机，其特征在于，所述客户机健康实施框架被配置成授权访问超时，并且所述客户机健康访问代理适于在授权超时时轮询所述一个或多个健康陈述代理016A，216B，216C)中的每一个和所述认证代理014)以寻找状态信息。
12.如权利要求11所述的客户机计算机，其特征在于，所述认证代理适于响应于被所述客户机健康访问代理(210)轮询以寻找状态信息而重新认证所述客户机计算机。
13.如权利要求11所述的客户机计算机，其特征在于所述一个或多个健康陈述代理016A，216B，216C)的每一个适于经由接口传送健康状态改变的指示；所述客户机健康访问代理适于响应于健康状态改变的指示经由接口向健康策略服务器(11 传送健康状态改变；以及所述认证代理适于响应于检测到用户不活动超过阈值时间段而经由接口(230)传送健康状态改变的指示。
14.如权利要求13所述的客户机计算机，其特征在于，所述认证代理还适于响应于指示网络注销的用户输入而经由接口传送健康状态改变的指示。
15.如权利要求14所述的客户机计算机，其特征在于，所述一个或多个健康陈述代理包括适于指示所述客户机计算机上执行的反病毒软件的配置的反病毒代理。
全文摘要
具有使用客户机健康实施框架实现的认证的网络。框架适于接收客户机上的产生健康信息的插件。服务器上的对应插件确认该健康信息。基于确认结果，服务器可指令客户机补救或可授权下层的访问实施机制以允许访问。产生被格式化为健康陈述的认证信息的客户机插件可结合到这种框架中。类似地，在服务器上，基于认证信息确定是否应授予客户机网络访问权的确认器也可结合到该框架中。当依赖于框架与实施组件相连时，认证可被简单地应用或通过改变插件而修改。可充分利用健康实施框架的功能来提供基于认证的功能，如在用户不活动的时间段之后或响应于用户命令来撤销经授权的访问。
文档编号H04L9/32GK102204159SQ200980143793
公开日2011年9月28日 申请日期2009年10月16日 优先权日2008年11月3日
发明者A·埃亚勒, C·努卡拉, E·尼斯塔德特, N·奈斯, S·阿达伽特拉 申请人:微软公司