用于作为服务基础设施的平台中透明注入策略的系统和方法
【技术领域】
[0001]本发明一般涉及作为服务领域的平台，以及更具体来说涉及用于作为服务领域的平台中作为服务基础设施的平台中透明注入策略的新的有用系统和方法。
【背景技术】
[0002]在企业应用平台中，各种实体必须在应用的开发、验证、部署和管理方面进行协作。这类实体具有各种职责，并且在应用的部署和全生存期管理方面必须存在相当大的协作。作为示例，各种策略必须到位，以调节能够使用的资源的类型和版本。另外，规则、准许和附加输入可在一个组件能够对第二组件采取的动作中起作用。这类相关性能够使应用开发过程急剧减慢和复杂化。对于任何一种变化，各种团队可能必须更新应用、客户端库和app服务器，这可能花费大量工作、协调和时间。此外，这种相关性消除了使用工具的灵活性。甚至使这种协调自动化也可能无法实施整个系统的顺应性。因此，在作为服务领域的平台中需要创建用于作为服务基础设施的平台中透明注入策略的新的有用系统和方法。本发明提供这种新的有用系统和方法。
[0003]附图概述
图1是优选实施例的系统的示意表示；
图2是示范平台架构的示意表示；
图3是优选实施例的系统的变化的示意表示；
图4是优选实施例的分级管线的示意表示；
图5是用于变换组件间通信的系统的示意表示；
图6是用于透明注入策略的方法的流程图表示；
图7是验证策略判定中的令牌声明的使用的示意表示；
图8是通过密码签署令牌的安全组件间验证的通信流程图；
图9A和图9B是加密和未加密形式的令牌的示范表示；
图10是将策略保持为当前中的心跳信号的使用的通信流程图；
图11是具有平台的隔离组件的变化的方法的示意表示；
图12是分级期间透明注入策略的流程图表示；
图13是通过分级管线的级来处理平台更新的详细示意表示；
图14是通过优选实施例的语义解释来变换组件间通信的流程图表示；
图15是用于变换组件间通信的方法的详细示意表示；
图16和图17是具有附于通信的不同部分的语义管线的示范架构；
图18A和图18B是处理等待时间钩子语义管线级的示意表示；
图19是在语义上解释通信的语义管线级的示意表示；
图20是实施按照通信的有关方的级中的策略的示意表示；以及图21是将组件的通信协议升级到密码传输协议的示意表示。
[0004]优选实施例描述
本发明的优选实施例的以下描述并不是要将本发明限制到这些优选实施例，而是使本领域的技术人员能够进行和使用本发明。
[0005]1.用于透明注入策略的系统
如图1所示，用于作为服务基础设施的平台中透明注入策略的优选实施例的系统包括应用平台100，其包括通过信道策略注入器120所互连的多个组件110、认证服务器系统130和分级管线140。作为补充或替代，该系统能够包括与策略引擎系统协作使用的语义管线150。该系统用来创建可组合和可编程基础设施，其中开发人员享有PaaS基础设施的灵活性和敏捷性，同时保持顺应性、审计、安全性、可见性和控制的企业级。此外，该系统实现策略的分布式控制，使得团队及其在系统中的对应组件能够与其他团队无关地开发和/或管理。该系统优选地在通信上构造成促进在组件的整个全生存期的策略的普遍实施，包括分级、产生和更新。该系统能够用来实现整个系统的“谁能做什么”的上下文感知、控制和实施。在这种基础设施中，策略遵守的审计和保证通过策略的普遍实施来促进。组件及其相应动作(例如与其他组件)能够保持为可说明的。
[0006]在一种示范情形中，企业解决方案可取决于来自在数据库管理、组网、认证、策略和应用方面单独专门化的团队的组件。团队能够单独开发系统组件，并且能够依靠系统的透明策略注入来实施先前要求基于边缘的开发实践(其常常引起延迟，因为团队协调各种组件中的策略的结合)的策略。
[0007]该系统优选地将系统的所有组件110抽象成封装和工作，使得各组件110和组件间交互按照相似方式来处理。组件110能够包括封装，其是用来组成应用或服务的文件、数据对象或机器可读数据的集合。一些示范封装能够包括操作系统、运行时环境(例如Java运行时)、capsule快照、Ruby on Rails应用、bash脚本或者任何适当封装。服务能够定义为能够由工作来消耗的资源。平台100可启动和管理服务，或者服务能够完全在平台100外部存在。工作优选地定义平台100中的工作单位。工作能够由一个或多个封装、所消耗的服务(即绑定)、路由和其他元数据(例如，所请求的实例数量、工作的状态等)来组成。组件110(即，封装)按照相符方式来集成到系统中。组件110优选地是网络主机或者连接到计算机网络的计算机。组件110备选地可能是连接到计算机网络并且在系统的计算基础设施中管理的虚拟机。通信和组件间事务(即，工作))全部经过信道策略注入器。这种全面和一致的架构将策略事件层置于实际组件实现之下。能够防止平台组件部分因具有从工作能够运行的环境外部(例如在隔离容器中)来控制的主分组过滤规则(例如在策略引擎的控制下的实例管理器中)而规避策略。这优选地用来限制外部连通性，使得必须已经允许连接。在一个示例中，在没有预先批准的情况下不能够进行外部网络连接。在另一个示例中，经由分组过滤规则的TCP分流可将分组静寂地发送到语义管线上。在又一个变化中，规则可阻塞给定数据库的缺省端口，并且确保实际数据库没有接受来自集群的连接，除非TCP连接标记有DSCP值。能够限制DSCP值，使得仅准许置信组件(例如非常规工作)设置DSCP值。在一种示范情形中，可能希望实现全系统审计。能够实现语义管线中的审计级或者组件之间的任何策略实施层，并且由于所有组件在具有一致策略注入的平台中构造，所以事务无法避开信道策略注入器中实现的审计记录。另外，策略实施到组件实现之上的层的抽象能够用来使各组件与其他组件无关地操作。作为示范有益效果，组件无关性消除发布应用中涉及的许多后勤繁文縟节，特别是在企业环境或者策略顺应性极为重要的环境中。
[0008]优选实施例的应用平台100 (或者简单地称作“平台”)用作基础设施，其上实现至少一个应用系统。平台可以是外部公共托管云环境。平台还可以是多租户云环境，其允许平台的资源由多个不同用户和组织来共享。平台备选地可以是在内部网络中部署和操作的内部/驻地部署平台基础设施。平台能够包括用户定义组件，其在计算基础设施上的用户的各种环境中分级，但是平台还能够包括用于管理和构造基础设施中的内部组件。如图2所示，认证服务器、分级管线连同其他用户组件都能够在实施策略中使用对应策略注入器，其能够分布于各种主机。平台能够用于在平衡策略和顺应性要求的同时获益于开发灵活性的企业解决方案中。
[0009]平台100优选地由多个组件110组成。优选实施例的组件110用作计算平台中的任何适当服务或装置资源，例如网络组件、服务器、存储装置和其他服务组件。组件110可以是应用、操作系统、脚本、服务、数据库或者任何适当资源。组件110优选地在隔离容器机制中实现。隔离容器优选地是操作系统级虚拟化实现(例如Linux容器)。隔离容器备选地可以是用于隔离或包含组件的任何适当机制。备选地，一组组件可共同在隔离容器中实现。隔离容器配置或设置优选地由策略引擎来确定。
[0010]组件的出局和/或入局通信和交互优选地经过信道策略注入器120。信道策略注入器优选地是用于任何两个组件之间的任何通信信道的中间服务层或网关。策略注入器120或者策略注入器的实例优选地分布于平台100的各组件110。各组件110优选地具有专用策略注入器的实例。策略注入器120优选地包括所验证令牌声明、所请求资源和所请求操作的输入。策略注入器120还能够包括策略更新或配置，其在实施之前事先获取，并且对任何变化来更新。策略注入器120包括控制输出，其确定是否允许或准许发送/发起组件对(一个或多个)资源执行(一个或多个)操作。策略注入器120能够主动防止或允许操作(例如，返回错误消息或者将请求传递给资源)，但是策略注入器120备选地能够只是发信号通知关于判定。信道策略注入器120优选地普遍集成到组件之间的各通信事务中，其中各组件间通信优选地具有对其起作用的至少一个信道策略注入器。信道策略注入器优选地能够扩大通信、执行授权校验和/或触发事件、例如图3所示的记录。更优选地，信道策略注入器是语义管线，其包括能够执行各种任务的多级。
[0011]优选实施例的认证服务器系统130用来促进策略的创建、分配、同步和管理。认证服务器130优选地是系统中的服务或组件，但是更优选地是认证服务器系统130的多个可缩放实例。认证服务器系统用来提供对策略的中心机构(即，策略引擎)。认证服务器系统可用来处理、检验和实施策略，但是认证服务器系统130优选地向策略注入器120分派实施，策略注入器120在本地或对涉及资源更本地地操作。认证服务器系统130可包括接口，通过其，各种实体可更新和修改平台的策略。接口能够是应用编程接口、管理员用户接口、命令行接口、配置文件接口或者传递策略中使用的任何适当接口。认证服务器系统130还可包括策略的(一个或多个)数据库。可为平台的特定组件或组件集合来定义策略。名称空间语法能够用于指定和定义策略规则中引用的资源。作为补充或替代，能够为与平台进行接口的特定实体(例如开发人员、安全团队、IT部门、管理员、例如Oracle Financials等系统等)来定义规则策略。策略能够针对特定组件实例，但是备选地可针对组件的集合或分类。例如，所有ruby on Rails app可通过策略中的名称空间语法来引用。优选地向适当组件110分配或发布策略。所发布的策略优选地经过密码签署，使得组件能够确信已更新策略是有效的，并且源自认证服务器系统130。认证服务器系统还能够向组件发布周期信号，以确保策略当前为最新。例如，如果认证服务器系统130崩溃或者使通信重定向，则组件在心跳信号未被传送时将不会用尽数据策略信息。心跳信号优选地是按照常规间隔所生成和传送的周期信号。信号能够经过密码签署，使得组件110能够检验真实性。
[0012]如图4所示，优选实施例的分级管线140用来将平台更新集成到平台中。分级管线14