CN101523808B

CN101523808B - 网络服务使用管理系统和方法

Info

Publication number: CN101523808B
Application number: CN2007800382733A
Authority: CN
Inventors: L·斯特鲁布; L·M·塞尔吉; M·Y·约阿
Original assignee: Alcatel Lucent SAS
Current assignee: Alcatel Lucent SAS
Priority date: 2006-10-13
Filing date: 2007-09-27
Publication date: 2012-07-25
Anticipated expiration: 2027-09-27
Also published as: CN101523808A; WO2008044225A3; WO2008044225A2; EP2076999B1; EP2076999A2; EP2479928A1; US20080091807A1

Abstract

公开了网络服务使用管理系统和方法。网络服务和网络服务用户组之间的关联允许网络服务用户组的每个成员使用网络服务。网络服务用户组是可独立地和单独地管理的，以形成例如各个虚拟外联网。网络服务的实际使用可根据所述关联来控制，并且还可以根据网络服务用户组的各个组策略来控制。网络服务用户组可以在支持网络服务的服务提供商系统所在的管理域中被自管理，或外部管理。用于外部管理组的组和服务信息可以在管理域以内和以外的设备之间交换。

Description

网络服务使用管理系统和方法

相关申请的交叉引用

本专利申请涉及以下每个专利申请：

于2006年6月20日递交的、名称为“SECURE DOMAININFORMATION PROTECTION APPARATUS AND METHODS”的美国临时专利申请60/815,134，以及于2006年8月25日递交的美国实用专利申请11/467,387，并要求其优先权；

于2006年6月20日递交的、名称为“NETWORKSERVICEPERFORMANCE MONITORING APPARATUS AND METHODS”的美国临时专利申请60/814,983，以及于2006年11月7日递交的美国实用专利申请11/557,287，并要求其优先权；

于2006年6月20日递交的、名称为“COMMUNICATION NETWORKAPPLICATION ACTIVITY MONITORING AND CONTROL”的美国临时专利申请60/815,099，以及于2006年7月28日递交的美国实用专利申请11/460,789，并要求其优先权；

于2006年6月20日递交的、名称为“SECURECOMMUNICATIONNETWORK USER MOBILITY APPARATUS AND METHODS”的美国临时专利申请60/814,963，以及于2006年8月17日递交的美国实用专利申请11/465,172，并要求其优先权。

技术领域

本发明一般涉及网络服务，更具体地涉及管理网络服务的使用。

背景技术

长期以来，在一些重要的市场划分方面，商业间应用或服务集成成为公司的重要任务。一般地，通过通信网络分配信息的服务称为网络服务。“web服务”是网络服务的实例，并代表了通过公共互联网和许多专用网络在不同应用之间用于自动交换信息的下一代技术。Web服务是建立基于web分布式应用的框架，并且可提供高效的和有效的自动机对机通信。

从技术的角度来看，web服务是网络可访问的功能，其可在标准接口上通过使用标准互联网协议(例如超文本传输协议(HTTP)、可扩展标记语言(XML)、简单对象访问协议(SOAP)等)来访问。

Web服务技术的真正的影响力在于它的简单性。核心技术仅解决共同语言和通信问题，而不直接解决应用集成的繁重任务。Web服务可看作用于互连多个异构的不可信任系统的高端机对机远程过程调用(RPC)技术。Web服务通过利用数据转换/透明的XML技术和消息传输的互联网协议(例如HTTP和简单邮件传输协议(SMTP))提取了许多新技术的优点。

在web服务的开发和标准化背后的一个主要驱动力是通过在不同应用之间提供松散耦合而促使无缝机对机的应用级通信的能力。这种应用的松散耦合使得在不同服务器上的应用在不需要它们之间静态的、不灵活的接口的情况下互操作。使用不同技术的应用可通过使用标准的web服务协议来互操作。

然而，公司可能希望以不同的方式将其服务与不同的商业伙伴结合。目前，不存在这样的可用产品，即允许企业通过一个共享的架构使得网络服务可由多个不同组的伙伴或用户使用。例如，对于要维护多个不同伙伴外联网连接的公司必须单独建立每个外联网。对于每个配置来说，这样带来的不仅是设备和劳动成本，还包括维护每个单独物理外联网的操作成本。

目前，也不存在这样的可用产品，即允许企业参与到外部管理的服务网络和自我管理的外联网中。目前，参与到由服务网络提供的管理服务交付中需要专用于该服务网络的架构。

虚拟专用网络(VPN)网关可支持多个安全连接，但是没有考虑到伙伴或用户组，并且不具有为各个组区分服务和使用策略的能力。例如，VPN网关不允许根据特定组的策略为伙伴或用户组成员的私人消费而公开网络服务。使用例如安全套接字层(SSL)通过VPN网关建立与伙伴的安全连接仅是这个处理中的第一个、最基础的步骤。

一个目前可用的面向服务架构(SOA)软件产品为伙伴提供基于证书的安全，但是却没有考虑到伙伴组、基于组的策略或这种策略的执行、或支持参与到管理服务交付中的与任意服务提供商对等的架构。

因此，仍旧需要改进的网络服务使用的管理技术。

发明内容

本发明的实施例可允许虚拟外联网通过共同架构来创建和管理。这种共同架构可以比多个专用架构配置花费更少，并且还使得公司在他们的服务级伙伴交互中更加灵活。

相同的共同架构还允许企业不仅提供本地管理的应用集成，还允许企业在不需要配置额外设备的情况下定制管理服务交付。这样可进一步节省配置和操作两者的成本。通过使用共同架构，可对于外部管理的和自管理的两种外联网连接采用一致性服务管理。

根据本发明的一方面，一种系统，包括：组管理器和可操作地耦合至所述组管理器的接口。组管理器用于管理多个网络服务用户组，每个网络服务用户组包括至少一个成员，并且管理网络服务和所述多个网络服务用户组之间的关联。网络服务和所述多个网络服务用户组之间的关联允许所述网络服务用户组的每个成员使用网络服务。所述接口能够配置所述多个网络服务用户组。

所述网络服务包括由管理域中的网络服务提供商系统提供的网络服务，以及所述多个网络服务用户组包括网络服务用户组，所述网络服务用户组包含在所述管理域以外的至少一个成员。

所述系统可以在所述管理域中实现，或在所述管理域以外的通信网络中实现，并且所述通信网络允许所述服务提供商系统和所述管理域以外的至少一个成员之间进行通信。

对于在管理域以外的实现，所述接口能够配置所述多个网络服务用户组，并且还通过允许所述组管理器从管理域中的配置系统接收配置信息来配置所述网络服务和所述多个网络服务用户组之间的关联。

所述系统还包括存储器，其可操作地耦合至所述组管理和所述接口，用于存储表示所述多个网络服务用户组的信息。

所述存储器还用于存储表示所述多个网络服务用户组的各个组策略的信息，每个组策略支配由网络服务用户组的每个成员对关联于所述网络服务用户组的网络服务的使用。

所述各个组策略包括以下规则中的至少一个的各个集：网络服务选择规则、路由选择规则、和数据保密规则。

在一些实施例中，所述系统还包括网络服务登记系统接口，所述接口可操作地耦合至所述组管理器，并且用于允许所述组管理器访问登记系统。所述登记系统将所述网络服务的网络服务信息存储在多个登记表(registry)中，所述多个登记表包括所述多个网络服务用户组的各个登记表；所述组管理器用于通过管理在所述多个登记表对网络服务信息的存储来管理所述网络服务和所述多个网络服务用户组之间的关联。

所述系统还可包括服务使用控制模块，可操作地耦合至所述组管理器，并且用于根据所述关联控制所述网络服务的使用。

服务使用控制模块可操作地耦合至所述存储器，并且用于根据所述组策略控制所述网络服务的使用。

所述服务使用控制模块可以远离所述组管理器。

所述接口可以实现对外部管理的网络服务用户组以及所述网络服务和所述外部管理的网络服务用户组之间的关联的配置。在这种情况下，所述系统还可包括外部接口，可操作地耦合至所述组管理器，并且使得所述组管理器能够向可以在所述管理域以外实现的外部组管理器发送配置信息，所述外部组管理器用于管理所述外部管理的网络服务用户组以及所述网络服务和所述外部管理的网络服务用户组之间的关联。

本发明的另一方面提供一种方法，包括：建立多个网络服务用户组，每个网络服务用户组包括至少一个成员，以及配置网络服务和所述多个网络服务用户组之间的关联，网络服务和网络服务用户组之间的关联允许所述网络服务用户组的每个成员使用网络服务。

所述网络服务可以包括由管理域中的网络服务提供商系统提供的网络服务，并且所述多个网络服务用户组包括网络服务用户组，所述网络服务用户组包含在所述管理域以外的至少一个成员。

其中所述服务提供商系统经由在所述管理域以外的通信网络与在所述管理域以外的至少一个成员通信，并且建立可以包括：从所述管理域中的配置系统接收配置信息。

所述方法还可包括建立所述多个网络服务用户组的各个组策略，每个组策略支配由网络服务用户组的每个成员对关联于所述网络服务用户组的网络服务的使用。

在一些实施例中，配置关联涉及控制在多个登记表中对所述网络服务的网络服务信息的存储，所述多个登记表包括所述多个网络服务用户组的各个登记表。

所述方法还可包括根据所述关联控制所述网络服务的使用。

如果所述方法在管理域中实现，所述方法还涉及建立外部管理的网络服务用户组，配置网络服务和所述外部管理的网络服务用户组之间的关联，以及向在所述管理域以外实现的外部组管理系统发送表示所述外部管理网络服务用户组的信息以及表示所述网络服务和所述外部管理的网络服务用户组之间的关联的信息。

这种方法可以在例如机器可读介质上存储的指令中实现。

还提供一种计算机可读介质，其存储有数据结构。所述数据结构包括：组信息，其表示多个网络服务用户组，每个网络服务用户组包括至少一个成员；以及关联信息，其表示网络服务和所述多个网络服务用户组之间的关联，网络服务和网络服务用户组之间的关联允许所述网络服务用户组的每个成员使用网络服务。

所述数据结构还可以包括策略信息，其表示所述多个网络服务用户组的各个组策略，每个组策略支配由网络服务用户组的每个成员对关联于所述网络服务用户组的网络服务的使用。

基于以下描述，本发明的实施例的其他方面和特征对于本领域普通技术人员变得清楚。

附图说明

现在参照附图更详细描述本发明的示例性实施例。

图1是通信系统的框图。

图2是包括多个外联网的通信系统的框图。

图3是服务使用管理系统的框图。

图4是网络服务使用管理方法的流程图。

图5是数据结构的框图。

具体实施方式

图1是在其中可实现本发明实施例的通信系统的框图。通信系统10包括通信网络12，其中企业系统22、24，应用系统26，远程用户系统设备28，和外部服务控制器29通过各个通信链路可操作地耦合至所述通信网络12。

企业系统22包括一个或多个应用服务器32、可操作地耦合至应用服务器的应用平台34、可操作地耦合至应用平台和通信网络12的网关36、可操作地耦合至应用平台和网关的一个或多个用户系统38、可操作地耦合至应用平台、用户系统和网关的身份系统40、以及可操作地耦合至应用平台、网关和本地服务登记系统43的应用管理器42。还可以在企业系统22中配置其他组件或系统，例如位于网关36的任一侧用于提供隔离区(DMZ)的防火墙。企业系统24可具有类似的结构。

在应用系统26中，应用平台44可操作地耦合至通信网络12和一个或多个应用服务器46。远程用户系统设备28包括应用委托代理(applicationproxy agent)48，它可操作地耦合至一个或多个用户系统49。在外部服务控制器29中，应用管理器50可操作地耦合至通信网络12和服务登记系统52。

尽管在通信系统中可提供许多企业系统、应用系统、远程用户系统设备、外部服务控制器、和可能的其他类型系统，但是图1中仅示出某些类型系统的示例性实例，以避免使得附图过度复杂。由于类似的原因，从图1已经省略通信网络12(例如边缘或访问设备和核心交换/路由组件)以及企业系统24的内部细节。在本发明实施例的配置之间，通信网络12的类型、结构和操作可以不同。本发明的其他实施例还可包括企业系统、应用系统、远程用户系统设备、和/或外部服务控制器，它们与图示相比可包括更少的、更多的、或不同的组件，这些组件可具有类似的或不同的互连。

因此，应理解，图1的通信系统10以及其他附图中的内容仅用于图示的目的，并且本发明决不限于在附图中清楚所示和所述的特定示例性实施例。

与本发明相关的本领域普通技术人员可以熟悉许多不同类型的通信网络，包括覆盖网络(如应用层网络和更传统的架构)。本发明不限于任意特定类型的通信网络。在一个实施例中，通信网络12是互联网或某些其他公共网络。

对于本领域普通技术人员来说，熟悉系统22、24、26、28、29访问通信网络12的访问技术的许多实例，因此没有在图1中单独示出。

首先考虑企业系统22，应用服务器32支持用于提供由至少本地用户系统38使用的功能、示例性服务的一个或多个应用。在配置多个应用服务器32的情况下，每个服务器支持各个功能或服务的集，它们可以重叠也可以不重叠由其他服务器支持的服务。

在一些实施例中，这些功能还可由外部用户系统(例如在企业系统24中的用户系统)使用，其中企业系统22、24的所有者或操作者具有用于远程用户系统设备28的他们的用户和/或用户系统49的系统间访问的协定。在管理服务的使用时可涉及外部服务控制器29，它是由服务提供系统(例如一个管理域中的应用服务器32)、外部用户系统提供的，以下将更详细描述。

这里对服务的引用旨在传达任意这这种功能的概念。一般地，应用服务器32执行软件应用以提供这些功能。在本发明的上下文中，服务(例如web服务)是暴露于用户系统的应用功能的实例。因此，应理解对应用、功能和服务的任意引用。

应用服务器32可包括这样的组件，如一个或多个处理器、一个或多个存储设备、以及用于与用户系统交换应用事务信息(如服务请求消息和对应的响应)的接口。在应用服务器32中的存储器设备可用于存储由应用服务器处理器使用的操作系统软件、应用软件等。诸如22的企业系统通常作为网络来实现，在这种情况下，网络接口使得应用服务器32能够与用户系统38通信，以及可能与企业系统的其他组件通信。在另一可能方案中，应用服务器32包括与不同企业系统组件通信的独立接口。

用户系统38可类似地包括一个或多个处理器、一个或多个存储设备、以及与应用服务器32和企业系统22的其他可能组件通信的一些种类的接口。可以在用户系统存储设备中存储操作系统软件、用于与应用服务器32交互的客户端软件和/或其他类型信息。

本领域普通技术人员熟悉提供和/或使用网络应用的许多不同类型的系统。本发明的实施例主要涉及管理网络服务的使用，而不是如何实际支持这些服务，因此在这里仅简单地以示出本发明方面的必要程度描述应用服务器32、用户系统38、和他们的操作。

身份系统40代表在诸如公司网络的企业系统中通常使用的另一组件，并且是本领域普通技术人员熟悉的。在许多情况下，对应用服务器32支持的服务的访问必须限制为特定用户集。身份系统40可通过与轻量级目录访问协议(LDAP)目录或其他类型用户数据库交互来认证用户和/或用户系统，身份系统40提供可用于授权或拒绝对网络服务的访问的数字身份。

在结构方面，应用平台34包括与用户系统接口兼容的应用服务器接口，例如应用服务器32的应用编程接口(API)、与用户系统38的应用服务器接口兼容的一个或多个接口、以及用于处理通过这些接口接收和/或发送的消息或其他信息的组件。在下文将进一步详细描述，外部用户系统能够通过网关36访问应用服务器32，在这种情况下，应用平台34的用户系统接口还使得应用平台能够与网关36通信。然而，在一些实施例中，为此可提供单独的网关接口。

网关36还可包括与企业系统22的其他组件的接口兼容的一个或多个内部接口、能够通过通信网络12发送和/或接收通信信号的一个或多个外部接口、以及处理通过接口接收和/或发送的信号的中间组件。

应用管理器42代表控制或监视组件，它可以不必自己执行信息的实时处理，所述信息例如是在应用服务器32和本地用户系统38或外部用户系统之间传送的。应用管理器42可以通过兼容接口与应用平台34和网关36通信，例如通过向用于执行的平台和/或网关下载保护策略来执行用于配置应用平台和/或网关的这些功能。

将关于可能包括由应用服务器32提供的本地服务以及由如企业系统24和应用系统26的远程服务提供系统提供的远程服务的可用服务的信息存储在本地服务登记系统43中，并且对于应用管理器42可通过任意各种形式的接口访问。登记系统43自身可以在一个或多个存储设备中实现，所述存储设备例如固态存储设备和/或通过可移动和可拆卸存储介质使用的存储设备。

可以在硬件、软件、固件、或某些组合中实现应用平台34、网关36和应用管理器42的内部组件。以下参照图3描述配置在应用管理器42、应用平台34和网关36中或分布在他们之间的子系统的示例性实例。

在用于企业网络的所谓面向服务架构(SOA)的传统配置中，SOA组件被单独配置并集成在每个应用服务器上。在例如企业系统22中公开在网络上使用的服务需要用于服务交付的发现和管理的服务登记。尽管web服务标准解决了限制授权用户对服务访问的需要，但是需要web访问策略服务器来存储和提供这种信息。这些策略的执行也是一种挑战，因为软件卖方可需要应用和服务器的实质改变以适应企业系统。

所有这些可代表用于企业的重要项目，并且可很好地具有相对长的实现周期。此外，实现这种项目所需的技术组合被高度专业化，从而使得SOA方案不再经济可行。

当在例如企业系统22、24之间将web服务或其他类型的应用扩展到伙伴时，对于在应用服务器上配置的SOA架构而言甚至存在更多的挑战。例如，在伙伴站点配置的应用可使用不能自由共享用户身份信息的各种安全机制，因此需要为用户转换安全令牌。在每个应用服务器上增加安全令牌转换或其他安全功能的负担增加了成本并降低了效率。

数据隐密性的需求也是很困难的，甚至不可能在每个应用服务器上执行，这是由于应用服务器自身不知道用户系统，或更一般地，其服务的消费者，在其企业系统的外部。

特别地，在基于应用服务器的SOA方案中，XML专用的拒绝服务(XDoS)攻击和可能的其他威胁也是问题。例如，web服务对于XDoS攻击是开放的，不能够在应用服务器上有效地对其进行处理。

为了实现应用互操作，经由松散耦合应用将基于服务器的SOA向web服务模型的迁移需要示例性地以SOAP报头和XML消息形式的附加消息，以及用于管理这些消息的附加处理需求。这种附加的开销消耗了系统带宽，并且可引起对应用服务器硬件的重要的新需求。

SOA架构的配置的可选模型是将SOA组件结合到企业网络单元中，如图1所示。应用平台34、网关36和应用42代表企业系统22中的SOA组件。

与应用服务器32独立配置SOA架构可提供几个优点：SOA架构于是是应用不可知的，应用需要最小修改，SOA架构是端对端集成方案，应用服务器处理开销被最小化，以及网络带宽可被优化。

通过基于企业系统/网络的SOA配置，可根据企业系统中的策略组合而不是通过应用本身来执行使得应用互操作所需的任意消息转换。这使得独立于应用来限定转换，从而去除了对应用卖方方案的依赖。

因此，由企业而不是应用来提供适应消息格式化内容所需的商业逻辑，从而最小化应用修改。例如，可以在企业网络中适应web服务消息，以实现应用互操作。随着新的互操作性需要的出现，可能由于合并、收购、或与新伙伴结合的需要，而不需要应用修改。消息转换的新策略可替代地被限定为提供新的互操作性。

作为集成企业网络方案配置的SOA架构可提供单一的监视、控制、和综合报告点，示例性地是应用管理器42。对于以下方面这是重要的，例如实现适当的公司治理、连续的公司改善、以及诠释与关于数据保密性和网络安全性的规则兼容的能力。

由于以下两个原因可明显降低应用互操作性的应用服务器处理需求：应用服务器卸载和所需转换的次数的减少。可以在例如应用平台34进行一次转换，然后将其转发至多个目的地，而并非每个应用执行其自身的转换。

可通过基于检查消息SOAP报头、XML标记或其他消息内容向应用服务器32路由分组来减少由传统消息业务消耗的网络带宽。路由可对于应用上下文敏感，而并非基于例如静态IP地址。

如果要将应用服务器功能扩展到伙伴企业系统，则作为企业网络架构配置的SOA架构可提供许多其他优点。在伙伴的网络之间的分界点，例如在由于应用服务器32外部访问的网关36，进行一次安全令牌的转换，从而为安全策略提供一个执行点。在数据离开安全域的点，例如同样在网关36，还可执行数据保密。这提高了效率，降低了成本。可以在网关36，企业网络的边缘防护以企业web服务为目标的拒绝服务攻击，所述企业网络的边缘可能是处理这个问题的最安全位置。

应用平台34提供一种SOA架构，用于集成传统地作为单机应用运行的应用，并且可能够实现以下能力：控制和监视由验证的用户发起的所有行为的能力，从而能够生成综合审计线索；消息和文档格式的转换；管理包括web服务的阶段展示以及在例如不期望行为的事件中退回到先前版本的应用的生命周期；以及监视应用/服务性能以保证应用/服务满足内部公司需求。

与这里所述的其他功能性实例类似，应用平台34的示例性功能的这个列表不意味着限制性或彻底的。许多功能可独立实现，每个实施例不一定必须提供所有功能，并且其他功能也可以或变得对本领域普通技术人员透明。

应用平台34的优点可包括：通过对现有应用的最小化改变减低应用集成成本，如上所述，从而保证对公司应用的访问符合政府规定；对于访问web服务的职员提供的中心化监视和控制点；以及通过综合报告实现连续公司改善。

网关36通过通信网络12有效地将企业系统22提供的内联网SOA扩展到外联网中，在不危及安全性或保密性的情况下实现了与客户和伙伴的无缝集成。网关36的功能可包括以下内容中的任意或全部：将应用扩展到伙伴外联网和分支位置，对于访问应用的伙伴提供无缝移动性，保证对公司应用访问的伙伴符合政府规定，以及在不危及可追溯性的情况下保证公司身份的保密性。

在从关联于系统22的任意伙伴站点提供对应用服务器32的移动访问时，网关36可允许伙伴制度的安全性识别以及在不同安全域之间的身份的接受。还可以通过网关36提供用于与外部伙伴站点关联的用户系统的应用消息和数据转换，同时保证所有数据根据每个公司策略保持私密性。可通过网关36向外部伙伴企业系统收集和提供所有应用访问的综合审计线索，例如以诠释与规则的兼容性。

应用管理器42可提供用于监视和控制企业系统中的应用平台34、网关36、和任意其他平台和网关(未示出)的中心点。在一些方案中，还可通过应用管理器42建立对于所有应用的全局一致性策略，以保证改善的公司治理和/或与政府规则或实例兼容，并将全局一致性策略分布至应用平台34和/或网关36用于执行。中心应用管理器42还可提供全局一致性应用改变管理。根据本发明的实施例，在应用管理器42中至少部分地提供伙伴组管理功能。

如上所述，企业系统24可基本类似于企业系统22。

企业系统22包括支持应用的应用服务器32和可适应那些应用的一个或多个用户系统38。然而，应理解，应用服务器和用户系统不一定位于同一位置。应用系统26例如包括一个或多个应用服务器46，但不是本地用户系统。尽管在应用系统26中示出应用平台44，但应用系统的一些实现还可包括网关。尽管图示的应用系统26可能适合于例如与作为企业系统22的主要数据中心关联的远程数据中心，但是托管由外部用户系统使用的应用的单机或“非附属的”应用系统也可以包括用于处理例如外部用户的认证的网关。

在应用系统26中的应用平台44可以与企业系统22的应用管理器42交互，或更一般地与附属的企业系统的应用管理器交互。也可以在单机应用系统中配置本地应用管理器。在一些方案中，外部服务控制器29类似地与多个不同管理域中的SOA架构组件交互。例如，外部服务控制器29可操作地耦合至通信网络12，并且可配置网关36以及企业系统24中的网关，以收集和交换应用性能统计。

图1中作为远程用户系统设备28示出仅用户的配置。应用委托代理48允许例如在伙伴或分支位置的用户系统49使用由位于远程的应用服务器提供的应用。在一个实施例中，应用委托代理48是网关36的缩小版。应用委托代理48，类似网关36，可以在不危及可追溯性的情况下在通过企业系统22对用户系统49的认证期间维护公司身份的保密性，并且可使用例如隧道技术通过通信网络12支持安全通信，但是不一定必须能够认证外部用户，这是由于用户系统设备28不托管可通过外部用户系统使用的应用。

外部服务控制器29提供外部管理服务交付，但是不需要自身包括或根据本地服务提供系统或用户系统操作。应用管理器50和服务登记系统52可以基本类似于企业系统22中的应用管理器42和服务登记系统42。然而，在外部服务控制器29不实际参与到服务提供系统和用户系统之间的信息传送中的情况下，应用管理器50可通过比诸如36的企业系统网关更简单的网络接口与通信网络12通信。应用管理器50和服务登记系统52可以与多个不同的企业系统、应用系统和/或远程用户设备交互，以提供外部管理服务交付。

期望通过诸如29的外部服务控制器支持管理服务交付。然而，在企业系统中的应用管理器和/或其他组件可被配置为支持管理服务交付。

在系统10中，首先通过身份系统40认证在用户系统38的用户，该用户希望使用由应用服务器32提供的应用。本领域普通技术人员熟悉可用于这个目的的许多安全方案，例如用户名称/密码认证。在支持对应用服务器32的远程访问的情况下，可由网关36通过与外部身份系统交互来处理用户认证。在与伙伴企业系统或站点关联的用户系统本地连接至企业系统22并希望访问应用服务器32时，在验证过程中也可涉及网关36。

当用户经过认证时，可以在用户系统38和应用服务器32之间交换消息或其他形式的信息。在一个成功的认证之后，可允许用户访问多个应用。如果要访问在外部管理服务网络中的服务，则可以从本地服务登记系统43、或从例如服务登记系统52的另一登记系统获得访问服务所需的信息。

如上所述，需要用于管理网络服务的使用的改进技术。本发明的实施例可用于允许企业将内部应用与例如外部伙伴企业的商业处理安全地集成。网关36、应用管理器42、和外部服务控制器29中的一个或多个可参与提供这种功能。

如上文简述，网关36可作为位于企业系统22的DMZ中的网络节点来实现，以实时地处理web服务消息，从而便于与例如企业系统24、应用系统26、和远程用户系统设备28的各个其他伙伴站点的web服务集成。应用管理器42是配置在企业系统22中的网络和服务管理单元，并且可协调web服务消息处理节点，维护通过企业公开的所有web服务的中心服务登记，并根据本发明的一方面管理服务使用。外部服务控制器29可以是基本类似的网络和服务管理单元，但是通过通信网络12的操作者配置以向定制伙伴交付管理网络服务。

在以下详细描述的一个实施例中，网关36和应用管理器42被设计为允许企业系统22对伙伴公开网络服务，以及允许那些伙伴根据指定策略安全地消费所公开的网络服务。企业的伙伴可包括企业与其具有许多不同类型关系的伙伴，例如消费者、供应商、服务代理商、甚至是竞争者。因此，期望对于向伙伴公开网络服务的企业提供维护单独伙伴组，所述单独伙伴组具有相应的组特定的服务使用策略。组特定的策略支配由每组成员对网络服务的使用。

外部服务控制器29使得例如通信网络12的运营商的管理服务运营商(MSO)从管理伙伴外联网设备和服务的销售生成新的收益。企业可定制由MSO交付的服务，以获得例如第三方管理对于用户认证、服务保证、和/或认可服务是必要的某些市场的访问。专用管理贸易网络代表这样市场的一个实例。从企业的角度，管理服务网络在特征上可以很类似于虚拟外联网，除了在外部管理伙伴组的管理中可以涉及MSO之外。

如上所述，企业通过使用维护任意自管理的外来连接的相同架构来参与到管理服务网络中是有利地。普通架构方案的建立和运行可能并不昂贵，此外这种方案允许服务管理和监视的一致性手段。

在企业及其外部伙伴之间的连接集可认为是外联网的形式。基于企业关系的特征而描述的将伙伴细分成组可看作创建用于一个物理外联网的虚拟外联网的覆盖。在不存在适当的方案的情况下，这可能是困难的任务。

图2是包括多个外联网的通信系统的框图。系统60包括企业系统62、64、69，远程用户系统设备66、68，以及可操作地耦合至通信网络70的外部服务控制器72。在所示实例中，企业系统62参与到两个不同外联网，-外联网A 74和外联网B 76中。在这个实例的上下文中，由于配置企业系统62的公司与这些外联网中的其他参与者的商业关系的特征，两个外联网A 74和B 76可能不同。以下将进一步详细描述。

其他方案可涉及与图2所示不同的数目和/或类型的组件和外联网。还应理解，在本申请的上下文中，术语“外联网”旨在包括能够使用在伙伴实体之间的网络服务的一个或多个连接的集。由此，应理解这里对外联网的引用。

企业系统62、64、69，远程用户系统设备66、68，外部服务控制器72，以及通信网络70可以与图1所示和上述类似标记的组件基本相同。

根据本发明的一方面，可通过相同的物理架构创建和管理两个外联网74、76。尽管企业系统62参与到两个外联网74、76中，但是对于每个外联网不需要专用架构。企业系统62的企业所有者/运营商具有与多个伙伴的商业关系。这些伙伴是企业系统64、69和远程用户系统设备66、68的所有者/运营商。通过企业系统62与企业系统64、69和远程用户系统设备66、68两者中的每个之间的通信网络70建立“伙伴连接”。所有这些伙伴连接在一起形成一个“物理”伙伴外联网。

然而，例如基于不同类型的商业行为或关系，这些伙伴分成不同的种类。与企业系统64和远程用户系统设备66相关的伙伴可以是拥有/运营企业系统62的企业的供应商，而与企业系统69和远程用户系统设备68相关的伙伴可以是该企业的客户。因此，对于企业可以期望地基于商业目的和行为对其伙伴区分和分组，和/或限定适当的规则集，以支配和管理单个伙伴组。

根据本发明实施例，可作为如图2代表的一个“物理”外联网(如通信网络70)上的覆盖来建立和管理如图2中的外联网A 74和B 76所示的多个伙伴组中的每个的各自虚拟外联网。

图2中所示的示例性系统60还示出自管理和外部管理服务的概念。外部服务控制器72提供管理服务网络作为外联网A 74，并且企业系统62自身管理外联网B 76。因此，企业系统62作为对外部服务控制器72的管理服务交付的订户参与到外联网A 74中，以及参与到其同样创建和管理的外联网B 76中。

应注意，参与到外联网A 74中的是对于管理服务交付的所有订户，例如可通过与普通使用策略和中心管理所支配的多公司商家对商家(B2B)类似方式观察到外联网A。然而，除了企业系统62，在外联网B 76中的参与者可能不知道这个外联网的多个公司特征。外联网B 76可通过将企业系统62配置为以共同方式支配和管理的其B2B连接的集合的公司来限定。与企业系统69和远程用户系统设备68相关的公司可将与企业系统62的他们的B2B连接看作点对点，并且可以(但是不一定必须)知道在外联网B76中其他参与者的存在。

例如，可以在企业系统62中的应用平台、网关、和应用管理器的一个或多个上实现这里公开的技术。这些技术还可以或替代地在外部服务控制器72中实现。还可假设分布式配置。例如，可以在企业系统62上实际执行为了外联网A 74中广告的任意其网络服务而在企业系统62上通过外部服务网络控制器72建立的组策略。

本发明的基于应用平台、网关、和/或应用管理器的实施例可特别地适合于SOA设置。在其他实施例中，网络服务用户组管理功能可以与应用服务器或其他组件集成。

图3是服务使用管理系统的框图。系统80包括：服务登记系统82、可操作地耦合至服务登记系统的服务登记系统接口84、可操作地耦合至服务登记系统接口、组/策略存储器88、一个或多个配置接口92、以及一个或多个外部接口94的组管理器86、以及可操作地耦合至一个或多个应用服务器接口96以及一个或多个用户系统接口98的服务使用控制模块90。

如上参照图1所述，附图的内容仅用于图示的目的。例如，在其中实现系统80的设备或系统可包括没有明显示出的附加组件。这些组件可根据实现系统80的地点或设备/系统采用各种形式。一般地，除了明显示出之外，其他实施例可包括具有类似或不同互连的更多、更少或不同组件。

在至少一定程度上，通过图3的组件可操作地耦合的连接类型可以是取决于实现方案的。电子设备通常使用各种类型物理连接器和有线连接。在至少一些组件之间的连接可以是示例性地通过通信网络的长距离连接。其中在远离网关的外部服务控制器上实现组管理器86，在所述网关中提供服务使用控制模块90用于例如组特定的服务使用执行，组管理器和服务使用控制模块可以不直接连接。可操作地耦合也可以或替代地通过变量、寄存器、或存储器的共同访问区域来配置，因此包括逻辑耦合。

可使用硬件、软件、固件、或其组合来实现系统80的组件。处理元件(例如微处理器、微控制器、可编程逻辑设备(PLD)、场可编程门阵列(FPGA)、专用集成电路(ASIC)、和其他类型“智能”集成电路)可适合于这个目的。

服务登记系统接口84使得组管理器86能够访问服务登记系统82，所述服务登记系统82可以，但不是必须地，在与组管理器86相同物理设备或系统中实现。服务登记系统82自身可包括一个或多个存储设备，用于存储与网络服务相关的信息。本领域普通技术人员可熟悉服务登记表以及在这个登记表中存储的服务信息类型。服务登记系统接口84的类型和结构将取决于用于在服务登记系统82中存储服务信息的存储设备，以及还可取决于为访问服务信息而提供的机制。例如，服务登记系统82和服务登记系统接口84可支持用于服务相关功能的通用描述、发现和集成(UDDI)。

根据一个实施例，服务登记系统82包括用于多个伙伴组中的每个的各个网络服务登记表。这些登记表可存储在单独存储设备中，或一个存储设备可包括用于存储多个登记表的不同存储区。

系统80可通过接口92、94、96、98与本地网络和伙伴网络的其他组件交互。这些接口可以是相同类型或不同类型，或甚至是使用相同通信介质用于与所有其他组件进行信息传递的相同接口。例如，在自管理伙伴组的情况下，可通过用户系统实现配置，在这种情况下，配置接口92实际上可以是用户系统接口98。因此，用户系统接口98还可以可操作地耦合至组管理器86。类似地，对于MSO方案，可由外部服务控制器通过外部接口94从企业系统接收远程输入的配置信息。然后，这个外部接口作为配置接口92有效运行。这些变型还示出本发明实施例可包括以不同于所述方式互连的不同数目和/或类型组件。

通过配置接口92，可配置多个伙伴组，在这里还称为网络服务用户组。企业系统的管理员可创建例如企业供应商和客户的各个组。根据一个实施例，管理员使用在企业网络中的终端来配置组。然后，可将相同类型的网络接口，还可能是相同物理接口，用作配置接口92和用户系统接口98。在外部服务控制器的情况下，可类似地将外部接口94用作配置接口92。配置接口92还可以或替代地包括其他类型接口，例如命令行接口(CLI)或其他专用控制或管理接口。

外部接口94使得系统80能够与一个或多个远程系统或组件交换信息。在例如图2的通信系统中，在企业系统62和外部服务控制器72之间的交换可涉及通过通信网络70和适当网络接口对信息的传递。例如，可以在企业系统62的网关配置与通信网络70兼容的网络接口。但是不是必须在网关中配置，还可以在外部服务控制器72上配置相应的网络接口。

如上所述，外部接口94可用作在外部服务控制器中实现系统80的配置接口92。在使得企业系统能够参与到自管理和外部管理的服务交付中的基于企业系统的方案中，可将通过配置接口92输入的配置信息经由外部接口94转发至外部服务控制器。

每个应用服务器接口96允许系统80与一个或多个应用服务器的各个集交换例如web服务消息的应用访问信息。用户系统接口98类似地使得系统80与一个或多个用户系统交换应用访问信息。应注意，用户系统接口98能够与位于企业系统中或企业系统外部的用户系统通信。为了伙伴组管理和服务使用管理的目的，主要关心外部用户系统接口。然而，在根据服务专用的策略来控制企业系统中的网络服务的内部使用的情况下，可将上述组策略的执行潜在地与服务专用的策略执行结合。因此，用户系统接口98可包括外部和可能的内部用户系统接口。

接口92、94、96、98的结构和操作至少在一些程度上取决于在信息传递中使用的通信介质和协议。本领域的普通技术人员熟悉许多类型的接口，经由这些接口通过系统80接收和/或发送的组或服务信息。这些接口还可根据在通信系统中在哪里实现系统800而改变。

可以在一个或多个存储设备中配置组/策略存储器88。固态存储设备是电子设备中普遍的，并且通过使用这种类型的一个或多个存储设备来实现组/策略存储器88。然而，还可以或替代使用其他类型存储设备，包括通过可移动的或甚至可拆卸的存储介质使用的存储设备，来实现组/策略存储器88。

根据以下详细描述的本发明的一方面，基于组和服务之间的关联控制网络服务的使用。在组配置期间还可指定组策略，以进一步支配网络服务使用。服务策略代表可对服务的使用施加的另一规则等级。除了为了关联于服务的用户组指定的任意组特定的需求之外，例如，服务专用的策略可指定访问需求、信息转换/格式化需求、和/或对服务使用的监视需求。企业范围的策略还可以或替代地应用于由企业中的服务提供商系统提供的任意服务的使用。

如上所述，可通过使用硬件、软件和/或固件来实现系统80的组件。因此，在这里主要根据他们的功能来描述这些组件。基于功能性描述，本领域普通技术人员能够以任意各种方式根据本发明实施例实现服务使用管理技术。

在操作中，组管理器86可用于管理多个网络服务用户组。每个网络服务用户组包括作为成员的至少一个服务用户或消费者。根据一个可能实施例，组管理是基于服务账户的。例如，假设企业系统62的管理员(图2)希望提供虚拟外联网A 74和B 76。管理员可在组/策略存储器88中为每个外联网创建单独伙伴组。这可涉及将组名称或其他标识符写入存储器88。还可以在组/策略存储器88或可能在单独伙伴/用户管理子系统(未示出)中创建每个伙伴64、66、68、69的伙伴账户和来自那些伙伴的各个用户的用户账户。

然后，向各个伙伴组添加伙伴账户、用户账户、或两者。可以在组数据结构中存储伙伴/用户账户标识符，或可以创建例如指针的链接，以指示伙伴/用户是网络服务用户组的成员。在创建伙伴和用户账户两者的情况下，可通过多个关系链接指示组成员身份。例如，在一些实施例中，在组/策略存储器88中的组数据结构仅包括伙伴账户。在这种情况下，可基于他们与伙伴账户的关系识别组的成员的各个用户账户。因此，尽管网络服务用户组包括作为成员的用户，但是组记录或数据结构可以不是必须地包括这种成员的显式的或直接的标识符。

再参照图2，可以将伙伴系统64、66以及其中的用户系统的伙伴和/或用户账户增加到外联网A组，以及可以将伙伴系统68、69以及其中的用户系统的伙伴和/或用户账户增加到外联网B组。在相同组中分类的伙伴/用户形成虚拟外联网。

可通过向组中增加成员和/或从组去除成员以基本类似的方式修改组配置。在一些实施例中，还可支持整个组的删除。

伙伴外联网可以被自管理或外部管理。对于自管理的外联网，在组/策略存储器88中本地维护组配置。然而，在外部管理的外联网的情况下，在例如企业系统或应用系统的管理域中的组管理器86还可以或替代地通过外部接口94向位于管理域以外的外部服务控制器发送组配置信息。在图2中所示的系统60中，例如，管理员可仅对企业系统62具有管理控制，而并非其他系统组件。企业系统62、64、69，远程用户系统设备66、68，以及通信网络70都可代表不同的管理域。

在外部服务控制器处的组管理器86通过外部接口94从基于企业的组管理器接收配置信息，其中所述外部接口94在这种情况下用作配置接口92。外部服务控制器还从作为管理服务交付的订户参与的其他服务提供系统接收组配置信息，并为所有订户管理网络服务用户组。

也可以本地存储向外部服务控制器发送的任意或所有配置信息。例如可通过企业系统执行组策略，但是也可以将组策略发送至外部服务控制器，从而服务控制器知道将执行的策略。在当前可用的网络服务产品中不提供在基于企业设备(例如应用管理器或网关)和网络运营商设备(例如外部服务控制器)之间的这样的“对等操作”。

组管理器86还管理网络服务和多个网络服务用户组之间的关联。网络服务和网络服务用户组之间的关联能够通过网络服务用户组的每个成员使用网络服务。因此，多个虚拟外联网可为企业提供使得网络服务仅可用于特定虚拟外联网中的伙伴的弹性。例如，参照图2，企业系统62可通过向外联网A 74公开来声明可用于其伙伴64、66的新web服务，但是使得外联网B 76中的伙伴68、69不知道该网络服务。

如图2所示，通过外部服务控制器72外部管理虚拟外联网A 74。企业系统62和可能的外联网A 74的其他伙伴向外部服务控制器72公开新的网络服务。企业系统62的所有者/运营商的公司供应链是示出网络服务的共享使用的很好实例。可以在供应链的网络服务用户组中共享网络服务，以实现这样的任务，即发现和管理由公司生产产品或服务并向客户传递所需的特定组件。

供应链行为可包括任务和产品交付的分离组。在供应链中的每个伙伴62、64、66可构成每天几十个特定任务，例如，搜索特定组件的新供应商。尽管一些组织将许多这些不同任务集合在一起，但是当前并没有可用的产品提供可由各个公司或伙伴使用的一个完整分组。

本发明的实施例提供向用户组或“团体”公开每个新的网络服务的机制，其中在用户组中的所有参与者能够利用新的网络服务。这种类型的机制的优点是可以以无缝方式如管理服务用户组中限定的在虚拟外联网的伙伴之间共享网络服务。

例如，网络服务到组的关联可以作为服务公开或广告的一部分来管理。在例如外联网A 74(图2)的外部管理的用户组中的伙伴将使用外部服务控制器72，以及示例性地使用其服务登记系统，作为找到新的网络服务和/或公开他们自己的网络服务的接触点。换句话说，有兴趣通过外联网消费特定网络服务的外联网A 74中的任意伙伴与外部服务控制器72交互。这种交互可涉及基于对虚拟外联网商业行为专用的查询标准的服务发现。外部管理的服务交付的外部服务控制器72可托管在参与到管理服务交付中的所有订户伙伴之间共享的全局登记系统。

当在提供网络服务的管理域中对本地服务登记公开新的网络服务时，可启动公开要由虚拟外联网中的所有参与者使用的新网络服务的处理。参照图1，职员可通过向应用管理器42发送UDDI公开消息向本地服务登记系统43公开由应用服务器32提供的新网络服务。本领域普通技术人员熟悉UDDI公开消息的普通内容以及其他形式的服务通知。根据本发明的一方面，网络服务公开消息或用于使得网络服务对服务用户可用的其他通知还包括网络服务用户组的指示，可通过所述指示来使用服务。

在接收新网络服务的UDDI公开消息或其他通知时，应用管理器42将网络服务增加到本地服务登记系统43。如上所述，服务通知还包括使得服务可用的一个或多个组的指示。例如，组指示可以是组名称或其他标识符的形式，但是还可以或替代地提供其他指示。

根据组指示，网络服务与一个或多个网络服务用户组关联。可以暗示或显式地或以任意各种方式指定网络服务关联。例如，本地服务登记系统43可包括用于存储网络服务的网络服务信息的多个组特定的登记表。例如，可为每个网络服务用户组提供相应的登记表。在这种情况下，可通过管理特定登记表中的网络服务信息的存储来管理网络服务和网络服务用户组之间的关联。

可以替代地通过在本地服务登记系统43中存储一个或多个组标识符与服务信息来显式地指示关联。可以替代地在组/策略存储器88中存储由网络服务用户组的成员使用的每个网络服务的显式指示与组信息。

因此，显然，本发明决不受到指定或创建网络服务与组的关联的任意特定方式的限制。

组管理器86至少处理使得新网络服务可使用的处理的组关联方面。因此，组管理器86可作为服务公开组件的一部分实现，或至少结合这样的组件来实现。在应用管理器42(图1)处理网络服务公开的情况下，例如，可期望将组管理器86结合到应用管理器42中。替代地，组管理器86可操作地耦合至应用服务器接口96，从而可拦截网络服务通知，然后将每个网络服务与一个或多个特定网络服务用户组关联。另一可能的选择是在将网络服务增加到服务登记系统82之后支持关联的手动配置。

如上所述，可通过增加或去除成员来修改先前创建的网络服务用户组。支持网络服务和网络服务用户组之间的关联的修改也是所期望的。例如，关联可以手动改变，或通过利用一个或多个关联网络服务用户组的修订集的指示重新公开网络服务的方式来改变。

例如43的本地服务登记系统(图1)可以是用于自管理的网络服务用户组的服务发现点。可通过组管理器86对每个自管理组的外部成员设计这种服务发现点。然而，如果组管理器86和服务登记系统82在企业系统或其他管理域的核心中实现，则可将服务信息传送至其他服务登记系统，例如，传送至在诸如网关的边缘或边界设备维护的服务登记系统，于是所述系统用作包括在管理域以外的成员的自管理网络服务用户组的服务发现点。可仍旧通过内部用户使用基于管理域的核心的登记系统，以找到登记的网络服务。

如果在外部管理服务交付中使得网络服务变得可用，则与管理服务交付相应的用户组的用户通知或网络服务用户组信息可包括对这个效果的标记或其他指示。这个标记或指示可用于使得组管理器86将服务信息转发至外部服务控制器。基于输入UDDI公开消息或其他服务通知，组管理器86确定可以是可能消息或通知自身的服务信息是否要发送至外部服务控制器。组管理器86可以确定何时在网络服务和网络服务用户组之间创建关联。例如，组管理器86可操作地耦合至应用服务器接口96，以拦截网络服务通知，创建用于每个网络服务的请求关联，以及决定在外部管理服务交付中每个网络服务是否变得可用。

根据一个实施例，组管理器86包括例如由处理元件执行的软件组件的联盟代理程序(Federation broker)，用于处理到外部服务控制器的网络服务信息的通信。在从核心登记系统向边缘或边界登记系统传送网络服务信息时也可涉及联盟代理程序，如上所述。

组管理器86可使得路由信息和/或可能的其他信息与诸如UDDI公开消息或服务通知的服务信息关联，所述服务信息要发送到外部服务控制器。路由信息和/或其他信息可类似地与要从核心登记系统传递至边缘或边界登记系统的服务信息关联。

可通过诸如网关的边界设备示例性地从组管理器86向外部服务控制器间接地传递服务信息。网关或其他中间组件可接收服务信息，并确定所接收的服务信息是否涉及与自管理的或外部管理的网络服务用户组关联的网络服务。向外部服务控制器发送与外部管理的网络服务用户组关联的网络服务的服务信息。可提供与联盟代理程序协作的并且可类似地作为软件组件实现的联盟路由器，以处理网络服务信息的外部传递的进程。外部传递可涉及这样的操作：检查任意关联的路由信息；以及朝向服务于特定外部管理的网络服务用户组的外部服务控制器路由到下一跳的服务信息。例如联盟路由器组件的路由组件可特别地用于参与到由不同MSO外部管理的多个虚拟外联网/覆盖中的伙伴系统的边缘设备中，以选择每个外部管理的网络服务用户组的正确外部服务控制器。

在一些实施例中，可通过组管理器86自身提供这种类型的路由功能，而不是在单独设备或组件中提供。

在外部服务控制器，组管理器将新网络服务与外部管理的网络服务用户组关联，从而网络服务的使用将被限制为该网络服务用户组的成员。基本如上所述，可在外部服务控制器创建和管理网络服务关联。例如，与登记表访问相关的本地访问控制规则和/或传统信息还可以与接收的服务信息一起存储，并应用于控制网络服务的使用。

可从外部服务控制器向其他伙伴或组成员传送与由一个组成员提供的网络服务相关的服务信息，用于在例如每个伙伴系统的服务登记系统中存储。

一旦网络服务变得对网络服务用户组可用，则通过服务使用控制模块90控制网络服务的实际使用。基于至少对组关联的网络服务，通过这个模块90控制网络服务使用。服务使用控制模块90可接收例如服务发现请求，并仅为了与其中请求用户是成员的网络服务用户组关联的那些网络服务提供服务信息。基于关联的服务使用控制还可以或替代地应用于网络服务访问阶段，以阻塞在连接至应用服务器接口96的应用服务器与连接至用户系统接口98的用户系统之间的例如web服务消息的服务访问信息的传送。在不是与网络服务相关的任意网络服务用户组成员的用户尝试使用该网络服务的情况下，将阻止服务访问信息传送。

尽管在图3中示出为可操作地耦合至组管理器86，但是服务使用控制模块90也可以或替代地可操作地耦合至组/策略存储器88和/或服务登记系统82。因此，服务使用控制模块90可直接地或通过组管理器86间接地从一个或多个数据存储器获得组和/或服务信息，以基于服务/组关联控制网络服务的使用。

在一些实施例中，在远程位置实现组管理和网络服务使用控制或执行功能，例如分别在提供网络服务的外部服务控制器以及企业系统处。

网络服务和组之间的关联代表网络服务使用许可或限制的一个等级。然而，还可以为网络服务用户组配置传统规则，将其存储在组/策略存储器88中，并应用于网络服务的使用。可建立组策略，以通过例如网络服务用户组的每个成员支配网络服务的使用。组策略可指定包括以下规则的一个或多个规则的集：允许或限制由组成员对网络服务的选择的网络服务选择规则；为网络服务指定特定路由需求的路由选择规则；和/或指定是否和如何保护在网络服务的使用期间传递的信息的数据保密性规则。网络服务选择规则实际上可看作网络服务至组关联的一种形式。

服务使用控制模块90还可以负责执行组策略。因此，可以根据服务/组关联和组策略两者控制网络服务使用。尽管网络服务用户可以是与网络服务关联的网络服务组的成员，但是还可基于组策略拒绝用户对网络服务的访问。如果这样的用户没有满足在组策略中指定的一些其他服务访问或使用限制，则用户能够通过在网络服务与用户是成员的网络服务用户组之间的关联来使用网络服务，但是实际上没有被授权对服务的访问。

在一些实施例中，在通信系统中设置在不同位置的服务使用控制模块具有不同的执行职责。例如，对于外部管理的网络服务用户组，在外部服务控制器的服务使用控制模块90可在服务发现阶段执行基于服务/组关联的控制。然而，可在实现支持网络服务的应用服务器的企业系统中通过服务使用控制模块90来执行数据保密规则。

在提供操作对等功能时，可以使外部服务控制器知道可通过另一组件执行的附加规则或策略。尽管外部服务控制器知道附加规则或策略，但是外部服务控制器可以基于那些附加规则或策略采取任何动作，也可以不基于那些附加规则或策略来采取动作。在数据保密策略的上述实例中，在外部服务控制器的服务使用控制模块可以潜在地但不需要必须地在响应于网络服务发现请求时考虑数据保密策略。例如，只有在请求用户是关联组的成员并且能够根据数据保密策略处理被保护的数据的情况下，外部服务使用控制模块可选择在服务发现响应中包括网络服务的信息。

如上所述，其他类型的策略或规则，例如服务专用策略和/或企业范围策略，可影响由特定用户对网络服务的实际访问。尽管这些其他策略或规则不是组特定的，但是在一些实施例中他们潜在地可通过服务使用控制模块90来执行。例如网关的执行点可确定要用于使用网络服务的所有组、服务、和企业策略，并执行那些策略。因此，服务使用控制模块90作为或结合更加扩展的策略执行子系统运行。

以上主要在系统的环境中描述本发明实施例。图4是根据本发明另一实施例的网络服务使用管理方法的流程图。

方法100包括建立网络服务用户组的操作102。每个网络服务用户组包括至少一个成员。在104，配置网络服务和网络服务用户组之间的关联，以允许由与网络服务已经关联的网络服务用户组的成员使用每个网络服务。在106表示根据关联对网络服务使用的控制。

应理解，方法100是本发明一个示例性实施例。其他实施例可涉及更少的、附加的、或不同的操作，和/或以与所示不同的顺序执行操作。例如，可以按任意各种方式执行操作102、104、106中的每个，在上面已经描述其中一些步骤。例如在102的配置和在106的控制的操作可包括在总体网络服务使用管理方案中，但是可在通信系统中的不同位置执行。不同组件还可协作，以支持网络服务用户组的本地和外部管理和/或在企业系统设备和外部网络运营商设备之间的对等操作。

根据例如图1至3的以上描述，对于本领域普通技术人员来说，方法100的其他变型可以或变得清楚。

图5是可用于将网络服务与网络服务用户组关联的示例性数据结构的框图。数据结构110可用在提供服务登记系统82或组/策略存储器88(图3)的例如存储设备的机器可读介质中。如图所示，示例性数据结构110包括组字段112、服务字段114和策略字段116。

组字段112存储用于表示网络服务用户组的组信息。这可包括组名称或标识符和/或一个或多个组成员中每个的标识符。例如，可通过伙伴账户、用户账户、或两者的形式指定组成员。组字段112不需要必须标识每个组成员，但是可替代地包括对识别组成员的其他数据结构的指针、组名称、或其他链接。

在服务字段114中存储的信息表示一个或多个网络服务和组之间的关联。如上文详细描述，网络服务和网络服务用户组之间的关联能够由网络服务用户组的每个成员使用网络服务。服务字段114可包括例如服务名称或其他标识符和/或服务登记信息。如上文对组字段112所述，服务字段114可包括对限定关联服务的例如在服务登记表中的记录的另一数据结构的指针或链接。

策略字段116存储表示网络服务用户组的组策略的信息。组策略通过网络服务用户组的每个成员支配任意关联的网络服务的使用。在策略字段116中存储的策略信息可包括实际限定组策略的信息、或对另一数据结构或指定策略的记录的标识符或链接。

本发明的实施例可用于管理多个网络服务用户组、网络服务、和组策略。可对于每个网络服务用户组、每个组成员、或每个网络服务提供具有图5所示格式的记录。因此，应理解，本发明决不受到图5所示的示例性实例的限制。其他实施例可包括以类似或不同顺序的比清楚显式的更多、更少、或不同字段。例如，在数据记录或结构包括组和服务字段112、114的情况下，服务/组管理是固有的，或暗示的，并且不需要显式指定。然而，在其他实施例中，可需要服务/组关联的显式指示。

企业或其他提供商或网络服务可实现本发明实施例，以使用一个共享架构向多个不同伙伴组公开web服务。企业还可通过与管理服务运营商的网络中的外部控制器进行对等处理参与到具有这个相同架构的管理服务网络中。这允许企业以一致性和成本有效的方式维护多个自管理的和/或外部管理的虚拟外联网的总体控制。

目前可用产品不允许企业创建和管理具有各种商业伙伴组的多个虚拟外联网。因此，企业可实现本发明实施例，以减少与外部公司的服务集成的成本，以及在增加和改变伙伴关系时支持更需要的能力。在期望弹性和成本有效的伙伴交互的快节奏和很有竞争力市场中，这对公司有着巨大优势。如上所述，在制造和零售市场中的供应链管理是很好的实例。

同样不存在允许企业参与到管理服务网络和自管理外联网两者中的目前可用产品。在不需要配置专用架构或改变现有服务管理方案的情况下快速加入管理服务网络的能力可提供更有竞争力的优势。管理服务网络可潜在地为企业提供对新市场的访问和客户，并且定制管理网络时的这种附加灵活性可带来更多的收益机会。

通过使用上述技术，用户可被授权对他们需要的网络服务的访问，而在运行过程中不需要来自他们自身的客户端应用或来自通信网络的任何手动行为。一旦在特定伙伴组中配置，则用户可无缝地访问可用于该组的网络服务。

更一般地，本发明的实施例可用于提供全部服务SOA架构的完整功能，如下：

公司治理：提供监视、控制和报告，以保证符合规定，并支持连续的公司发展；

管理伙伴外联网：通过伙伴和分支位置安全无缝地公开和消费web服务；

Web服务性能：根据每个公司需求或服务等级协议(SLA)保证web服务的可用性和性能；

公司灵活性和应用敏感性：基于SOAP报头的内容、XML标记或其他消息内容提供应用级路由和消息转换；

应用安全：通过保证很好地形成消息提供应用级安全，以检测基于XML攻击和执行应用数据加密策略；

生命周期管理：通过回退提供web服务的控制公开；

系统特征：提供可靠性、可测量性、以及符合开放标准。

在这里和/或一个或多个以上引用的相关专利申请中公开了这些和其他功能。

已经描述的仅是本发明实施例原理的示例性应用。在不脱离本发明范围的情况下，其他配置和方法可通过本领域普通技术人员实现。

例如，发现是网络服务消费者可获知网络服务的一个可能机制。然而，本发明可结合其他类型的网络服务分布方案来实现。当潜在的网络服务用户首先变得可用时，或当他们首先与网络服务用户组关联时，可向他们通知服务。

例如，图3中所示的功能的划分仅用于示例性目的。本发明的实施例可通过比所示更多、更少、或不同组件来实现。

应理解，并不是这里所述的所有功能必须被各个实施例支持。外部服务控制器可能自身不执行例如服务使用限制，因此可能不包括服务使用控制模块90。

此外，尽管先前在方法和系统的环境中描述，但是还可以作为例如机器可读介质上存储的指令来实现本发明的其他方案。

Claims

1.一种网络服务使用管理系统，包括：

组管理器，用于管理多个网络服务用户组，每个网络服务用户组包括至少一个成员；并且管理网络服务和所述多个网络服务用户组之间的关联，所述网络服务包括由管理域中的网络服务提供商系统提供的网络服务，所述多个网络服务用户组包括这样的网络服务用户组，所述网络服务用户组包含所述管理域以外的至少一个成员，所述网络服务和所述多个网络服务用户组之间的关联允许所述网络服务用户组的每个成员使用网络服务；以及

接口，可操作地耦合至所述组管理器，所述接口能够配置所述多个网络服务用户组，还能够配置外部管理的网络服务用户组以及所述网络服务和所述外部管理的网络服务用户组之间的关联，所述系统还包括：

外部接口，可操作地耦合至所述组管理器，并且允许所述组管理器向在所述管理域以外实现的外部组管理器发送配置信息，所述外部组管理器用于管理所述外部管理的网络服务用户组以及所述网络服务和所述外部管理的网络服务用户组之间的关联。

2.如权利要求1所述的系统，在所述管理域中实现。

3.如权利要求1所述的系统，在所述管理域以外的通信网络中实现，并且所述通信网络允许所述服务提供商系统和所述管理域以外的至少一个成员之间进行通信。

4.如权利要求1所述的系统，其中所述接口能够配置所述多个网络服务用户组，并且还通过允许所述组管理器从管理域中的配置系统接收配置信息来配置所述网络服务和所述多个网络服务用户组之间的关联。

5.如权利要求1至4任一项所述的系统，还包括：

存储器，可操作地耦合至所述组管理和所述接口，用于存储表示所述多个网络服务用户组的信息。

6.如权利要求5所述的系统，其中所述存储器还用于存储表示所述多个网络服务用户组的各个组策略的信息，每个组策略支配由网络服务用户组的每个成员对关联于所述网络服务用户组的网络服务的使用。

7.如权利要求6所述的系统，其中所述各个组策略包括以下规则中的至少一个的各个集：网络服务选择规则、路由选择规则、和数据保密规则。

8.如权利要求6所述的系统，还包括：

网络服务登记系统接口，可操作地耦合至所述组管理器，并且用于允许所述组管理器访问登记系统，所述登记系统将所述网络服务的网络服务信息存储在多个登记表中，所述多个登记表包括所述多个网络服务用户组的各个登记表；

其中，所述组管理器用于，通过管理在所述多个登记表中网络服务信息的存储来管理所述网络服务和所述多个网络服务用户组之间的关联。

9.如权利要求1至4任一项所述的系统，还包括：

服务使用控制模块，可操作地耦合至所述组管理器，并且用于根据所述关联控制所述网络服务的使用。

10.如权利要求6所述的系统，还包括：

服务使用控制模块，可操作地耦合至所述存储器，并且用于根据所述组策略控制所述网络服务的使用。

11.如权利要求10所述的系统，其中所述服务使用控制模块远离所述组管理器。

12.一种网络服务使用方法，包括：

建立多个网络服务用户组，每个网络服务用户组包括至少一个成员；以及

配置网络服务和所述多个网络服务用户组之间的关联，所述网络服务包括由管理域中的网络服务提供商系统提供的网络服务，所述多个网络服务用户组包括这样的网络服务用户组，所述网络服务用户组包含所述管理域以外的至少一个成员，所述网络服务和网络服务用户组之间的关联允许所述网络服务用户组的每个成员使用网络服务；

建立外部管理的网络服务用户组；

配置所述网络服务和所述外部管理的网络服务用户组之间的关联；以及

向所述管理域以外实现的外部组管理系统发送表示所述外部管理网络服务用户组的信息以及表示所述网络服务和所述外部管理的网络服务用户组之间的关联的信息。

13.如权利要求12所述的方法，其中所述服务提供商系统经由所述管理域以外的通信网络与所述管理域以外的至少一个成员通信，并且其中所述建立步骤包括从所述管理域中的配置系统接收配置信息。

14.如权利要求12或13所述的方法，还包括：

建立所述多个网络服务用户组的各个组策略，每个组策略支配由网络服务用户组的每个成员对关联于所述网络服务用户组的网络服务的使用。

15.如权利要求12或13所述的方法，其中所述配置步骤包括：

控制在多个登记表中所述网络服务的网络服务信息的存储，所述多个登记表包括所述多个网络服务用户组的各个登记表。

16.如权利要求12或13所述的方法，还包括：

根据所述关联控制所述网络服务的使用。

17.如权利要求14所述的方法，还包括：

根据所述组策略控制所述网络服务的使用。

18.如权利要求12所述的方法，在管理域中实现。19.一种网络服务使用系统，包括：

用于建立多个网络服务用户组的装置，每个网络服务用户组包括至少一个成员；以及

用于配置网络服务和所述多个网络服务用户组之间的关联的装置，所述网络服务包括由管理域中的网络服务提供商系统提供的网络服务，所述多个网络服务用户组包括这样的网络服务用户组，所述网络服务用户组包含所述管理域以外的至少一个成员，所述网络服务和网络服务用户组之间的关联允许所述网络服务用户组的每个成员使用网络服务；

用于建立外部管理的网络服务用户组的装置；

用于配置所述网络服务和所述外部管理的网络服务用户组之间的关联的装置；以及

用于向所述管理域以外实现的外部组管理系统发送表示所述外部管理网络服务用户组的信息以及表示所述网络服务和所述外部管理的网络服务用户组之间的关联的信息的装置。