CN102420846B - 企业用户对主存的虚拟机的远程访问 - Google Patents

企业用户对主存的虚拟机的远程访问 Download PDF

Info

Publication number
CN102420846B
CN102420846B CN201110329037.5A CN201110329037A CN102420846B CN 102420846 B CN102420846 B CN 102420846B CN 201110329037 A CN201110329037 A CN 201110329037A CN 102420846 B CN102420846 B CN 102420846B
Authority
CN
China
Prior art keywords
virtual machine
territory
token
enterprise
virtual
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201110329037.5A
Other languages
English (en)
Other versions
CN102420846A (zh
Inventor
A·拉玛拉铁纳姆
S·帕萨沙拉西
M·迈克尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Technology Licensing LLC
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of CN102420846A publication Critical patent/CN102420846A/zh
Application granted granted Critical
Publication of CN102420846B publication Critical patent/CN102420846B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Stored Programmes (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及企业用户对主存的虚拟机的远程访问。使企业的最终用户能够通过云提供者的虚拟化主机和远程呈现网关接收对公共云中的虚拟机的安全远程呈现访问。企业管理员可从云提供者购买计算容量并将该计算容量在企业最终用户间细分。云提供者不需要为每个最终用户创建影子账户。云提供者AD和企业AD不需要彼此信任。云提供者也不需要将主机信息暴露给承租人。使用终端服务网关处的定制授权插件和虚拟化主机处的间接监听器组件的组合，可提供授权。当客户端连接于远程呈现网关时主机细节可以被抽象，以保护结构免受攻击并使承租人虚拟机能够跨云提供者的虚拟化主机自由移动。

Description

企业用户对主存的虚拟机的远程访问
技术领域
本发明涉及远程呈现系统，尤其涉及企业用户对主存的虚拟机的远程访问。
背景技术
联网的一种日益流行的形式一般被称为远程呈现系统，其能使用诸如远程桌面协议(远程呈现)以及独立计算架构(ICA)等协议来与远程客户端共享桌面和在服务器上执行的其他应用。这样的计算系统通常将来自客户端的键盘按压和鼠标点击或选择传送到服务器，通过网络连接在另一方向将屏幕更新转播回去。由此，当实际上仅仅向客户端设备发送如在服务器侧上显现的桌面或应用的屏幕截图时，用户具有好像他的或她的机器正在完全地本地操作的体验。
许多向其用户提供虚拟机的企业正在从公共云提供者购买计算容量。云提供者(也被称为公共主存者(public hoster))出售虚拟机形式的计算容量，最终用户在“即用即付(pay as you go)”的基础上为计算容量付费。类似地，企业也能够从这些云提供者购买计算容量以扩展其计算容量。云提供者可使用虚拟化主机来部署虚拟机并向企业承租人出售虚拟机。云提供者的数据中心中的虚拟化主机可被联结到云提供者的域，而承租人(云服务的计算容量的购买者)拥有实际的虚拟机。
企业承租人通常有许多用户。承租人可进一步将计算容量细分并将从云租赁的个体虚拟机分配给来自他的企业的个体用户。这些用户需要以类似于他们访问他们的本地计算机的方式访问那些虚拟机。例如，远程桌面协议可被用来访问虚拟机。在服务提供者处，该基础结构可以以对虚拟机的所有远程桌面访问是通过主计算机完成的方式来被设置。
通过云提供者提供远程服务可提供一些好处，诸如：
1.即使承租人虚拟机不具有联网设置也可提供访问。
2.可为诸如Windows、Linux等多操作系统(OS)虚拟机工作负荷提供访问。
3.在虚拟机上执行人工/网络操作系统安装的能力。
4.云提供者的网关和客虚拟机之间的网络连通性是不需要的，从而使得云提供者的网络和承租人的网络能够隔离(客虚拟机可进一步驻留于它们自己的隔离网络中)。
发明内容
上述情形的一个问题是，通过云提供者的虚拟化主机对云中的虚拟机的远程呈现访问必须对承租人的企业的最终用户是安全的。
在各实施例中，公开了用于使得企业的最终用户能够通过云提供者的虚拟化主机和远程呈现网关接收对主存(hosted)的公共云中的分配的虚拟机的安全远程呈现访问的方法和系统。因此企业管理员可从云提供者购买计算容量并进一步将购买的计算容量在企业最终用户间细分。云提供者不需要为作为计算容量的消费者的企业的每个最终用户创建影子账户。云提供者也不需要将主机信息暴露给承租人。云提供者也不需要将主机信息暴露给互联网。在一实施例中，用X.509证书签署的定制令牌可被用来保护远程呈现访问。在其它实施例中，可使用具有用于身份联盟的安全令牌服务(STS)的SAML令牌。
在一个实施例中，通过使用终端服务网关处的定制授权插件和虚拟化主机处的间接监听器组件的组合，可提供授权。因此企业管理员可以能够进一步细分购买的公共云容量并将承租人虚拟机在最终用户间分配，而不需要公共云提供者(被称为“主存者”)为每个企业最终用户创建影子账户。当客户端连接于远程呈现网关时主机细节还可以被抽象，以保护结构(fabric)免受攻击并使承租人虚拟机能够跨云提供者的虚拟化主机自由移动而不影响远程呈现访问。
除了上述方面，构成本公开的一部分的权利要求、附图、以及文本还描述了其他方面。本领域技术人员之一可理解，本公开的一个或更多个方面可包括但不限于用于实现本公开的本文所提及的电路和/或编程；该电路和/或编程实质上可以是配置成实现本文所提及的方面的硬件、软件和/或固件的任何组合，这取决于系统设计者的设计选择。
以上是概述，并且因此必然包含细节的简化、一般化及省略。本领域技术人员将明白，本概述只是说明性的并且决不旨在是限制性的。
附图说明
参考附图来进一步描述根据本说明书的用于图形数据传输到远程计算设备的系统、方法和计算机可读介质，在附图中：
图1和2描绘了其中可实现本公开的各方面的示例计算机系统。
图3描绘了用于实施本公开的各方面的虚拟化操作环境。
图4描绘了用于实施本公开的各方面的虚拟化操作环境。
图5示出了包括用于实现远程桌面服务的电路的计算机系统。
图6描绘了用于实施本公开的各方面的操作环境。
图7描绘了用于实施本公开的各方面的操作环境。
图8描绘了用于实施本公开的各方面的操作环境。
图9-11描绘了用于实施本公开的各方面的示例性操作过程。
图12描绘了用于实施本公开的各方面的示例性操作过程。
图13描绘了用于实施本公开的各方面的示例性系统和操作过程。
具体实施方式
概括的计算环境
在以下描述和附图中阐明了某些具体细节，以提供对本公开的各个实施例的全面理解。通常与计算和软件技术相关联的某些公知细节不在以下公开中描述，以避免不必要地使本公开的各实施例晦涩难懂。此外，相关领域的普通技术人员会理解，他们可以无需以下描述的细节中的一个或多个而实现本公开的其它实施例。最后，尽管在以下公开中参考了步骤和序列来描述各个方法，但是如此的描述是为了提供本公开的实施例的清楚实现，且步骤以及步骤序列不应被认为是实现本公开所必需的。
应该理解，此处描述的各种技术可以结合硬件或软件，或在适当时结合两者的组合来实现。因此，本公开的方法和装置或其某些方面或部分，可以采用包含在诸如软盘、CD-ROM、硬盘驱动器或任何其它机器可读存储介质等有形介质中的程序代码(即，指令)的形式，其中，当程序代码被加载至诸如计算机等机器并由其执行时，该机器成为用于实践本公开的装置。在程序代码在可编程计算机上执行的情况下，计算设备通常包括处理器、该处理器可读的存储介质(包括易失性和非易失性存储器和/或存储元件)、至少一个输入设备、以及至少一个输出设备。一个或多个程序可以例如通过使用应用编程接口(API)、可重用控件等来实现或利用结合本公开描述的过程。这样的程序优选地用高级过程语言或面向对象的编程语言来实现，以与计算机系统通信。然而，如果需要，程序可以用汇编语言或机器语言来实现。在任何情形中，语言可以是编译的语言或解释的语言，且与硬件实现相结合。
远程桌面系统是维护可由客户端计算机系统远程地执行的应用和操作系统的计算机系统。输入是在客户端计算机系统处被输入的，并通过网络(例如，使用基于国际电信联盟(ITU)T.120系列协议等协议，如远程桌面协议(远程呈现))传送到终端服务器上的应用。该应用如同该输入是在终端服务器处被输入那样来处理该输入。该应用响应于所接收到的输入来生成输出，并且通过网络将该输出传送到客户端。
各实施例可在一个或多个计算机上执行。图1和2以及下面的讨论旨在提供其中可实现本公开的合适的计算环境的简要概括描述。本领域的技术人员可以理解，计算机系统200、300可具有参照图1和2的计算机100描述的组件中的一部分或全部。
贯穿本公开使用的术语电路可包括诸如硬件中断控制器、硬盘驱动器、网络适配器、图形处理器、基于硬件的视频/音频编解码器等硬件组件，以及用于操作这些硬件的固件/软件。术语电路还可包括被配置成通过固件或通过开关集来以特定方式执行功能的微处理器，或一个或多个逻辑处理器，例如，多核通用处理单元的一个或多个核。此示例中的逻辑处理器可以通过从存储器，例如，RAM、ROM、固件和/或虚拟存储器中加载的体现可操作以执行功能的逻辑的软件指令来配置。在其中电路包括硬件和软件的组合的示例实施例中，实现者可以编写具体化逻辑的源代码，该源代码随后被编译成可由逻辑处理器执行的机器可读代码。因为本领域技术人员可以明白现有技术已经进化到硬件、软件或硬件/软件的组合之间几乎没有差别的地步，因而选择硬件还是软件来实现功能只是一个设计选择。因此，由于本领域的技术人员可以理解软件进程可被变换成等效的硬件结构，且硬件结构本身可被变换成等效的软件进程，因此选择硬件实现或是软件实现是无足轻重的且留给了实现者。
图1描绘了以本公开的各方面来配置的计算系统的示例。计算系统可包括计算机20等等，其中包括处理单元21、系统存储器22，以及将包括系统存储器在内的各种系统组件耦合到处理单元21的系统总线23。系统总线23可以是若干类型的总线结构中的任一种，包括使用各种总线体系结构中的任一种的存储器总线或存储器控制器、外围总线、以及局部总线。系统存储器包括只读存储器(ROM)24和随机存取存储器(RAM)25。基本输入/输出系统26(BIOS)被存储在ROM 24中，该基本输入/输出系统26包含了诸如在启动期间帮助在计算机20内的元件之间传输信息的基本例程。计算机20还可以包括用于读写硬盘(未示出)的硬盘驱动器27、用于读写可移动磁盘29的磁盘驱动器28，以及用于读写诸如CD ROM或其他光学介质之类的可移动光盘31的光盘驱动器30。在一些示例实施例中，实施本公开的各方面的计算机可执行指令可存储在ROM 24、硬盘(未示出)、RAM 25、可移动磁盘29、光盘31和/或处理单元21的高速缓存中。硬盘驱动器27、磁盘驱动器28，以及光盘驱动器30分别通过硬盘驱动器接口32、磁盘驱动器接口33，以及光盘驱动器接口34连接到系统总线23。驱动器以及它们相关联的计算机可读介质为计算机20提供了对计算机可读指令、数据结构、程序模块，及其他数据的非易失性存储。虽然此处所描述的环境使用了硬盘、可移动磁盘29、以及可移动光盘31，但是，那些本领域普通技术人员应该理解，在操作环境中也可以使用诸如盒式磁带、闪存卡、数字视频盘、伯努利磁带盒、随机存取存储器(RAM)、只读存储器(ROM)等等之类的可以存储可由计算机进行访问的数据的其他类型的计算机可读介质。
可以有若干个程序模块存储在硬盘、磁盘29、光盘31、ROM 24或RAM 25上，包括操作系统35、一个或多个应用程序36、其他程序模块37、以及程序数据38。用户可以通过诸如键盘40和定点设备42之类的输入设备向计算机20中输入命令和信息。其他输入设备(未示出)可包括话筒、游戏杆、游戏手柄、圆盘式卫星天线、扫描仪等等。这些及其他输入设备常常通过耦合到系统总线的串行端口接口46连接到处理单元21，但是，也可以通过诸如并行端口、游戏端口、通用串行总线(USB)端口之类的其他接口来连接。显示器47或其他类型的显示设备也可以通过诸如视频适配器48之类的接口连接到系统总线23。除了显示器47之外，计算机通常还包括其他外围输出设备(未示出)，如扬声器和打印机。图1的系统也包括主机适配器55、小型计算机系统接口(SCSI)总线56，以及连接到SCSI总线56的外部存储设备62。
计算机20可以使用到一个或多个远程计算机(如远程计算机49)的逻辑连接，以在联网环境中操作。远程计算机49可以是另一计算机、服务器、路由器、网络PC、对等设备或其他常见的网络节点、虚拟机，并通常包括上文相对于计算机20所描述的许多或全部元件，但是在图1中只示出了存储器存储设备50。图1中所描绘的逻辑连接可包括局域网(LAN)51和广域网(WAN)52。这样的联网环境在办公室、企业范围的计算机网络、内联网和因特网中是普遍的。
当用于LAN网络环境中时，计算机20可通过网络接口或适配器53连接到LAN 51。当用于WAN网络环境中时，计算机20通常包括调制解调器54，或用于通过诸如因特网之类的广域网52建立通信的其他手段。可以是内置的或外置的调制解调器54可通过串行端口接口46连接到系统总线23。在联网环境中，相对于计算机20所描述的程序模块或其部分可被存储在远程存储器存储设备中。可以理解，所示出的网络连接只是示例，也可以使用用于在计算机之间建立通信链路的其他手段。此外，虽然可构想本发明的许多实施例尤其适用于计算机系统，然而在本文中不意味着将本公开限于这些实施例。
现在参考图2，描绘了示例性计算系统100的另一实施例。计算机系统100可包括逻辑处理器102，如执行核。尽管示出了一个逻辑处理器102，但在其他实施例中，计算机系统100可具有多个逻辑处理器，例如每一处理器基板有多个执行核，和/或各自可具有多个执行核的多个处理器基板。如图所示，各种计算机可读存储介质110可由一个或多个系统总线互联，系统总线将各种系统组件耦合到逻辑处理器102。系统总线可以是几种类型的总线结构中的任何一种，包括存储器总线或存储器控制器、外围总线、以及使用各种总线体系结构中的任一种的局部总线。在示例实施例中，计算机可读存储介质110可以包括例如随机存取存储器(RAM)104、存储设备106(例如电机硬盘驱动器、固态硬盘驱动器等)、固件108(例如闪速RAM或ROM)、以及可移动存储设备118(例如CD-ROM、软盘、DVD、闪速驱动器、外部存储设备等)。本领域的技术人员应当理解，可使用其他类型的计算机可读存储介质，如磁带盒、闪存卡、数字视频盘、柏努利盒式磁带。
计算机可读存储介质为计算机100提供了对处理器可执行指令122、数据结构、程序模块和其他数据的非易失性存储。基本输入/输出系统(BIOS)120可被存储在固件108中，它包含帮助在诸如启动期间在计算机系统100内的各元件之间传递信息的基本例程。若干个程序可被存储在固件108、存储设备106、RAM 104和/或可移动存储设备118上，并且可由逻辑处理器102来执行，包括操作系统和/或应用程序。
命令和信息可由计算机100通过输入设备116来接收，输入设备可包括但不限于键盘和定点设备。其他输入设备可以包括话筒、操纵杆、游戏手柄、扫描仪等等。这些和其他输入设备常通过耦合到系统总线的串行端口接口连接到逻辑处理器102，但也可通过其他接口连接，如并行端口、游戏端口或通用串行总线(USB)。显示器或其他类型的显示设备也可经由诸如视频适配器等可以是图形处理器112的一部分或可连接到图形处理器112的接口来连接到系统总线。除了显示器之外，计算机通常包括其他外围输出设备(未示出)，如扬声器和打印机。图1的示例性系统还可包括主适配器、小型计算机系统接口(SCSI)总线和连接到SCSI总线的外部存储设备。
计算机系统100可使用至一个或多个远程计算机，如远程计算机，的逻辑连接在网络化环境中操作。远程计算机可以是另一计算机、服务器、路由器、网络PC、对等设备或其他常见的网络节点，并且通常包括上面关于计算机系统100所述的许多或全部元件。
当在LAN或WAN联网环境中使用时，计算机系统100可通过网络接口卡114连接至LAN或WAN。NIC 114(可以是内部或外部的)可以连接到系统总线。在联网环境中，相对于计算机系统100所描述的程序模块或其部分可被储存在远程存储器存储设备中。可以理解，所描述的网络连接是示例性的，且可以使用在计算机之间建立通信链路的其他手段。此外，虽然可构想本公开的许多实施例尤其适用于计算机化的系统，然而在本文中没有任何表述旨在将本公开限于那些实施例。
远程桌面系统是维护可由客户端计算机系统远程地执行的应用的计算机系统。输入是在客户端计算机系统处被输入的，并通过网络(例如，使用基于国际电信联盟(ITU)T.120系列协议等协议，如远程桌面协议(远程呈现))传送到终端服务器上的应用。该应用如同该输入是在终端服务器处输入的那样来处理该输入。该应用响应于所接收到的输入生成输出，并且该输出通过网络传送到客户端计算机系统。客户端计算机系统呈现输出数据。由此，在客户端计算机系统处接收输入并呈现输出，而处理实际上是在终端服务器处发生的。会话可包括命令行界面(shell)和诸如桌面之类的用户界面、跟踪该桌面内的鼠标移动的子系统、将图标上的鼠标点击转换成实现程序实例的命令的子系统等等。在另一示例实施例中，会话可包括应用。在该示例中，当呈现应用时，桌面环境仍可被生成并对用户隐藏。应当理解，前述讨论是示例性的，且当前公开的主题可以在各种客户端/服务器环境中实现且不限于特定终端服务产品。
即使不是全部也是在大多数远程桌面环境中，输入数据(在客户端计算机系统处输入)通常包括表示对应用的命令的鼠标和键盘数据，且输出数据(由终端服务器处的应用生成)通常包括用于在视频输出设备上显示的视频数据。许多远程桌面环境也包括扩展到传输其他类型的数据的功能。
通过允许插件经由远程呈现连接传输数据，可使用通信信道来来扩展远程呈现协议。存在许多这样的扩展。诸如打印机重定向、剪贴板重定向、端口重定向等特征使用通信信道技术。由此，除了输入和输出数据之外，可以有许多需要传输数据的通信信道。因此，可能有传输输出数据的偶然请求和传输其他数据的一个或多个信道请求争用可用的网络带宽。
转向图3，示出了可被用来生成虚拟机的示例性虚拟机服务器。在该实施例中，系统管理程序(hypervisor)微内核302可被配置成控制并仲裁对计算机系统300的硬件的访问。系统管理程序微内核302可以隔离一个分区中的进程，使其不能访问另一分区的资源。例如，系统管理程序微内核302可以生成称为分区的执行环境，如子分区1到子分区N(其中N是大于1的整数)。在该实施例中，子分区是系统管理程序微内核302支持的基本隔离单元。每一子分区可被映射到在系统管理程序微内核302控制之下的一组硬件资源，例如，存储器、设备、逻辑处理器周期等。在各实施例中，系统管理程序微内核302可以是独立的软件产品、操作系统的一部分、嵌入在主板的固件中、专用集成电路、或其组合。
系统管理程序微内核302可以通过限制客操作系统对物理计算机系统中的存储器的视图来实施分区划分。当系统管理程序微内核302实例化一虚拟机时，它可以将系统物理存储器(SPM)的页(例如，具有开始和结束地址的固定长度存储器块)分配给虚拟机作为客物理存储器(GPM)。在该实施例中，客机对系统存储器的受限视图受系统管理程序微内核302控制。术语“客物理存储器”是从虚拟机的观点描述存储器页的简写方式，且术语“系统物理存储器”是从物理系统的观点描述存储器页的简写方式。因此，被分配给虚拟机的存储器页会有客物理地址(虚拟机所使用的地址)和系统物理地址(页的实际地址)。
客操作系统可以虚拟化客物理存储器。虚拟存储器是一种管理技术，其允许操作系统过度提交存储器，并且给予应用对连续工作存储器的唯一访问。在虚拟化环境中，客操作系统可以使用一个或多个页表来将被称为虚拟客地址的虚拟地址转换成客物理地址。在该示例中，存储器地址可以具有客虚拟地址、客物理地址以及系统物理地址。
在所描绘的示例中，父分区组件(也可被认为是类似于Xen的开源系统管理程序的域0)可以包括主机304。主机304可以是操作系统(或一组配置实用程序)，并且主机304可以被配置成通过使用虚拟化服务提供者328(VSP)向在子分区1-N中执行的客操作系统提供资源。VSP 328(一般在开源社区中被称为后端驱动程序)可用来通过虚拟化服务客户端(VSC)(在开源社区或类虚拟化设备中一般称为前端驱动程序)对到硬件资源的接口进行多路复用。如图所示，虚拟化服务客户端可以在客操作系统的上下文中执行。然而，这些驱动程序不同于客机中的其余驱动程序，因为向它们提供了系统管理程序而非客机。在一示例性实施例中，虚拟化服务提供者328与虚拟化服务客户端316和318通信所使用的路径可以被认为是虚拟化路径。
如图所示，仿真器334(例如虚拟化IDE设备、虚拟化视频适配器、虚拟化NIC等)可被配置成在主机304中运行并被附连到对客操作系统330和322可用的资源。例如，当客操作系统接触被映射到设备的寄存器的所处位置的存储器位置或接触被映射到设备的存储器时，微内核系统管理程序302可截取该请求并将客机试图写入的值传递给相关联的仿真器。在该示例中，资源可被认为是虚拟设备所处的位置。仿真器的以这种方式的使用可以被认为是仿真路径。仿真路径与虚拟化路径相比是低效的，因为与在VSP和VSC之间传递消息相比，它需要更多的CPU资源来仿真设备。例如，可以将经由仿真路径把值写入盘所需的、被映射至寄存器的存储器上的几百个动作减少为在虚拟化路径中从VSC被传递至VSP的单个消息。
每一子分区可包括一个或多个虚拟处理器(320和322)，客操作系统(320和322)可管理并调度线程以在这些虚拟处理器上执行。一般而言，虚拟处理器是提供具有特定架构的物理处理器的表示的可执行指令以及相关联的状态信息。例如，一个虚拟机可具有带有英特尔x86处理器特性的虚拟处理器，而另一虚拟处理器可具有PowerPC处理器的特性。本示例中的虚拟处理器可被映射到计算机系统的逻辑处理器，使得实现虚拟处理器的指令将受到逻辑处理器的支持。由此，在包括多个逻辑处理器的实施例中，各虚拟处理器可以由各逻辑处理器同时执行，同时例如其他逻辑处理器执行系统管理程序指令。分区中虚拟处理器和存储器的组合可被认为是虚拟机。
客操作系统(320和322)可以是任何操作系统，如来自微软苹果开源社区等的操作系统。客操作系统可包括用户/内核操作模式，并且可具有能包括调度器、存储器管理器等的内核。一般而言，内核模式可包括逻辑处理器中的执行模式，该执行模式授予对至少特权处理器指令的访问权。每一客操作系统可具有相关联的文件系统，该文件系统上存储有诸如终端服务器、电子商务服务器、电子邮件服务器等应用以及客操作系统本身。客操作系统可调度线程来在虚拟处理器上执行，并且可实现此类应用的实例。
现在参考图4，示出的是基于一种替代架构的虚拟机服务器。图4描绘了与图3的组件相类似的组件；然而，在本示例实施方式中，系统管理程序402可包括微内核组件以及和图3的主机304中的组件(如虚拟化服务提供者328和设备驱动程序324)相类似的组件，而管理操作系统404可包含例如用于配置系统管理程序402的配置实用程序。在本架构中，系统管理程序402可以执行与图3的系统管理程序微内核302相同或相似的功能；然而，在本架构中，系统管理程序404可被配置成向在子分区中执行的客操作系统提供资源。图4的系统管理程序402可以是独立的软件产品、操作系统的一部分、嵌入在主板的固件内，或者系统管理程序402的一部分可以由专用集成电路来实现。
现在参考图5，示出的是虚拟桌面服务器500的高层次框图。在一实施例中，虚拟桌面服务器500可以被配置成将虚拟桌面会话(VDS)部署到客户端，例如，诸如智能电话等移动设备、具有和图1所示组件相似的组件的计算机系统等等。简言之，虚拟桌面技术使用户能与虚拟机中运行的客操作系统远程地交互。不同于远程桌面会话，在虚拟桌面会话中，只有一个用户登录到客操作系统中并且对其具有总控制，例如，用户可以作为管理员运行并且在该客机上具有完全权限。在所示示例中，虚拟桌面服务器500可以具有与图3或图4的计算机系统300或400类似的组件。在所示示例中，虚拟化平台502是如上在图3和图4中所述的虚拟化基础结构组件的逻辑抽象。在以下章节中被描述为在虚拟化平台502“以内”的功能可以在图3或图4中描绘的一个或多个元件中实现。例如，虚拟桌面管理器530可以在图3的主机304中实现。更具体而言，虚拟桌面管理器530可以在虚拟化环境的父分区中运行的主操作系统中实现。
启动虚拟桌面会话要求在虚拟机内对客操作系统进行实例化。在一示例性实施例中，虚拟桌面管理器530(例如，处理器可执行指令的模块)可以响应于请求而启动虚拟机514(连同客操作系统528)。虚拟桌面管理器530可以在逻辑处理器上执行，并且可以指示虚拟化平台502(例如微内核系统管理程序202)为分区分配存储器。虚拟化平台502可以在虚拟机514内执行并设置虚拟设备，并且将引导加载程序加载到虚拟机存储器中。引导加载程序可以在虚拟处理器上执行并且加载客操作系统528。例如，可以加载会话管理器508，会话管理器508可以实例化诸如运行时子系统526等环境子系统，运行时子系统526可以包括诸如操作系统核510等内核模式部分。例如，在一实施例中，环境子系统可以被配置成将服务的子集暴露给应用程序并提供到内核520的接入点。当加载客操作系统528时，引导加载程序可以退出，并将对虚拟机的控制转交给客操作系统528。客操作系统528可以执行图5所示的各个模块，并且将其自身配置为主存虚拟桌面会话。例如，客操作系统528可以包括使远程呈现引擎506和/或配置服务534在引导时启动的注册表值。
虚拟桌面会话可以在客操作系统528通过网络从客户端接收到连接请求时启动。连接请求首先可由远程呈现引擎506处理。远程呈现引擎506可以被配置成监听连接消息并将它们转发至会话管理器508。如图3所示，当会话被生成时，远程呈现引擎506可以运行该会话的协议栈实例。一般而言，协议栈实例可被配置成将用户界面输出路由到相关联的客户端、以及将从相关联的客户端接收到的用户输入路由到操作系统核510。简言之，操作系统核510可以被配置成管理屏幕输出；收集来自键盘、鼠标和其它设备的输入。
用户凭证(如用户名/密码组合)可由远程呈现引擎506接收并被传递至会话管理器508。会话管理器508可以将凭证传递至登录过程，登录过程可以将凭证路由至认证引擎524以进行验证。认证引擎524可以生成系统令牌，系统令牌可以在每当用户尝试执行一进程时使用以确定用户是否具有运行该进程或线程的安全凭证。例如，当进程或线程尝试获得访问时(例如，打开、关闭、删除和/或修改例如文件、设置或应用等对象)，线程或进程可由安全子系统522来认证。安全子系统522可以对照与对象相关联的访问控制列表来检查系统令牌，并且基于系统令牌中的信息与访问控制列表的比较来确定线程是否具有许可。如果安全子系统522确定线程被授权，则允许该线程访问对象。
继续对图5的描述，在一实施例中，操作系统核510可以包括图形显示接口516(GDI)和输入子系统512。在一示例实施例中，输入子系统512可以被配置成经由虚拟桌面会话的协议栈实例从客户端接收用户输入，并将该输入发送至操作系统核510。在一些实施例中，用户输入可包括指示绝对和/或相对鼠标移动命令、鼠标坐标、鼠标点击、键盘信号、操纵杆移动信号等的信号。例如在图标上的鼠标双击等用户输入可被操作系统核510接收，并且输入子系统512可被配置成确定图标位于与该双击相关联的坐标处。输入子系统512随后可被配置成向可执行与该图标相关联的应用的进程的运行时子系统526发送通知。
绘制命令可从应用和/或桌面被接收，并由GDI 516处理。GDI 516一般可包括能生成图形对象绘制命令的进程。在本示例实施例中，GDI 516可以被配置成将命令传递给远程显示子系统518，该远程显示子系统518可为该会话实例化显示驱动程序。在一示例实施例中，远程显示子系统518可被配置成包括虚拟显示驱动程序，该虚拟显示驱动程序可被配置成接收绘制命令并将它们发送至客户端。
图5中还示出配置服务534。在一示例性实施例中，配置服务534可被用来设置客操作系统528以便在客户端连接前实施虚拟桌面会话。例如，配置服务534可以在客操作系统528内运行，并且在客操作系统528引导时执行。由于特定的配置设置需要管理特权，因此可以将配置服务534配置成作为具有系统范围特权的进程来运行。配置服务534可采取的一些示例性动作包括但不限于以下动作：将用户的帐户标识符添加至客操作系统528的管理用户列表，将帐户标识符添加至授权的虚拟桌面用户列表，设置注册表值，开启客操作系统防火墙，以及将远程呈现引擎506监听连接的端口打开。在以下段落中更详细地描述了配置服务534。
在一示例性实施例中，可以在虚拟化平台502和客操作系统528之间建立通信信道以便配置和控制客操作系统528。由于远程用户可以对虚拟机514具有完全控制，因此需要有安全性，以确保用于配置和控制客操作系统528的任何信道不能也用来攻击虚拟化平台502或连接到内部网络的其它计算机系统。传统上，使用联网的通信信道来设置和控制客操作系统528。然而，当客操作系统528不与虚拟化平台502处于同一网络域中时，网络信道难以部署，且虚拟化平台502被配置成拒绝来自该域外的传入的连接请求。
在一示例性实施例中，可以使用分区间通信信道504来与配置服务器534通信，以便配置和/或管理虚拟桌面会话。分区间通信信道504可以被配置成由虚拟机514隐式地信任，而不被虚拟化平台502所信任。在本示例中，可以将例如数据和/或命令等信息容易地路由至客操作系统528，而无需验证该信息。另一方面，可以在虚拟化平台502采取动作之前，验证和认证从虚拟机514接收到的数据。而且，由于分区间通信信道504不使用联网，所以客操作系统528可以被排除在内部网络以外。
分区间通信信道504可以被虚拟机514隐式地信任(即，经由该信道接收到的信息是固有地已认证/确认的)，因为只有虚拟化平台502可以创建分区间通信信道504。例如，在一实施例中，可以将分区间通信信道504至少部分地实现为在虚拟机514和虚拟化平台502之间共享的存储器区域。虚拟化平台502可使指示环形缓冲区等等的数据结构在可被用作虚拟化平台502和虚拟机514之间的全双工通信信道的共享的存储器区域中被创建。在一示例性实施例中，分区间通信信道可以包括在题为“Partition Bus(分区总线)”、专利号为7,689,800的美国专利中描述的特征，该专利的内容通过引用被完全结合于此。
虚拟化平台502可以将信息写至可由虚拟机514读取的分区间通信信道504。在一示例性实施例中，分区间通信信道504可以是基于消息的。也就是说，虚拟化平台502和虚拟机514可以被配置成将数据分组写至分区间通信信道504。在同一个或另一个示例性实施例中，分区间通信信道504可以是事件驱动的。在此配置中，当信息被写入该信道时，可以指示接收者通过例如图3的系统管理程序302来从分区间通信信道504读取信息。
现在参见图6，示出的是数据中心的高层次框图，数据中心包括：虚拟桌面服务器500、虚拟桌面服务器602、许可服务器604、代理服务器608、网关612和客户端614。数据中心可被配置成向客户端部署虚拟桌面会话。在所示例子中，虚拟化平台502、虚拟桌面服务器602、许可服务器604、代理服务器608和网关612可以是内联网的一部分，用于登录到这些计算机中的用户凭证可以是同一域(即基础结构域520)的成员。基础结构域520以虚线示出，将虚拟桌面服务器500切成两半，以说明在一示例性实施例中，虚拟机514可以是一个不同的域的一部分，或者不是任何域的部分。而且，虚拟机514可以是不同的网络的一部分或者完全不是网络的一部分。
数据中心可以包括内部网络，该内部网络将多个虚拟桌面服务器(602和500)耦合到代理服务器608和许可服务器604，其中虚拟桌面服务器可包括类似于图3或4所示组件的组件。如本领域的技术人员可理解的，尽管示出了两个虚拟桌面服务器，但数据中心可具有更多个虚拟桌面服务器。而且，尽管虚拟桌面服务器500被示出为运行一个虚拟机(514)，但是每个虚拟桌面服务器可以同时主存许多虚拟机。或者换句话说，数据中心可以有M个虚拟桌面服务器(其中M是大于1的整数)，该M个虚拟化主机的每一个可以主存N个虚拟机(其中N也是大于1的整数)。
代理服务器608可以充当客户端614到内联网的接口。简言之，代理服务器608可以包括与针对图2所述的组件相似的组件。代理服务器608可以具有将其接口到诸如因特网等公共网络的网络适配器，以及将其接口到内部网络(即，内联网)的另一网络适配器。在本示例中，代理服务器608可以充当内部网络的网关，从而允许虚拟桌面服务器和许可服务器604保持在公共网络之外。
当客户端614的用户想要虚拟桌面会话时，他或她可以点击图标，而客户端614可以将一个或多个信息分组发送至代理服务器608。代理服务器608可以包括软件指令模块，软件指令在执行时使逻辑处理器选择适当的虚拟化主机来实例化一虚拟机以主存虚拟桌面会话。可以收集用户凭证(例如用户名和密码组合)，而代理服务器608可以检查会话数据库610以确定数据中心是否包括与诸如用户名/密码组合这样的用户凭证相关联的任何断开的虚拟桌面会话。如果会话数据库610包括与用户凭证相关联的断开的虚拟桌面会话，则代理服务器608可以向具有该断开的会话的虚拟化主机发送信号并指示它执行该虚拟机。如果会话数据库610不具有指示关于用户的断开的会话的信息，则代理服务器608可以选择适当的虚拟桌面服务器，例如，一个具有可用来实例化虚拟机以主存虚拟桌面会话的资源的服务器。
虚拟化平台502可以实例化虚拟机514，并且在虚拟处理器上执行客操作系统528。回过头参考图5，客操作系统528可以运行远程呈现引擎506；将虚拟NIC 616的网际协议(IP)地址返回至代理服务器608；并且等待来自客户端614的连接。代理服务器608可以在信息分组中将虚拟NIC 616的IP地址返回至客户端614，该信息分组使客户端614的逻辑处理器将客户端重定向至IP地址虚拟机514。网关612可以接收该连接请求并将它转发至虚拟NIC 616。
在至少一个示例性实施例中，会话管理器508可以被配置成检查客户端614在启动虚拟桌面会话之前是否与有效的许可证相关联。远程呈现引擎506可以从客户端614接收许可证(或与许可证相关联的信息)，并将该信息发送至虚拟化平台502，虚拟化平台502可以将许可证(或与许可证相关联的信息)发送至许可服务器604。许可服务器604可以包括许可证确认引擎606，许可证确认引擎606可以被配置成确定与客户端614相关联的许可证是否有效。如果许可证是有效的，许可证确认引擎606可以将信号发回虚拟桌面服务器500，而虚拟桌面会话可被启动。在这一点上，远程呈现引擎506可以将指示客操作系统528的图形用户界面的一个或多个信息分组流式传送到客户端614，并且从客户端614接收指示用户输入的一个或多个信息分组。
在一示例性实施例中，当虚拟化平台502从代理服务器608接收请求以实例化虚拟机时，虚拟桌面管理器530可以执行命令和/或信息，并且经由分区间通信信道504将命令和/或信息发送至虚拟机514以使客操作系统528被配置成进行虚拟桌面会话。配置服务534可以接收该命令和/或信息，并且相应地配置客操作系统528。例如，虚拟桌面管理器530可以发送：尝试连接的用户的身份、保护客操作系统528的防火墙的所需设置、注册表值、允许用户操作的应用的列表、用来启用虚拟桌面会话并且用来将用户的身份添加至授权的虚拟桌面用户列表的命令等等。配置服务534可以在虚拟处理器上执行并且改变适当的设置。
一旦虚拟桌面会话在运行时，虚拟桌面管理器530就可以经由分区间通信信道504来管理运行的虚拟桌面会话。例如，虚拟桌面管理器530可以向虚拟机514发布命令，诸如使客操作系统528关闭、断开用户、重置客操作系统528等的命令。在同一个或另一个实施例中，虚拟桌面管理器530可以管理虚拟桌面会话，接收虚拟机514的状态信息、来自远程呈现引擎506的状况信息，并且/或者将控制虚拟桌面会话的命令发送至配置服务534。例如，虚拟桌面管理器530可以接收虚拟机514的指示虚拟机514是否在运行、暂停、就绪、引导的状态信息，以及可被发送至客户端的IP地址列表。此外，虚拟桌面管理器530可以接收客操作系统528的状况信息，诸如登录到虚拟桌面会话的用户的身份，并且可以将该信息的一些或全部传送至代理服务器608。
图7描绘了其中客户端具有包括与多个服务器的远程会话的工作空间的示例系统。
图7中所描绘的计算机可与图1中所描绘的计算机类似。在图7中，客户端702与部署700通信，部署700包括认证服务器704、连接代理706、网关708、远程应用服务器场714(远程应用服务器场进一步包括两个同样配置的服务器：远程应用服务器716a-b)、以及VM服务器场710(VM服务器场进一步包括两个同样配置的VM：VM 712a-b)。
客户端702具有包括由远程应用服务器716和VM 712中的一个或多个供应的多个远程资源的工作空间。客户端702可通过认证服务器704登入其工作空间。一旦被认证，客户端的连接至其工作空间的请求被从认证服务器704发送至连接代理706。连接代理706被配置成代理客户端702与应用服务器716和VM 712之间的将向客户端702供应远程资源的连接，并且为此，连接代理706被配置成与应用服务器716和VM 712通信以确定它们当前正供应什么资源(包括客户端702的用户的断开的远程资源)。
客户端702可具有包括多个远程资源——包括来自远程应用服务器716a的远程应用的远程资源以及包括来自VM 712a的VM的远程资源——的工作空间。如所描绘的，客户端702不具有关于远程应用服务器716b或VM 712b的远程资源。这些远程资源可各自服务于不同应用或桌面、各版本的应用、或其它置换。例如，远程应用服务器716a可向客户端702供应远程文字处理应用，而VM 712可向客户端702供应远程桌面。
通过这一说明可知，当用户想要重新连接回他或她的工作空间时，他可能想要通过一条命令重新连接至远程应用服务器716a和VM 712a两者的远程资源，而不是通过执行三次的一条命令。用户可从客户端702或从另一客户端计算机执行这一重新连接操作(诸如当客户端702是用户在工作场所的计算机，而用户想要在周末时从家中的计算机重新连接)。
图8描绘了用于客户端重新连接至工作空间的远程资源的示例通信流。
图8描绘了一系统中的示例通信流，其中客户端重新连接包括与多个服务器的远程会话的工作空间。这一通信流可实现在诸如图7中所描绘的计算机系统之类的系统中。即，图8的远程部署800、客户端802、认证服务器804、连接代理806、网关808、VM场810和VM 812a可分别与图7的远程部署200、客户端202、认证服务器204、连接代理206、网关208、VM场210和VM 212a类似。
客户端802的用户之前已具有到远程服务器场800的工作空间，该工作空间涉及访问来自VM 812a的远程资源，并且该工作空间现在被断开。在客户端802尝试重新连接至部署800之前，认证服务器804(经由通信(1))向客户端802发布文档，该文档标识客户端802可用来访问部署800的远程资源的、关于部署800的信息。客户端802稍后通过将通信(2)发送给认证服务器804来重新连接。认证服务器804验证用户和/或客户端的凭证(诸如账户和密码)。若凭证被验证，认证服务器804与连接代理806通信以确定当重新连接到客户端802的工作空间时客户端802将要重新连接到哪些远程资源(此处为VM812a)。认证服务器804通过向连接代理806发送通信(3)并作为响应在通信(4)中接收回客户端802要重新连接到的服务器场(此处为VM场810)的列表来做出这一确定。在通信(4)中指示的这一信息由认证服务器804在通信(5)中传递给客户端802。
当客户端802从认证服务器804得到了要重新连接到的服务器的列表时，客户端802与那些服务器场中的每一个重新建立通信。如图8中所描绘的，该服务器场是VM场810。客户端802没有直接接触连接代理806或VM场810的能力。因此网关808被用在联网环境的边缘以协助该请求并越过网络边界。客户端802与网关808通信(6)以访问这些服务器场的远程资源。网关808处理通信(6)，并进而与通信代理806通信(7)以传递类似的信息。连接代理806从通信(7)获取服务器场的标识，并从该标识来标识具有该断开的远程资源的场810内的机器(VM 812a)。连接代理806发送通信(8)至VM 812a，指示VM 812a将该远程资源重新连接至客户端802。通过发送指示同一内容的通信(9)至网关808，VM 812a与客户端802重新连接，而网关808又进而发送指示同一内容的通信(10)至客户端802。
可以理解，这是用于突出本发明的简化图示，并且可存在和/或连接至更多或更少的服务器场，并且可更多涉及所传递的通信(例如，示出的是通信(9)和(10)建立VM 812a和客户端802之间的重新连接，而这也可涉及从客户端802经网关808发送给VM 812a的通信)。
用于实现上面提到的虚拟机的所有这些变型只是示例性实现，且本文没有任何表述应被解释为将本公开限制于任何特定的虚拟化方面。
企业用户对主存虚拟机的远程访问
许多向其用户提供虚拟机的企业正在从公共云提供者购买计算容量。云提供者(也被称为公共主存者(public hoster))出售虚拟机形式的计算容量，终端用户在“即用即付(pay as you go)”的基础上为计算容量付费。类似地，企业也能够从这些云提供者购买计算容量以扩展其计算容量。云提供者可使用虚拟化主机来部署虚拟机并向企业承租人出售虚拟机。云提供者的数据中心中的虚拟化主机可被联结到云提供者的域，而承租人(云服务的计算容量的购买者)拥有实际的虚拟机。
企业承租人通常有许多用户。承租人可进一步将计算容量细分并将从云租赁的个体虚拟机分配给来自他的企业的个体用户。这些用户需要以类似于他们访问他们的本地计算机的方式访问那些虚拟机。例如，远程桌面协议可被用来访问虚拟机。在服务提供者处，该基础结构可以以对虚拟机的所有远程桌面访问都是通过主计算机来完成的方式被设置。
如上所述，域可以是共享中央目录数据库的计算机的逻辑分组。这个中央目录(例如，活动目录(Active Directory))含有用户账户和用于那个域中的资源的安全信息。域内的每个用户可接收唯一账户或用户名。然后可向这个账户分配对该域内的资源的访问。根据位置、组织结构或其它因素，可将域内的计算机分配为组织单位。计算机可使用VPN连接经由LAN或经由WAN连接到域。该域可为认证机构提供支持以确认身份。
通过云提供者提供远程服务可提供一些好处，诸如：
1.即使承租人虚拟机不具有联网设置也可提供访问。
2.可为诸如Window、Linux等多操作系统(OS)虚拟机工作负荷提供访问。
3.在虚拟机上执行人工/网络操作系统安装的能力。
4.云提供者的网关和客虚拟机之间的网络连通性是不需要的，从而使得云提供者的网络和承租人的网络能够隔离(客虚拟机可在它们自己的隔离网络中)。
上述情形的一个问题是，通过云提供者的虚拟化主机对云中的虚拟机的远程呈现访问必须对承租人企业的最终用户是安全的。通常使用来自主存者的域的凭证来保护这些虚拟机。然而，虚拟机的实际消费者(例如，客户端)没有对那些凭证的访问权，因为对此虚拟机的访问权是被分委托(sub-delegate)给它们的。
在各实施例中，公开了用于使得企业的终端用户能够通过云提供者的虚拟化主机和远程呈现网关接收对主存(hosted)的公共云中的分配的虚拟机的安全远程呈现访问的方法和系统。因此企业管理员可从云提供者购买计算容量并进一步将购买的计算容量在企业最终用户间细分。云提供者不需要为企业的每个最终用户创建影子账户。云提供者也不需要将主机信息暴露给承租人。在一实施例中，可使用用X.509证书签署的定制令牌。在其它实施例中，可使用具有用于身份联盟的STS的SAML令牌。
在一个实施例中，通过使用终端服务网关处的定制授权插件和虚拟化主机处的间接监听器组件的组合，可提供授权。因此企业管理员可以能够进一步细分购买的公共云容量并将承租人虚拟机在最终用户间分配，而不为每个最终用户创建影子账户。当客户端连接于远程呈现网关时主机细节还可以被抽象，以保护主存者的结构免受攻击并使承租人虚拟机能够跨云提供者的虚拟化主机自由移动。
在各实施例中，可并入下述特征。
1.可使用SAML令牌/STS或定制令牌/X.509证书。安全断言标记语言(SAML)是一种用于在安全域之间交换认证和授权数据的基于XML的标准。安全域通常是身份提供者和服务提供者。X.509是一种用于单点登录(singlesign-on(SSO))和特权管理基础结构(PMI)的公钥基础结构的ITU-T标准。
2.云提供者不需要为企业的每个最终用户在云提供者的活动目录中创建影子账户。
3.从云提供者购买容量的企业管理员可进一步将云资源在企业的最终用户间细分。每个最终用户应当只能访问由企业管理员分配给该用户的虚拟机。云提供者将虚拟机分配给企业管理员而企业管理员进而又将虚拟机在该企业的最终用户间细分。最终用户不能直接访问虚拟机。
4.云提供者不需要暴露主机信息。承租人虚拟机可在云提供者的虚拟化主机内自由迁移。
5.云提供者的主机不直接暴露于互联网，而且将通过远程呈现网关被掩蔽。
6.企业的最终用户客户端不使用代理通过企业服务器，但与云提供者的远程呈现网关直接通信。
7.承租人虚拟机可以在它们自己的隔离网络中，或者可以是任何其它的网络配置，包括完全没有网络连接。
8.远程桌面通信数据可以是SSL/TLS加密的。
9.应当支持多承租人情形。远程呈现网关应当在不同承租人间共享。许多企业可从服务提供者购买容量并充当承租人。而且，这些企业可以在它们各自的最终用户间细分该容量。
10.该方案应当是可缩放的。
自服务门户可以是将虚拟机的管理扩展到最终用户的web组件。自服务门户可以是在虚拟化系统之上构建的可扩展组件。自服务门户可被用来统筹(pool)、分配和管理资源以提供基础结构作为服务并供应用于企业内的私有云平台的基础。自服务门户将对虚拟机的分配扩展到最终用户。自服务门户可包括基于web的用户接口，该用户接口包括用于数据中心管理员和商业单元IT消费者的部分。自服务门户可包括动态供应引擎(dynamic provisioning engine)，并可通过为参与的(on-boarding)商业单元和基础结构提供请求和变化管理来减少供应基础结构及其组件所需的时间。
在一实施例中，终端服务网关可具有定制认证和授权插件。当客户端请求远程桌面时，客户端可发送具有他们的凭证的cookie。该插件可认证该cookie并授权该调用者。可在虚拟化主机处需要附加的授权以授权对特定虚拟机的访问。在一个实施例中，这可以用主机上的中间监听服务实现。所有上面这些都是安全连接所需的。
在一实施例中，企业最终用户可使用认证机制来登入企业的自服务门户。例如，企业用户可使用Kerberos认证来登入该自服务门户。
更一般而言，当企业从云提供者购买容量时，云提供者具有其自己的域和活动目录。企业具有其自己的域和活动目录。相应地，企业和云提供者不需要他们之间的信任。因此，企业中的用户期望连接到云提供者处的、用户拥有的虚拟机。
在一实施例中，进一步期望利用现有企业组件和能力，诸如终端服务网关和诸如RDP等现有远程呈现协议。
在一实施例中，创建cookie，该cookie包括定制授权插件所需的声明(claim)。
一个问题在于：一些系统可能是为直接对客OS的远程呈现访问而设计的，而不是为对主机的远程呈现访问而设计的。
另一个问题在于如何实现通过非信任域对虚拟机的远程控制台连接。
在一个实施例中，终端服务网关可提供可插拔式认证和授权模块以支持认证机制。客户端可通过cookie发送随意字节阵列到终端服务网关。在允许连接之前，终端服务网关可将目标资源的名称通知定制资源授权插件(可插拔式认证和授权模块的一部分)。尽管这在到目标机器的远程会话的情况下可以工作，然而当被用于通过虚拟化主机的单端口监听器服务对客虚拟机的控制台访问时，指定的目标资源是该虚拟化主机。然而，真正的目标是在该虚拟化主机上运行的虚拟机。
最终用户能够以至少两种方式连接到他的虚拟机：(a)通过使用到虚拟机中的远程桌面直接连接，或(b)通过利用单端口监听器(SPL)。如果最终用户正在使用单端口监听器，则该用户连接到主计算机端口。该主机使用CredSSP认证并确认此用户能够访问他们想要连接到的虚拟机。然后该主机通过该主机上的私有接口将该远程桌面会话重定向到该虚拟机。执行这些功能的组件被称为单端口监听器。单端口监听器允许VMM通过主机连接来连接到任何虚拟机而不对虚拟机施加任何联网要求。单端口监听器还可允许最终用户使用诸如Internet Explorer等浏览器从客户端计算机连接到门户。然后最终用户可选择连接到虚拟机并查看控制台会话。
虚拟机ID可作为远程呈现协议的一部分被传递(例如，在预连接团块(pre-connection blob)中)到目的地处的虚拟化主机的单端口监听器。因为预连接团块在定制资源授权插件处可不被暴露，所以使用作为cookie发送到终端服务网关的SAML令牌或定制证书令牌的完全的虚拟机水平的粒度的授权可能不是可能的。定制资源授权插件需要能够访问该连接的预连接团块以确认它是该连接的资源授权的一部分。授权插件需要用被访问的实际的目标资源来确认cookie中出现的信息。目标虚拟机ID可通过cookie被取回，但是关于来自网关的目标连接实际上是那个虚拟机的授权仍然被需要。
RD网关处的定制资源授权模块仅意识到要访问的目标虚拟化主机和端口。然而，“真正的目标”是在该虚拟化主机上运行的客虚拟机。例如，恶意用户可向终端服务网关的授权插件提交签署的声明，请求访问在该主机中运行的虚拟机。该用户能够指定预连接团块指向同一主机中运行的另一虚拟机。网关的授权插件不能用在同一主机中运行的实际的目标虚拟机来“交叉检查”该声明。
参考图9到11，提供下面的示意性示例以描绘本公开的一个实施例。我们假定云域的虚拟机VM1和VM2被云提供者(“云(Cloud)”)分配给企业(“企业(Enterprise)”)。企业管理员将VM1分配给企业\用户1并将VM2分配给企业\用户2。
在本示例中，客户端指的是企业远程呈现客户端。企业远程呈现客户端可以是管理员控制台。在一实施例中，该控制台可以是一进程或加载到自服务门户的页面的Active-X控件。
云提供者(CloudProvider)在其活动目录中为从它购买容量的每个企业创建两个用户账户。作为示例描绘，令“云\企业”是在云域中为企业的管理员创建的用户账户。“云\企业”不被企业管理员共享到企业的所有最终用户。令“云\企业T”是为该企业所拥有的所有虚拟机的控制台访问的唯一目的而在云域中创建的另一用户账户“云\企业T”对云提供者的域中的这一特定企业所拥有的所有虚拟机只具有“控制台访问(consoleaccess)”特权(由虚拟化主机(例如使用Azman的Hyper-V)实施)。
虚拟化主机的虚拟机管理系统(单端口监听器)使用CredSSP协议来托管认证进入的连接。企业最终用户的客户端需要使用用户账户“云\企业T”来使用CredSSP协议在云提供者的虚拟化主机处认证。这个凭证和签署的令牌一起被企业虚拟机管理系统转交给客户端。凭证SSP是提供单点登录(SSO)的安全支持提供者。重要的是：注意，最终用户不显式地输入这一凭证，而是由客户端在与企业虚拟机管理系统通信之后自动处理。更重要的是，在我们的例子中，由单端口监听器施加的这一认证机制是无用的，因为我们不想要企业的用户获得对属于甚至同一企业的另一用户的VM的访问权。我们主要的认证和授权机制是使用签署的令牌。尽管如此，这的确充当了对其它不同企业保护一个企业承租人的额外的防御层。
1.参考图9，在操作900中，企业\用户1使用应用编程接口(API)来与企业虚拟化管理器服务器通话以标识它自己为企业\用户1并出示请求访问VM1的授权的声明。客户端和企业虚拟化管理器服务器之间的通信是受保护信道。在一实施例中，API可以是Windows通信基础(WCF)，WCF是.NET框架中用于构建连接的、面向服务的应用的API。
2.在操作910中，企业虚拟化管理器服务器通过验证企业\用户1的身份来执行认证。
3.在操作920中，企业虚拟化管理器服务器通过验证企业\用户1具有对VM1的访问权来执行授权。
4.在操作930中，一旦经认证和授权，企业虚拟化管理器服务器使用云服务提供者信任的证书(使用私钥签署)来签署该声明。该证书的私钥不被企业管理员共享给该企业的所有用户，且仅为该虚拟化管理器服务器所知。签署的令牌被返回到客户端。
a.企业客户端还从企业虚拟化管理器服务器检索用于服务提供者的终端服务网关服务器。
b.企业客户端使用虚拟机ID作为主机别名。企业客户端不知道真正的主机名称/IP地址。企业客户端将此别名作为主机名称转发给终端服务网关。
c.在一个实施例中，该令牌含有数据块、签名块、以及仅带有公钥的承租人证书。该令牌的数据块含有承租人ID、令牌ID、令牌期满时间、以及授权的目标虚拟机ID。提供期满时间和其它对策以避免被称为重放攻击的对服务提供者网络的常见攻击。签名块含有用承租人证书的私钥签署的数据块的散列(hash)。承租人证书也被包括在内，但是仅含有公钥。
d.企业客户端将令牌编码。企业客户端设置远程呈现连接的参数，向网关指示它想要使用基于cookie的授权。在一实施例中，预连接团块含有串“<Token ID>；<virtual machine ID>(<令牌ID>；<虚拟机ID>)”。远程呈现客户端被设定为用“云/企业T”的凭证使用CredSSP。
Cookie大体而言是包括文本的数据并由用户的web浏览器存储或在存储器中存储。Cookie能被用来认证、存储站点偏好、购物车内容、基于服务器的会话的标识符或可通过存储文本数据实现的其它任何东西。
5.在操作940中，企业客户端通过HTTPS隧道连接到终端服务网关，该HTTPS隧道指定目的地虚拟化服务器和中间监听器的目的地端口(例如8114)。企业客户端还向网关发送签署的令牌作为cookie。
a.当使用STS服务器方案时，企业客户端向网关发送SAML令牌。企业客户端在企业和云提供者的STS服务器之间的认证之后获得SAML令牌。这需要在企业和云活动目录环境之间设置粒度化的信任水平。
6.参考图10，在操作1000中，终端服务网关的定制认证插件接收签署的令牌并验证令牌未被篡改。认证插件使用证书的公钥。
a.当使用STS服务器方案时，STS服务器用云ADFS服务器验证签署的SAML令牌。ADFS是提供web单点登录(SSO)技术以在单个在线会话的寿命期间向多个web应用认证用户的组件。
7.在操作1010中，终端服务网关的定制认证插件验证承租人证书映射到云提供者的域中的用户账户。
8.在操作1020中，终端服务网关的定制资源授权插件接收签署的令牌。
a.在一个实施例中，执行主机层次的授权。
b.在另一实施例中，授权插件查询云提供者虚拟化管理器服务器，以基于令牌中的声明来检查承租人是否对该虚拟机有访问权。
9.终端服务网关的定制资源授权插件将不能够执行完全的虚拟机层次的授权，因为远程呈现协议的预连接团块不被终端服务网关暴露，因为它不能够用实际的目的地来交叉检查签署的令牌中的签署的声明。
10.终端服务网关调用插件来解析别名化的主机名称，因为该别名不能被本地windows DNS提供者解析。在操作1310中，联系云提供者的虚拟化管理器服务器以找到在此时间点此虚拟机所驻留的真正的主机。
11.一旦主机被确定之后，定制授权插件可向目标虚拟化主机中的中间监听服务通知有关要被授权的目标虚拟机ID和令牌ID。Windows管理工具(WMI)提供者可被写入该主机中。WMI提供者将控制授权和通信。
a.一旦终端服务网关执行认证和授权之后，网关现在变成客户端连接和虚拟化主机处的目的地中间监听器之间的盲通道(blind passthrough)。
12.参考图11，在操作1100中，虚拟化主机中的中间监听器从终端服务网关的定制授权插件接收“边带信息(side band information)”。
13.在操作1110中，虚拟化主机中的中间监听器从终端服务网关接收远程呈现连接。中间监听器打开预连接团块(该连接的第一组字节)并用从终端服务网关的定制资源授权插件作为边带通知而接收的授权的虚拟机ID来交叉检查该团块中指定的目标虚拟机ID。网关发送的授权的虚拟机ID和实际的目标虚拟机ID的相关是使用两者中出现的令牌ID来执行的。与典型虚拟桌面会话不同，最终用户没有为该会话而发送到该虚拟机的凭证。相应地，令牌被用来确认通过中间服务的访问。
a.如果虚拟机ID不匹配，则该连接被舍弃。
b.如果虚拟机ID相匹配，则该连接的剩余部分被盲目地转发到同一主机中的虚拟化主机的单端口监听器(例如，端口2179)。
c.每个令牌含有期满时间(例如，以秒计)。中间监听服务还通过精减旧的通知来管理边带通知。
14.然后虚拟化主机的单端口监听器基于授权存储xml中的用户角色策略来检查云\企业T(使用CredSSP确定)是否具有对那个虚拟机的访问权。
15.如果成功，则企业用户具有对那个虚拟机的控制台访问权。
授权可在终端服务网关处或在目的地主机或两者处执行。然而，终端服务网关处的完全授权通常是不可能的。终端服务网关的定制资源授权插件需要对用于那个连接的预连接团块有访问权，且因此终端服务网关的定制资源授权插件不适于通过虚拟化主机的单端口监听器对客虚拟机的控制台访问。
相应地，在一实施例中，授权是在虚拟化主机处执行的。因为不能在云提供者的活动目录中为企业的每个用户创建影子账户，所以一个选项是在本地主机中为每个虚拟机创建本地账户。该本地账户会与企业最终用户共享，且会只被授权为访问虚拟机的控制台会话。替代地，如果不期望管理多个本地用户账户(这需要在主存者和企业虚拟机管理系统之间在带外(out of band)管理)，这会是云提供者的一个关注，那么可使用中间监听器方案。
虚拟化系统主机中的中间监听器服务可以是独立的服务(网络服务)或者是现有主机代理(本地系统账户)的一部分。为了保护从终端服务网关到该主机中的中间服务的边带通知，中间监听器可使用WMI提供者。
如果恶意用户改变了令牌ID，则该令牌上的签名可被无效。签署的令牌和预连接团块中的令牌ID必须相关。
恶意用户情形1：
a.企业\用户1被授权对虚拟机VM1的访问。用户的令牌ID是t1。
b.企业中的恶意用户不具有对那个虚拟机的访问权。恶意用户获得用于某个其它虚拟机的令牌，但是随后将预连接团块改变为指向虚拟机VM1并将预连接团块和cookie两者中的令牌ID修改为t1并尝试承载(piggy back)在应早已由网关为企业\用户1发送到虚拟化主机的边带授权通知上。
c.缓和：网关的认证插件检测到cookie中的签名是无效的并舍弃该连接。
恶意用户情形2：
a.企业\用户1被授权对虚拟机VM1的访问且该用户的令牌ID是t1。
b.企业中的恶意用户不具有对那个虚拟机的访问权。恶意用户获得用于某个其它虚拟机(比如说，具有令牌ID t2的虚拟机VM2)的令牌。恶意用户将PCB改变为指向令牌ID为t1的虚拟机VM1，但是将cookie中的令牌ID保持为t2。因为恶意用户没有改变cookie中的令牌，所以签名仍然有效。网关向包含的主机发送令牌ID t2作为授权的令牌ID。如果同一主机含有ID为虚拟机VM1的虚拟机，且如果企业的另一用户被授权给虚拟机VM1，那么该恶意用户能承载在应早已由网关为企业\用户1发送到虚拟化主机的的边带授权通知上。
c.缓和：
i.从远程呈现客户端到承租人虚拟化管理器服务器的信道被加密，所以该用户没有办法获得为企业\用户1授予的令牌ID t1。
ii.预连接团块也可被承租人的私钥签署，从而云提供者可以用承租人的公钥确认该签名。
图12描绘了允许第一域中主存的虚拟机和第二域中的客户端计算机之间的远程呈现会话的示例性操作过程，包括操作1200、1202、1204和1206。参考图12，操作1200开始该操作过程，而操作1202示出在第二域的服务器处建立与该客户端计算机的通信会话。在一个实施例中，第一域可以是云提供者或主存者，而第二域可以是企业。操作1204示出由该服务器接收指示该第一域中主存的虚拟机的虚拟机标识符。操作1206示出从客户端计算机接收包括签署的令牌和公钥的cookie。在一实施例中，cookie由该客户端基于它从企业虚拟机管理系统接收的签署的令牌来构造。操作1208示出使用公钥认证该令牌并验证该令牌映射到第一域中的用户账户。操作1210示出向第一域中的虚拟化系统发送该虚拟机标识符。操作1212示出从第一域中的该虚拟化系统接收标识的虚拟机是有效的的确认和与标识的虚拟机相关联的目标资源的身份。操作1214示出向该虚拟化系统中的中间监听服务发送该虚拟机标识符和接收的令牌。操作1216示出将远程呈现会话数据转发到中间监听器服务。
图13描绘了用于向如上所述的第二域中的客户端计算机允许对第一域中主存的虚拟机的访问的示例性系统。参考图13，系统1300包括处理器1310和存储器1320。存储器1320进一步包括被配置成向第二域中的客户端计算机允许对第一域中主存的虚拟机的访问的计算机指令。框1322示出接收第一虚拟机标识符、用公钥签署的令牌、以及对与虚拟机标识符相关联的虚拟机主机的请求。框1324示出实例化与客户端计算机的远程呈现会话。框1326示出经由远程呈现会话接收目标虚拟机标识符并用第一虚拟机标识符相关和授权目标虚拟机标识符。框1328示出确定目标和第一虚拟机标识符匹配并将经由远程呈现会话接收的数据转发到目标虚拟机。
上文所提及的方面中的任何一个方面都可以以方法、系统、计算机可读介质或任何类型的产品来实现。例如，计算机可读介质上可存储用于通过第二域中的客户端计算机访问第一域中主存的虚拟机的计算机可执行指令。这种介质可包括用于与第一域中的虚拟化主机建立通信会话的第一指令子集；用于向第一域中的虚拟化主机发送虚拟机标识符和请求对标识的虚拟机的访问的授权的声明的第二指令子集；用于从第二域中的虚拟化管理器接收签署的令牌的第三指令子集；用于通过第一域中的虚拟化主机建立远程呈现会话以及发送基于cookie的授权将被执行的指示的第四指令子集；用于向第一域中的虚拟化主机发送包括签署的令牌和公钥的cookie的第五指令子集；以及用于与请求的虚拟机建立远程呈现会话的第六指令子集。本领域技术人员可以理解，可以使用附加指令集来捕捉此处所公开的各其他方面，并且根据本发明，两个目前所公开的指令子集可以在细节方面不同。
上述详细描述通过示例和/或操作图阐明了系统和/或过程的各种实施例。就这些框图和/或示例包含一个或多个功能和/或操作而言，本领域技术人员将理解，这些框图或示例中的每一功能和/或操作都可由各种各样的硬件、软件、固件、或实际上其任意组合来单独地和/或共同地实现。
应该理解，此处描述的各种技术可以结合硬件或软件，或在适当时结合两者的组合来实现。因此，本公开的方法和装置或其某些方面或部分，可以采用包含在诸如软盘、CD-ROM、硬盘驱动器或任何其它机器可读存储介质等有形介质中的程序代码(即，指令)的形式，其中，当程序代码被加载至诸如计算机等机器并由其运行时，该机器成为用于实现本公开的装置。在程序代码在可编程计算机上执行的情况下，计算设备通常包括处理器、该处理器可读的存储介质(包括易失性和非易失性存储器和/或存储元件)、至少一个输入设备、以及至少一个输出设备。一个或多个程序可以例如，通过使用API、可重用控件等来实现或利用结合本发明描述的过程。这样的程序优选地用高级过程语言或面向对象编程语言来实现，以与计算机系统通信。然而，如果需要，该程序可以用汇编语言或机器语言来实现。在任何情形中，语言可以是编译语言或解释语言，且与硬件实现相结合。
尽管具体地参考其优选实施例来示出并描述了本发明，但本领域的技术人员可以理解，可以作出形式和细节上的各种改变而不脱离所附权利要求书中所述的本发明的范围。此外，尽管本发明的各元素可以用单数来描述或要求保护，但构想了复数，除非明确地规定了限于单数。

Claims (10)

1.一种用于允许第一域中主存的虚拟机和第二域中的客户端计算机（20）之间的远程呈现会话的方法，所述方法包括：
在所述第二域中的服务器处建立（1202）与所述客户端计算机的通信会话；
由所述服务器接收（1204）指示所述第一域中主存的所述虚拟机的虚拟机标识符；
从所述第二域中的虚拟化管理器接收（1206）包括签署的令牌和公钥的cookie；
使用所述公钥认证（1208）所述令牌并验证所述令牌映射到所述第一域中的用户账户；
向所述第一域中的虚拟化系统发送（1210）所述虚拟机标识符；
从所述第一域中的所述虚拟化系统接收（1212）所标识的虚拟机是有效的的确认和与所标识的虚拟机相关联的目标资源的身份；
向所述虚拟化系统中的中间监听服务发送（1214）所述虚拟机标识符和所接收的令牌，所述中间监听服务被配置成用作为边带通知而接收的授权的虚拟机标识符来交叉检查所述虚拟机标识符；以及
将远程呈现会话数据转发（1216）到所述中间监听器服务。
2.如权利要求1所述的方法，其特征在于，所述建立还包括通过HTTPS隧道建立与所述客户端计算机的连接，其中所述HTTPS隧道指定目的地虚拟化服务器和所述中间监听服务的目的地端口。
3.如权利要求1所述的方法，其特征在于，还包括执行主机层次的授权。
4.如权利要求1所述的方法，其特征在于，还包括通过在所述服务器上执行的授权插件查询所述虚拟化服务器，以基于所述令牌确定所述客户端计算机是否被授权访问所述虚拟机。
5.如权利要求1所述的方法，其特征在于，所述签署的令牌包括承租人ID、令牌ID、令牌期满时间以及授权的目标虚拟机ID。
6.一种用于向第二域中的客户端计算机允许对第一域中主存的虚拟机的访问的系统（1300），包括：
用于接收（1322）第一虚拟机标识符、用公钥签署的令牌、以及对与所述第一虚拟机标识符相关联的虚拟机主机的请求的装置；
用于实例化（1324）与所述客户端计算机的远程呈现会话的装置；
用于经由所述远程呈现会话接收（1326）目标虚拟机标识符并用所述第一虚拟机标识符相关和授权所述目标虚拟机标识符的装置；以及
用于确定（1328）所述目标和第一虚拟机标识符匹配并将经由所述远程呈现会话接收的数据转发到所述目标虚拟机的装置，其中所述第一虚拟机标识符和所述签署的令牌被发送到中间监听服务，所述中间监听服务被配置成用作为边带通知而接收的授权的虚拟机标识符来交叉检查所述第一虚拟机标识符。
7.如权利要求6所述的系统，其特征在于，所述用于转发的装置包括用于在所述第一域中的单端口监听器处经由所述远程呈现会话转发所述数据的装置。
8.如权利要求6所述的系统，其特征在于，所述用于相关和授权的装置还包括用于基于授权存储XML中的用户角色策略确定所述第一虚拟机是否具有对所述目标虚拟机的访问权的装置。
9.如权利要求8所述的系统，其特征在于，所述确定是使用CredSSP执行的。
10.一种用于由第二域中的客户端计算机访问第一域中主存的虚拟机的方法，所述方法包括：
与所述第一域中的虚拟化主机建立通信会话；
向所述第一域中的虚拟化主机发送虚拟机标识符和请求对所标识的虚拟机的访问的授权的声明；
从所述第二域中的虚拟化管理器接收签署的令牌；
通过所述第一域中的所述虚拟化主机建立远程呈现会话并发送基于cookie的授权将被执行的指示；
向所述第一域中的所述虚拟化主机发送包括签署的令牌和公钥的cookie，其中虚拟机标识符和所述签署的令牌被发送到中间监听服务，所述中间监听服务被配置成用作为边带通知而接收的授权的虚拟机标识符来交叉检查所述虚拟机标识符；以及
建立与所请求的虚拟机的远程呈现会话。
CN201110329037.5A 2010-10-15 2011-10-14 企业用户对主存的虚拟机的远程访问 Active CN102420846B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US12/905,889 2010-10-15
US12/905,889 US8607054B2 (en) 2010-10-15 2010-10-15 Remote access to hosted virtual machines by enterprise users

Publications (2)

Publication Number Publication Date
CN102420846A CN102420846A (zh) 2012-04-18
CN102420846B true CN102420846B (zh) 2014-07-23

Family

ID=45935148

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201110329037.5A Active CN102420846B (zh) 2010-10-15 2011-10-14 企业用户对主存的虚拟机的远程访问

Country Status (2)

Country Link
US (1) US8607054B2 (zh)
CN (1) CN102420846B (zh)

Families Citing this family (280)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8836601B2 (en) 2013-02-04 2014-09-16 Ubiquiti Networks, Inc. Dual receiver/transmitter radio devices with choke
US9496620B2 (en) 2013-02-04 2016-11-15 Ubiquiti Networks, Inc. Radio system for long-range high-speed wireless communication
JP5493976B2 (ja) * 2010-02-18 2014-05-14 富士通株式会社 情報処理装置、計算機システム及びプログラム
US8566917B2 (en) * 2010-03-19 2013-10-22 Salesforce.Com, Inc. Efficient single sign-on and identity provider configuration and deployment in a database system
US9443078B2 (en) 2010-04-20 2016-09-13 International Business Machines Corporation Secure access to a virtual machine
US10176018B2 (en) * 2010-12-21 2019-01-08 Intel Corporation Virtual core abstraction for cloud computing
US9509503B1 (en) 2010-12-29 2016-11-29 Amazon Technologies, Inc. Encrypted boot volume access in resource-on-demand environments
US9544137B1 (en) * 2010-12-29 2017-01-10 Amazon Technologies, Inc. Encrypted boot volume access in resource-on-demand environments
US9135037B1 (en) * 2011-01-13 2015-09-15 Google Inc. Virtual network protocol
US20120233549A1 (en) * 2011-03-07 2012-09-13 Avaya Inc. Virtual desktop integration based on proximity and context
US9141410B2 (en) * 2011-03-08 2015-09-22 Rackspace Us, Inc. Pluggable allocation in a cloud computing system
US9716619B2 (en) 2011-03-31 2017-07-25 NextPlane, Inc. System and method of processing media traffic for a hub-based system federating disparate unified communications systems
US8806192B2 (en) * 2011-05-04 2014-08-12 Microsoft Corporation Protected authorization for untrusted clients
US20120290833A1 (en) * 2011-05-12 2012-11-15 Sybase, Inc. Certificate Blobs for Single Sign On
US20120331521A1 (en) * 2011-06-27 2012-12-27 Samsung Electronics Co., Ltd. System and method for application centric cloud management
US8769622B2 (en) * 2011-06-30 2014-07-01 International Business Machines Corporation Authentication and authorization methods for cloud computing security
US8448233B2 (en) * 2011-08-25 2013-05-21 Imperva, Inc. Dealing with web attacks using cryptographically signed HTTP cookies
US8949938B2 (en) 2011-10-27 2015-02-03 Cisco Technology, Inc. Mechanisms to use network session identifiers for software-as-a-service authentication
US8819210B2 (en) * 2011-12-06 2014-08-26 Sap Portals Israel Ltd Multi-tenant infrastructure
US20130152194A1 (en) * 2011-12-07 2013-06-13 Computer Associates Think, Inc. System, method and software for controlling access to virtual machine consoles
US8990898B2 (en) 2012-02-16 2015-03-24 Citrix Systems, Inc. Connection leasing for hosted services
US10176335B2 (en) * 2012-03-20 2019-01-08 Microsoft Technology Licensing, Llc Identity services for organizations transparently hosted in the cloud
US9164795B1 (en) 2012-03-30 2015-10-20 Amazon Technologies, Inc. Secure tunnel infrastructure between hosts in a hybrid network environment
US9197489B1 (en) 2012-03-30 2015-11-24 Amazon Technologies, Inc. Live migration of virtual machines in a hybrid network environment
US9928107B1 (en) * 2012-03-30 2018-03-27 Amazon Technologies, Inc. Fast IP migration in a hybrid network environment
US20150113602A1 (en) * 2012-05-08 2015-04-23 Serentic Ltd. Method and system for authentication of communication and operation
US8959623B2 (en) * 2012-05-25 2015-02-17 Ca, Inc. Protecting virtual machine console from misuse, hijacking or eavesdropping in cloud environments
US8782768B2 (en) * 2012-06-15 2014-07-15 Vmware, Inc. Systems and methods for accessing a virtual desktop
US11023088B2 (en) * 2012-06-18 2021-06-01 Hewlett-Packard Development Company, L.P. Composing the display of a virtualized web browser
US10095662B1 (en) 2012-06-18 2018-10-09 Bromium, Inc. Synchronizing resources of a virtualized browser
US9734131B1 (en) 2012-06-18 2017-08-15 Bromium, Inc. Synchronizing history data across a virtualized web browser
US9727534B1 (en) 2012-06-18 2017-08-08 Bromium, Inc. Synchronizing cookie data using a virtualized browser
US9384026B1 (en) * 2012-06-18 2016-07-05 Bromium, Inc. Sharing and injecting cookies into virtual machines for retrieving requested web pages
US9342326B2 (en) * 2012-06-19 2016-05-17 Microsoft Technology Licensing, Llc Allocating identified intermediary tasks for requesting virtual machines within a trust sphere on a processing goal
EP2866392B1 (en) * 2012-06-21 2017-08-23 Fujitsu Limited Information processing system, information processing method, and communication device
US20140006598A1 (en) * 2012-06-29 2014-01-02 Nokia Corporation Methods, apparatuses and computer program products for facilitating dynamic origin-based domain allocation
US20140019753A1 (en) * 2012-07-10 2014-01-16 John Houston Lowry Cloud key management
US9152781B2 (en) 2012-08-09 2015-10-06 Cisco Technology, Inc. Secure mobile client with assertions for access to service provider applications
CN103578024A (zh) * 2012-08-10 2014-02-12 萧建华 租用货柜的承租交换方法
US9003189B2 (en) * 2012-09-11 2015-04-07 Verizon Patent And Licensing Inc. Trusted third party client authentication
US9342353B2 (en) * 2012-10-06 2016-05-17 International Business Machines Corporation Techniques for implementing information services with tenant specific service level agreements
WO2014059575A1 (zh) * 2012-10-15 2014-04-24 华为技术有限公司 输入输出操作的处理方法和装置
CN105190557B (zh) * 2012-10-16 2018-09-14 思杰系统有限公司 用于通过多级api集成在公共与私有云之间进行桥接的系统和方法
US8925050B2 (en) * 2012-10-29 2014-12-30 Oracle International Corporation Communication between authentication plug-ins of a single-point authentication manager and client systems
US8935377B2 (en) 2012-10-29 2015-01-13 At&T Intellectual Property I, L.P. Dynamic registration of listener resources for cloud services
US9170834B2 (en) * 2012-10-31 2015-10-27 Google Inc. Metadata-based virtual machine configuration
US8875166B2 (en) * 2012-11-08 2014-10-28 Sharp Laboratories Of America, Inc. Method and cloud security framework for implementing tenant license verification
EP2939368A4 (en) * 2012-12-31 2016-01-13 Aastra Technologies Ltd REMOTE VPN SUPPLY OF A TERMINAL POINT
KR20140098919A (ko) * 2013-01-31 2014-08-11 한국전자통신연구원 실시간 가상 데스크탑 서비스를 위한 가상머신 제공 방법 및 서비스 게이트웨이
US9397820B2 (en) 2013-02-04 2016-07-19 Ubiquiti Networks, Inc. Agile duplexing wireless radio devices
CN103095848B (zh) * 2013-02-06 2015-09-23 上海帜讯信息技术股份有限公司 面向企业客户端的云文件夹部署与信息交互的方法
US8855730B2 (en) 2013-02-08 2014-10-07 Ubiquiti Networks, Inc. Transmission and reception of high-speed wireless communication using a stacked array antenna
CN103152417B (zh) * 2013-03-04 2015-10-21 上海帜讯信息技术股份有限公司 面向共同客户端的多企业云文件夹部署与信息交互方法
US9002982B2 (en) 2013-03-11 2015-04-07 Amazon Technologies, Inc. Automated desktop placement
US10142406B2 (en) 2013-03-11 2018-11-27 Amazon Technologies, Inc. Automated data center selection
US10313345B2 (en) 2013-03-11 2019-06-04 Amazon Technologies, Inc. Application marketplace for virtual desktops
US9148350B1 (en) 2013-03-11 2015-09-29 Amazon Technologies, Inc. Automated data synchronization
WO2014142894A1 (en) * 2013-03-14 2014-09-18 Intel Corporation Cloud based virtual mobile device
US9294454B2 (en) * 2013-03-15 2016-03-22 Microsoft Technology Licensing, Llc Actively federated mobile authentication
US9426155B2 (en) * 2013-04-18 2016-08-23 International Business Machines Corporation Extending infrastructure security to services in a cloud computing environment
US9729515B1 (en) * 2013-05-08 2017-08-08 Ca, Inc. System and method for managing secure communications for a virtual machine infrastructure
US9705840B2 (en) 2013-06-03 2017-07-11 NextPlane, Inc. Automation platform for hub-based system federating disparate unified communications systems
EP2813945A1 (en) * 2013-06-14 2014-12-17 Tocario GmbH Method and system for enabling access of a client device to a remote desktop
US10623243B2 (en) * 2013-06-26 2020-04-14 Amazon Technologies, Inc. Management of computing sessions
US10686646B1 (en) 2013-06-26 2020-06-16 Amazon Technologies, Inc. Management of computing sessions
US9961052B2 (en) * 2013-06-28 2018-05-01 Extreme Networks, Inc. Virtualized host ID key sharing
US10439988B2 (en) * 2013-08-21 2019-10-08 Vmware, Inc. On premises, remotely managed, host computers for virtual desktops
CN104423933B (zh) * 2013-08-21 2018-01-19 华为技术有限公司 一种云平台用户界面适配方法及适配器
US11526403B1 (en) * 2013-08-23 2022-12-13 Acronis International Gmbh Using a storage path to facilitate disaster recovery
GB2518367B (en) * 2013-09-18 2020-07-22 Ibm Authorized remote access to an operating system hosted by a virtual machine
ES2767051T3 (es) 2013-10-11 2020-06-16 Ubiquiti Inc Optimización de sistema de radio inalámbrica mediante análisis de espectro persistente
US9378391B2 (en) * 2013-10-11 2016-06-28 Centrify Corporation Method and apparatus for creating switchable desktops with separate authorizations
US9485099B2 (en) * 2013-10-25 2016-11-01 Cliqr Technologies, Inc. Apparatus, systems and methods for agile enablement of secure communications for cloud based applications
US10908937B2 (en) * 2013-11-11 2021-02-02 Amazon Technologies, Inc. Automatic directory join for virtual machine instances
CN103607449A (zh) * 2013-11-18 2014-02-26 中国联合网络通信集团有限公司 企业内网物理机访问云存储虚拟机的方法、设备和系统
CN103618752B (zh) * 2013-12-18 2017-10-10 广东中科遥感技术有限公司 一种虚拟机远程桌面安全访问系统及方法
US10924340B1 (en) 2013-12-30 2021-02-16 Vmware, Inc. Extending computing capacity via cloud replication
US9602344B1 (en) * 2013-12-30 2017-03-21 Cloudvelox, Inc. Automated establishment of access to remote services
CN103716400A (zh) * 2013-12-30 2014-04-09 深信服网络科技（深圳）有限公司 基于虚拟机实现移动办公的方法及系统
US9294462B2 (en) 2014-01-15 2016-03-22 Cisco Technology, Inc. Redirect to inspection proxy using single-sign-on bootstrapping
US10075459B1 (en) 2014-01-22 2018-09-11 Amazon Technologies, Inc. Securing workspaces in a cloud computing environment
CN104821928B (zh) * 2014-01-30 2018-12-07 华耀(中国)科技有限公司 一种基于网关的资源发布系统及方法
US10049216B2 (en) * 2014-02-06 2018-08-14 Intel Corporation Media protection policy enforcement for multiple-operating-system environments
US20150244771A1 (en) * 2014-02-21 2015-08-27 Bat Blue Networks System and method for interconnecting and enforcing policy between multiple disparate providers of application functionality and data centers and/or end-users
WO2015134753A1 (en) 2014-03-07 2015-09-11 Ubiquiti Networks, Inc. Cloud device identification and authentication
EP3120642B1 (en) 2014-03-17 2023-06-07 Ubiquiti Inc. Array antennas having a plurality of directional beams
US9941570B2 (en) 2014-04-01 2018-04-10 Ubiquiti Networks, Inc. Compact radio frequency antenna apparatuses
US9507921B2 (en) * 2014-04-07 2016-11-29 Microsoft Technology Licensing, Llc User-specific application activation for remote sessions
FR3020160B1 (fr) * 2014-04-16 2017-08-11 Commissariat Energie Atomique Systeme d'execution de code avec mecanisme d'hypervision en aveugle
US10193879B1 (en) 2014-05-07 2019-01-29 Cisco Technology, Inc. Method and system for software application deployment
JP2017518696A (ja) * 2014-05-12 2017-07-06 マイクロソフト テクノロジー ライセンシング，エルエルシー パブリッククラウドのプライベートネットワーク資源との接続
WO2015175753A1 (en) * 2014-05-14 2015-11-19 Hay Peter Mcclelland Systems and methods for ensuring computer system security via a virtualized layer of application abstraction
US9985970B2 (en) * 2014-05-28 2018-05-29 Conjur, Inc. Individualized audit log access control for virtual machines
US10397213B2 (en) 2014-05-28 2019-08-27 Conjur, Inc. Systems, methods, and software to provide access control in cloud computing environments
US9680821B2 (en) 2014-05-28 2017-06-13 Conjur, Inc. Resource access control for virtual machines
US10884775B2 (en) * 2014-06-17 2021-01-05 Nokia Solutions And Networks Oy Methods and apparatus to control a virtual machine
US9465645B1 (en) * 2014-06-25 2016-10-11 Amazon Technologies, Inc. Managing backlogged tasks
WO2016003862A1 (en) 2014-06-30 2016-01-07 Ubiquiti Networks, Inc. Methods and tools for assisting in the configuration of a wireless radio network using functional maps
JP2017526050A (ja) * 2014-07-03 2017-09-07 エービービー シュヴァイツ アクチェンゲゼルシャフト データ処理のための装置および方法
WO2016018342A1 (en) 2014-07-31 2016-02-04 Hewlett Packard Development Company, L.P. Remote session information based on process identifier
US11507663B2 (en) 2014-08-11 2022-11-22 Sentinel Labs Israel Ltd. Method of remediating operations performed by a program and system thereof
US9710648B2 (en) 2014-08-11 2017-07-18 Sentinel Labs Israel Ltd. Method of malware detection and system thereof
EP3187002B1 (en) 2014-08-31 2021-04-07 Ubiquiti Inc. Methods and apparatuses for monitoring and improving wireless network health
US10048974B1 (en) 2014-09-30 2018-08-14 Amazon Technologies, Inc. Message-based computation request scheduling
US9146764B1 (en) 2014-09-30 2015-09-29 Amazon Technologies, Inc. Processing event messages for user requests to execute program code
US9600312B2 (en) 2014-09-30 2017-03-21 Amazon Technologies, Inc. Threading as a service
US9715402B2 (en) 2014-09-30 2017-07-25 Amazon Technologies, Inc. Dynamic code deployment and versioning
US9830193B1 (en) 2014-09-30 2017-11-28 Amazon Technologies, Inc. Automatic management of low latency computational capacity
US9678773B1 (en) 2014-09-30 2017-06-13 Amazon Technologies, Inc. Low latency computational capacity provisioning
US9323556B2 (en) 2014-09-30 2016-04-26 Amazon Technologies, Inc. Programmatic event detection and message generation for requests to execute program code
US10250584B2 (en) * 2014-10-15 2019-04-02 Zuora, Inc. System and method for single sign-on technical support access to tenant accounts and data in a multi-tenant platform
US9686338B1 (en) 2014-10-24 2017-06-20 Amazon Technologies, Inc. Streaming content adjustment based on camera feedback
CN105653465B (zh) * 2014-11-14 2018-08-24 中国航空工业第六一八研究所 一种基于hash算法的倒置页表确定性管理方法
CN104484218B (zh) * 2014-11-18 2017-11-17 华为技术有限公司 一种虚拟机名称展示的方法、装置及系统
US9537788B2 (en) 2014-12-05 2017-01-03 Amazon Technologies, Inc. Automatic determination of resource sizing
CN104468587B (zh) * 2014-12-11 2018-01-23 中标软件有限公司 一种云计算环境下的虚拟机单点登录方法和系统
US10063537B2 (en) * 2014-12-19 2018-08-28 Microsoft Technology Licensing, Llc Permission architecture for remote management and capacity instances
US9787690B2 (en) 2014-12-19 2017-10-10 Microsoft Technology Licensing, Llc Security and permission architecture
US10366358B1 (en) 2014-12-19 2019-07-30 Amazon Technologies, Inc. Backlogged computing work exchange
US10460464B1 (en) 2014-12-19 2019-10-29 Amazon Technologies, Inc. Device, method, and medium for packing recommendations based on container volume and contextual information
CN104579939B (zh) * 2014-12-29 2021-02-12 网神信息技术（北京）股份有限公司 网关的保护方法和装置
US9588790B1 (en) 2015-02-04 2017-03-07 Amazon Technologies, Inc. Stateful virtual compute system
US9733967B2 (en) 2015-02-04 2017-08-15 Amazon Technologies, Inc. Security protocols for low latency execution of program code
US20160234343A1 (en) 2015-02-11 2016-08-11 Dell Products L.P. Client side redirection
US20160241536A1 (en) * 2015-02-13 2016-08-18 Wepay, Inc. System and methods for user authentication across multiple domains
US9582298B2 (en) 2015-03-20 2017-02-28 Amazon Technologies, Inc. Executing commands within virtual machine instances
US9785476B2 (en) 2015-04-08 2017-10-10 Amazon Technologies, Inc. Endpoint management system and virtual compute system
US9930103B2 (en) 2015-04-08 2018-03-27 Amazon Technologies, Inc. Endpoint management system providing an application programming interface proxy service
US20160330164A1 (en) * 2015-05-06 2016-11-10 NextPlane, Inc. System and Method of Federating a Cloud-Based Communications Service with a Unified Communications System
CN104917774A (zh) * 2015-06-16 2015-09-16 顾健 基于智能终端的应用安全虚拟发布技术设备及操作方法
US10277713B2 (en) * 2015-07-14 2019-04-30 Cisco Technology, Inc. Role-based access to shared resources
EP3272063A4 (en) * 2015-08-12 2018-12-05 Hewlett-Packard Enterprise Development LP Host-storage authentication
US20170052773A1 (en) * 2015-08-17 2017-02-23 Google Inc. Application installs using remote applications
CN105050081B (zh) * 2015-08-19 2017-03-22 腾讯科技（深圳）有限公司 网络接入设备接入无线网络接入点的方法、装置和系统
CN105227622B (zh) * 2015-08-24 2019-01-25 北京维久云科技有限公司 HyperV平台中虚拟机VNC协议接入方法与系统
CN106487774B (zh) 2015-09-01 2019-06-25 阿里巴巴集团控股有限公司 一种云主机服务权限控制方法、装置和系统
US10268493B2 (en) * 2015-09-22 2019-04-23 Amazon Technologies, Inc. Connection-based resource management for virtual desktop instances
US9848039B2 (en) * 2015-09-22 2017-12-19 International Business Machines Corporation Deployment of virtual machines
US9680704B2 (en) 2015-09-25 2017-06-13 Ubiquiti Networks, Inc. Compact and integrated key controller apparatus for monitoring networks
US10042660B2 (en) 2015-09-30 2018-08-07 Amazon Technologies, Inc. Management of periodic requests for compute capacity
CN105227364B (zh) * 2015-10-08 2018-05-22 广州华旻信息科技有限公司 一种erp系统资源共享的方法及装置
US10749854B2 (en) * 2015-11-12 2020-08-18 Microsoft Technology Licensing, Llc Single sign-on identity management between local and remote systems
US10013267B1 (en) 2015-12-16 2018-07-03 Amazon Technologies, Inc. Pre-triggers for code execution environments
US9811434B1 (en) 2015-12-16 2017-11-07 Amazon Technologies, Inc. Predictive management of on-demand code execution
US10754701B1 (en) 2015-12-16 2020-08-25 Amazon Technologies, Inc. Executing user-defined code in response to determining that resources expected to be utilized comply with resource restrictions
US10251061B2 (en) 2015-12-17 2019-04-02 Tadhg Kelly Cellular out of band management as a cloud service
US9910713B2 (en) 2015-12-21 2018-03-06 Amazon Technologies, Inc. Code execution request routing
US10067801B1 (en) 2015-12-21 2018-09-04 Amazon Technologies, Inc. Acquisition and maintenance of compute capacity
US10002026B1 (en) 2015-12-21 2018-06-19 Amazon Technologies, Inc. Acquisition and maintenance of dedicated, reserved, and variable compute capacity
US10037221B2 (en) 2015-12-28 2018-07-31 Amazon Technologies, Inc. Management of virtual desktop instance pools
US10320844B2 (en) * 2016-01-13 2019-06-11 Microsoft Technology Licensing, Llc Restricting access to public cloud SaaS applications to a single organization
US10116533B1 (en) 2016-02-26 2018-10-30 Skyport Systems, Inc. Method and system for logging events of computing devices
US10162672B2 (en) 2016-03-30 2018-12-25 Amazon Technologies, Inc. Generating data streams from pre-existing data sets
US10891145B2 (en) 2016-03-30 2021-01-12 Amazon Technologies, Inc. Processing pre-existing data sets at an on demand code execution environment
US11132213B1 (en) 2016-03-30 2021-09-28 Amazon Technologies, Inc. Dependency-based process of pre-existing data sets at an on demand code execution environment
RU2626350C1 (ru) * 2016-04-11 2017-07-26 Андрей Сергеевич Моляков Способ функционирования операционной системы вычислительного устройства программно-аппаратного комплекса
CN105763638A (zh) * 2016-04-18 2016-07-13 广州优达信息科技有限公司 一种云终端反向控制系统
US10542044B2 (en) * 2016-04-29 2020-01-21 Attivo Networks Inc. Authentication incident detection and management
US10182126B2 (en) * 2016-05-02 2019-01-15 Dell Products L.P. Multilevel redirection in a virtual desktop infrastructure environment
CN106130759B (zh) * 2016-06-22 2021-02-09 白杨 面向服务的模块化系统体系架构
US10282229B2 (en) 2016-06-28 2019-05-07 Amazon Technologies, Inc. Asynchronous task management in an on-demand network code execution environment
US10102040B2 (en) 2016-06-29 2018-10-16 Amazon Technologies, Inc Adjusting variable limit on concurrent code executions
US10203990B2 (en) 2016-06-30 2019-02-12 Amazon Technologies, Inc. On-demand network code execution with cross-account aliases
EP3479229A1 (en) * 2016-06-30 2019-05-08 Amazon Technologies Inc. On-demand code execution using cross-account aliases
US10277708B2 (en) * 2016-06-30 2019-04-30 Amazon Technologies, Inc. On-demand network code execution with cross-account aliases
US10380359B2 (en) * 2016-08-05 2019-08-13 Sensoriant, Inc. Software-based switch for providing products and/or services to users without compromising their privacy
CN106295341A (zh) * 2016-08-11 2017-01-04 浪潮电子信息产业股份有限公司 基于虚拟化的企业数据中心安全解决方法
US10394916B2 (en) * 2016-09-13 2019-08-27 Microsoft Technology Licensing, Llc Personalized search environment
US10884787B1 (en) 2016-09-23 2021-01-05 Amazon Technologies, Inc. Execution guarantees in an on-demand network code execution system
US10061613B1 (en) 2016-09-23 2018-08-28 Amazon Technologies, Inc. Idempotent task execution in on-demand network code execution systems
US11119813B1 (en) 2016-09-30 2021-09-14 Amazon Technologies, Inc. Mapreduce implementation using an on-demand network code execution system
US10686886B2 (en) * 2016-10-19 2020-06-16 Mirosoft Technology Licensing, LLC Establishing secure sessions for stateful cloud services
US10270692B1 (en) * 2016-11-10 2019-04-23 Juniper Networks, Inc. Establishing a connection to multiple network devices using a single internet protocol (IP) address
CN108073078A (zh) * 2016-11-17 2018-05-25 天津凯溢华升科技发展有限公司 一种基于集成云技术服务的远程控制系统
US10404614B2 (en) * 2016-11-21 2019-09-03 Vmware, Inc. Multi-cloud resource allocation
US11695800B2 (en) 2016-12-19 2023-07-04 SentinelOne, Inc. Deceiving attackers accessing network data
US11616812B2 (en) 2016-12-19 2023-03-28 Attivo Networks Inc. Deceiving attackers accessing active directory data
US10437928B2 (en) * 2016-12-30 2019-10-08 Google Llc Device identifier dependent operation processing of packet based data communication
US10536446B2 (en) * 2017-01-31 2020-01-14 Microsoft Technology Licensing, Llc. Single authentication to a multi-tenancy single-page cloud application
EP3603028B1 (en) * 2017-03-28 2023-05-24 NetApp, Inc. Methods and systems for providing wake-on-demand access to session servers
US11080041B1 (en) * 2017-03-30 2021-08-03 Amazon Technologies, Inc. Operating system management for virtual workspaces
US10318321B2 (en) * 2017-04-10 2019-06-11 Hongfujin Precision Electronics(Tianjin)Co., Ltd. Virtual desktop system and method of control
US11151253B1 (en) * 2017-05-18 2021-10-19 Wells Fargo Bank, N.A. Credentialing cloud-based applications
US10599856B2 (en) * 2017-06-07 2020-03-24 International Business Machines Corporation Network security for data storage systems
US10509688B1 (en) * 2017-06-29 2019-12-17 Parallels International Gmbh System and method for migrating virtual machines between servers
US11012441B2 (en) * 2017-06-30 2021-05-18 Open Text Corporation Hybrid authentication systems and methods
JP2020530922A (ja) 2017-08-08 2020-10-29 センチネル ラボ, インコーポレイテッドSentinel Labs, Inc. エッジネットワーキングのエンドポイントを動的にモデリングおよびグループ化する方法、システム、およびデバイス
US10608959B2 (en) * 2017-09-11 2020-03-31 Vmware, Inc. Securely managing and diagnosing network middleboxes
US10872023B2 (en) * 2017-09-24 2020-12-22 Microsoft Technology Licensing, Llc System and method for application session monitoring and control
US10564946B1 (en) 2017-12-13 2020-02-18 Amazon Technologies, Inc. Dependency handling in an on-demand network code execution system
US10303492B1 (en) 2017-12-13 2019-05-28 Amazon Technologies, Inc. Managing custom runtimes in an on-demand code execution system
US10887390B1 (en) * 2017-12-15 2021-01-05 Parallels International Gmbh Remote access to published resources
US11438337B2 (en) * 2017-12-15 2022-09-06 Sap Se Multi-tenant support user cloud access
US11044229B2 (en) * 2017-12-22 2021-06-22 International Business Machines Corporation Dynamically opening ports for trusted application processes hosted in containers
EP3511820A1 (en) * 2018-01-15 2019-07-17 Siemens Aktiengesellschaft Cloud based artifact lifecycle management system and method thereof
US10733085B1 (en) 2018-02-05 2020-08-04 Amazon Technologies, Inc. Detecting impedance mismatches due to cross-service calls
US10572375B1 (en) 2018-02-05 2020-02-25 Amazon Technologies, Inc. Detecting parameter validity in code including cross-service calls
US10831898B1 (en) 2018-02-05 2020-11-10 Amazon Technologies, Inc. Detecting privilege escalations in code including cross-service calls
US10353678B1 (en) 2018-02-05 2019-07-16 Amazon Technologies, Inc. Detecting code characteristic alterations due to cross-service calls
US11470115B2 (en) 2018-02-09 2022-10-11 Attivo Networks, Inc. Implementing decoys in a network environment
US10725752B1 (en) 2018-02-13 2020-07-28 Amazon Technologies, Inc. Dependency handling in an on-demand network code execution system
US10776091B1 (en) 2018-02-26 2020-09-15 Amazon Technologies, Inc. Logging endpoint in an on-demand code execution system
US10601942B2 (en) 2018-04-12 2020-03-24 Pearson Management Services Limited Systems and methods for automated module-based content provisioning
WO2019209322A1 (en) * 2018-04-27 2019-10-31 Hewlett-Packard Development Company, L.P. Signals to i/o devices based on virtual computer messages
CN108710528B (zh) * 2018-05-09 2023-02-28 深圳安布斯网络科技有限公司 桌面云虚拟机的访问、控制方法、装置、设备及存储介质
CN108805671A (zh) * 2018-05-31 2018-11-13 青岛每步数码科技有限公司 一种租赁互联网任意电脑的运营系统及方法
US11627132B2 (en) * 2018-06-13 2023-04-11 International Business Machines Corporation Key-based cross domain registration and authorization
EP3585026A1 (en) * 2018-06-19 2019-12-25 Siemens Aktiengesellschaft Method and system of providing secure access to a cloud service in a cloud computing environment
US10853115B2 (en) 2018-06-25 2020-12-01 Amazon Technologies, Inc. Execution of auxiliary functions in an on-demand network code execution system
US10649749B1 (en) 2018-06-26 2020-05-12 Amazon Technologies, Inc. Cross-environment application of tracing information for improved code execution
US11146569B1 (en) 2018-06-28 2021-10-12 Amazon Technologies, Inc. Escalation-resistant secure network services using request-scoped authentication information
US10949237B2 (en) 2018-06-29 2021-03-16 Amazon Technologies, Inc. Operating system customization in an on-demand network code execution system
US11099870B1 (en) 2018-07-25 2021-08-24 Amazon Technologies, Inc. Reducing execution times in an on-demand network code execution system using saved machine states
CN109598115B (zh) * 2018-07-27 2020-01-21 北京字节跳动网络技术有限公司 授权登录的实现方法、装置、设备、系统、平台和介质
US11106762B1 (en) 2018-08-17 2021-08-31 A9.com Cloud-based access to application usage
CN109347809B (zh) * 2018-09-25 2021-01-08 北京计算机技术及应用研究所 一种面向自主可控环境下的应用虚拟化安全通信方法
US11099917B2 (en) 2018-09-27 2021-08-24 Amazon Technologies, Inc. Efficient state maintenance for execution environments in an on-demand code execution system
US11243953B2 (en) 2018-09-27 2022-02-08 Amazon Technologies, Inc. Mapreduce implementation in an on-demand network code execution system and stream data processing system
US11943093B1 (en) 2018-11-20 2024-03-26 Amazon Technologies, Inc. Network connection recovery after virtual machine transition in an on-demand network code execution system
CN109583182B (zh) * 2018-11-29 2021-06-04 北京元心科技有限公司 启动远程桌面的方法、装置、电子设备及计算机存储介质
US10884812B2 (en) 2018-12-13 2021-01-05 Amazon Technologies, Inc. Performance-based hardware emulation in an on-demand network code execution system
US11165575B2 (en) * 2019-01-02 2021-11-02 Citrix Systems, Inc. Tracking tainted connection agents
US11500699B2 (en) * 2019-01-24 2022-11-15 Hewlett Packard Enterprise Development Lp Communication of data between virtual processes
US11880422B2 (en) 2019-02-04 2024-01-23 Cloudflare, Inc. Theft prevention for sensitive information
US10558824B1 (en) 2019-02-04 2020-02-11 S2 Systems Corporation Application remoting using network vector rendering
US10552639B1 (en) 2019-02-04 2020-02-04 S2 Systems Corporation Local isolator application with cohesive application-isolation interface
US10452868B1 (en) 2019-02-04 2019-10-22 S2 Systems Corporation Web browser remoting using network vector rendering
US11010188B1 (en) 2019-02-05 2021-05-18 Amazon Technologies, Inc. Simulated data object storage using on-demand computation of data objects
EP3891619B1 (en) * 2019-02-28 2023-09-27 Hewlett-Packard Development Company, L.P. Access to firmware settings with asymmetric cryptography
US11288347B2 (en) 2019-03-07 2022-03-29 Paypal, Inc. Login from an alternate electronic device
US11861386B1 (en) 2019-03-22 2024-01-02 Amazon Technologies, Inc. Application gateways in an on-demand network code execution system
EP3967008A4 (en) * 2019-05-09 2022-12-21 Services Pétroliers Schlumberger CUSTOMER ISOLATION WITH CLOUD-NATIVE FEATURES
US11645102B2 (en) * 2019-05-20 2023-05-09 Citrix Systems, Inc. Connection leasing system and related methods for use with legacy virtual delivery appliances
US10762200B1 (en) 2019-05-20 2020-09-01 Sentinel Labs Israel Ltd. Systems and methods for executable code detection, automatic feature extraction and position independent code detection
US10862975B1 (en) * 2019-06-04 2020-12-08 Citrix Systems, Inc. Computing system providing direct routing for desktop as a service (DaaS) sessions to a private network and related methods
US11119809B1 (en) 2019-06-20 2021-09-14 Amazon Technologies, Inc. Virtualization-based transaction handling in an on-demand network code execution system
US11115404B2 (en) 2019-06-28 2021-09-07 Amazon Technologies, Inc. Facilitating service connections in serverless code executions
US11159528B2 (en) 2019-06-28 2021-10-26 Amazon Technologies, Inc. Authentication to network-services using hosted authentication information
US11190609B2 (en) 2019-06-28 2021-11-30 Amazon Technologies, Inc. Connection pooling for scalable network services
CN110445775B (zh) * 2019-07-24 2021-08-20 创新先进技术有限公司 用于账户管理的方法和装置
US10798094B2 (en) * 2019-07-24 2020-10-06 Alibaba Group Holding Limited Blockchain-based account management
CN110430100B (zh) * 2019-08-27 2021-06-04 中国工商银行股份有限公司 网络连通性探测方法和装置
CN110768862B (zh) * 2019-09-23 2021-03-09 烽火通信科技股份有限公司 一种云平台物理链路连通性检测装置、方法及系统
US11416628B2 (en) 2019-09-27 2022-08-16 Amazon Technologies, Inc. User-specific data manipulation system for object storage service based on user-submitted code
US11656892B1 (en) 2019-09-27 2023-05-23 Amazon Technologies, Inc. Sequential execution of user-submitted code and native functions
US10996961B2 (en) 2019-09-27 2021-05-04 Amazon Technologies, Inc. On-demand indexing of data in input path of object storage service
US11263220B2 (en) 2019-09-27 2022-03-01 Amazon Technologies, Inc. On-demand execution of object transformation code in output path of object storage service
US11106477B2 (en) 2019-09-27 2021-08-31 Amazon Technologies, Inc. Execution of owner-specified code during input/output path to object storage service
US11386230B2 (en) 2019-09-27 2022-07-12 Amazon Technologies, Inc. On-demand code obfuscation of data in input path of object storage service
US11250007B1 (en) 2019-09-27 2022-02-15 Amazon Technologies, Inc. On-demand execution of object combination code in output path of object storage service
US11055112B2 (en) 2019-09-27 2021-07-06 Amazon Technologies, Inc. Inserting executions of owner-specified code into input/output path of object storage service
US11023311B2 (en) 2019-09-27 2021-06-01 Amazon Technologies, Inc. On-demand code execution in input path of data uploaded to storage service in multiple data portions
US11550944B2 (en) 2019-09-27 2023-01-10 Amazon Technologies, Inc. Code execution environment customization system for object storage service
US11023416B2 (en) 2019-09-27 2021-06-01 Amazon Technologies, Inc. Data access control system for object storage service based on owner-defined code
US11394761B1 (en) 2019-09-27 2022-07-19 Amazon Technologies, Inc. Execution of user-submitted code on a stream of data
US10908927B1 (en) 2019-09-27 2021-02-02 Amazon Technologies, Inc. On-demand execution of object filter code in output path of object storage service
US11360948B2 (en) 2019-09-27 2022-06-14 Amazon Technologies, Inc. Inserting owner-specified data processing pipelines into input/output path of object storage service
US11119826B2 (en) 2019-11-27 2021-09-14 Amazon Technologies, Inc. Serverless call distribution to implement spillover while avoiding cold starts
US10942795B1 (en) 2019-11-27 2021-03-09 Amazon Technologies, Inc. Serverless call distribution to utilize reserved capacity without inhibiting scaling
US11900138B2 (en) * 2020-01-17 2024-02-13 Vmware, Inc. Remote access control of VM console located in cloud from on-premises computer device
CN111277611B (zh) * 2020-02-25 2022-11-22 深信服科技股份有限公司 一种虚拟机联网控制方法、装置、电子设备及存储介质
US11714682B1 (en) 2020-03-03 2023-08-01 Amazon Technologies, Inc. Reclaiming computing resources in an on-demand code execution system
US11438171B2 (en) 2020-03-05 2022-09-06 Micron Technology, Inc. Virtualized authentication device
US11188391B1 (en) 2020-03-11 2021-11-30 Amazon Technologies, Inc. Allocating resources to on-demand code executions under scarcity conditions
US11775640B1 (en) 2020-03-30 2023-10-03 Amazon Technologies, Inc. Resource utilization-based malicious task detection in an on-demand code execution system
CN111756855B (zh) * 2020-06-30 2023-06-20 北京来也网络科技有限公司 一种远程控制系统、方法、介质及计算设备
CN111884833A (zh) * 2020-07-04 2020-11-03 中国人民解放军海军航空大学航空作战勤务学院 一种基于网络虚拟化技术的仿真系统集成方法
CN112437123B (zh) * 2020-11-09 2024-04-09 北京京东尚科信息技术有限公司 资源管理方法、装置、计算机系统、可读存储介质
US11550713B1 (en) 2020-11-25 2023-01-10 Amazon Technologies, Inc. Garbage collection in distributed systems using life cycled storage roots
US11593270B1 (en) 2020-11-25 2023-02-28 Amazon Technologies, Inc. Fast distributed caching using erasure coded object parts
CN112583599B (zh) * 2020-11-26 2022-02-22 新华三大数据技术有限公司 通信方法及装置
CN112291269B (zh) * 2020-11-30 2023-03-03 南方电网科学研究院有限责任公司 一种云桌面认证方法、装置、电子设备和可读存储介质
US11579857B2 (en) 2020-12-16 2023-02-14 Sentinel Labs Israel Ltd. Systems, methods and devices for device fingerprinting and automatic deployment of software in a computing network using a peer-to-peer approach
US20220368737A1 (en) * 2021-05-17 2022-11-17 Cloudengage, Inc. Systems and methods for hosting a video communications portal on an internal domain
CN113254892A (zh) * 2021-06-11 2021-08-13 西安万像电子科技有限公司 访问处理方法、装置、存储介质、电子设备
US11388210B1 (en) 2021-06-30 2022-07-12 Amazon Technologies, Inc. Streaming analytics using a serverless compute system
US11899782B1 (en) 2021-07-13 2024-02-13 SentinelOne, Inc. Preserving DLL hooks
CN113709157B (zh) * 2021-08-27 2023-06-30 四川中电启明星信息技术有限公司 基于云路由和安全控制中心的电力安全研发网络结构
CN114301978A (zh) * 2021-12-23 2022-04-08 阿里巴巴（中国）有限公司 一种云桌面实现方法、系统、设备及存储介质
CN114629898B (zh) * 2022-03-25 2023-06-23 联想(北京)有限公司 一种多客户端的协同方法及电子设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7243369B2 (en) * 2001-08-06 2007-07-10 Sun Microsystems, Inc. Uniform resource locator access management and control system and method
CN101212374A (zh) * 2006-12-29 2008-07-02 北大方正集团有限公司 实现校园网资源远程访问的方法和系统

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7788716B2 (en) 2004-05-21 2010-08-31 Bea Systems, Inc. Token handler API
US20060090136A1 (en) 2004-10-01 2006-04-27 Microsoft Corporation Methods and apparatus for implementing a virtualized computer system
WO2007047183A2 (en) * 2005-10-11 2007-04-26 Citrix Systems, Inc. Systems and methods for facilitating distributed authentication
US20090183225A1 (en) 2008-01-10 2009-07-16 Microsoft Corporation Pluggable modules for terminal services
US8972978B2 (en) 2008-05-02 2015-03-03 Skytap Multitenant hosted virtual machine infrastructure
US8271536B2 (en) 2008-11-14 2012-09-18 Microsoft Corporation Multi-tenancy using suite of authorization manager components
US8856512B2 (en) 2008-12-30 2014-10-07 Intel Corporation Method and system for enterprise network single-sign-on by a manageability engine

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7243369B2 (en) * 2001-08-06 2007-07-10 Sun Microsystems, Inc. Uniform resource locator access management and control system and method
CN101212374A (zh) * 2006-12-29 2008-07-02 北大方正集团有限公司 实现校园网资源远程访问的方法和系统

Also Published As

Publication number Publication date
US8607054B2 (en) 2013-12-10
CN102420846A (zh) 2012-04-18
US20120096271A1 (en) 2012-04-19

Similar Documents

Publication Publication Date Title
CN102420846B (zh) 企业用户对主存的虚拟机的远程访问
JP6987931B2 (ja) クライアントアプリケーションのためのセキュアなシングルサインオン及び条件付きアクセス
US9830430B2 (en) Inherited product activation for virtual machines
US8849941B2 (en) Virtual desktop configuration and operation techniques
US9710297B2 (en) Dynamic allocation and assignment of virtual environment
US9258290B2 (en) Secure administration of virtual machines
US10833949B2 (en) Extension resource groups of provider network services
US11656882B2 (en) Instant virtual application launch
EP2625645B1 (en) Secure deployment of provable identity for dynamic application environments
JP2019526842A (ja) 仮想ブラウザ統合
US20120084570A1 (en) Remote Resources Single Sign On
US20130291068A1 (en) Managing Cloud Zones
US8813252B2 (en) Request based license mode selection
BRPI0707220A2 (pt) métodos e sistemas para fornecer acesso a um ambiente de computação
Annapureddy Security challenges in hybrid cloud infrastructures
US11366883B2 (en) Reflection based endpoint security test framework
WO2023041025A1 (zh) 基于云技术的计算节点及基于云技术的实例管理方法
JP7027612B2 (ja) ヘルパを介したクライアントデバイスの匿名セッションへの接続
JP2023538870A (ja) クラウドシェルのインスタンスにわたってデータを永続化するための技法
CN110121857A (zh) 一种凭据分发的方法和设备
Mishra et al. Virtualization Security
Jung et al. An architecture for virtualization-based trusted execution environment on mobile devices

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: MICROSOFT TECHNOLOGY LICENSING LLC

Free format text: FORMER OWNER: MICROSOFT CORP.

Effective date: 20150429

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20150429

Address after: Washington State

Patentee after: Micro soft technique license Co., Ltd

Address before: Washington State

Patentee before: Microsoft Corp.