CN102426530B - 使用高特权过程远程安装软件 - Google Patents

Abstract

本发明涉及使用高特权进程远程安装软件。正常情况下本来不能够通过远程过程安装在机器上的软件由该机器上运行的高特权安装程序来安装。从远程机器接收对使用该高特权安装程序在该机器上安装软件的请求。该高特权安装程序确定被远程请求的软件在何时安装。例如，该高特权安装程序可以监控要安装的软件的安装队列。当在该安装队列中有条目(entry)时，该高特权安装程序被用来安装该软件。当该安装队列中没有条目时，该高特权安装程序可以休眠，直到有更多的软件被标识为要被安装。

Description

使用高特权过程远程安装软件

技术领域

本发明涉及使用高特权过程远程安装软件。

背景技术

基于web的服务包括位于web服务器上的文件以及存储在数据库中的数据。例如，存在大量位于不同网络中的服务器，以处理针对该服务的流量。对包括大量服务器的在线服务的软件安装和操作进行管理是一种耗时的过程，该过程需要很大的操作人员队伍，这些人员队伍会经历人为错误。

发明内容

提供本发明内容以便以简化形式介绍在以下具体实施方式中进一步描述的一些概念。本发明内容并非旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

正常情况下本来不能够通过远程进程安装在机器上的软件由该机器上运行的高特权安装程序来安装。从远程机器接收使用该高特权安装程序在该机器上安装软件的请求。该高特权安装程序确定被远程请求的软件在何时安装。例如，该高特权安装程序可以监控要安装的软件的安装队列。当在该安装队列中有条目(entry)时，该高特权安装程序被用来安装该软件。当该安装队列中没有条目时，该高特权安装程序可以休眠，直到有更多的软件被标识为要被安装。

附图说明

图1示出了用于管理与诸如内容管理服务之类的在线服务相关联的网络的云管理器系统；

图2示出了包括管理器和相关联的数据库的云管理器；

图3示出了存储在数据库的行内的示例性作业记录；

图4示出了用于网络的示例系统，该网络包括用于在线服务的前端和后端服务器；

图5示出计算机的计算机体系结构；

图6示出了在线服务的云管理器，该云管理器使用高特权安装程序在需要高特权级别的远程机器上安装软件；

图7示出了用于在需要高特权级别的远程机器上安装软件的过程；以及

图8示出了用于在远程机器上安装需要高特权级别的软件的过程。

具体实施方式

现将参考附图来描述各实施例，在附图中类似的标号代表类似的元素。

一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、组件、数据结构和其他类型的结构。也可使用其他计算机系统配置，包括手持式设备、多处理器系统、基于微处理器或可编程消费电子产品、小型计算机、大型计算机等等。也可使用在其中任务由通过通信网络链接的远程处理设备执行的分布式计算环境。在分布式计算环境中，程序模块可位于本地和远程存储器存储设备两者中。

图1示出了用于管理与在线服务相关联的网络的云管理系统。系统100示出了云管理器105，该云管理器105被连接到可能分布在世界各地的不同网络并对其进行管理。网络中的每个被配置成为一个或多个承租人(例如客户机、消费者)提供内容服务。这些网络可以被主存(host)在云服务内和/或内部部署(on-premises)数据中心内。云管理器105用于部署、配置和管理这些网络。云管理器被配置为通过可容忍间歇性网络故障的幂等的且异步的应用web服务应用编程接口(API)150来接收请求。

如所示的，云管理器105包括工作管理器110、机器管理器115、应用专用管理器120、脚本130以及诸如数据存储140(例如数据库)之类的中央储存库。未包括在所示管理器之一内的功能可以驻留在云管理器的某个其他位置。根据一个实施例，应用管理器120是SharePoint承租人管理器，该管理器包括SharePoint专用逻辑。

工作管理器110管理任务的执行，并且实现对较长时间运行的任务的调度和重试。工作管理器110启动存储在作业队列112中的作业并且跟踪运行中的作业。当已经流逝了预定的时间时，工作管理器110可以自动地取消任务并且执行与该任务相关的某些进一步处理。根据一个实施例，作业队列112中的任务由工作管理器110通过调用一个或多个脚本130来执行。例如，可以使用诸如微软的的脚本语言来对由工作管理器110执行的任务进行编程。每个脚本可以作为新进程运行。尽管将每个脚本作为新进程来执行可以具有相当高的CPU开销，但是该系统是可伸缩的，并且帮助为每次脚本执行确保干净的环境，加上在脚本完成时进行完全的清理。

机器管理器115被配置为管理网络(例如网络1、网络2、网络3)中的物理机器。一般而言，机器管理器115理解网络、物理机器、虚拟机(VM)、VM镜像(VHD)等等。机器管理器不必牢固绑定于网络内运行的特定服务，而是在“角色”方面跟踪网络中的各种组件。例如，可以通过API 150请求机器管理器115在网络3上部署具有版本12.34.56.78的“Foo”型VM。响应于对云管理器105的请求，机器管理器115对位于网络3上的合适物理机器进行定位，并且根据与VM的角色相关联的VM镜像来配置VM。使用具有版本12.34.56.78的Foo型VHD来配置物理机器，该VHD存储在诸如数据存储140的数据存储内。在网络内使用的镜像也可以存储在其他位置处，诸如用于所述网络中的一个或多个网络的本地数据共享中。可以运行脚本来执行VHD在物理机器上的安装以及用于执行任何部署后的配置。机器管理器115跟踪每个网络的机器配置。例如，机器管理器115可以跟踪VM的角色(VM的类型)、VM的状态(供应中(Provisioning)、运行中、已停止、已故障)、版本以及VM是否存在于给定场(farm)中(这隐含了其网络)。

脚本130被配置为存储将要执行以便既本地地为云管理器105执行工作又远程地在所述网络中的一个或多个网络上执行工作的脚本。脚本130中的一个或多个还可以存储在其他位置。例如，将要在网络(例如网络1、网络2、网络3)上执行的脚本可以被本地地存储到该网络。这些脚本可用于许多不同目的。例如，这些脚本可以用于执行：对该网络中的一个或多个网络中的机器的配置，改变之前配置的机器上的设定，添加新的VM，添加新的数据库，将数据从一个机器移动到另一个，移动承租人，改变模式等。根据一个实施例，这些脚本是微软的脚本。也可以使用其他编程实施方式。例如，可以使用编译和/或前期绑定编程语言来实现该功能。然而，脚本是一种表达将要执行的任务中的许多个的相当精确的语言。用诸如C#的编程语言对其等价物进行编程将常常需要冗长得多的实施方式。脚本还被后期绑定，这意味着可以以多个版本的底层代码库为目标，而不必不断地链接到不同的接口DLL。使用PowerShell脚本将允许进程由云管理器105本地地启动，云管理器105进而可以启动远程机器(即，所附连的网络之一中的物理机器)上的进程。还可以使用其他技术来启动远程机器上的进程，诸如安全Shell(SSH)等。

云管理器105正在管理的应用专用信息由应用管理器120来执行。根据一个实施例，应用专用信息与微软有关。由此，应用管理器120被配置为了解SharePoint承租人、站点集合等。

每个网络可以被配置成用于承租人的专用网络和/或服务于一个以上客户机的多承租人网络。网络可以包括变化数目的物理机/虚拟机，物理机/虚拟机的配置在部署之后也变化。一般而言，只要未超过联网极限(例如，负载平衡器和网络交换机)，网络就可以继续增长。例如，网络可以从十个服务器开始，并且之后扩充为一百个或更多个服务器。可以给网络内的物理机器分配类或类型。例如，这些机器中的某些机器可以是计算机器(用于web前端和应用服务器)，而其他机器可以是与计算机器相比配备有更多存储的存储机器。根据一实施例，云管理器105用多个版本的镜像文件来配置网络内的机器。根据一实施例，场常常具有相同版本的镜像文件。

根据一个实施例，在网络内由云管理器系统100通过虚拟化机器并且管理该网络内部独立地行动的“场”来管理软件极限。每个网络可以包括一个或多个场(例如，参见网络1)。根据一个实施例，网络被认为是经网络负载平衡的机器的单个群集，这些机器向外部世界展示一个或多个VIP(虚拟IP)并且可以将通信路由到网络内的任何机器。网络中的机器通常是紧耦合的，并且具有最小等待时间(即＜1ms的查验(ping)等待时间)。

场是用于对需要紧密绑定关系的应用进行协调的机器的基本分组。例如，内容场可以部署在每个网络内以用于诸如Microsoft的内容管理应用。一般而言，每一个场中的那组机器一起提供web服务和应用服务器功能。通常，场内的机器运行相同构建(build)的应用(即SharePoint)并且共享公共配置数据库以服务特定的承租人和站点集合。

场可以包含异构的虚拟机组。云管理器105在数据存储140内维护“场目标”，该场目标是每个场的每种角色的机器的目标数目。一些角色包括内容前端、内容中央管理、内容计时器服务、联合中央管理、联合应用服务器等。例如，内容场是处理接入消费者请求的基本共享点场。联合服务场包含可以跨场运行的诸如搜索和简档存储这样的SharePoint服务。场可以用于主存大容量公共因特网站点。某些场可以包含一组活动目录服务器和供应端口监控程序(Provisioning Daemon)。云管理器105自动地部署网络中的虚拟机和/或停用网络中的虚拟机，以帮助满足所定义的目标。这些场目标可以自动地和/或手动地来配置。例如，场目标可以响应于活动和容量需求的改变而改变。网络场-每个网络存在一个包含可以作为整个网络的资源容易地横向扩展的所有VM角色的网络场。

云管理器web服务API 150被设计为在可大规模伸缩的全局服务的上下文中工作。该API假定：任何网络请求可能在传送中失败和/或挂起。对云管理器105的调用被配置为是幂等的。换言之，可以对云管理器105进行多次相同的调用(只要参数是相同的)而不改变结果。

云管理器105被设计为在向任何给定的请求返回响应之前进行非常少的处理(＜10ms，＜50ms)。云管理器105维护记录以跟踪当前请求。例如，云管理器105更新本地数据库中的记录，并且若需要则稍后调度“作业”以执行更长的活动。

云管理器跟踪作为用于在网络内部署新机器的模板的镜像(诸如，虚拟盘镜像)。镜像引用可以存储在诸如数据库140之类的数据库中和/或某个其他位置。镜像可以存储在将在其上部署镜像的网络而言是本地的一个或多个共享数据存储中。根据一个实施例，每个镜像都包括：虚拟机(VM)角色类型，其指定镜像可以部署的VM的类型；该镜像应当使用的处理器的数目；将分配给该镜像的RAM的量；用于找出附近安装点的网络ID(使得它们不会通过跨数据中心链接被反复地复制)；以及可以被部署代码用于访问VHD的共享路径。

一般而言，由云系统100所管理的网络中的机器不是以传统方式通过下载数据并且将该数据合并到机器上的现有软件中来升级的。相反，机器是通过用已更新的VHD替换VHD来更新的。例如，当场需要新版本的软件时，部署安装了该新版本的新场。当部署新场时，将承租人从旧场移动到该新场。以此方式，由于升级造成的停机时间被最小化，并且场中的每个机器具有已被测试的相同版本。当虚拟机需要升级时，机器上的VM可以被删除并且被配置为运行所需服务的VM所代替。

尽管对现有软件的升级不是最优的，但是网络内的某些服务器使用原地升级的传统更新过程。例如，活动目录域控制器是通过升级服务器上的当前软件而不完全替换机器上的镜像来升级的。在一些实例中，云管理器也可以原地升级。

图2示出了包括管理器和相关联的数据库的云管理器。如所示的，云管理器200包括工作管理器210、工作数据库215、机器管理器220、机器数据库225、承租人管理器230、承租人数据库235、私密数据库245、以及web服务API 240。

一般而言，将在云管理系统(例如系统100)内使用的数据库的大小调整为实现高性能。例如，数据库(诸如，工作数据库215、机器数据库225、承租人数据库235和私密数据库245)不能超过预定义的大小限制(例如30GB、50GB、100GB等)。根据一实施例，调整数据库的大小以使得其小得足以放入物理机器的存储器中。这有助于高读取I/O性能。还可以基于对于一应用程序(诸如，与SQL服务器交互时)的性能来选择数据库的大小。还可以调整用在场中的数据库的大小以实现高性能。例如，它们的大小可以被调整为能放入主机的存储器中和/或被调整为使得备份操作、移动操作、复制操作、恢复操作一般在预定的时间段内执行。

云管理器200将云管理器数据划分成四个数据库。工作数据库215用于工作管理器。机器数据库225用于机器管理器220。承租人数据库235用于承租人管理器230，并且私密数据库245用于存储敏感信息，诸如系统账号和口令信息、凭证、证书等。数据库可以位于相同的服务器上，或者跨服务器分割。根据一实施例，每个数据库被镜像以获得高可用性，并且是SQL数据库。

云管理器200被配置为使用缩减的SQL特征组与数据库交互以便有助于在数据库升级期间提供云管理器200的可用性。例如，尝试避免外键或已存储的过程。外键可能使模式变化变得困难并且导致意料之外的失效情况。已存储的过程将应用中的更多个放置在数据库本身中。

尝试最小化与SQL服务器的通信，因为与底层操作的成本相比，往返可能是昂贵的。例如，如果当前SQL服务器到单个数据库的全部交互被包装在单个往返中，则常常是效率高得多的。

极少在数据库(215，225，235)内使用限制条件。一般而言，限制条件在其有助于在没有额外查询的情况下提供具有正确类型的错误处理的简单更新时是有益的。例如，完全合格的域名(FQDN)表具有对“名称”施加的限制条件，以帮助防止承租人意外地试图主张与已经被分配给不同承租人的FQDN相同的FQDN。

当添加索引时使用警告。索引通常以写入操作的额外I/O为代价来改善读取性能。由于数据库内的数据主要是驻留在RAM上的，因此即使全表扫描仍然是相对快的。根据一实施例，一旦查询模式已经稳定就可以添加索引，并且可以根据所提出的索引来确定性能改善。根据一实施例，如果添加索引将可能花费长时间，则可以指定“ONLINE＝ON(在线＝开启)”选项，以使得在最初构该建索引时表不被锁定。

根据一实施例，可以执行对云管理器内数据库的升级而不导致云管理器系统停机。换言之，即使在云管理器升级期间，云管理器继续处理已接收的请求。由此，对模式作出的改变应与之前的方案兼容。在升级云管理器所使用的web服务器之前进行SQL模式升级。当web服务器被升级时，它们可以开始使用数据库中所启用的新特性。数据库升级被限制以使得升级中所涉及的操作是快速和有效的。例如，可以添加表，并且可以向现有列添加新的可空列。可以在表的结尾处添加新的列。一般而言，避免对数据库的耗时操作。例如，在存在大量数据时，在创建时间向新添加的列添加缺省值可能是非常耗时的操作。然而，添加可空列(nullable column)是非常快速的操作。如上面所讨论的，允许添加新的索引，但是在添加新的限制条件时应当采取警告，以帮助保证方案升级不会破除现有数据。例如，当添加限制条件时，该限制条件可以被设置为如下状态：该限制条件不被检查并且避免对现有行和潜在的错误进行高成本的验证。旧表和未使用的列在新版本被使用并且云管理器不访问这些表和列以后被移除。

一般而言，每个数据库中的单个行用于指示任务和/或所需状态。例如，承租人数据库235为每个承租人包括单个行。给定的承租人可以包括所需版本(Required Version)记录。该记录用于帮助保证：该承租人被放置在运行所需版本的场上。例如，对于要停留在SharePoint 14 SP1上的承租人1而言，该承租人的所需版本可以被设置为“14.1”，并且包括14.1的任何版本都将匹配并且任何其他版本(例如14.2.xxxx)都将不匹配。承租人记录可以包括其他项目，诸如已授权的用户数目、限额(例如所允许的总数据使用、每用户的数据使用等)、时间限制等。某个组织可能具有代表不同地理位置、组合或容量的多个承租人。根据一实施例，将承租人彼此隔开而没有(经由外联网或其他特性)对用户的显式邀请。

根据一个实施例，每个承租人都被锁定到一专用网络中。承租人被保持为相对于一小组数据库而言是本地化的。承租人或者是小的(小于将填充一个数据库的程度)，在这种情况下，该承租人处于与其他承租人共享的恰好一个数据库中。这意味着共享该数据库的所有承租人需要同时升级。当承租人变大时，其可被移动到其自己的专用数据库，并且现在可以具有一个以上、但是不与其他承租人共享的数据库。在一个或多个专用数据库中维护大承租人有助于减少需要在单次升级中同时升级的数据库的数目。

类似地，工作数据库215为每个作业包括单个行。机器数据库225可以为每个物理机器、VM、场等包括行。例如，机器管理器数据库225可以包括版本字符串。根据一实施例，网络内的每个VHD、场和VM具有相关联的版本字符串。

根据一个实施例，云管理器包括简单日志系统，该简单日志系统可以被配置为为每个web服务调用记录日志条目。可以实现包括如所期望的那样少和/或多的特性的日志系统。一般而言，日志系统被用于度量使用和性能剖析。

根据实施例，web服务API 240是使用ASP.net的SOAP构建的。API中的各种web方法遵循两种主要模式——获取(Gets)和更新(Updates)。一般而言，更新方法将数据结构作为输入，并且返回相同的结构作为输出。输出结构返回数据库中底层对象的当前状态，其中如果验证或其他业务逻辑改变了某些性质或者以其他方式填充了附加的性质(例如记录ID或由云管理器计算出的其他值)，则该底层对象可能不同于输入对象。更新方法用于初始对象创建以及随后的更新。换言之，对web服务API 240的调用者可以简单地请求它们想要的配置并且它们不需要跟踪对象是否已经存在。另外，这意味着更新是幂等的，因为相同的更新调用可以进行两次，其中效果相同使其仅仅发生一次。根据一实施例，更新方法可以包括LastUpdated(最近更新)属性。当存在LastUpdated属性时，若LastUpdated的值与当前存储在数据库中的值不匹配，则云管理器200拒绝更新。某些更新方法包括在对方法的第一次调用时被设置的并且在对方法的其他调用时未被设置的属性。

云管理器200被配置为避免使用回调(callback)。由于回调可能是不可靠的，因此与云管理器200交互的客户可以在他们想要检查更新状态时使用web服务API来检查对象状态。根据实施例，对更新方法的调用导致云管理器200将底层对象的状态设置为“供应中(Provisioning)”，并且当更新完成时，状态被设置为“活动(Active)”。

图3示出了存储在数据库的行内的示例性作业记录。如所示的，记录300包括作业标识符302、类型304、数据306、所有者308、步骤310、上一次运行312、期满时间314、下次时间316、状态318以及状况320。

一般而言，针对所请求执行的每个任务，云管理器在数据库350(例如，图2中的工作数据库215)中创建记录。

作业标识符302用于为所请求的任务指定唯一标识符。

类型304指定要执行的任务。例如，类型可以包括将要执行的脚本的名称。例如，当任务是要运行名称为“DeployVM.ps1”的脚本时，则数据306可以包括标识符(例如“-VMID 123”)。这允许将新任务类型添加到系统，而不需要对该系统的已编译或其他二进制部分进行任何改变。

数据306用于存储与任务相关联的数据。例如，数据可以被设置为将在其上执行任务的承租人、机器、网络、VM等。数据306还可以存储数据库中的值被设置成的一个或多个值。执行任务的进程可以注意作业记录以查看所需机器数目被设置为何值。脚本使用数据库中的值来执行操作。

所有者308指定进程/执行该进程的机器。例如，当云管理器机器开始执行作业时，该机器使用机器的ID来更新记录的所有者308部分。

步骤310提供对当前脚本的步骤的指示。例如，脚本可以将任务划分成任何数目的步骤。当该进程完成该脚本的步骤时，步骤310被更新。进程还可以查看步骤310以确定在脚本中要执行什么步骤并且避免必须重新执行之前已完成的步骤。

上一次运行312提供上一次启动脚本的时间。每次启动脚本时，更新上一次运间。

期满时间314是指示该进程应当何时终止的时间。根据实施例，期满时间是在进程被启动之后的预定时间量(例如5分钟、10分钟...)。期满时间可以通过经由web服务API的请求进程来更新。

下次时间316是指示任务下次应当何时执行的时间。例如，进程可以在完成某步骤之后停止，并且被指令等待直到所指定的下次时间316以恢复处理。

状态318指示当前状态，并且状况320指示作业的状况(例如，已创建、已挂起、已恢复、执行中、已删除)。

如果数据库中的重复行具有相同的任务类型和数据值，则它们可以在执行之前被移除。例如，可以进行多个请求以执行存储在数据库的多个行中的相同的任务。

作业可以具有与其相关联的一个或多个锁355。如果锁不可用，则作业将不被调度运行，直到锁可用。这些锁可以以许多不同的方式来配置。例如，锁可以基于互斥、信号量等。一般而言，互斥防止代码被一个以上线程同时执行，并且信号量将共享资源的同时使用的数目限制在最大数目。根据实施例，锁是表示资源的字符串。该资源可以是任何类型的资源。例如，锁可以是场、机器、承租人等。一般而言，锁用于延迟一个或多个任务的执行。每个作业可以指定其在运行以前需要的一个或多个锁。作业可以在其操作期间的任何时间释放锁。当存在锁时，作业不被调度。需要一个以上锁的作业一次请求所需的全部锁。例如，已经持有锁的作业可以不请求附加的锁。这样的模式有助于防止由多个作业间的循环锁依赖性造成的可能的死锁情况。

图4示出了用于网络的示例系统400，该网络包括用于在线服务的前端和后端服务器。示例性系统400包括客户端402和404、网络406、负载平衡器408、WFE服务器410、412、414以及后端服务器416-419。可使用更多或更少的客户机、WFE、后端服务器、负载平衡器和网络。另外，由系统400中的组件所提供的功能中的某些可以由其他组件来执行。例如，某些负载平衡可以在WFE中执行。

在示例实施例中，客户机402和404是诸如台式计算机、膝上型计算机、终端计算机、个人数字助理或蜂窝电话设备的计算设备。客户机402和404可包括输入/输出设备、中央处理单元(“CPU”)、数据存储设备和网络设备。在本申请中，术语客户端和客户端计算机互换地使用。

WFE 410、412和414可由客户端402和404经由负载平衡器408通过网络406访问。如所讨论的，服务器可以在场中配置。后端服务器416对WFE 410、412和414是可访问的。负载平衡器408是专用网络设备和/或一个或多个服务器计算机。负载平衡器408、420、WFE 410、412和414以及后端服务器416可包括输入/输出设备、中央处理单元(“CPU”)、数据存储设备和网络设备。在示例实施例中，网络406是因特网，并且客户机402和404可以远程地访问WFE 410、412和414以及连接到WFE 410、412和414的资源。

在示例实施例中，系统400是在线的、基于浏览器的文档协作系统。在线的、基于浏览器的文档协作系统的一个示例是来自美国华盛顿州雷蒙德市的微软公司的Microsoft在系统400中，后端服务器416-419中的一个或多个是SQL服务器，例如，来自美国华盛顿州雷蒙德市的微软公司的SQL服务器。

WFE 410、412和414提供客户机402和404与后端服务器416-419之间的接口。负载平衡器408、420将请求从自客户机402和404引导到WFE 410、412和414，以及从WFF引导到后端服务器416-419。负载平衡器408使用诸如WFE利用率、到WFE的连接数目和总体WFE性能之类的因素来确定哪个WFE服务器接收客户机请求。类似地，负载平衡器420使用诸如后端服务器利用率、到服务器的连接数目和总体性能的因素来确定哪个后端服务器接收请求。

客户请求的示例可以是访问存储在后端服务器之一上的文档，编辑存储在后端服务器(例如416-419)上的文档，或者将文档存储在后端服务器上。当负载平衡器408通过网络406接收客户机请求时，负载平衡器408确定WFE服务器410、412和414中的哪个接收该客户机请求。类似地，负载平衡器420确定后端服务器416-419中的哪一个从WFE服务器接收请求。后端服务器可以被配置为存储一个或多个承租人(即消费者)的数据。

现在参考图5，将描述在各实施例中利用的计算机500的说明性计算机体系结构。图5所示的计算机体系结构可被配置为服务器、台式或移动计算机，并且包括中央处理单元5(“CPU”)、包括随机存取存储器9(“RAM”)和只读存储器(“ROM”)11的系统存储器7、以及将存储器耦合至中央处理单元(“CPU”)5的系统总线12。

基本输入/输出系统存储在ROM 11中，所述基本输入/输出系统包含帮助在诸如启动期间在计算机内元件之间传递信息的基本例程。计算机500还包括大容量存储设备14以用于存储操作系统16、应用程序10、数据存储24、文件、以及与云系统100的执行和同云系统100的交互相关的云程序26。

大容量存储设备14通过连接至总线12的大容量存储控制器(未示出)连接到CPU 5。大容量存储设备14及其相关联的计算机可读介质为计算机500提供非易失性存储。虽然此处包含的计算机可读介质的描述针对诸如硬盘或CD-ROM驱动器等大容量存储设备，但是计算机可读介质可以是计算机100可以访问的任何可用介质。

作为示例而非限制，计算机可读介质可包括计算机存储介质和通信介质。计算机存储介质包括以存储如计算机可读指令、数据结构、程序模块或其他数据等信息的任何方法或技术来实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质还包括，但不限于，RAM、ROM、可擦除可编程只读存储器(“EPROM”)、电可擦可编程只读存储器(“EEPROM”)、闪存或其他固态存储器技术、CD-ROM、数字多功能盘(“DVD”)或其他光存储、磁带盒、磁带、磁盘存储或其他磁性存储设备、或能用于存储所需信息且可以由计算机500访问的任何其他介质。

根据各实施例，计算机500可以使用通过诸如因特网的网络18至远程计算机的逻辑连接在联网环境中操作。计算机500可以通过连接至总线12的网络接口单元20来连接到网络18。网络连接可以是无线的和/或有线的。网络接口单元20也可用于连接到其他类型的网络和远程计算机系统。计算机500还可以包括用于接收和处理来自多个其他设备的输入的输入/输出控制器22，这些设备包括键盘、鼠标或者电子指示笔(图5中未示出)。类似地，输入/输出控制器22可以向显示屏28、打印机或其他类型的输出设备提供输出。

如上面简要提到的，多个程序模块和数据文件可以存储在计算机500的大容量存储设备14和RAM 9内，包括适于控制联网计算机的操作的操作系统16，比如华盛顿州雷蒙德市的微软公司的操作系统。大容量存储设备14和RAM 9还可以存储一个或多个程序模块。具体而言，大容量存储设备14和RAM 9可以存储诸如云程序26的执行与云系统相关的任务的一个或多个应用程序。

图6示出了在线服务的云管理器，该云管理器使用高特权安装程序在需要高特权级别的远程机器上安装软件。

云管理器605用于部署、配置和管理在线服务的网络。云管理器被配置为通过幂等的且异步的应用web服务应用程序编程接口(API)150来接收请求。云管理器605被配置成在一个或多个不同网络中的远程机器上安装软件。其中一些要安装在远程机器上的软件包括需要高特权级别的安装。

如所示的，云管理器605包括工作管理器110、机器管理器115、应用专用管理器120、脚本130、数据存储140和web服务API 150。根据一个实施例，应用管理器120是SharePoint承租人管理器，该管理器包括SharePoint专用逻辑。

使用API 150的请求可用于在跨不同网络(网络1、网络2)的各种拓扑结构中管理和部署服务器。尽管仅示出了两个网络，但是一般可以管理许多更多的网络(例如十个、一百个、一千个、一万个等)。云管理器605运行，并且可以与上面所示和所描述的云管理器系统类似地来配置。web服务API 150包括用于从工作管理器110、机器管理器115和应用管理器120请求服务的方法。例如，可以使用API 150作出请求，以便更新数据库中的承租人、添加新的SQL服务器、部署新的场、添加新的机器、更新VM、获得数据存储内的值、等等。这些请求中的一些涉及在所述远程机器中的一个或多个机器上的软件安装。

对web服务API 150的请求以异步方式操作。请求者可以重复地使用web服务API 150来每几秒调用一次以查看请求是否完成。请求也可以在被提交给云管理器605之后超时。请求可以被自动重新提交，和/或请求者可以在满足请求之前继续使用API中的同一方法。

云管理器605被设计为在向任何给定的请求返回响应之前进行非常少的处理(＜10ms，＜50ms)。云管理器605维护记录以跟踪当前请求。例如，云管理器605更新本地数据库中的记录，并且若需要则稍后调度“作业”以执行更长的活动。一旦参数和作业信息被提交到数据库之后，响应被发送给请求者。

数据存储被配置成正在被使用和/或将要部署在一个或多个网络中的一个或多个机器上的存储虚拟硬盘(VHD)镜像。根据一实施例，使用VHD文件格式，该格式指定可以驻留在封装在单个文件内的本机主文件系统上的虚拟机硬盘。一般而言，VHD格式是广泛适用的，因为该格式对与该格式一起使用的虚拟化技术、主操作系统、或者客操作系统是不可知的。用在特定网络内的镜像可以移动到全局共享和/或对网络为本地的网络共享。将镜像存储在网络共享上将节省部署镜像的时间，因为减小了网络通信时间。

云管理器105被配置成在网络中的远程机器上安装VHD。在于远程机器上安装VHD的过程中，高特权账号被创建并且高特权安装程序被安装。高特权安装程序可以包括在该VHD中。高特权账号是能够以高特权级别运行进程的账号。例如，高特权账号可以是管理员账号。高特权安装程序(例如，高特权安装程序634)在高特权账号下运行并被配置成在与正常应用/用户账号相比需要高安全级别的机器上安装软件。一般而言，被视为高安全风险的任何软件都需要高特权账号来安装。

一旦向远程机器供应VHD上的软件，则该远程机器被启动。高特权安装程序可以被配置成自动地启动或在某个其他时间启动。例如，高特权安装程序可以在远程机器被启动之后的预定时间启动。

高特权安装程序634被配置成创建安装队列632。根据一实施例，安装队列被创建在机器的注册表(registry)中。该安装队列可以以许多不同的方式来配置。例如，该安装队列可以是文件、表格或数据库中的记录等等。对该安装队列的访问可被限制，从而并非任意远程进程都能够对该安装队列进行写入。例如，访问控制列表可以指定只有源自云管理器的进程可以对该安装队列进行写入。安装队列632标识要在需要使用高特权安装程序634的机器上安装的软件。要安装的软件可被存储在该机器上的数据存储内和/或在诸如网络共享等某个其他位置。

一般而言，当一个或多个项在安装队列632中时，高特权安装程序被激活并安装所请求的软件。根据一实施例，高特权安装程序634休眠，直到项被添加到该安装队列。

图7示出了用于在需要高特权级别的远程机器上安装软件的过程。

当阅读对在此提供的例程的讨论时，应当理解，各实施例的逻辑操作被实现为(1)运行于计算系统上的一系列计算机实现的动作或程序模块，和/或(2)计算系统内互连的机器逻辑电路或电路模块。取决于实现本发明的计算系统的性能要求，可以选择不同的实现。因此，所例示的并且构成此处所描述的实施例的逻辑操作被不同地表示为操作、结构设备、动作或模块。这些操作、结构设备、动作和模块可用软件、固件、专用数字逻辑以及它们的任何组合来实现。

在开始操作之后，过程700流向操作710，在那里高特权账号被创建并且高特权安装程序被安装在机器中。高特权账号可以是能够运行需要提升的特权级别的进程的任何类型的账号。例如，高特权账号可以是管理员账号。高特权账号的配置信息和高特权安装程序可以被包括在当它第一次被供应时安装在机器上的VHD上。

移动到操作720，高特权安装程序被启动。该高特权安装程序可以自动地启动或者在预定时间启动。

转换至操作730，安装队列被创建。该安装队列是在与高特权安装程序相同的机器上创建的。根据一实施例，该安装队列被创建在机器的注册表中。该安装队列可以以许多不同的方式来配置。例如，该安装队列可以是文件、表格或数据库中的记录等等。对该安装队列的访问可被限制，从而并非任意远程进程都能够对该安装队列进行写入。例如，访问控制列表可以指定只有源自云管理器的进程可以对该安装队列进行写入。

流向操作740，该高特权安装程序休眠，直到远程请求安装软件。该高特权安装程序可以休眠，直到被对安装队列的写入唤醒，或者可以定期醒来以检查安装队列的条目。

移动到决策操作750，对于是否存在需要使用该高特权安装程序来进行安装的软件作出确定。根据一实施例，当有软件要安装时，该安装队列中存在条目。当没有软件要安装时，该过程返回以在操作740处等待。当有软件要安装时，该过程移至操作760。

在操作760，该高特权安装程序被唤醒(如果不是已在运行的话)并且安装处在该安装队列中的任何软件。在该安装队列中可能存在一个以上的条目。该高特权安装程序安装在该安装队列中指定的每个软件并且在每个条目被安装时从该队列移除相应的条目。当该安装队列为空时，该高特权安装程序可返回休眠。

随后该过程移至结束框并返回以处理其他动作。

图8示出了用于在远程机器上安装需要高特权级别的软件的过程。

在开始框后，过程800流向操作810，在那里接收对在远程机器上安装软件的请求。该请求可以来自在线服务和/或来自云管理器系统。

移至操作820，确定需要高特权级别来进行安装的软件。根据一实施例，只有需要使用高特权进程安装的软件被使用该高特权安装程序来安装。

流向操作830，本地进程执行将条目写入到将在其上安装该软件的远程机器的安装队列的动作。如上面所讨论的，可对被允许访问该远程机器上的安装队列的进程进行限制。根据一实施例，对要被安装在需要高特权安装程序的远程机器上的每段软件作出条目。

转换至操作840，本地机器上的进程可以确认该软件已被安装在该远程机器上。这可以用许多不同方式来执行。例如，可以检验该安装队列以确定当该软件的条目被移除时，该高特权安装程序可以更新云管理器系统上的数据库等等。

随后该过程移至结束框并继续处理其他动作。

以上说明、示例和数据提供了对本发明的组成部分的制造和使用的全面描述。因为可以在不背离本发明的精神和范围的情况下做出本发明的许多实施例，所以本发明落在所附权利要求的范围内。

Claims (13)

1.一种用于远程安装软件的方法，包括：

接收在远程机器上安装软件的请求；

在本地机器上执行作业以在所述远程机器上安装软件；其中所述远程机器上的高特权安装程序安装所述软件，其中所述高特权安装程序在所述远程机器上的高特权账号下操作；其中所述本地机器不具有允许它在所述远程机器上安装所述软件的特权(830)；

在所述远程机器上确定需要所述高特权安装程序的软件准备好被安装(750)；以及

使用所述远程机器上的所述高特权安装程序来安装所述软件(760)。

2.如权利要求1所述的方法，其特征在于，还包括在所述远程机器上的虚拟硬盘的初始安装中在所述远程机器上自动地创建高特权账号并且安装所述高特权安装程序(710)。

3.如权利要求1所述的方法，其特征在于，还包括启动所述高特权安装程序以及所述高特权安装程序在所述远程机器上创建安装队列(720)。

4.如权利要求3所述的方法，其特征在于，当所述安装队列为空时所述高特权安装程序休眠(740)。

5.如权利要求3所述的方法，其特征在于，对所述安装队列的访问被限于源自为在线服务提供管理服务的中央服务的进程(634)。

6.如权利要求3所述的方法，其特征在于，在所述安装队列中作出的条目是从对所述远程机器而言不在本地的机器上接收的。

7.一种用于在需要高特权进程的远程机器上安装软件的方法，包括：

从第一机器请求在远程机器上安装软件；其中所述远程机器上的高特权安装程序安装所述软件，其中所述高特权安装程序在所述远程机器上的高特权账号下操作；其中所述第一机器不具有允许它在所述远程机器上安装所述软件的特权(820)；

通过检查安装队列中的条目来在所述远程机器上确定需要所述高特权安装程序的软件已准备好被安装，其中到所述安装队列的所述条目是由所述第一机器接收的(750)；以及

使用所述远程机器上的所述高特权安装程序来安装所述软件(760)。

8.一种用于在需要高特权过程的远程机器上安装软件的方法，包括：

从第一机器接收对在所述远程机器上安装所述软件的请求并将条目放入安装队列中，所述条目标识要安装的所述软件(730)，其中所述第一机器不具有允许它在所述远程机器上安装所述软件的特权，其中对所述安装队列的访问是基于访问控制列表来限制的，其中所述访问控制列表被限于源自为在线服务提供管理服务的所述第一机器的进程；

通过检验安装队列中的条目来确定所述软件准备好被安装(750)；以及

使用高特权安装程序来安装所述软件(760)，其中所述高特权安装程序在所述远程机器上的高特权账号下操作。

9.如权利要求8所述的方法，其特征在于，还包括启动所述高特权安装程序(720)以及所述高特权安装程序在所述远程机器上创建安装队列。

10.如权利要求8所述的方法，其特征在于，所述高特权安装程序在所述安装队列为空时休眠(740)并且响应于在所述安装队列中作出的条目而唤醒。

11.一种用于在需要高特权过程的远程机器上安装软件的系统，包括：

用于从第一机器接收对在所述远程机器上安装所述软件的请求并将条目放入安装队列中的装置，所述条目标识要安装的所述软件，其中所述第一机器不具有允许它在所述远程机器上安装所述软件的特权，其中对所述安装队列的访问是基于访问控制列表来限制的，其中所述访问控制列表被限于源自为在线服务提供管理服务的所述第一机器的进程；

用于通过检验安装队列中的条目来确定所述软件准备好被安装的装置；以及

用于使用高特权安装程序来安装所述软件的装置，其中所述高特权安装程序在所述远程机器上的高特权账号下操作。

12.如权利要求11所述的系统，其特征在于，还包括用于启动所述高特权安装程序以及所述高特权安装程序在所述远程机器上创建安装队列的装置。

13.如权利要求11所述的系统，其特征在于，所述高特权安装程序在所述安装队列为空时休眠并且响应于在所述安装队列中作出的条目而唤醒。