CN103369022B - 与存储设备通信的方法和系统 - Google Patents

Abstract

本申请涉及与存储设备通信的方法和系统。更具体而言，提供了用于提供多个验证以关于系统和通过系统提供的文件系统验证用户的方法、系统和计算机程序产品。从用户接收访问系统的请求，其中，该系统提供对于多个文件系统的访问。关于该系统执行用户的第一验证。响应关于系统的第一验证的成功，接收用户的访问文件系统中的选择的文件系统的请求。关于选择的文件系统执行用户的第二验证。响应第二验证的成功，允许用户访问选择的文件系统。

Description

与存储设备通信的方法和系统

技术领域

本发明涉及用于提供多个验证模块以关于系统和通过系统提供的文件系统验证用户的计算机程序产品、系统和方法。

背景技术

云存储指的是作为按需向客户机提供存储资源的服务的数据存储。云存储基础构架在地理分布的存储资源上支持多个用户。用户可在云存储设施中进行数据存档和共享。用户可使用文件请求协议以访问基于云的存储设备。被分配有基于云的存储资源的单独的部分的多个用户可被称为租户。在多租户云计算环境中，可对于特定的用户和多类或多组用户隔离存储资源。

可通过使用诸如由International Business Machines Corporation提供的SONAS（Scale Out Network Attached Storage）的企业存储设备方案，来实现云环境。SONAS允许作为被指定给称为租户的特定的用户或组织的文件系统的存储设备配置。

在基于云的存储设备环境中，通过数据服务提供者，关于系统范围验证，进行租户的验证。租户可通过要求授权来限制对他们的特定的存储资源的访问。

验证是系统安全地识别用户以确定用户是否是他们所声称的用户的机制。验证机制可包括使用纯文本密码、Kerberos系统、智能卡等。对比而言，授权是如下一种机制，通过该机制系统通过确定特定的验证用户是否被允许访问和执行关于资源的操作而确定对于该特定的验证用户准许的访问级别。

一种云存储服务实现对于各租户配置虚拟机，以控制对于其存储资源的访问，这里，各虚拟机可提供单独的验证，使得访问请求被路由到用于存储资源的租户特定的虚拟机。

在本领域中，需要用于验证对于诸如云实现的存储设备的存储资源的租户和用户访问的改进的技术。

发明内容

提供了用于提供多个验证以关于系统和通过系统提供的文件系统来验证用户的方法、系统和计算机程序产品。从用户接收访问系统的请求，其中，该系统提供对于多个文件系统的访问。关于系统执行用户的第一验证。响应关于系统的第一验证的成功，用户的请求被接收以访问文件系统中的选择的文件系统。关于选择的文件系统执行用户的第二验证。响应第二验证的成功，允许用户访问选择的文件系统。

附图说明

图1示出实现实施例的网络计算环境。

图2示出系统信息的实施例。

图3示出文件系统信息中的文件系统条目的实施例。

图4示出验证信息中的验证条目的实施例。

图5示出用于通过提供对多个文件系统的访问的系统验证用户的操作的实施例。

图6示出用于使用通过系统提供的文件系统中的一个文件系统验证用户的操作的实施例。

图7和图8示出处理对于访问文件系统的用户请求的操作的实施例。

图9示出网络计算实施例中的计算机/服务器节点的实现。

图10示出云计算环境的实施例。

图11示出云计算环境的抽象模型层的实施例。

具体实施方式

描述的实施例提供如下技术，该技术允许提供对于多个文件系统的访问的系统实现多种验证技术以向系统和文件系统验证用户的技术。该系统可提供关于系统验证用户的一种验证技术，并且执行关于由系统提供的文件系统验证用户的附加且不同的验证技术。用户可访问单独地验证他们的文件系统。用户可使用系统单独地验证并然后使用通过系统提供的文件系统单独地验证。验证信息可对一个用户保持多个验证条目，从而指示使用系统验证用户以及使用一个或更多个文件系统单独地验证用户。

图1示出网络计算环境的实施例，该网络计算环境具有系统2，系统2在网络12上提供对于配置于数据存储区10中的文件系统8的客户机系统4、6访问。系统2可包含在云计算环境中提供对于文件系统8的访问的云数据存储服务提供者。访问文件系统8的用户可包含在基于多租户云的存储设备中的租户。

系统2包含处理客户机4和6对于系统2的验证和登录的登录处理14、用于管理验证操作的验证模块16、用于处理对于文件系统8的验证的文件系统验证处理18、用于管理使用系统2验证的用户对于文件系统8的访问的系统文件服务器20、用于管理来自通过文件网络协议访问文件系统8的客户机6的访问请求的诸如服务守护进程的网络文件服务器21、具有用于对于系统2和文件系统8的成功用户验证的条目的验证信息22、具有用于系统2的验证和其它信息的系统信息24、具有用于文件系统8的验证和其它信息的文件系统信息26和提供用于验证系统2和文件系统8的验证方案的验证配置模块28。验证信息可包含具有用于不同的用户和文件系统8的验证条目的文件、对象、表等。

系统文件服务器20可以是操作系统的系统2的一部分。可存在用于所有的文件系统8的一个网络文件服务器21或专用于文件系统8中的一个或更多个文件系统的网络文件服务器21。网络文件服务器21可包含实现诸如超文本传输协议（HTTP）、SAMBA等的用于管理从未登录于系统2上的客户机6到文件系统8的直接文件请求的网络文件请求协议的服务守护进程。

系统2可包括能够服务来自多个连接的客户机4、6的请求的服务器类企业计算装置。客户机4、6可包含台式计算机、服务器、主机、诸如智能电话的便携式计算装置、平板计算装置、电话装置、膝上式计算机、能够安装于汽车上的便携式装置等。

可在诸如互连的硬盘驱动（例如，被配置为DASD、RAID、JBOD等）、固态存储装置（例如，EEPROM（电可擦可编程只读存储设备）、快擦写存储器、快擦写盘、存储设备类存储器（SCM））、电子存储器、磁带介质、带盒等的在本领域中已知的一个或更多个存存储设备中实现数据存储区10。网络12可包含局域网络（LAN）、存储设备区域网络（SAN）、广域网络（WAN）、无线网络、因特网等。网络12可包含无线网络路由器，并且可以为云计算模型的一部分。

客户机6可包含管理来自客户机应用32的文件请求的应用层网络协议30。应用层网络协议30可包含诸如超文本传输协议（HTTP）、共用因特网文件系统（CIFS）等的网络文件请求协议。通过客户机6，应用层网络协议30可直接将请求转送到网络文件服务器21，以在客户机6上的用户未通过使用登录处理14登录到系统2上的情况下访问文件系统8中的一个文件系统中的文件。

在一个实施例中，验证模块16可包含用于操作系统的可插入验证模块（PAM）。（Linux是Linus Torvalds的注册商标）。并且，与系统2和不同的文件系统8相关联的验证配置模块28可实现不同的验证方案和算法，以对于系统2和不同的文件系统8提供不同类型的验证技术，诸如Kerberos、安全套接字层（SSL）等。

在描述的实施例中，文件系统8可包含可向其提供不同的验证技术的数据文件系统或其它存储资源。

图2例示了系统信息24的实施，其包括系统名称52、系统2的唯一标识符54和用于验证对于系统2的登录的验证配置模块56的指示。唯一标识符可包含由系统2分配的标识符，诸如唯一系统标识符（USID）。

图3示出文件系统信息26中的文件系统条目60的实施例，该文件系统条目60包含文件系统名称62、用于文件系统的唯一标识符64和用于验证尝试访问文件系统62的用户的验证配置模块66的指示。唯一标识符64可包含由系统2分配的唯一标识符，诸如USID。在某些实施例中，系统2和不同的文件系统8的验证配置模块28可使用相同或不同的验证方案。例如，文件系统8和系统2中的一个或更多个可使用Kerberos验证机制，并且，其它的可使用基于安全套接字层（SSL）的机制或其它验证机制。这提供允许文件系统的租户/用户指定用于验证对于由系统2分配给他们的文件系统资源的访问的优选的验证方案，该验证方案可与系统2和文件系统8的其它租户使用的验证方案不同。

图4示出验证条目70的实施例，该验证条目是用于通过系统2和文件系统8中的一个或更多个验证的各用户的验证信息22中的数据的元组。验证条目70包含验证所涉及的系统2或文件系统8的唯一标识符72、成功验证的用户的唯一用户ID74和用户属于的组的组ID76。在图4的实施例中，验证条目70包含信息的元组。在替代性实施例中，验证条目70可具有更少的信息，诸如仅具有唯一标识符72和唯一用户ID74，或者包含元组以外的附加的信息。

图5示出由包括登录处理14、验证模块16和验证配置模块28的系统2的组件执行，以使用系统2验证用户的操作的实施例。当在登录处理14处中接收（在块100中）使用系统2验证的用户请求时，登录处理14调用验证模块16以确定（在块102中）系统2的唯一标识符54（图2）。验证模块16或其它组件从系统信息24确定（在块104中）用于系统验证的验证配置模块56。验证模块16加载并和执行（在块106中）确定的验证配置模块28，以执行请求用户的系统特定验证。如果（在块108中）用户的验证是成功的，那么验证模块16（或一些其它的组件）产生（在块110中）在栏72中指示系统唯一标识符54、在栏74中指示唯一用户ID并在栏76中指示验证用户的组ID的验证条目70（图4）。产生的系统验证条目70被存储（在块112中）于验证信息22中。登录处理14然后执行（在块114中）用于登录的任何附加的管理任务，并且用户被验证（在块116中）以访问系统资源。在验证之后，可能需要附加的验证以访问系统资源。如果（在块108中）验证失败，那么控制以用户被拒绝访问系统2而结束。

图6示出由包括文件系统验证处理18、验证模块16和验证配置模块28的系统2的组件执行，以在使用系统2验证用户之后使用文件系统8中的一个文件系统验证用户的操作的实施例。在用户关于选择的文件系统8发起（在块130中）文件系统验证处理18时，文件系统验证处理18确定（在块132中）进行验证的文件系统8的唯一标识符。文件系统验证处理18使用确定的文件系统唯一标识符调用（在块134）验证模块16。验证模块16从文件系统信息26确定（在块136中）用于确定的文件系统唯一标识符的验证配置模块28。例如，验证模块16可确定具有提供的唯一标识符64的文件系统条目60，并然后从该条目60确定用于该选择的文件系统的验证配置模块66。验证模块16加载并执行（在块138中）确定的验证配置模块28，以执行文件系统特定验证。如果（在块140中）对文件系统验证用户，那么验证模块16（在块142中）产生在栏72中指示确定的文件系统唯一标识符、在栏74中指示发起请求的用户的唯一用户ID并在栏76中指示用户的组ID的文件系统验证信息条目70。产生的系统验证条目70被存储（在块144中）于验证信息22中。文件系统验证处理18执行（在块146中）用于提供对于选择的文件系统8的访问的任何其它管理任务，并然后关于选择的文件系统8验证（在块148中）用户。

图7示出由诸如系统文件服务器20的系统2的组件执行以处理来自已使用系统2验证的用户/客户机4的访问文件系统8的请求的操作的实施例。在接收（在块170中）来自使用系统2验证的客户机4的用户请求时，系统文件服务器20确定正被访问的文件系统的唯一标识符，诸如从用于选择的文件系统8的文件系统条目60。系统文件服务器20确定（在块174中）是否存在具有选择的文件系统唯一标识符72、请求访问的用户的唯一用户ID74和请求访问的用户的组ID76的元组的一个验证条目70。如果（在块174中）定位到这种元组，那么系统文件服务器20准许（在块176中）客户机4的访问，否则，访问被拒绝（在块178中）。一旦验证被证实，那么就可要求附加的授权以访问针对其验证用户的文件系统8中的特定资源。

某些文件系统8可具有与系统2相同的唯一标识符。在这些情况下，由于可使用验证信息22中的系统验证条目70以使用唯一标识符对于系统2和对于文件系统8验证，因此可通过与用于验证系统2的技术相同的技术，验证对于使用系统唯一标识符的文件系统8的访问。并且，对于与系统使用相同的唯一标识符的文件系统8，用户不需要在使用系统2被验证之后对于文件系统8单独地被验证，并且通过系统上的验证被验证。但是，使用系统验证以验证用户的文件系统8可在系统验证的用户被准许访问文件系统8资源之前提供单独的验证。

图8示出由诸如网络文件服务器21、验证模块16和验证配置模块28的系统2的组件执行，以对于未登录到系统2上即未通过系统2单独地验证的用户/客户机6处理来自应用层网络协议30的访问文件系统8的用户请求的操作的实施例。应用层网络协议30直接将请求转送给网络文件服务器21。在通过网络文件请求接收（在块190中）访问文件的用户请求时，网络文件服务器21确定（在块192中）正被访问的选择的文件系统8的唯一标识符。可从用于选择的文件系统的文件系统条目60确定这一点。用于文件系统的唯一标识符的验证配置模块28被确定，该验证配置模块28可从用于文件系统62的唯一标识符的文件系统条目60的栏66被确定。网络文件服务器21可加载（在块194中）用于在文件系统信息26中指示的文件系统唯一标识符的确定的验证配置模块28。加载的验证配置模块28执行文件系统特定验证技术，以验证通过网络文件服务器21发起请求的用户。如果（在块196中）验证成功，那么访问被准许（在块198中），否则，访问被拒绝（在块200中）。通过图8的操作，未登录到系统2上的客户机6可通过使用文件系统验证处理通过网络文件服务器21访问特定的文件系统8。

描述的实施例提供使得用户使用系统验证并然后使用通过诸如云数据存储服务管理器的系统提供的不同的文件系统单独地验证的技术。以这种方式，除了诸如对于系统以及对于其它的文件系统完成的任何其它验证以外，可以提供多种验证技术以对于特定的文件系统验证用户。并且，通过描述的实施例，用户可在不直接使用管理对于文件系统的访问的系统验证的情况下直接通过使用文件系统特定验证技术来使用文件系统验证。

描述的实施例通过提供唯一标识符和存储设备资源的单独的验证来提供对于诸如文件系统的存储设备资源的分开的访问的技术。

云计算实施例

图1的计算环境可以是用于启用对于可通过最小的管理工作或与服务的提供者的交互作用迅速地提供和释放的可配置计算资源（例如，网络、网络带宽、服务器、处理、存储器、存储设备、应用、虚拟机和服务）的共享池的方便、按需网络访问的服务传输的云计算模型的一部分。云计算环境可提供包括用于诸如文件系统的云存储资源的存储多租用的基于云的数据管理。租户可包括寻求拥有或访问由诸如系统2的云数据管理器提供的文件系统存储资源的各单独的公司或公司的部门或不同的应用。

参照图9～图11进一步描述云计算实现。该云模型可包括至少五个特性、至少三个服务模型和至少四个部署模型。

特性如下：

按需自助式服务：云的消费者在无需与服务提供者进行人为交互的情况下能够单方面自动地按需部署诸如服务器时间和网络存储等的计算能力。

广泛的网络接入：计算能力可以通过标准机制在网络上获取，这种标准机制促进了通过不同种类的瘦客户机平台或厚客户机平台（例如移动电话、膝上型电脑、个人数字助理PDA）对云的使用。

资源池：提供者的计算资源被归入资源池并通过多租户（multi-tenant）模式服务于多重消费者，其中按需将不同的实体资源和虚拟资源动态地分配和再分配。一般情况下，消费者不能控制或甚至并不知晓所提供的资源的确切位置，但可以在较高抽象程度上指定位置（例如国家、州或数据中心），因此具有位置无关性。

迅速弹性：能够迅速、有弹性地（有时是自动地）部署计算能力，以实现快速扩展，并且能迅速释放来快速缩小。在消费者看来，用于部署的可用计算能力往往显得是无限的，并能在任意时候都能获取任意数量的计算能力。

可测量的服务：云系统通过利用适于服务类型（例如存储、处理、带宽和活跃用户帐号）的某种抽象程度的计量能力，自动地控制和优化资源效用。可以监测、控制和报告资源使用情况，为服务提供者和消费者双方提供透明度。

服务模型如下：

软件即服务(SaaS)：向消费者提供的能力是使用提供者在云基础架构上运行的应用。可以通过诸如网络浏览器的瘦客户机接口（例如基于网络的电子邮件）从各种客户机设备访问应用。除了有限的特定于用户的应用配置设置外，消费者既不管理也不控制包括网络、服务器、操作系统、存储、乃至单个应用能力等的底层云基础架构。

平台即服务(PaaS)：向消费者提供的能力是在云基础架构上部署消费者创建或获得的应用，这些应用利用提供者支持的程序设计语言和工具创建。消费者既不管理也不控制包括网络、服务器、操作系统或存储的底层云基础架构，但对其部署的应用具有控制权，对应用托管环境配置可能也具有控制权。

基础架构即服务（IaaS）：向消费者提供的能力是消费者能够在其中部署并运行包括操作系统和应用的任意软件的处理、存储、网络和其他基础计算资源。消费者既不管理也不控制底层的云基础架构，但是对操作系统、存储和其部署的应用具有控制权，对选择的网络组件（例如主机防火墙）可能具有有限的控制权。

部署模型如下：

私有云：云基础架构单独为某个组织运行。云基础架构可以由该组织或第三方管理并且可以存在于该组织内部或外部。

共同体云：云基础架构被若干组织共享并支持有共同利害关系（例如任务使命、安全要求、政策和合规考虑）的特定共同体。共同体云可以由共同体内的多个组织或第三方管理并且可以存在于该共同体内部或外部。

公共云：云基础架构向公众或大型产业群提供并由出售云服务的组织拥有。

混合云：云基础架构由两个或更多部署模型的云（私有云、共同体云或公共云）组成，这些云依然是独特的实体，但是通过使数据和应用能够移植的标准化技术或私有技术（例如用于云之间的负载平衡的云突发流量分担技术）绑定在一起。

云计算环境是面向服务的，特点集中在无状态性、低耦合性、模块性和语意的互操作性。云计算的核心是包含互连节点网络的基础架构。

图9示出可包括系统2和客户机4、6的实现的云计算节点或计算机300的实施例。计算机302仅仅是适合的云计算节点的一个示例，不应对本发明实施例的功能和使用范围带来任何限制。总之，云计算节点302能够被用来实现和/或执行以上所述的任何功能。

云计算计算机302可与众多其它通用或专用计算系统环境或配置一起操作。众所周知，适于与计算机系统/服务器302一起操作的计算系统、环境和/或配置的例子包括但不限于：个人计算机系统、服务器计算机系统、瘦客户机、厚客户机、手持或膝上设备、多处理器系统、基于微处理器的系统、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机系统﹑大型计算机系统和包括上述任意系统或设备的分布式云计算技术环境，等等。

计算机系统/服务器302可以在由计算机系统执行的计算机系统可执行指令（诸如程序模块）的一般语境下描述。通常，程序模块可以包括执行特定的任务或者实现特定的抽象数据类型的例程、程序、目标程序、组件、逻辑、数据结构等。计算机系统/服务器302可以在通过通信网络链接的远程处理设备执行任务的分布式云计算环境中实施。在分布式云计算环境中，程序模块可以位于包括存储器存储设备的本地或远程计算机系统存储介质上。

如图9所示，计算机系统/服务器302以通用计算设备的形式表现。计算机系统/服务器302的组件可以包括但不限于：一个或者多个处理器或者处理单元304，系统存储器306，连接不同系统组件（包括系统存储器306和处理单元304）的总线308。

总线308表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构（ISA）总线，微通道体系结构（MAC）总线，增强型ISA总线、视频电子标准协会（VESA）局域总线以及外围组件互连（PCI）总线。

计算机系统/服务器302典型地包括多种计算机系统可读介质。这些介质可以是能够被计算机系统/服务器302访问的任意可获得的介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

系统存储器306可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器（RAM）310和/或高速缓存存储器312。计算机系统/服务器302可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统313可以用于读写不可移动的、非易失性磁介质（图1未显示，通常称为“硬盘驱动器”）。尽管图中未示出，可以提供用于对可移动非易失性磁盘（例如“软盘”）读写的磁盘驱动器，以及对可移动非易失性光盘（例如CD-ROM,DVD-ROM或者其它光介质）读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线308相连。如以下将描绘和描述的，存储器306可以包括至少一个程序产品，该程序产品具有一组（例如至少一个）程序模块，这些程序模块被配置以执行本发明各实施例的功能。

具有一组（至少一个）程序模块316的程序/实用工具314，可以存储在存储器306中，这样的程序模块316包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据。这些操作系统、一个或者多个应用程序、其它程序模块以及程序数据中的每一个或某种组合中可能包括网络环境的实现。程序模块316通常执行本发明所描述的实施例中的功能和/或方法。

计算机系统/服务器302也可以与一个或多个外部设备318（例如键盘、指向设备、显示器320等）通信，还可与一个或者多个使得用户能与该计算机系统/服务器302交互的设备通信，和/或与使得该计算机系统/服务器302能与一个或多个其它计算设备进行通信的任何设备（例如网卡，调制解调器等等）通信。这种通信可以通过输入/输出（I/O）接口322进行。并且，计算机系统/服务器302还可以通过网络适配器324与一个或者多个网络（例如局域网（LAN），广域网（WAN）和/或公共网络，例如因特网）通信。如图所示，网络适配器324通过总线308与计算机系统/服务器302的其它模块通信。应当明白，尽管图中未示出，其它硬件和/或软件模块可以与计算机系统/服务器302一起操作，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

现在参考图10，其中显示了示例性的云计算环境350。如图所示，云计算环境350包括云计算消费者使用的本地计算设备可以与其相通信的一个或者多个云计算节点320，本地计算设备例如可以是个人数字助理（PDA）或移动电话354A，台式电脑354B、笔记本电脑354C和/或汽车计算机系统354N。节点300之间可以相互通信。可以在包括但不限于如上所述的私有云、共同体云、公共云或混合云或者它们的组合的一个或者多个网络中将节点300进行物理或虚拟分组（图中未显示）。这样，云的消费者无需在本地计算设备上维护资源就能请求云计算环境350提供的基础架构即服务（IaaS）、平台即服务（PaaS）和/或软件即服务（SaaS）。应当理解，图10显示的各类计算设备354A-N仅仅是示意性的，云计算节点302以及云计算环境350可以与任意类型网络上和/或网络可寻址连接的任意类型的计算设备（例如使用网络浏览器）通信。

现在参考图11，其中显示了云计算环境350（图9）提供的一组功能抽象层。首先应当理解，图11所示的组件、层以及功能都仅仅是示意性的，本发明的实施例不限于此。如图11所示，提供下列层和对应功能：

硬件和软件层360包括硬件和软件组件。硬件组件的例子包括：主机，例如 系统；基于RISC（精简指令集计算机）体系结构的服务器，例如IBM系统；IBM系统;IBM系统；存储设备；网络和网络组件。软件组件的例子包括：网络应用服务器软件，例如IBM应用服务器软件；数据库软件，例如IBM数据库软件。（IBM, zSeries,pSeries, xSeries, BladeCenter, WebSphere以及DB2是国际商业机器公司在全世界各地的注册商标)。

虚拟层362提供一个抽象层，该层可以提供下列虚拟实体的例子：虚拟服务器、虚拟存储、虚拟网络（包括虚拟私有网络）、虚拟应用和操作系统，以及虚拟客户端。

在一个示例中，管理层364可以提供下述功能：资源供应功能：提供用于在云计算环境中执行任务的计算资源和其它资源的动态获取；计量和定价功能：在云计算环境内对资源的使用进行成本跟踪，并为此提供帐单和发票。在一个例子中，该资源可以包括应用软件许可。安全功能：为云的消费者和任务提供身份认证，为数据和其它资源提供保护。用户门户功能：为消费者和系统管理员提供对云计算环境的访问。服务水平管理功能：提供云计算资源的分配和管理，以满足必需的服务水平。服务水平协议（SLA）计划和履行功能：为根据SLA预测的对云计算资源未来需求提供预先安排和供应。还在管理层中表示代表根据本发明的实施例提供的功能的管理层。

工作负载层366提供可利用云计算环境的功能的例子。工作负载和功能的例子可以为诸如参照以上的图1～图8描述的云计算环境提供多方租用。

描述的操作可实现为使用标准编程和/或工程技术以产生软件、固件、硬件或它们的任意的组合的方法、装置或计算机程序产品。因此，实施例的各方面可采取这里可统称为“电路”、“模块”或“系统”的完全硬件实施例、完全软件实施例（包含固件、驻留软件、微代码等）或组合软件和硬件方面的实施例的形式。并且，本发明的各方面可采取体现于上面具有体现的计算机可读程序代码的一个或更多个计算机可读介质中的计算机程序产品的形式。

可以利用一个或更多个计算机可读介质的任意的组合。计算机可读介质可以是计算机可读信号介质或计算机可读存储介质。计算机可读存储介质可以为例如但不限于电子、磁、光、电磁、红外或半导体系统、装置或设备或以上的任意适当的组合。计算机可读存储介质的更特定的例子（非详尽的列表）会包含以下方面：具有一个或更多个导线的电连接、便携式计算机盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦写可编程只读存储器（EPROM或快擦写存储器）、光纤、便携式光盘只读存储器（CD-ROM）、光学存储设备、磁存储设备或以上方面的任意适当的组合。在本文件的上下文中，计算机可读存储介质可以是可包含或存储供指令执行系统、装置或设备使用或与其关联的程序的任何可触知的介质。

计算机可读信号介质可例如在基带中或作为载波的一部分包含其中体现计算机可读程序代码的传播数据信号。这种传播信号可采取包含但不限于电磁、光学或它们的任何适当的组合的各种形式中的任一种。计算机可读信号介质可以是不是计算机可读存储介质并且可传达、传播或传送供指令执行系统、装置或设备使用或与其关联的程序的任何计算机可读介质。

可通过使用包含但不限于无线、有线、光纤电缆、RF等或以上的任意适当的组合的任意适当的介质传送体现于计算机可读介质上的程序代码。

可以以包括诸如Java、Smalltalk或C++等的面向对象的编程语言和诸如“C”编程语言或类似的编程语言的常规的过程编程语言的一种或更多种编程语言的任意的组合，编写用于实施本发明的各方面的操作的计算机程序代码。可完全在用户的计算机上、部分在用户的计算机上、作为独立式软件封装、部分在用户的计算机上并且部分在远程计算机上或者完全在远程计算机或服务器上执行程序代码。在后一种方案中，远程计算机可通过包括局域网络（LAN）或广域网络（WAN）的任意类型的网络与用户的计算机连接，或者，可对于外部计算机（例如，通过使用Internet Service Provider的因特网）进行连接。

以上参照根据本发明的实施例的方法、装置（系统）和计算机程序产品的流程图和/或框图描述本发明的各方面。应当理解，可通过计算机程序指令实现流程图和/或框图的各块和流程图和/或框图中的各块的组合。可向通用计算机、特殊用途计算机或其它可编程数据处理装置的处理器提供这些计算机程序指令以制造机器，使得通过计算机或其它可编程数据处理装置的处理器执行的指令创建用于实现在流程图和/或框图块中规定的功能/作用的手段。

这些计算机程序指令也可被存储于可引导计算机或其它可编程数据处理装置或者以特定的方式起作用的其他设备的计算机可读介质中，使得存储于计算机可读介质中的指令产生包含实现在流程图和/或框图块中规定的功能/作用的指令的制造的物品。

计算机程序指令也可被加载于计算机、其它可编程数据处理装置或其它设备上，以导致在计算机或其它可编程装置或其它设备上执行一系列的操作步骤，以产生计算机实现的处理，使得在计算机或其它可编程装置上执行的指令提供用于实现在流程图和/或框图块中规定的功能/作用的步骤。

除非另外明确规定，否则，术语“某实施例”、“实施例”、“多个实施例”、“该实施例”、“这些实施例”、“一个或更多个实施例”、“一些实施例”和“一个实施例”意味着本发明的一个或更多个（但不是全部）实施例。

除非另外明确规定，否则，术语“包括”、“包含”、“具有”和它们的各种变体意味着“包括但不限于”。

除非另外明确规定，否则，举出的项目的列表不意味着项目中的任一个或全部是相互排斥的。

除非另外明确规定，否则，术语“一个”、“一种”和“该”意味着“一个或更多个”。

除非另外明确规定，否则，相互通信的设备不需要相互连续通信。另外，相互通信的设备可直接或间接地通过一个或更多个媒介通信。

具有相互通信的几个组件的实施例的描述不意味着需要所有这些组件。相反，描述各种任选的组件，以示出本发明的各种可能的实施例。

并且，虽然可以按依次的次序描述处理步骤、方法步骤或算法等，但是，这些处理、方法和算法可被配置为以交替的次序工作。换句话说，可描述的步骤的任何次序或顺序未必表示要求以该次序执行这些步骤。可以按任何实际次序执行这里描述的处理的步骤。并且，可以同时执行一些步骤。

当这里描述单个设备或物品时，很显然，作为单个设备/物品的替代，可使用多于一个的设备/物品（不管它们是否协作）。类似地，在这里描述多于一个的设备或物品（不管它们是否协作）的情况下，很显然，作为多于一个的设备或物品的替代，可以使用单个设备/物品，或者，作为表示的数量的设备或程序的替代，可以使用不同的数量的设备/物品。设备的功能和/或特征可替代性地通过没有明确描述为具有这些功能/特征的一个或更多个其它设备被体现。因此，本发明的其它实施例不需要包括设备自身。

图示的操作表示以一定次序出现的某些事件。在替代性实施例中，可以以不同的次序执行、修改或去除某些操作。并且，可以向上述的逻辑添加步骤，并且仍符合描述的实施例。并且，这里描述的操作可依次出现或者可并行地处理某些操作。并且，可通过单个处理单元或通过分布式处理单元执行操作。

以上，出于解释和描述的目的，给出了本发明的各实施例的描述。它不是穷尽性的或者要将本发明限于公开的确切的形式。考虑以上的教导，许多修改和变更是可能的。本发明的范围不是由该详细的描述限定，而是由所附的权利要求限定。以上的规范、例子和数据提供本发明的成分的制造和使用的完整的描述。由于可以在不背离本发明的精神和范围的情况下提出本发明的许多实施例，因此，本发明存在于以下所附的权利要求中。

Claims (18)

1.一种与存储设备和对在网络上连接的至少一个客户机计算机进行操作的至少一个用户通信的系统，包括：

处理器；

具有由所述处理器执行以执行操作的计算机可读代码的计算机可读存储介质，所述操作包括：

提供对于配置于所述存储设备中的多个文件系统的访问；

从包含所述至少一个用户中的一个用户的请求用户接收访问系统的请求；

加载和执行用于系统特定验证的第一验证配置模块，以执行所述请求用户关于所述系统的第一验证；

响应关于所述系统的所述第一验证的成功，接收所述请求用户的访问所述文件系统中的选择的文件系统的请求；

加载和执行用于该选择的文件系统特定验证的第二验证配置模块，以执行所述请求用户关于所述选择的文件系统的第二验证；和

响应所述第二验证的成功，允许所述请求用户访问所述选择的文件系统。

2.根据权利要求1的系统，其中，所述操作还包括：

响应所述第一验证的成功，产生包含所述系统的第一唯一标识符和所述请求用户的用户标识符的第一验证信息；和

响应所述第二验证的成功，产生包含所述选择的文件系统的第二唯一标识符和所述用户标识符的第二验证信息，其中，所述第一唯一标识符和所述第二唯一标识符是不同的。

3.根据权利要求2的系统，其中，所述第一验证信息和所述第二验证信息包含具有所述系统或所述文件系统唯一标识符、所述用户标识符和所述请求用户的组标识符的元组，其中，可对于所述请求用户属于的不同的组和针对其验证所述请求用户的不同的文件系统为一个用户标识符产生不同的验证元组。

4.根据权利要求1的系统，其中，所述操作还包括：

接收所述请求用户的访问所述选择的文件系统中的文件的请求；

确定所述选择的文件系统的唯一标识符；

确定是否存在识别所述请求用户的用户标识符和所确定的唯一标识符的验证信息；和

响应确定识别所述请求用户的用户标识符和所述选择的文件系统的确定的唯一标识符的验证信息，准许所述用户访问请求的文件。

5.根据权利要求1的系统，其中，所述第一验证和所述第二验证使用提供不同的验证方案的不同的验证模块，以对于所述系统和所述文件系统单独地验证所述用户。

6.根据权利要求1的系统，其中，所述操作还包括：

在网络文件服务器处从未通过所述第一验证使用所述系统验证的客户机接收对于文件系统的请求；和

通过所述网络文件服务器关于请求的文件系统执行第三验证，其中，响应所述第三验证的成功，所述网络文件服务器准许所述请求用户访问请求的文件系统。

7.根据权利要求1的系统，其中，所述系统实现基于云的存储设备管理基础构架，以允许多个租户访问配置于由所述系统管理的存储设备中的多个文件系统，其中，所述租户可访问所述租户可通过使用与所述文件系统相关联的验证模块验证的所述文件系统。

8.根据权利要求7的系统，其中，所述操作还包括：

使得所述文件系统的租户能够选择多个验证方案中的一个验证方案，以用于验证尝试访问分配给所述租户的文件系统的用户，其中，不同的文件系统与不同的验证方案相关联。

9.根据权利要求1的系统，其中，所述操作还包括：

对于所述系统并对于具有唯一标识符的各文件系统提供验证配置模块；

接收关于所述文件系统中的一个文件系统验证的请求；

加载针对其请求验证的文件系统的验证配置模块；和

执行加载的验证配置模块，以关于与所述加载的验证配置模块相关联的文件系统验证所述用户。

10.一种用于验证用户的方法，包括：

从用户接收访问系统的请求，其中，所述系统提供对于配置于计算机可读存储介质中的多个文件系统的访问；

加载和执行用于系统特定验证的第一验证配置模块，以执行所述用户关于所述系统的第一验证；

响应关于所述系统的第一验证的成功，接收所述用户的访问所述文件系统中的选择的文件系统的请求；

加载和执行用于该选择的文件系统特定验证的第二验证配置模块，以执行所述用户关于所述选择的文件系统的第二验证；和

响应所述第二验证的成功，允许所述用户访问所述选择的文件系统。

11.根据权利要求10的方法，还包括：

响应所述第一验证的成功，产生包含所述系统的第一唯一标识符和所述用户的用户标识符的第一验证信息；和

响应所述第二验证的成功，产生包含所述选择的文件系统的第二唯一标识符和所述用户标识符的第二验证信息，其中，所述第一唯一标识符和所述第二唯一标识符是不同的。

12.根据权利要求11的方法，其中，所述第一验证信息和所述第二验证信息包含具有所述系统或所述文件系统唯一标识符、所述用户标识符和所述用户的组标识符的元组，其中，可对于所述用户属于的不同的组和针对其验证所述用户的不同的文件系统针对一个用户标识符产生不同的验证元组。

13.根据权利要求10的方法，其中，还包括：

接收所述用户的访问所述选择的文件系统中的文件的请求；

确定所述选择的文件系统的唯一标识符；

确定是否存在识别请求访问的用户的用户标识符和所确定的唯一标识符的验证信息；和

响应确定识别所述用户的用户标识符和所述选择的文件系统的确定的唯一标识符的验证信息，准许所述用户访问请求的文件。

14.根据权利要求10的方法，其中，所述第一验证和所述第二验证使用提供不同的验证方案的不同的验证模块，以对于所述系统和所述文件系统单独地验证所述用户。

15.根据权利要求10的方法，其中，还包括：

在网络文件服务器处从未通过第一验证使用所述系统验证的客户机接收对于文件系统的请求；和

通过所述网络文件服务器关于请求的文件系统执行第三验证，其中，响应所述第三验证的成功，所述网络文件服务器准许所述用户访问请求的文件系统。

16.根据权利要求10的方法，其中，所述系统实现基于云的存储设备管理基础构架，以允许多个租户访问配置于由所述系统管理的存储设备中的多个文件系统，其中，所述租户可访问所述租户可使用与文件系统相关联的验证模块验证的所述文件系统。

17.根据权利要求16的方法，还包括：

使得所述文件系统的租户能够选择多个验证方案中的一个验证方案，以用于验证尝试访问分配给所述租户的文件系统的用户，其中，不同的文件系统与不同的验证方案相关联。

18.根据权利要求10的方法，还包括：

对于所述系统和对于具有唯一标识符的各文件系统提供验证配置模块；

接收关于所述文件系统中的一个文件系统验证的请求；

加载针对其请求验证的文件系统的验证配置模块；和

执行加载的验证配置模块，以关于与所述加载的验证配置模块相关联的文件系统验证所述用户。