CN104036202A - 一种隔离企业应用的方法和设备 - Google Patents

Abstract

本发明实施例公开了一种隔离企业应用的方法和设备。该方法包括：响应于个人应用安装在所述移动设备为第一用户配置的开放目录中，创建第二用户，并为所述第二用户配置隔离目录；从移动设备上的所有应用中过滤出企业应用，并将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中存储和运行。通过本发明实施例的技术方案，可以使得企业应用在一个不存在个人应用的环境中安装、运行和存储数据，从而减小了企业应用运行过程中涉及到的敏感信息被恶意获取的风险，使得企业敏感信息的安全性。此外，还可以通过容器应用的容器用户切换入口来实现单用户体验，从而简化了用户对个人应用与企业应用的切换操作。

Description

一种隔离企业应用的方法和设备

技术领域

本发明涉及数据处理技术领域，特别是涉及一种隔离企业应用的方法和设备。

背景技术

随着日常办公越来越多地使用移动设备，一些企业发布了用于连接其企业信息系统的企业应用，以便企业内部人员通过在移动设备上安装企业应用可以随时随地和企业信息系统进行信息交互，从而实现移动化办公。

目前，现有的企业应用通常采用的是手机设备管理(例如Android系统中的Mobile Device Management方案)的方式来实现。具体地，提供一个MDM客户端，用户可以将该MDM客户端安装在个人移动设备上，企业信息系统则可以向移动设备上的MDM客户端发布企业应用，也可以通过MDM客户端对移动设备进行远程的设备锁定、设备数据清除、设备配置推送等功能，同时，用户可以在MDM客户端中选择并下载企业应用的安装包，从而利用企业应用的安装包在移动设备上安装企业应用。

但是，由于现有技术中企业应用在安装时并没有与个人应用区分运行环境，使得移动设备上的企业应用与个人应用采用的是同一个运行环境，具体地说，企业应用与个人应用两者的安装、运行以及存储数据都处于同一个运行环境，这就导致了企业应用运行过程中涉及到的企业内部信息等敏感信息存在被恶意获取的风险，从而难以保证企业敏感信息的安全。

发明内容

本发明所要解决的技术问题是，提供一种隔离企业应用的方法和设备，以解决现有技术中安装在移动设备上的MDM客户端无法为企业应用提供独立的运行环境而导致的企业应用运行过程中敏感信息不安全的技术问题。

为解决上述技术问题，本发明提供了一种隔离企业应用的方法，应用于移动设备，该方法包括：

响应于个人应用安装在所述移动设备为第一用户配置的开放目录中，创建第二用户，并为所述第二用户配置隔离目录；

从移动设备上的所有应用中过滤出企业应用，并将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中存储和运行。

可选的，所述企业应用中预置有企业应用标识；

所述从移动设备上的所有应用中过滤出企业应用，包括：

对移动设备上的所有应用查找企业应用标识；

将具有企业应用标识的应用识别为企业应用。

可选的，还包括：

从移动设备上的所有应用中过滤出与所述企业应用相关联的系统核心后台应用，并将所述系统核心后台应用复制安装到所述容器用户的隔离目录中。

可选的，所述第二用户为在后台创建的容器用户；在所述第一用户的开放目录中设置有容器应用，用于将第一用户的操作界面切换到所述容器用户的操作界面；其中，所述第一用户的操作界面用于呈现安装在所述开放目录中的应用，所述容器用户的操作界面用于呈现安装在所述隔离目录中的应用。

可选的，所述容器应用，具体用于响应于输入密码与预设的容器密码相同，将第一用户的操作界面切换到所述容器用户的操作界面。

可选的，还包括：

通过所述容器应用接收企业信息系统发布的企业应用。

可选的，还包括：

响应于当前处于所述容器用户的操作界面，屏蔽将所述容器用户的操作界面切换成除所述第一用户以外其他用户的操作界面的触发指令。

可选的，还包括：

对所述企业应用的数据进行加密存储。

此外，本发明还提供了一种隔离企业应用的设备，配置于移动设备，包括：

创建用户模块，用于响应于个人应用安装在所述移动设备为第一用户配置的开放目录中，创建第二用户；

配置目录模块，用于为所述第二用户配置隔离目录；

第一应用过滤模块，用于从移动设备上的所有应用中过滤出企业应用；

第一应用安装模块，用于将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中运行并存储数据。

可选的，还包括：

第二应用过滤模块，用于从移动设备上的所有应用中过滤出与所述企业应用相关联的系统核心后台应用；

第二应用安装模块，用于将所述系统核心后台应用复制安装到所述容器用户的隔离目录中。

可选的，其特征在于，所述第二用户为在后台创建的容器用户；在所述第一用户的开放目录中设置有容器应用，用于将第一用户的操作界面切换到所述容器用户的操作界面；其中，所述第一用户的操作界面用于呈现安装在所述开放目录中的应用，所述容器用户的操作界面用于呈现安装在所述隔离目录中的应用。

与现有技术相比，本发明具有以下优点：

根据本发明实施例的技术方案，在个人应用安装在移动设备为第一用户配置的开放目录的情况下，可以为企业应用创建一个第二用户并为第二用户配置一个隔离目录，然后可以从所有应用中过滤出企业应用并将企业应用复制安装到隔离目录中，以便企业应用在隔离目录中存储和运行。因此，通过多用户机制下企业用户与个人应用分别安装在不同用户下的目录，使得企业应用可以在一个不存在个人应用的环境中安装、运行和存储数据，从而减小了企业应用运行过程中涉及到的敏感信息被恶意获取的风险，从而提高了企业敏感信息的安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的实施方式的一个示例性应用场景的框架示意图；

图2为本发明中隔离企业应用的方法实施例1的流程图；

图3a为本发明实施例中一种个人应用的运行环境界面示例的示意图；

图3b为本发明实施例一种中企业应用的运行环境界面示例的示意图；

图4为本发明实施例中容器应用的运行一实施方式的流程图；

图5为本发明中隔离企业应用的设备实施例1的结构图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本发明的发明人经过研究发现，对于企业应用来说，用户在使用企业应用过程中会涉及到企业的一些敏感信息。为了保证企业应用运行过程中敏感信息的安全而不被恶意获取，需要企业应用采用一个独立的运行环境，这就要求企业应用在运行环境上能够与个人应用进行隔离。而现有技术中，MDM客户端仅仅是提供了企业应用的安装包，但企业应用的安装并没有与个人应用在运行环境上进行隔离，实际上个人应用与企业应用的安装、运行和存储数据还是处于同一个运行环境，互相之间都是开放的，这就造成了企业应用运行过程中涉及的企业敏感数据容易被恶意获取，导致企业敏感数据的不安全。

基于此，本申请的主要思想是：为了使得个人应用和企业应用的运行环境隔离开，可以采用移动设备上的多用户机制来实现，由于多用户机制下各个用户具有独立的目录用于各用户下应用的安装、运行和存储，可以将个人应用和企业应用分别安装在不同用户的目录下，这样就可以使得企业应用在一个不存在个人应用的环境中安装、运行和存储数据，从而减小了企业应用运行过程中涉及到的敏感信息被恶意获取的风险，从而提高了企业敏感信息的安全性。

基于上述基本思想，本申请实施例的应用场景之一，可以通过移动设备与服务器之间的交互来实现。如图1所示，在这一应用场景中，用户可以通过移动设备102上的企业应用与企业信息系统的服务器101进行交互，以使用企业应用所提供的功能。本领域技术人员可以理解，图1所示的框架示意图仅是本发明的实施方式可以在其中得以实现的一个示例。本发明实施方式的适用范围不受到该框架任何方面的限制。

需要注意的是，此处的移动设备102可以是现有的、正在研发的或将来研发的、能够通过任何形式的有线和/或无线连接(例如，Wi-Fi、LAN、蜂窝、同轴电缆等)实现其上企业应用与服务器101交互的任何移动设备，包括但不限于：现有的、正在研发的或将来研发的智能手机、非智能手机、平板电脑等。

还需要注意的是，此处的服务器101仅是现有的、正在研发的或将来研发的、能够向用户提供企业应用服务的设备的一个示例。本发明的实施方式在此方面不受任何限制。

基于图1所示的框架图，为了实现移动设备上企业应用的隔离，移动设备102可以响应于个人应用安装在所述移动设备102为第一用户配置的开放目录中，创建第二用户，并为所述第二用户配置隔离目录；然后，移动设备102可以从移动设备102上的所有应用中过滤出企业应用，并将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中存储和运行。

可以理解的是，上述应用场景仅是为了便于理解本发明的精神和原理而示出，本发明的实施方式在此方面不受任何限制。相反，本发明的实施方式可以应用于适用的任何场景。

在介绍了本发明的主要思想以后，下面结合附图，详细说明本发明的各种非限制性实施方式。

参见图2，示出了本发明中隔离企业应用的方法实施例1的流程图。本实施例可以应用于移动设备，例如具体可以包括如下步骤：

S201、响应于个人应用安装在所述移动设备为第一用户配置的开放目录中，创建第二用户，并为所述第二用户配置隔离目录。

其中，移动设备上需要具有支持多用户机制的操作系统，例如Android4.2版本以上的系统。而通过支持多用户机制的移动设备，在该移动设备上已创建的第一用户并将个人应用安装在第一用户的开放目录中的情况下，可以调用Android等系统的用户管理类再创建一个第二用户并为该第二用户配置一个隔离目录，该第二用户的隔离目录专门用于企业应用的安装、运行和数据存储，以使得第二用户的隔离目录为企业应用提供一个独立于个人应用的运行环境。

S202、从移动设备上的所有应用中过滤出企业应用，并将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中存储和运行。

在创建了第二用户之后，可以在系统对第二用户的初始化过程中过滤企业应用。对于企业应用的过滤，在本实施例的一些实施方式中，可以在企业应用中预置企业应用标识(如tag标签)，然后通过企业应用标识来过滤企业应用。具体地，企业应用的过滤方式例如可以包括：对移动设备上的所有应用查找企业应用标识；将具有企业应用标识的应用识别为企业应用。此外，在本实施例的另一些实施方式中，也可以采用黑白名单的方式过滤出企业应用。

在本实施例的一些实施方式中，为了使得第二用户中的隔离目录能够更全面地为企业应用提供与个人应用相隔离的运行环境，一方面，还可以从移动设备上的所有应用中过滤出与所述企业应用相关联的桌面启动器(如Android系统下的Launcher应用)，并将过滤出的桌面启动器复制安装到所述容器用户的隔离目录中，另一方面，还可以从移动设备上的所有应用中过滤出与所述企业应用相关联的系统核心后台应用，并将所述系统核心后台应用复制安装到所述容器用户的隔离目录中。其中，桌面启动器既可以采用预置企业应用标识的方式来过滤，也可以采用黑白名单的方式来过滤，而系统核心后台应用则可以采用黑白名单的方式来过滤。可以理解的是，为第二用户安装的桌面启动器可以为其隔离目录中的企业应用提供独立于个人应用的操作界面环境，为第二用户安装的系统核心后台应用可以为其隔离目录中的企业应用提供独立于个人应用的后台运行环境。

需要说明的是，对于创建第二用户的方式，可以是在前台创建，也可以是在后台创建。

对于前台创建的第二用户，移动设备的用户选择界面上可以提供第一用户的操作界面入口、第二用户的操作界面入口以及可能存在的其他用户的操作界面入口，如果用户在使用个人应用之后想要使用企业应用，则需要由个人应用的第一用户操作界面切换到企业应用的第二用户操作界面，此时用户就需要先返回移动设备的用户选择界面，再选择通过用户选择界面上的第二用户操作界面入口进入第二用户操作界面来使用企业应用，因此，在已创建第一用户的基础上前台创建第二用户带给用户的是多用户体验。

对于后台创建的第二用户，第二用户可以是一个容器用户。例如，可以使第二用户作为第一用户下的容器用户，即第二用户的操作界面入口可以位于第一用户的操作界面内，如果用户在使用个人应用之后想要使用企业应用，则需要由个人应用的第一用户操作界面切换到企业应用的第二用户操作界面，此时用户可以直接通过第一用户操作界面上的第二用户操作界面入口直接进入第二用户操作界面来使用企业应用，而无需再返回移动设备的用户选择界面，因此，在已创建第一用户的基础上后台创建第二用户带给用户的是单用户体验，这使得用户个人应用与企业应用两者使用之间的切换更加简便。

具体地，对于所述第二用户为在后台创建的容器用户的实施方式，在所述第一用户的开放目录中可以设置有容器应用，用于将第一用户的操作界面切换到所述容器用户的操作界面，则该容器应用即为第二用户操作界面的入口。其中，所述第一用户的操作界面用于呈现安装在所述开放目录中的应用，所述容器用户的操作界面用于呈现安装在所述隔离目录中的应用。例如，图3a所示的是一种第一用户的操作界面的示例示意图，即个人应用的运行环境界面示例示意图，图3b所示的是一种容器用户的操作界面的示例示意图，即企业应用的运行环境示例示意图。

可以理解的是，移动设备上为个人应用创建的用户可以是仅包括第一用户，也可以是包括第一用户在内的多个用户。对于具有多个为个人应用创建的用户的移动设备来说，可以在每个为个人应用创建的用户下都为企业应用创建一个容器用户。

进一步而言，在本实施例的一些实施方式中，在以第一用户操作界面上的容器应用作为第二用户操作界面入口的实施方式基础上，为了进一步避免恶意用户对企业应用的使用，容器应用还可以先通过密码的方式对用户身份进行验证，再在验证成功的情况下切换到第二用户操作界面。具体地，所述容器应用，例如可以具体用于响应于输入密码与预设的容器密码相同，将第一用户的操作界面切换到所述容器用户的操作界面。更进一步而言，在本实施例的再一些实施方式中，在容器应用作为具有密码验证功能的第二用户操作界面入口的实施方式基础上，为了使用户便于对企业应用的管理和使用，还可以在容器应用中提供预设密码，创建或删除容器用户的功能。具体地，所述容器应用，例如还可以用于预先设置所述容器密码、触发所述容器用户的创建和/或触发所述容器用户的删除。

可以理解的是，对于集合了前述容器用户的操作界面切换入口、容器用户的创建和删除以及密码验证、密码预设等多种功能的容器应用，可以在容器应用中设置一个具有前述各功能触发操作方式的操作界面，当容器应用启动运行之后则向用户提供其操作界面，以便用户可以在该操作界面上对容器应用中的各功能进行触发。具体地，参见图4，容器应用的运行方式例如可以包括：

S401、响应于在所述第一用户的操作界面上对所述容器应用的触发操作，呈现密码输入界面。

其中，在密码输入界面上为用户提供了输入密码的操作方式。

S402、获取所述密码输入界面上的输入密码，验证所述输入密码与预先设置的容器密码是否相同。

其中，容器密码可以是用户预先为容器应用设置并由容器应用记录的密码，用于在用户请求进入容器应用时验证用户的输入密码，从实现对用户身份是否具有使用容器应用以及企业应用的权限。

S403、响应于所述输入密码与所述容器密码相同，呈现所述容器应用的操作界面。

其中，在容器应用的操作界面上设置有用于触发各功能的操作方式，例如可以包括用于触发容器用户切换的操作方式、用于触发容器用户创建的操作方式、用于触发容器用户删除的操作方式以及用于触发容器密码设置或更改的操作方式。

可以理解的是，对应于容器应用操作界面上提供的操作方式，基于用户在容器应用的操作界面上执行了不同的操作，可以选择进入执行S404～S407中的步骤。

S404、响应于触发容器用户切换的操作，将所述第一用户的操作界面切换成所述容器用户的操作界面。

可以理解的是，容器应用是安装于第一用户的开放目录中，容器应用的操作界面实际上也是属于第一用户的操作界面，因此，当用户执行了触发容器用户切换的操作时，容器应用的操作界面被切换成容器用户的操作界面，也即第一用户的操作界面被切换成容器用户的操作界面，而实质上则是从个人应用所在的开放目录下的运行环境切换到了企业应用所在的隔离目录下的运行环境。

S405、响应于触发容器用户创建的操作，在后台创建第一用户下的容器用户，为所述容器用户配置隔离目录，从移动设备上的所有应用中过滤出企业应用，将所述企业应用复制安装到所述容器用户的隔离目录中。

S406、响应于删除容器用户删除的操作，在后台删除第一用户的容器用户以及所述容器用户的隔离目录。

S407、响应于触发容器密码设置或更改的操作，获取并记录用户重新输入的密码作为容器密码，并删除原先记录的容器密码。

需要说明的是，图4所示的容器应用运行过程中，密码验证是在请求进入容器应用操作界面时进行的。但可以理解的是，在请求进入容器应用操作界面时也可以不进行密码验证，而是在进入容器应用的操作界面之后，在触发各功能时进行密码验证。或者，还可以仅针对用于切换成容器用户操作界面的容器用户切换功能触发时进行密码验证，而其他功能不进行密码验证。此外，除了密码验证这种身份验证方式之后，还可以采用其他的身份验证方式，如员工编号验证等。

接着返回图2。

在本实施例的一些实施方式中，在以第一用户操作界面上的容器应用作为第二用户操作界面入口的实施方式基础上，为了进一步保证企业应用发布过程的隔离，企业应用还可以是由企业信息系统发布至移动设备上的容器应用，也即移动设备还可以通过所述容器应用接收企业信息系统发布的企业应用。

在本实施例的另一些实施方式中，为了进一步保证企业应用的数据存储安全，移动设备还可以对所述企业应用的数据进行加密存储，具体地，例如可以是企业应用对于其所要存储的数据都调用其自身的加密存储API来进行加密存储，以达到隔离存储的目的。

在本实施例的再一些实施方式中，在以第一用户操作界面上的容器应用作为第二用户操作界面入口的实施方式基础上，为了完善单用户体验以便于简化用户的操作，可以在容器用户的运行环境下屏蔽掉前台用户的切换操作，以使得从容器用户的操作界面仅能切换回第一用户的操作界面而无法切换到除第一用户之外其他用户的操作界面。具体地，移动设备还可以响应于当前处于所述容器用户的操作界面，屏蔽将所述容器用户的操作界面切换成除所述第一用户以外其他用户的操作界面的触发指令。例如，在Android系统中各用户之间的切换是通过锁屏操作来实现的，因此，在锁屏操作被触发时，可以判断当前是否处于容器用户的操作界面，如果否则可以执行锁屏处理，如果是则可以屏蔽此次锁屏处理。

通过本实施例的技术方案，在个人应用安装在移动设备为第一用户配置的开放目录的情况下，可以为企业应用创建一个第二用户并为第二用户配置一个隔离目录，然后可以从所有应用中过滤出企业应用并将企业应用复制安装到隔离目录中，以便企业应用在隔离目录中存储和运行。因此，通过多用户机制下企业用户与个人应用分别安装在不同用户下的目录，使得企业应用可以在一个不存在个人应用的环境中安装、运行和存储数据，从而减小了企业应用运行过程中涉及到的敏感信息被恶意获取的风险，从而提高了企业敏感信息的安全性。

在介绍了本发明示例性的方法实施方式之后，接下来对本发明示例性的、用于隔离企业应用的设备进行介绍。

参见图5，示出了本发明中隔离企业应用的设备实施例1的结构图。本实施例的设备可以配置于移动设备，例如具体可以包括：

创建用户模块501，用于响应于个人应用安装在所述移动设备为第一用户配置的开放目录中，创建第二用户；

配置目录模块502，用于为所述第二用户配置隔离目录；

第一应用过滤模块503，用于从移动设备上的所有应用中过滤出企业应用；

第一应用安装模块504，用于将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中运行并存储数据。

可选的，在本实施例第一种可能的实施方式中，所述企业应用中可以预置有企业应用标识；相应地，所述第一应用过滤模块503例如具体可以包括：

标识查找子模块，用于对移动设备上的所有应用查找企业应用标识；

应用识别子模块，用于将具有企业应用标识的应用识别为企业应用。

可选的，在本实施例第二种可能的实施方式中，所述设备例如还可以包括：

第二应用过滤模块，用于从移动设备上的所有应用中过滤出与所述企业应用相关联的系统核心后台应用；

第二应用安装模块，用于将所述系统核心后台应用复制安装到所述容器用户的隔离目录中。

可选的，在本实施例第三种可能的实施方式中，所述第二用户可以为在后台创建的容器用户；在所述第一用户的开放目录中可以设置有容器应用，用于将第一用户的操作界面切换到所述容器用户的操作界面；其中，所述第一用户的操作界面用于呈现安装在所述开放目录中的应用，所述容器用户的操作界面用于呈现安装在所述隔离目录中的应用。

可选的，在本实施例第四种可能的实施方式中，结合第三种可能的实施方式，所述容器应用，例如可以具体用于响应于输入密码与预设的容器密码相同，将第一用户的操作界面切换到所述容器用户的操作界面。

可选的，在本实施例第五种可能的实施方式中，结合第三种可能的实施方式，所述设备例如还可以包括：

应用接收模块，用于通过所述容器应用接收企业信息系统发布的企业应用。

可选的，在本实施例第六种可能的实施方式中，结合第三种可能的实施方式，所述设备例如还可以包括：

切换屏蔽模块，用于响应于当前处于所述容器用户的操作界面，屏蔽将所述容器用户的操作界面切换成除所述第一用户以外其他用户的操作界面的触发指令。

可选的，在本实施例第七种可能的实施方式中，所述设备例如还可以包括：

存储加密模块，用于对所述企业应用的数据进行加密存储。

通过本实施例的技术方案，在个人应用安装在移动设备为第一用户配置的开放目录的情况下，可以为企业应用创建一个第二用户并为第二用户配置一个隔离目录，然后可以从所有应用中过滤出企业应用并将企业应用复制安装到隔离目录中，以便企业应用在隔离目录中存储和运行。因此，通过多用户机制下企业用户与个人应用分别安装在不同用户下的目录，使得企业应用可以在一个不存在个人应用的环境中安装、运行和存储数据，从而减小了企业应用运行过程中涉及到的敏感信息被恶意获取的风险，从而提高了企业敏感信息的安全性。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对于设备实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的设备实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅是本申请的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (11)

1.一种隔离企业应用的方法，其特征在于，应用于移动设备，包括：

响应于个人应用安装在所述移动设备为第一用户配置的开放目录中，创建第二用户，并为所述第二用户配置隔离目录；

从移动设备上的所有应用中过滤出企业应用，并将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中存储和运行。

2.根据权利要求1所述的方法，其特征在于，所述企业应用中预置有企业应用标识；

所述从移动设备上的所有应用中过滤出企业应用，包括：

对移动设备上的所有应用查找企业应用标识；

将具有企业应用标识的应用识别为企业应用。

3.根据权利要求1所述的方法，其特征在于，还包括：

从移动设备上的所有应用中过滤出与所述企业应用相关联的系统核心后台应用，并将所述系统核心后台应用复制安装到所述容器用户的隔离目录中。

4.根据权利要求1所述的方法，其特征在于，所述第二用户为在后台创建的容器用户；在所述第一用户的开放目录中设置有容器应用，用于将第一用户的操作界面切换到所述容器用户的操作界面；其中，所述第一用户的操作界面用于呈现安装在所述开放目录中的应用，所述容器用户的操作界面用于呈现安装在所述隔离目录中的应用。

5.根据权利要求4所述的方法，其特征在于，所述容器应用，具体用于响应于输入密码与预设的容器密码相同，将第一用户的操作界面切换到所述容器用户的操作界面。

6.根据权利要求4所述的方法，其特征在于，还包括：

通过所述容器应用接收企业信息系统发布的企业应用。

7.根据权利要求4所述的方法，其特征在于，还包括：

响应于当前处于所述容器用户的操作界面，屏蔽将所述容器用户的操作界面切换成除所述第一用户以外其他用户的操作界面的触发指令。

8.根据权利要求1所述的方法，其特征在于，还包括：

对所述企业应用的数据进行加密存储。

9.一种隔离企业应用的设备，其特征在于，配置于移动设备，包括：

创建用户模块，用于响应于个人应用安装在所述移动设备为第一用户配置的开放目录中，创建第二用户；

配置目录模块，用于为所述第二用户配置隔离目录；

第一应用过滤模块，用于从移动设备上的所有应用中过滤出企业应用；

第一应用安装模块，用于将所述企业应用复制安装到所述第二用户的隔离目录中，以便所述企业应用在所述第二用户的隔离目录中运行并存储数据。

10.根据权利要9所述的设备，其特征在于，还包括：

第二应用过滤模块，用于从移动设备上的所有应用中过滤出与所述企业应用相关联的系统核心后台应用；

第二应用安装模块，用于将所述系统核心后台应用复制安装到所述容器用户的隔离目录中。

11.根据权利要求9所述的设备，其特征在于，所述第二用户为在后台创建的容器用户；在所述第一用户的开放目录中设置有容器应用，用于将第一用户的操作界面切换到所述容器用户的操作界面；其中，所述第一用户的操作界面用于呈现安装在所述开放目录中的应用，所述容器用户的操作界面用于呈现安装在所述隔离目录中的应用。