CN104054088B - 管理跨周界访问 - Google Patents

Abstract

在一些实现中，一种管理对单一设备中资源的访问的方法包括：从向第一周界指派的第一资源接收对访问向不同于所述第一周界的第二周界指派的第二资源的请求。所述单个设备包括所述第一周界和所述第二周界。基于针对所述第一周界的管理策略来确定是否禁止访问所述第二资源。所述管理策略定义了用于访问向所述第二周界指派的包括所述第二资源在内的资源的一个或多个规则。

Description

管理跨周界访问

优先权声明

本申请要求欧洲申请No.11188696.6的优先权，该申请于2011年11月10日递交，其全部内容以引用方式并入本文。

技术领域

本公开涉及管理对设备上的资源的访问。

背景技术

在很多情况下，计算设备可包括数据、应用和/或网络资源，该数据、应用和/或网络资源的可访问性受到安全协议控制。例如，可以由不同的实体(例如，企业、用户)来管理资源(例如，用户账户、管理权限、密码保护、数据库管理、以及其他资源)，或者可以通过其他方式将资源与不同实体(例如，企业、用户)相关联。

附图说明

图1示出了用于管理跨周界访问的示例系统；

图2是包括用于管理跨周界访问的示例周界文件系统资源在内的设备的框图；

图3是示出了跨设备周界的访问和通信的示意图；

图4是示出了对网络接入的跨周界访问的示意图；以及

图5是示出了用于实现跨周界访问的示例方法的流程图。

各个图中相似的附图标记指示相似的元素。

具体实施方式

在一些实现中，单一用户设备可包括在逻辑上分隔计算机资源(例如，应用、数据、网络接入、配置文件)的多个周界，以使得可以防止周界访问不同周界中包括的资源。例如，周界可以防止一个周界中个人资源访问另一周界中的公司资源，或反之亦然。保持公司数据、应用和网络与个人数据、应用和网络隔离是所希望的，因为用户可以使用单一设备来分别访问不同的资源组。换言之，企业可以在单一用户设备上扩展安全周界，而不干扰用户在同一设备上的个人体验。本公开涉及基于一个或多个策略来实现跨周界访问。换言之，基于向进行请求的周界指派的策略或向目标周界指派的策略，周界中的资源可被不同的周界所访问。管理跨周界访问包括：控制在周界之间可以传输什么信息，以及具体地，在周界中执行的应用可以访问什么数据和网络和在周界外部的应用可以访问什么周界资源(如果存在)。

在一些实现中，可通过针对每个周界定义策略、向每个周界指派策略、或以其他方式将策略与每个周界相关联来控制对周界资源的访问。策略可以标识内部资源可以访问的外部周界，或外部资源可以访问或不可以访问的内部资源。除了标识什么资源(例如，数据、网络接入)是可访问的之外，策略可以标识可访问指定资源或不可访问指定资源的特定用户。在一些示例中，策略可以标识访问外部资源的特定用户可以访问内部数据的一部分。在一些示例中，文件数据的资源访问策略可以标识：该文件对在周界内正在执行的任何应用是可见的，然而仅对周界外执行的特定可信应用是可用的。简言之，资源策略可以定义对(周界中正在运行的)内部应用可以访问的(另一周界中的)外部资源以及外部应用可以访问的内部资源这二者的访问。在一些实现中，来自两个周界的策略确定了是否许可访问，或者如果存在冲突，可以应用最严格的策略。

参见示例环境，图1示出了根据本公开的一个或多个实现的用于管理跨周界资源访问的示例系统100。例如，系统100可以实现周界管理，以使得针对周界的策略可以标识周界外的特定资源可以访问的资源。如前所述，周界一般可指代对计算资源的逻辑分隔，以使得在周界之间传输数据和访问其他周界资源是被禁止的。在一些实现中，系统100可以包括提供针对这些禁止的例外的策略。例如，系统100可以标识在周界外部的可以访问数据、应用或其他资源的一个或多个特定资源。一般而言，资源可以包括应用、文件系统、网络接入或其他计算资源。除了实现对周界内的资源的访问之外，系统100还可以包括对周界中的资源可访问的特定外部资源进行标识的策略。系统100还可以解决两个周界的策略之间的冲突。例如，在一个周界的策略允许访问资源而另一策略的策略拒绝访问的情况下，系统100可以缺省使用最严格的策略。在一些实现中，系统100可以包括基于资源或资源的一方面的策略，以使得可许可访问整个资源的一部分。通过实现这种策略，系统100可以使得管理员对跨周界访问具有更大的控制。此外，系统100还可以管理无缝用户体验，其中，执行了周界概念。跨周界访问可以允许一个周界中的应用访问另一周界中的数据，这进而在另一周界内传递了所关注应用的附加值。

关于高层描述，系统100包括可通信耦合到网络104a和104b的设备102(分别地及共同地被称为102)。此外，设备102可以与设备所有者105、用户106a和106b(分别地及共同地被称为106)、管理员108a、108b、108c(分别地及共同地被称为108)、前述各项的组合以及其他人交互。设备102包括多个周界110a、100b、110c(分别地及共同地被称为110)。每个周界110包括数据112、用于提供对网络的接入的网络接入资源114、用于向用户106提供服务的一个或多个应用116、用于配置资源的配置118、和用于定义跨周界访问的一个或多个策略120。关于操作的高层描述，设备所有者105或管理员108可以生成周界110，周界110包括数据112、网络接入资源114、应用116、配置118、和一个或多个策略120。虽然周界110被示出为包括所有这些资源，在不脱离本公开的范围的情况下，周界110可以仅包括所示出资源的子集。例如，周界110可以不包括网络接入资源114。响应于用户106请求访问周界110外部的数据112或网络接入资源114，设备110可以确定针对用户106当前访问的周界110的策略120和针对被请求的周界110的策略120是否都许可访问所标识的资源。例如，用户106a可以在访问周界110a的同时请求访问数据112c，以及设备102可以确定策略120a和120c是否许可访问周界110a。

参见对系统100的各单元的更详细的描述，设备102可以包括可用于经由用户界面(例如，图形用户界面(GUI)、CLI(命令行界面)或众多其他用户界面中的任何界面)从用户接收请求的任何计算设备。因此，在提到具体界面的情况下，应该理解：任何其他用户界面都可以替代其位置。在各种实现中，设备102包括用于接收、发送、处理和存储与系统100相关联的任何适当数据的电子计算设备。如本公开中使用的，设备102可以包括平板计算机、个人计算机、膝上型计算机、触摸屏终端、工作站、网络计算机、信息站(kiosk)、无线数据端口、无线或有线电话、个人数据助理(PDA)、智能电话、这些设备或其他设备中的至少一个处理器、或任何其他适合的处理设备。例如，设备102可以包括移动设备，该移动设备包括输入设备(例如，键区、触摸屏、鼠标、或可接受信息的其他设备)和传达与资源的操作相关联的信息(包括数字数据、视觉信息或GUI)的输出设备。输入设备和输出设备都可以包括固定的或可拆卸的存储介质(例如，磁性计算机盘、CD-ROM或其他适合的介质)以通过显示器(例如，GUI)从终端106的用户接收输入并向终端106的用户提供输出。

在所示出的实现中，设备102包括周界110a～c，周界110a～c被配置为防止针对向周界指派的一个或多个资源的访问。例如，周界110可以包括密码保护、加密和用于控制对向该周界指派的资源的访问的其他处理。可以由设备所有者105、用户106、管理员108或其他人生成周界110。在一些示例中，周界110a可以是针对用户106a缺省创建并由用户106a管理的个人周界。在一些示例中，周界110a可以是由管理员108a针对企业创建并由远程管理服务器管理的企业周界。此外，可以由设备所有者105、用户106、管理员108、前述各项的组合或者其他人来访问给定周界110。在一些实现中，每个周界可以与单一用户106相关联，以及至少一些用户106可以访问多个设备周界110。例如，用户106a可以访问周界110a和周界110b内的资源，以及用户106b可以仅具有一个周界110c。设备所有者105可以有能力将各个周界110从设备102移除。在一些实现中，用户106可以通过登记(enrollment)过程来创建周界110。作为登记过程的一部分，与企业网络104a相关联的组织可以向设备102发送标识周界110的初始资源的信息，包括应用、配置和策略。周界管理员108a～c可以指派用于周界110的策略120，并发起周界更新。在一些实现中，周界管理员108可以远程锁定和/或擦除周界110。

在所示实现中，给定的周界110包括数据112、网络接入资源114、应用116、配置118、策略120、前述各项的组合或者其他资源。数据112可被存储在任何存储器或数据库模块中，并可以采取易失性或非易失性存储器的形式，包括但不限于：磁介质、光介质、随机存取存储器(RAM)、只读存储器(ROM)、可拆卸介质或任何其他适合的本地或远程存储器组件。数据112可包括各种对象或数据(包括种类、框架、应用、备份数据、商业目标、工作、网页、网页模板、数据库表、存储商业和/或动态信息的信息库)以及任何其他适当的信息(包括与设备102及其应用116的目的相关联的任何参数、变量、算法、指令、规则、约束或对这些的引用)。此外，数据112可以包括任何其他适当的数据，例如与VPN应用相关联的数据、固件日志和策略、防火墙策略、安全或访问日志、打印或其他报告文件、以及其他数据。

网络接入资源114包括用于许可接入网络104a或104b或其他网络的任何参数、变量、策略、算法、指令、设置、或规则。例如，网络接入资源114可以包括或标识用于接入企业网络104a的防火墙策略。在一些实现中，网络接入资源114包括或以其他方式标识以下一项或多项：用户名、密码、安全令牌、虚拟私有网络(VPN)配置、防火墙策略、通信协议、加密密钥证书、或其他内容。

应用116可以包括可以根据本公开来执行、改变、删除、生成、或以其他方式管理商业信息的任何应用、程序、模块、进程或其他软件。例如，复合应用的各部分可被实现为企业Java组件(EJB)，或者设计时组件可具有将运行时实现生成到不同的平台中的能力，该不同平台例如是J2EE(Java 2平台，企业版本)、ABAP(高级商业应用编程)对象或Microsoft的.NET。此外，虽然被示出为在设备102内部，与应用116相关联的一个或多个进程也可以被远程存储、引用、或执行。例如，应用116的一部分可以是通向可远程执行的web服务的接口。此外，应用116可以是另一软件模块或企业应用(未示出)的子模块或次级模块，而不脱离本公开的范围。在一些实现中，应用116可以是允许进程的不同部分中的多方执行各自处理的托管(hosted)方案。例如，企业网络104a可以访问设备102上的应用116或甚至作为网络104b上的托管应用的应用116，而不脱离本公开的范围。在另一示例中，应用116的各部分可被在设备102处直接工作以及经由企业网络104a远程工作的用户106所使用。

配置文件118包括用于配置设备102的软件的任何参数、变量、策略、算法、指令、设置或规则。例如，配置文件118可包括标识用于一个或多个应用116的设置的表格。在一些实现中，配置文件118标识用于一个或多个应用116的初始设置。除了用户应用116之外，配置文件118还可以标识用于其他类型应用的设置，例如操作系统设置。取决于操作系统，文件118通常可以ASCII方式和和面向行的方式来写入，其中，通过新行或回车/换行对来终止行。

策略120包括用于实现跨周界访问的任何参数、变量、策略、算法、指令、设置或规则。例如，策略120a可以标识在周界110a外部并可被周界110a内部执行的进程访问的一个或多个资源。在一些实现中，策略120可以包括或以其他方式标识以下一项或多项：特定资源、内部资源、资源的一部分、用户、所有者、管理员、动作类型、时间段、或其他信息。关于外部资源，策略120可以标识在所指派的周界110外部的特定资源，该特定资源可访问内部资源。在一些实现中，策略120可以标识外部资源可访问的特定资源。例如，策略120a可以标识：应用116b中的特定可信应用可以访问数据112a或网络接入资源114a。在一些实现中，资源策略120定义对(周界110中正在运行的)内部应用116可以访问的(另一周界110中的)外部资源以及外部应用116可以访问的内部资源二者的访问。策略120可被限定范围(scope)到内部或外部应用。在一些实现中，周界访问策略120可被应用到数据(例如，文件系统位置、网络接入114、应用116)。访问策略120可以允许周界管理员108的受控手段来管理、共享和保护周界资产(数据112、网络接入资源114、应用116)。在一些实现中，周界策略120可以定义哪些应用116可以跨周界110进行通信。动作类型可以包括以下各项中的一项或多项：拷贝、剪切、或粘贴数据；接入特定网络或特定类型网络；或者其他类型的动作。

在一些实现中，策略120可以定义或以其他方式标识在启用跨周界访问之前的用户认证过程。例如，策略120可以标识用户认证的类型和内容(例如，密码强度、生命周期)，以应用到跨周界请求。当用户106请求访问多个周界110时，可以通过内部策略120和外部策略120这二者对请求进行评估。如果两个策略120都许可访问，则资源可以执行跨周界访问。否则，较严格的策略120可以确定是否许可资源进行跨周界访问。在网络资源的可访问性的意义上，策略120可以标识或包括用于确定外部资源(例如，在不同周界110中执行的应用116)可以使用哪些网络接入的信息。

设备102可连接到多个网络，例如企业网络104a和公共网络104b。企业网络104a是与企业相关联的网络。企业可以包括公司或商业实体、政府团体、非盈利机构、或任何其他连接到设备102的组织。企业可以是设备102的所有者104。当然，企业还可以出租设备102，或者可以雇佣负责维护、配置、控制和/或管理设备102的承包商或代理。在所示实施例中，网络104方便了与设备102的无线和/或有线通信。网络104可以在网络地址之间传送例如网际协议(IP)分组、帧中继帧、异步传输模式(ATM)单元、语音、视频、数据、和其他适合的信息。此外，虽然企业网络104a和公共网络104b均被示出为单一网络，每个网络104都可以包括多个网络。简言之，企业网络104a和公共网络104b是被配置为与设备104通信的任何适合的网络。

在一些操作方案中，用户106可以访问周界110a中的应用116a，并提交访问周界110c中的数据112c的请求。响应于至少该请求，设备102可以标识向周界110a指派的策略120，并确定策略120a是否将应用116a许可给数据112c。此外，设备102还可以标识向周界110c指派的策略120c，以确定策略120a是否拒绝应用116a访问数据112c。如果二者都允许对数据112c的访问，应用116a可以向周界110a传输数据112c的一部分。否则，可拒绝应用116a访问，或者设备102可以在冲突的情况下实现较严格的策略120。

图2示出了根据本公开的一些实现的包括周界文件系统资源202在内的示例设备200。在这些实现中，设备200包括按周界策略定义的周界来进行的逻辑分组，例如，个人周界209a和公司周界209b。周界文件系统资源202可以利用(leverage)为了保护资产而构建的QNX^TM加密域。QNX^TM是针对嵌入式系统的商业性类Unix实时操作系统。周界文件系统资源202可以允许管理员指示：可以用不加密的方式来存储资产。例如，如果资源被指定为共享的，周界文件系统资源202可以指示资源是不加密的。

在一些实现中，周界文件系统资源202可以实现文件系统资源的逻辑分组，以使得可以按周界有效地划分为设备200设计的总体应用和账户结构，例如个人周界209a和公司周界209b。如图所示，周界209a和209b可以指示应用的字段中的信息、应用周界、用户、目标、目标周界和许可。由此，可通过描述策略所应用于的应用来为每个周界定义可访问性。

在一些实现中，应用字段208a可以包括对个人周界209a适用于所有应用(即，针对所有作者、标识、版本)进行指示的值210a。应用ID值210a可以指示：个人周界209a适用于所有版本的指定应用，个人周界209a适用于由指定作者公布的任何应用，个人周界209a适用于特定版本的应用，等等。类似地，应用字段208b可以包括对以下情况进行指示的值210b：公司周界209b适用于所有应用(即，针对所有作者、标识或版本)，公司周界209b适用于所有版本的指定应用，公司周界209b适用于由指定作者公布的任何应用，公司周界209b适用于特定版本的应用，等等。

在一些实现中，设备200可以具有应用-周界(Application-Perimeter)字段，该应用-周界字段描述策略是适用于周界内(本地)的应用还是周界外(外部)的应用。用户字段可以实现对访问策略是适用于特定用户还是适用于所有设备用户的描述。目标字段可以实现对文件系统路径的定义，该文件系统路径可以用于指定策略适用于周界文件系统的哪些区域。在已经定义了开放用于共享的仅有区域时，可以不需要目标字段，以使得当更多开放区域变得可用时，目标字段可以是可用的。

在一些实现中，设备200可以具有目标-周界字段，目标-周界字段描述了周界策略是否适用于对周界内(本地)或周界外(外部)的文件系统资源的访问。许可字段可以描述：在由策略描述的文件系统资源上，由策略描述的应用的什么许可权限是被允许的。

图3是根据本公开的各种实施例的示出了跨网络资源周界的访问和通信的示例系统300的示意图。在所示实现中，设备302被配置为与公司网络304a和304b以及互联网304c通信。设备302包括周界306a和周界306b。周界306a包括应用308a和308b，以及周界306b包括应用308c和308d。周界306a可以包括将应用308a与企业网络304a安全地连接的虚拟私有网络310。

周界306a和周界306b可以分别包括网络接入资源312a和网络接入资源312b。周界306a中的应用308b通过连接314连接到企业网络304b。在一些实现中，周界306b中的应用308c跨周界访问周界306a中的资源或网络接入资源312a，以连接到互联网304c。例如，应用308c可以是使用周界306a的网络接入资源312a接入互联网304c的个人应用(例如，在线游戏、社交联网应用)，周界306a可以是公司周界。周界306b中的应用308d通过周界306b中的网络接入资源312b连接到互联网365。所有的前述网络接入资源312可以通过物理接口314进行物理连接，物理接口314可以使用无线、蓝牙、通用串行总线(USB)、射频识别(RFID)、近场通信(NFC)或其他连接技术。在一些实现中，周界306a可以是公司周界，以及周界306b可以是个人周界。

总而言之，示意图300示出了使用网络的跨周界访问。周界配置可以定义连接与周界所暴露的底层网络之间的关联。周界配置可以定义虚拟私有网络与周界所暴露的底层网络之间的关联。可以将虚拟私有网络和连接配置连同对网络和配置使用进行管控的策略一起存储在周界内部。

在一些实现中，周界网络策略可以包括字段，该字段包括应用、应用-周界、和网络字段。例如，应用字段可以描述被指派了策略的应用。应用字段可以包括对可应用于所有应用而与作者、id和/或版本无关的周界进行指示的值。应用字段可以具有作者-ID(Author-ID)值，该作者-ID值指示可应用于由指定作者公布的任何应用的周界。应用字段可以具有应用-ID(Application-ID)值，该应用-ID值指示可应用于指定应用的所有版本的周界。应用字段可以具有应用-版本-ID(Application-Version-ID)值，该应用-版本-ID值指示可应用于应用的指定版本的周界。

在一些实现中，设备300还可以包括周界加密策略，周界加密策略可以包括例如文件系统路径、加密等的字段。文件系统路径的字段可以包含对文件系统中要被应用策略的区域进行描述的值。加密字段中的值可以描述是应该对文件系统内容加密还是不加密。

在一些实现中，周界网络策略可以包括应用-周界字段，应用-周界字段描述了策略是适用于周界(例如周界306a或周界306b)内的应用还是适用于周界外的应用。网络字段还可以包括对策略正在管控什么网络进行描述的值。例如，该值可以表明所有网络都在策略控制下，周界中定义的所有网络，周界外定义的任何网络，或周界中定义的特定网络。

可以将应用308a～d指派给相应的周界306，各个周界都是在启动时被指派的。例如，应用308a和308b可被指派给周界306a，以及应用308c和308d可被指派给周界306b。在一些实现中，当操作系统正在运行中时，这些指派不能实时(in flight)改变或在系统启动之后改变。周界306可以定义可用于每个应用的环境，例如，文件目录、网络资源、设备能力等等。在一些实现中，在公司周界306中运行应用308可以将应用308指向公司信息库。然后，在公司周界306中安装和管理应用。

可以将应用并发安装到若干周界306中(例如，不同版本、不同许可等)。在这些周界306中，每个周界安装可以遵循其自己的生命周期。周界管理员(例如，图1中示出的管理员108)可以使用策略来描述哪些应用可以或不可以安装在所管理的周界内。当查看现有的资源(例如，媒体文件、在线流传输视频、网站等)时，可以在适当的周界306中自动启动查看应用。

在特定周界306内的应用308中，当创建与资源不相关联的内容和/或启动与资源不相关联的应用时，要显式地声明周界上下文。在特定情况下，可在周界306之间共享应用308。例如，对于要共享的应用308，可以不加密具有二进制文件的安装目录。可以向所有用户、相同用户、和/或特定的设备用户共享应用308。在共享应用308时，可不存在要与应用308共享的任何相关联的用户数据。在一些实现中，周界308内的应用308执行可以不使用进程间通信与在周界外执行的应用进行通信。

图4是根据本公开的一些实现的示出了跨应用和平台的访问和通信的系统400的示意图。设备402包括统一应用404a～d的集合和第三方应用406的集合。设备402还包括平台服务408a～f以及周界410a和410b。统一应用404和第三方应用406的集合可直接与平台服务408通信。如图所示，统一应用404包括联系人应用404a、日历应用404b、信使应用404c、和消息传递应用404d。在一些实现中，统一应用404可以提供呈现相关数据的单一无缝接口作为单个内聚集合(cohesive set)，该相关数据的来源跨了不同周界。例如，消息传递应用404d可以呈现用于跨所有周界的针对电子邮件消息的单一统一访问机制。该统一接口还可以允许用户(和应用)以单一方式处理数据。例如，用户不需要访问多个单独的日历以检查跨其个人和公司事件的可用性。日历统一了跨不同周界的数据，可以允许将事件一起呈现。第三方应用406可以包括第三方提供的任何应用，例如文本编辑应用、游戏应用、音乐或音频应用、多媒体应用、视频编辑应用、相片捕捉和编辑应用、社交媒体或社交联网应用、购物应用、新闻应用、前述各项中任意项的组合、或者其他应用。

平台服务408可以包括被配置为访问不同周界并向统一应用410提供所取回的数据的任何软件、硬件、或固件。平台服务408可以包括针对每种类型服务的服务，例如，如通知、消息传递、联系人、日历、其他数字助理服务、前述各项的组合、或其他服务。在一些实现中，设备402可以包括集成有特定体验的平板计算机(例如，PlayBook设备)。例如，黑莓体验可渗透设备402及其中包含的周界410。在这些实例中，统一应用404的集合可以均是黑莓应用。在最小化或以其他方式限制了数据暴露的同时，统一应用404和第三方应用406均可在横跨多个周界410的统一视图内呈现。

平台服务408可以横跨周界410，并保护为统一应用404和第三方应用406提供统一视图的周界数据。例如，可以由平台服务408来管控图形用户界面，该平台服务408在不泄露相关数据的情况下来组装显示信息。联系人404a可与平台服务408中的联系人功能相耦合。日历404b可与平台服务408中的日历功能相耦合。信使404c可与平台服务408中的信使功能相耦合。消息404d和第三方应用406可以均与平台服务408中的消息传递功能相耦合。

在一些实现中，平台服务408中的联系人功能可以对应于周界410a中定义的应用412a。平台服务408中的日历功能可以对应于周界410a中的应用412c和周界410b中的应用412e这二者。平台服务408中的消息传递功能可以对应于周界410b中的应用412f。因此，图4中示出的示例表示了在应用和周界之间建立的关系的各种可能性以及可以如何将不同的关系统一在平台服务408中，这减少了数据暴露。

例如，来自各个周界(可存在多个周界，每个周界定义一个日历应用404a)的日历应用404a可以向跨周界的日历服务(例如，平台服务408)推送最少的日历数据(例如，日期、时间、可选主题等)。然后设备可呈现所调度事件的统一视图。然后，在与事件相关联的周界内部执行事件查看器。在另一示例中，浏览器可以使用公共应用周界模型，通过该公共应用周界模型，网络接入取决于其执行所在的周界。

在一些实现中，可以使用统一平台服务来示出统一列表条目。列表条目可以包括：消息传递、通知、日历、联系人、以及其他类似的列表。设备402可以包括多个证书存储器。每个周界可以具有其自己的存储器，该存储器可由管理员来管理。向周界指派的应用可以仅使用本地存储器中的证书。

在一些实现中，企业连接可以仅在虚拟私有网络上才是活跃的。可以授权特定的核心应用管理来升级系统。特定的周界应用管理可以升级系统。一些升级可以包括周界应用的更新。根据特定策略规定的条件，数据可被跨各个周界备份和恢复。

图5是示出了用于实现跨周界访问的示例方法500的流程图。具体地，方法500包括：标识针对每个周界的管理策略，以及基于所标识的策略来确定是否许可访问。该方法仅是为了说明的目的，且可以在任何适当的时间执行所描述的或类似的技术，包括并发地、单个地或组合地执行。此外，流程图中的很多步骤可以并发发生和/或按不同于所示顺序的顺序发生。此外，系统可以使用具有附加步骤、更少步骤和/或不同步骤的方法，只要该方法仍然适合。

方法500开始于步骤502，在步骤502处，接收对访问不同周界中的数据的请求。例如，图1的设备102可以从周界110a中的应用116a接收对访问周界110c中的网络接入114c的请求。在步骤504处，标识针对当前周界的管理策略。在示例中，设备102可以标识向周界110a指派的策略120a。接下来，在步骤506处，标识针对不同周界的管理策略。对于该示例，设备102可以标识向周界110c指派的策略120c。在判定步骤508处，如果两个策略不一致(例如，如果在策略之间存在冲突)，则在步骤510处，标识较严格的策略。再次地，在示例中，设备102可以确定策略120a许可对网络接入资源114c的访问，而策略120c许可对网络接入资源114c的受限访问。在这些实例中，受限访问可以包括：许可特定时间段期间的访问。如果在判定步骤512处，任一策略不许可访问，则在步骤514处，拒绝进行请求的资源去访问目标资源。如果策略的确许可了访问，进行请求的资源被允许访问资源。在示例中，设备102可确定策略120或者策略120a和120c允许访问，因此应用116a可以访问网络接入资源114c。

已描述了很多的实现。然而，将会理解的是，可以做出各种修改。步骤顺序上的其他变化也是可能的。因此，其它的实现在以下权利要求的范围之内。

Claims (24)

1.一种管理对设备中资源的访问的方法，包括：

从向所述设备的第一周界指派的第一资源接收对访问向所述设备的不同于所述第一周界的第二周界指派的第二资源的请求，其中，所述设备包括所述第一周界、所述第一资源、所述第二周界和所述第二资源，以及其中，所述第一资源与所述第二资源是逻辑分隔的，并且基于一个或多个管理策略来确定所述第一资源与所述第二资源之间的访问；

标识针对所述第一周界的第一管理策略和针对所述第二周界的第二管理策略；以及

基于针对所述第一周界的第一管理策略和针对所述第二周界的第二管理策略来确定是否禁止访问所述第二资源，所述第一管理策略针对所述第一资源定义了用于访问向所述第二周界指派的包括所述第二资源在内的资源的一个或多个规则，以及所述第二管理策略针对所述第二资源定义了用于允许访问向所述第二周界指派的包括所述第二资源在内的资源的一个或多个规则，以及所述确定包括：

将所述第一管理策略的一个或多个规则与所述第二管理策略的一个或多个规则进行比较；

确定哪个策略更加严格；以及

基于更加严格的策略来确定是否禁止对所述第二资源的访问，

当访问被许可时，使得所述第一周界中的第一资源实现了对所述第二周界中的第二资源的访问，以及

当访问被禁止时，防止所述第一周界中的第一资源对所述第二周界中的第二资源的访问。

2.根据权利要求1所述的方法，其中，所述第一资源包括以下至少一项：第一文件系统资源、第一网络连接简档、第一虚拟私有网络“VPN”配置、第一应用、第一设备配置、第一应用配置、或第一加密证书，以及所述第二资源包括以下至少一项：第二文件系统资源、第二网络连接简档、第二虚拟私有网络“VPN”配置、第二应用、第二设备配置、第二应用配置、或第二加密证书。

3.根据权利要求1所述的方法，还包括：

接收用于许可对向所述第二周界指派的资源进行管理访问的请求，其中，所述请求标识了管理员；

确定所标识的管理员不同于向所述第二周界指派的管理员；以及

禁止对向所述第二周界指派的资源的管理访问。

4.根据权利要求1所述的方法，其中，所述第二资源包括应用、加密数据、或网络中的至少一项。

5.根据权利要求1所述的方法，其中，所述设备包括平板计算机。

6.根据权利要求1所述的方法，其中，基于所述第一管理策略来确定是否禁止访问所述第二资源包括：

确定所述第一管理策略许可用户仅访问所述第一周界中的资源；以及

响应于所述确定，禁止访问所述第二周界的所述第二资源。

7.根据权利要求1所述的方法，其中，所述第一周界包括个人周界，以及所述第二周界包括公司周界。

8.根据权利要求1所述的方法，其中，企业被许可对所述第一周界中的第一资源的管理访问，以及用户被许可对所述第二周界中的第二资源的管理访问。

9.根据权利要求1所述的方法，其中，所述第一管理策略包括个人管理策略，以及所述第二管理策略包括公司管理策略。

10.根据权利要求1所述的方法，还包括：

通过用户输入来接收所述第一管理策略中的至少一个访问设置的配置。

11.根据权利要求1所述的方法，还包括：

从公司管理员接收所述第二管理策略中的至少一个访问设置的配置。

12.根据权利要求1所述的方法，其中，所述第二资源包括：与公司消息传递账户、公司日历账户或公司联系人数据库中的至少一个相关联的数据。

13.一种用于管理跨周界访问的设备，包括：

第一资源；

第二资源；

第一周界，所述第一资源和第一管理策略被指派给所述第一周界，所述第一管理策略定义了用于访问向第二周界指派的包括所述第二资源在内的资源的一个或多个规则；

所述第二周界，所述第二资源和第二管理策略被指派给所述第二周界，所述第二管理策略定义了用于允许访问向所述第二周界指派的包括所述第二资源在内的资源的一个或多个规则；以及

一个或多个处理器，用于：

从向所述第一周界指派的所述第一资源接收对访问向不同于所述第一周界的所述第二周界指派的所述第二资源的请求，其中，所述用于管理跨周界访问的设备包括所述第一周界、所述第一资源、所述第二周界、和所述第二资源；

标识针对所述第一周界的第一管理策略和针对所述第二周界的第二管理策略；以及

基于针对所述第一周界的第一管理策略和针对所述第二周界的第二管理策略来确定是否禁止访问所述第二资源，其中所述确定包括：

将所述第一管理策略的一个或多个规则与所述第二管理策略的一个或多个规则进行比较；

确定哪个策略更加严格；以及

基于更加严格的策略来确定是否禁止对所述第二资源的访问，

当访问被许可时，使得所述第一周界中的第一资源实现了对所述第二周界中的第二资源的访问，以及

当访问被禁止时，防止所述第一周界中的第一资源对所述第二周界中的第二资源的访问。

14.根据权利要求13所述的用于管理跨周界访问的设备，其中，所述第一资源包括以下至少一项：第一文件系统资源、第一网络连接简档、第一虚拟私有网络“VPN”配置、第一应用、第一设备配置、第一应用配置、或第一加密证书，以及所述第二资源包括以下至少一项：第二文件系统资源、第二网络连接简档、第二虚拟私有网络“VPN”配置、第二应用、第二设备配置、第二应用配置、或第二加密证书。

15.根据权利要求13所述的用于管理跨周界访问的设备，所述一个或多个处理器还用于：

接收用于许可对向所述第二周界指派的资源进行管理访问的请求，其中，所述请求标识了管理员；

确定所标识的管理员不同于向所述第二周界指派的管理员；以及

禁止对向所述第二周界指派的资源的管理访问。

16.根据权利要求13所述的用于管理跨周界访问的设备，其中，所述第二资源包括应用、加密数据、或网络中的至少一项。

17.根据权利要求13所述的用于管理跨周界访问的设备，其中，所述用于管理跨周界访问的设备包括平板计算机。

18.根据权利要求13所述的用于管理跨周界访问的设备，其中，所述一个或多个处理器用于基于所述第一管理策略来确定是否禁止对所述第二资源的访问包括所述一个或多个处理器用于：

基于所述第一管理策略来确定所述第一管理策略许可用户仅访问所述第一周界中的第一资源；以及

响应于所述确定，禁止访问所述第二周界中的所述第二资源。

19.一种存储有指令的计算机可读存储介质，所述指令在由一个或多个处理器执行时使得所述一个或多个处理器执行以下操作：

从向设备的第一周界指派的第一资源接收对访问向所述设备的不同于所述第一周界的第二周界指派的第二资源的请求，其中，所述设备包括所述第一周界、所述第一资源、所述第二周界和所述第二资源，以及其中，所述第一资源与所述第二资源是逻辑分隔的，并且基于一个或多个管理策略来确定所述第一资源与所述第二资源之间的访问；

标识针对所述第一周界的第一管理策略和针对所述第二周界的第二管理策略；以及

基于针对所述第一周界的第一管理策略和针对所述第二周界的第二管理策略来确定是否禁止访问所述第二资源，所述第一管理策略针对所述第一资源定义了用于访问向所述第二周界指派的包括所述第二资源在内的资源的一个或多个规则，以及

所述第二管理策略针对所述第二资源定义了用于允许访问向所述第二周界指派的包括所述第二资源在内的资源的一个或多个规则，以及所述确定包括：

将所述第一管理策略的一个或多个第一规则与所述第二管理策略的一个或多个规则进行比较；

确定哪个策略更加严格；以及

基于更加严格的策略来确定是否禁止对所述第二资源的访问，

当访问被许可时，使得所述第一周界中的第一资源实现了对所述第二周界中的第二资源的访问，以及

当访问被禁止时，防止所述第一周界中的第一资源对所述第二周界中的第二资源的访问。

20.根据权利要求19所述的计算机可读存储介质，其中，所述第一资源包括以下至少一项：第一文件系统资源、第一网络连接简档、第一虚拟私有网络“VPN”配置、第一应用、第一设备配置、第一应用配置、或第一加密证书，以及所述多个资源包括以下至少一项：第二文件系统资源、第二网络连接简档、第二虚拟私有网络“VPN”配置、第二应用、第二设备配置、第二应用配置、或第二加密证书。

21.根据权利要求19所述的计算机可读存储介质，所述操作还包括：

接收用于许可对向所述第二周界指派的资源进行管理访问的请求，其中，所述请求标识了管理员；

确定所标识的管理员不同于向所述第二周界指派的管理员；以及

禁止对向所述第二周界指派的资源的管理访问。

22.根据权利要求19所述的计算机可读存储介质，其中，所述第二资源包括应用、加密数据、或网络中的至少一项。

23.根据权利要求19所述的计算机可读存储介质，其中，所述设备包括平板计算机。

24.根据权利要求19所述的计算机可读存储介质，其中，包括基于所述第一管理策略来确定是否禁止访问所述第二资源在内的操作包含包括以下各项的操作：

确定所述第一管理策略许可用户仅访问所述第一周界中的资源；以及

响应于所述确定，禁止访问所述第二周界的所述第二资源。