CN104272293A - 针对计算设备的远程企业策略/客户端配置安装 - Google Patents

Abstract

提供了用于针对客户端计算设备进行远程企业策略/客户端配置安装的系统和方法。在一些方面，一种方法包括在客户端计算设备上经由网络接收包括与操作系统相关联的所更新的企业策略/客户端配置的消息以及签名。该签名识别该消息的源。该方法还包括基于该签名对该消息进行认证。该方法还包括安装所更新的企业策略/客户端配置。企业策略/客户端配置的至少第一部分被配置为在没有经由网络接收到该消息的情况下不可更新。

Description

针对计算设备的远程企业策略/客户端配置安装

相关申请的交叉引用

本申请根据35U.S.C.§119要求于2012年2月29日提交的题为“REMOTE ENTERPRISE POLICY/CLIENT CONFIGURATIONINSTALLATION FOR COMPUTING DEVICE”的美国临时专利申请序列号61/605,141的优先权，其公开通过引用全文结合于此用于所有目的。

技术领域

该主题技术一般地涉及计算机操作系统，更具体地涉及针对计算设备的远程企业策略/客户端配置安装。

背景技术

企业计算设备经常包括本地用户模式和本地管理员模式。本地用户模式允许用户在计算设备的操作系统内运行软件。本地管理员模式允许管理员用户对计算设备上的操作系统设置和配置进行调整。在许多操作系统设计中，本地管理员模式可能是必要的并且可能不可以从计算设备去除。这种方案的一个缺陷在于计算设备的用户可以作为管理员进行登录并且无意或恶意地破坏计算设备的操作系统设置或配置。而且，如果例如处于企业设置的多台计算设备需要进行管理，则管理员可能需要记住或以其它方式维护多个登录标识符和/或密码以便管理所有设备。可替换地，管理员能够针对所有设备维护单个登录标识符和密码。然而，后面的方案可能导致在另一人员了解到管理员的登录标识符和密码的情况下所有设备都受到威胁。如之前所阐述的，可能期望一种用于对企业计算设备进行管理的更为安全且在计算设备上需要较少存储器的方法。

发明内容

所公开的主题涉及一种计算设备。该计算设备包括操作系统企业控制模块。该操作系统企业控制模块被配置为经由网络接收包括与操作系统相关联的更新的企业策略/客户端配置的消息以及签名。该操作系统企业控制模块还被配置为基于该签名对该消息进行认证。该操作系统企业控制模块还被配置为安装该更新的企业策略/客户端配置。企业策略/客户端配置的至少第一部分被配置为在没有经由网络接收到该消息的情况下不可更新。

所公开的主题进一步涉及一种计算机实现的用于客户端计算设备的管理的方法。该方法包括在服务器上接收与多个客户端计算设备的操作系统相关联的更新的企业策略/客户端配置。该多个客户端计算设备的操作系统被配置为在不访问网络的情况下放弃对与操作系统相关联的企业策略/客户端配置的至少一部分进行更新。该方法还包括创建包括更新的企业策略/客户端配置的消息以及用于对该消息进行认证的签名。该方法还包括经由网络将该消息传送至多个客户端计算设备的至少子集。该消息用于对多个客户端计算设备的至少该子集上的企业策略/客户端配置进行更新。

所公开的主题进一步涉及一种计算机实现的用于客户端计算设备的管理的方法。该方法包括在客户端计算设备上经由网络接收包括与操作系统相关联的更新的企业策略/客户端配置的消息以及签名。该签名识别该消息的源。该方法还包括基于该签名对该消息进行认证。该方法还包括安装该更新的企业策略/客户端配置。企业策略/客户端配置的至少第一部分被配置为在没有经由网络接收到该消息的情况下不可更新。

所公开的主题进一步涉及一种非瞬时的计算机可读介质。该计算机可读介质包括指令，当被计算机执行时，该指令使得该计算机实现一种用于计算机管理的方法。该指令包括用于经由网络接收包括与该计算机的操作系统相关联的更新的企业策略/客户端配置的消息的代码。该指令还包括用于对该消息进行认证的代码。该指令还包括用于安装该更新的企业策略/客户端配置的代码。企业策略/客户端配置的至少一部分被配置为在没有经由网络接收到该消息的情况下不可更新。

所要理解的是，主题技术的其它配置将通过以下详细描述而对于本领域技术人员是显而易见的，其中该主题技术的各种配置通过图示被示出并描述。如将会意识到的，该主题技术支持其它且不同的配置并且其若干细节能够在各个其它方面进行修改，所有这些都不背离该主题技术的范围。因此，附图和详细描述在本质上要被视为是说明性而非限制性的。

附图说明

该主题技术的特征在所附权利要求中给出。然而，出于解释的目的，所公开的主题的若干方面在以下附图中给出。

图1图示了被配置为针对客户端计算设备提供远程企业策略/客户端配置安装的计算机系统的示例。

图2更为详细地图示了图1的服务器的示例。

图3更为详细地图示了图1的客户端计算设备的示例。

图4图示了服务器可以通过其针对客户端计算设备提供远程企业策略/客户端配置安装的示例过程。

图5图示了客户端计算设备可以通过其安装企业策略/客户端配置的示例过程。

图6在概念上图示了可以利用来实现该主题技术的一些实施方式的示例电子系统。

具体实施方式

以下所给出的详细描述意在作为对主题技术的各种配置的描述而并非意在表示该主题技术可以进行实践的仅有配置。附图被结合于此并且构成该详细描述的一部分。该详细描述出于提供对主题技术的全面理解的目的而包括具体细节。然而，对于本领域技术人员将会清楚并显而易见的是，该主题技术不限于这里所给出的具体细节并且可以在没有这些具体细节的情况下进行实践。在一些情况下，公知结构和组件以框图形式示出以免对主题技术的概念造成混淆。

该主题技术涉及用于针对客户端计算设备的远程企业策略/客户端配置安装的技术。在一个实施方式中，客户端计算设备包括操作系统，其被配置为在没有访问网络的情况下放弃对与操作系统相关联的企业策略/客户端配置的至少一部分进行更新。换句话说，企业策略/客户端配置的该部分可以仅经由经网络接收的消息、经由重新安装操作系统或者经由安装新的操作系统以替换客户端计算设备的现有操作系统被更新。企业策略/客户端配置可以包括操作系统软件、针对操作系统的企业设置、针对操作系统的登录策略、网络设置、针对操作系统的用户账户设置、与浏览器相关联的浏览器设置或者操作系统设置中的一个或多个。示例的操作系统设置可以包括网络设置、输入设备(例如，轨迹板或键盘)设置、操作系统行为设置(例如，有关登出的操作系统行为、数据擦除设置、数据日志记录设置或数据日志报告设置)。操作系统行为设置可针对机器或者机器上的个体用户账户进行应用。数据日志报告设置可以是指将数据日志报告回在客户端计算设备之外的设备。

客户端计算设备还可以包括在操作系统内运行的操作系统企业控制模块。该操作系统企业控制模块可以被配置为经由网络接收包括与客户端计算设备的操作系统相关联的更新的企业策略/客户端配置的消息以及与受信任服务相关联的签名。该操作系统企业控制模块可以被配置为基于该签名对该消息进行认证，例如通过验证该签名与受信任服务相关联。基于对该消息进行认证，该操作系统企业控制模块可以被配置为在客户端计算设备上安装该更新的企业策略/客户端配置。客户端计算设备还可以包括在操作系统内运行的用户模式模块。该用户模式模块可以被配置为接收用户输入并且响应于该用户输入在操作系统内执行软件程序。

有利地，客户端计算设备可以缺少本地管理员模式模块，其被配置为在不访问网络的情况下更新操作系统。结果，计算设备的用户可能无法作为管理器进行登录或者无意或恶意地破坏企业策略/客户端配置或者计算设备的配置。此外，企业管理员(公司或大学中的网络或信息技术管理员)可以同时作为多个远程计算设备的管理员或所有者。企业管理员可以管理或控制多个远程客户端计算设备上的策略设置。企业管理员可能无需针对多个远程计算设备中的每一个都具有登录凭证并且可以从连接至网络的管理员客户端机器或者从管理员web控制台同时管理多个远程计算设备中的数个。登录凭证可以包括登录标识符、密码、令牌(例如，第二因数认证令牌)、证书(例如，客户端证书)、与指纹相关的信息、与智能卡相关的信息或者与图像相关联的信息中的一个或多个。

图1图示了计算机系统100的示例，其被配置为针对客户端计算设备提供远程企业策略/客户端配置安装。

如所示出的，计算机系统100包括管理员客户端110、服务器120以及客户端计算设备140.1、140.2和140.3。虽然图示了三个客户端计算设备，但是该主题技术可以利用任意数量的客户端计算设备140来实现，例如一个、两个、三个、四个、五个或多于五个。管理员客户端110、服务器130和客户端计算设备140可以经由例如互联网或蜂窝网络的网络140互相通信。在可替换实施方式中，在管理员客户端110和服务器130之间或者服务器130和一个或多个客户端计算设备140之间可能存在有线或一对一连接而不是网络连接。在一个示例中，单个机器可以实现管理员客户端110和服务器130二者的功能。管理员客户端110可以是企业管理员客户端。服务器130可以是企业服务器。客户端计算设备140可以是发放给例如企业雇员的企业用户的企业客户端计算设备。

管理员客户端110可以包括处理器和存储器。该处理器可以被配置为执行存储在例如存储器的计算机可读介质中的计算机指令。该处理器可以是中央处理单元(CPU)。该存储器可以存储指令，当被执行时，该指令允许例如企业管理员或者一个或多个客户端计算设备140的管理员针对一个或多个客户端计算设备140输入新的企业策略/客户端配置。该新的企业策略/客户端配置可以被转发至服务器130以便进一步进行处理。虽然图1中仅图示了单个管理员客户端110，但是该主题技术可以利用一个或多个管理员客户端110来实现，例如，在具有多个网络管理员或信息技术管理员的企业设置中实现。

在一个示例中，多个管理员中的每一个可以具有其自己的用于登录到管理员客户端110中并提供新的企业策略/客户端配置的登录凭证。结果，可以在(多个)管理员客户端110而不是由(多个)管理员管理的(多个)客户端计算设备上创建多个管理员账户(例如，企业的每个管理员一个账户)。在另一个示例中，管理员客户端可以被配置为访问管理员web控制台，并且多个管理员中的每一个可以具有其自己的登录凭证以登录到该管理员web控制台。结果，管理员web控制台而不是管理员客户端110可以被用来提供新的企业策略/客户端配置。而且，管理员可以从任意计算设备而不必是管理员客户端110来访问管理员web控制台。登录凭证可以包括登录标识符、密码、令牌(例如，第二因数认证令牌)、证书(例如，客户端证书)、与指纹相关的信息、与智能卡相关的信息或者与图像相关的信息中的一个或多个。

网络120可以是允许多个设备互相通信的任意网络。例如，网络可以包括互联网、蜂窝网络、WiFi网络、局域网(LAN)、广域网(WAN)或者任意其它已知网络。在可替换的实施方式中，管理员客户端110和服务器130之间的连接或者服务器130和一个或多个客户端计算设备140之间的连接可以经由直接有线连接或无线连接来实现，例如经由一对一或主/从线缆连接或者一对一或主/从蓝牙连接来实现。

服务器130可以是企业服务器，其被配置为从管理员客户端110或者从管理员web控制台接收新的企业策略/客户端配置，并且将该新的企业策略/客户端配置安全转发至一个或多个客户端计算设备140。如这里所使用的，术语“企业”涵盖了其普通且常规的含义，包括但并不限于可以对多个客户端计算设备实施控制的实体。该实体可以包括企业、公司、大学、政府组织、研究机构、志愿者团体等中的一个或多个。多个计算设备可以与实体的雇员、实体的学生、实体的教员或者实体的志愿者中的一个或多个相关联。服务器140在下文结合图2进行更为详细的描述。实体可以具有可以推送策略的单个站点或多个站点。如果存在多个站点，则该多个站点中的每一个可以包括相同的企业策略/客户端配置或不同的企业策略/客户端配置。而且，实体可以包括子实体(例如，组织内的单位)，其具有对于每个子实体而言唯一的一些企业策略/客户端配置，以及所有子实体共用的一些企业策略/客户端配置。

每个客户端计算设备140可以是企业客户端计算设备并且可以运行标准版本的操作系统或企业版本的操作系统。客户端计算设备140可以被配置为从服务器(例如，服务器130)接收新的企业策略/客户端配置，对该企业策略/客户端配置进行认证，并且安装该新的企业策略/客户端配置。客户端计算设备140在下文中结合图3进行更为详细的描述。

图2更为详细地图示了服务器130的示例。

如所示出的，服务器130包括处理器202、网络接口204和存储器206。处理器202被配置为执行存储在例如存储器206的计算机可读介质中的计算机指令。处理器202可以是中央处理单元(CPU)。网络接口204被配置为允许服务器130在例如网络120的网络中传送和接收数据。网络接口204可以包括一个或多个网络接口卡(NIC)。存储器206被配置为存储数据或指令。如所图示的，存储器206包括消息208。

消息208可以在服务器130上生成并且可以由服务器130传送至一个或多个客户端计算设备140。在一个实施方式中，消息208可以被传送至多个客户端计算设备。如所示出的，该消息包括新的企业策略/客户端配置210和签名212。如这里所使用的，术语“软件”涵盖了其普通且常规的含义，包括但并不限于电子存储或者被配置为电子存储的指令或数据。

新的企业策略/客户端配置210可以由服务器130从管理员客户端110或管理员web控制台接收。新的企业策略/客户端配置210可以与一个或多个客户端计算设备140的操作系统相关联。新的企业策略/客户端配置210可以包括用于客户端计算设备的操作系统的一个或多个操作系统软件、针对操作系统的更新、针对操作系统的更新的企业设置、针对操作系统的更新的登录策略、针对操作系统的更新的用户账户设置或者被配置为在操作系统内执行的应用。新的企业策略/客户端配置210可以仅包括新的企业策略或者仅包括新的客户端配置。新的企业策略/客户端配置可以包括单个数据项或多个数据项。新的企业策略/客户端配置210可以包括与浏览器相关联的浏览器设置。新的企业策略/客户端配置210可以从服务器130传送至客户端计算设备140以便在客户端计算设备140上进行安装。

签名212可以将服务器130或另一受信任机器识别为消息208和新的企业策略/客户端配置210的源。签名212可以以确保仅服务器130或者另一受信任机器可以利用签名212签署消息(例如，消息208)的方式进行配置或存储。

在一个实施方式中，服务器130可以被实现为两台服务器，更新服务器和企业服务器。更新服务器和企业服务器中的每一个可以被实现为具有单个处理器的单台机器、具有多个处理器的单台机器，或者被实现为包括具有多个处理器的多台机器的服务器组。更新服务器可以向客户端计算设备140提供包括新的企业策略/客户端配置210的消息208。企业服务器可以包括(从一个或多个可用的新的企业策略/客户端配置中)选择可以向客户端计算设备140发送的新的企业策略/客户端配置210的逻辑。在一个示例中，包括新的企业策略/客户端配置210的消息208可以经由企业服务器从更新服务器传送至客户端计算设备130。企业服务器可以将客户端计算设备130指向(除了来自更新服务器的数据之外)更新有效载荷以便对客户端计算设备130以及已经加入到企业服务器的企业策略/客户端配置更新服务中的其它机器进行更新。

图3更为详细地图示了客户端计算设备140的示例。

如所示出的，客户端计算设备140包括处理器302、网络接口304和存储器306。处理器302被配置为执行存储在例如存储器306的计算机可读介质中的计算机指令。处理器302可以是中央处理单元(CPU)。网络接口304被配置为允许客户端计算设备140在例如网络120的网络中传送和接收数据。网络接口304可以包括一个或多个网络接口卡(NIC)。存储器206被配置为存储数据或指令。如所图示的，存储器306包括操作系统308、操作系统设置更新模块314和用户模式模块316。

操作系统308可以包括对客户端计算设备140的例如处理器302的硬件进行管理并且允许应用在操作系统308内执行的程序集合。如所示出的，操作系统308包括企业策略/客户端配置310。操作系统308可以被配置为在不访问例如网络120的网络的情况下放弃对与操作系统308相关联的企业策略/客户端配置310的至少一部分进行更新。在一个实施方式中，操作系统308可以被配置为仅经由经网络(例如，网络120)接收的消息(例如，消息208)、经由重新安装操作系统308或者经由安装新的操作系统以替换操作系统308对企业策略/客户端配置310的至少该部分进行更新。

企业策略/客户端配置310可以包括操作系统设置、针对操作系统的企业设置、针对操作系统的登录策略、针对操作系统的用户账户设置或者应用中的一个或多个。企业策略/客户端配置310可以包括与浏览器相关联的浏览器设置。企业策略/客户端配置310可以包括所存储的密钥312，例如用于客户端计算设备140的公钥。在一个实施方式中，所存储的密钥312可以被用来将消息208的签名212验证为来自于服务器130或另一受信任机器。

如所示出的，客户端计算设备140的存储器306还包括操作系统企业控制模块314。操作系统企业控制模块314可以例如经由网络120从服务器130接收包括新的企业策略/客户端配置210以及服务器130的签名212的消息208。操作系统企业控制模块314可以基于消息208中的签名212而将消息208认证为来自于服务器130或另一受信任机器。在一个示例中，所存储的密钥312可以被用来将消息208的签名212验证为来自于服务器130或另一受信任机器。基于对消息208的成功认证，操作系统企业控制模块314可以被配置为将新的企业策略/客户端配置210安装到客户端计算设备140的企业策略/客户端配置310中。例如，操作系统企业控制模块314可以基于新的企业策略/客户端配置210对企业策略/客户端配置310进行更新。

客户端计算设备140的存储器306还可以包括用户模式模块316。用户模式模块316可以被配置为例如从客户端计算设备140的终端用户接收用户输入，其请求执行操作系统内的软件程序或应用。用户模式模块316也可以被配置为执行操作系统内的软件程序或应用。操作系统企业控制模块314可以与用户模式模块316分立和不同。在一个示例中，用户模式模块316被配置为对企业策略/客户端配置的至少一部分进行更新，该部分不同于由操作系统企业控制模块314更新的企业策略/客户端配置的部分。在另一个示例中，用户模式模块316不被配置为对企业策略/客户端配置的一部分进行更新。

有利地，客户端计算设备140可以缺少被配置为在不访问网络(例如，网络120)的情况下更新企业策略/客户端配置310的管理员模式模块。结果，可以节省客户端计算设备140上的存储器空间，并且计算设备的用户可以不能作为管理员登录并且无意或恶意地破坏企业策略/客户端配置310或客户端计算设备140的配置。

在可替换示例中，客户端计算设备140可以包括管理员模式模块。该管理员模式模块可以存储在客户端计算设备140上并且与客户端计算设备140的操作系统308相耦合。企业策略/客户端配置310的一部分可以由客户端计算设备140的本地用户经由管理员模式模块进行更新，而客户端计算设备140的企业策略/客户端配置310的另一部分可以经由操作系统企业控制模块314的操作进行更新。管理员模式模块可以在访问或不访问网络(例如，网络120)的情况下更新企业策略/客户端配置310。企业策略/客户端配置310中通过管理员模式进行更新的部分可以与企业策略/客户端配置310中由操作系统企业控制模块314更新的部分分立和不同。特别地，企业策略/客户端配置310中由操作系统企业控制模块314更新的部分可以包括系统日志设置和安全设置，而企业策略/客户端配置310中通过管理员模式更新的部分可以不包括系统日志设置和安全设置。在一个示例中，企业管理员(例如，经由管理员客户端110或经由管理员web控制台)可以选择企业策略/客户端配置310中可以由本地用户更新的部分以及企业策略/客户端配置310中可以经由操作系统企业控制模块的操作更新的部分。

在企业实施方式中，在针对企业客户端计算设备140创建操作系统企业控制模块314时，企业可以无需明确控制哪些企业策略/客户端配置310能够通过管理员模式进行管理，并且企业可以无需使得管理员模式失能。相反，与企业相关联或企业感兴趣的企业策略/客户端配置310(例如，防病毒设置、网络设置、操作系统版本信息等)可以经由操作系统企业控制模块314进行更新。可替换地，所有企业策略/客户端配置310都可以经由操作系统企业控制模块314进行更新。

在一个实施方式中，客户端计算设备140可以包括安全可锁定存储模块。该安全可锁定存储模块可以指示用于对客户端计算设备140的企业策略/客户端配置310进行更新的企业配置。该安全可锁定存储模块可以不被配置为除非客户端计算设备140的操作系统308被重置或替换否则不重置。企业配置可以与企业、公司、雇主、大学等的一个或多个相关联。该安全可锁定存储模块可以包括企业配置信息并且可以确保该企业被认为是该设备的所有者或管理员。如这里所使用的，术语“所有者”和“管理员”涵盖了其普通且常规的含义，包括但并不限于被授权更新或修改设备上的企业策略/客户端配置的实体。在一个实施方式中，该安全可锁定存储模块以使得该安全可锁定存储模块无法在客户端计算设备130上的操作系统308被重置或修改的情况下(例如，如果用户在客户端计算设备130上安装了不同于操作系统308的新操作系统)不被重置或修改的方式进行配置。

图4图示了服务器可以针对客户端计算设备提供远程企业策略/客户端配置安装的示例性过程400。

过程400在步骤410开始，其中服务器(例如，服务器130)接收(例如，从管理员客户端110或者从管理员web控制台)与多个客户端计算设备(例如，客户端计算设备140)的操作系统相关联的更新的企业策略/客户端配置。多个客户端计算设备的操作系统可以被配置为在不访问网络(例如，网络120)的情况下放弃对与操作系统相关联的企业策略/客户端配置中的至少一部分进行更新。所更新的企业策略/客户端配置可以包括更新的操作系统设置、新的操作系统设置、针对操作系统的更新、针对操作系统的更新的企业设置、针对操作系统的更新的登录策略、针对操作系统的更新的用户账户设置、或者与浏览器相关联的浏览器设置、更新的引用或新的应用中的一个或多个。与多个客户端计算设备的操作系统相关联的企业策略/客户端配置可以包括针对操作系统的企业设置、针对操作系统的登录策略、针对操作系统的用户账户设置或者与浏览器相关联的浏览器设置中的一个或多个。

在一个示例中，为了连接至服务器，管理员客户端或管理员web控制台的用户可能需要提供登录凭证。该登录凭证可以包括登录标识符、密码、令牌(例如，第二因数认证令牌)、证书(例如，客户端证书)、与指纹相关的信息、与智能卡相关的信息或者与图像相关联的信息中的一个或多个。响应于接收到从管理员客户端或管理员web控制台提供的登录凭证，服务器可以对该登录凭证进行验证。验证登录凭证可以包括验证登录凭证内的登录标识符是所存储的登录标识符集合的成员。所存储的登录标识符集合可以包括多个登录标识符。该登录凭证可以与管理员客户端或管理员web控制台的用户相关联，并且登录凭证可以不与任何待管理的计算设备(例如，客户端计算设备140)相关联。如果登录凭证并未获得验证，则过程400可以结束。然而，如果登录凭证获得验证，则过程400可以继续至步骤420。

在步骤420，服务器可以创建包括更新的企业策略/客户端配置的消息以及用于对该消息进行认证的签名。该签名可以被配置为将与服务器相关联的服务识别为该消息的源。该服务可以包括服务器和其它受信任机器。该服务器可以通过例如统一资源定位符(URL)的统一资源指示符(URI)进行识别。

在步骤430，服务器经由网络向多个客户端计算设备的至少子集发送该消息。在一个示例中，服务器可以响应于验证了管理员客户端或管理员web控制台的用户的登录凭证而传送该消息。该消息可以用于对多个客户端计算设备中的至少该子集上的企业策略/客户端配置进行更新(例如，用于对接收到该消息的客户端计算设备上的企业策略/客户端配置进行更新)。多个客户端计算设备中的该子集可以包括多个客户端计算设备中的全部或一部分。该子集可以包括一个、两个、三个、四个、五个或者多于五个的客户端计算设备。在步骤430之后，过程400结束。

图5图示了客户端计算设备可以安装企业策略/客户端配置的示例过程500。

在步骤510，客户端计算设备(例如，客户端计算设备140)经由网络(例如，网络120)接收包括与操作系统(例如，客户端计算设备的操作系统)相关联的更新的企业策略/客户端配置以及签名的消息。该签名可以识别该消息的源。该更新的企业策略/客户端配置可以包括一个或多个更新的操作系统设置或操作系统内执行的更新应用。更新的操作系统设置可以包括针对操作系统的更新、针对操作系统的更新的企业设置、针对操作系统的更新的登录策略、针对操作系统的更新的用户账户设置或者与浏览器相关联的更新的浏览器设置。

在步骤520，客户端计算设备基于该签名对该消息进行认证。如果客户端计算设备成功认证了该消息，则过程500可以继续进行至步骤530。然而，如果客户端计算设备无法认证该消息，则过程500可以结束并且放弃继续进行至步骤530。客户端计算设备可以通过基于所存储的密钥验证该签名而对该消息进行认证。所存储的密钥可以存储在客户端计算设备的存储器中。更新的企业策略/客户端配置可以包括针对所存储的密钥的更新。

该客户端计算设备可以通过验证该消息的源是受信任源集合中的成员而认证该消息。该消息的源可以通过例如统一资源定位符(URL)的统一资源指示符(URI)进行识别。如果该消息的源是受信任源集合的成员，则客户端计算设备可以根据步骤530安装该消息中的更新的企业策略/客户端配置。然而，如果该消息的源不是受信任源集合的成员，则客户端计算设备可以放弃根据步骤530安装该更新的企业策略/客户端配置。

在步骤530，客户端计算设备安装该更新的企业策略/客户端配置。操作系统可以被配置为在不访问网络的情况下放弃对与该操作系统相关联的企业策略/客户端配置的至少一部分进行更新。企业策略/客户端配置的该部分，或者在一种实施方式中的企业策略/客户端配置的全部，可以被配置为仅经由经网络接收的消息、经由重新安装操作系统或者经由安装新的操作系统进行更新。与操作系统相关联的企业策略/客户端配置可以包括针对操作系统的企业设置、针对操作系统的登录策略、针对操作系统的用户账户设置或者与浏览器相关联的浏览器设置中的一个或多个。在步骤530之后，该过程500结束。

图6在概念上图示了利用来实现该主题技术的一些实施方式的电子系统600。例如，管理员客户端110、服务器130或客户端计算设备140中的一个或多个可以使用电子系统600的部署来实现。电子系统600可以是计算机(例如，移动电话、PDA)或者任意其它类型的电子设备。这样的电子系统包括各种类型的计算机可读介质以及用于各种其它类型的计算机可读介质的接口。电子系统600包括总线605、(多个)处理单元610、系统存储器615、只读存储器620、持久性存储设备625、输入设备接口630、输出设备接口635和网络接口640。

总线605总体上表示将电子系统600的多个内部设备进行通信连接的所有系统、外围和芯片组总线。例如，总线605将(多个)处理单元610与只读存储器620、系统存储器615和持久性存储设备625进行连接。

从这些各种存储器单元，(多个)处理单元610获取用于执行的指令以及用于处理的数据以便执行该主题技术的过程。(多个)处理单元在不同实施方式中可以是单个处理器或多核处理器。

只读存储器(ROM)620存储(多个)处理单元610和电子系统的其它模块所需的静态数据和指令。另一方面，持久性存储设备625是读写存储器设备。该设备是即使电子系统600关机时也存储指令和数据的非易失性存储器。该主题技术的一些实施方式使用大容量存储设备(例如，磁盘或光盘及其相对应的盘驱动器)作为持久性存储设备625。

其它实施方式使用可移动存储设备(例如，软盘、闪存及其相对应的盘驱动器)作为持久性存储设备625。与持久性存储设备625相同，系统存储器615是读写存储器设备。然而，不同于存储设备625，系统存储器615是易失性读写存储器，诸如随机存取存储器。系统存储器615存储处理器在运行时所需的一些指令和数据。在一些实施方式中，该主题技术的过程被存储在系统存储器615、持久性存储设备625或只读存储器620中。例如，各种存储器单元包括依据一些实施方式的针对客户端计算设备的远程企业策略/客户端配置安装的指令。从这些各种存储器单元，(多个)处理单元获取用于执行的指令和用于处理的数据以便执行一些实施方式的过程。

总线605还连接至输入和输出设备接口630和635。输入设备接口630使得用户能够针对电子系统传输信息并选择命令。随输入设备接口630使用的输入设备例如包括字母数字键盘和指示设备(所谓的“光标控制设备”)。输出设备接口635例如使得能够对电子系统600生成的图像进行显示。随输出设备接口635使用的输出设备例如包括打印机和显示设备，例如阴极射线管(CRT)或液晶显示器(LCD)。一些实施方式包括例如触摸屏的用作输入和输出设备两者的设备。

最后，如图6所示，总线605还通过网络接口640将电子系统600耦合至网络(未示出)。以这种方式，电子系统600可以是计算机网络(例如，局域网(LAN)、广域网(WAN)或企业内部网，例如互联网之类的网络中的网络)的一部分。电子系统600的任意或全部组件都能够结合该主题技术使用。

以上所描述的特征和应用可以被实施为软件过程，其被指定为记录于计算机可读存储介质(也被称作计算机可读介质)上的指令集合。当这些指令被一个或多个处理单元(例如，一个或多个处理器、处理器核心或其它处理单元)执行时，它们使得(多个)处理器单元执行该指令中所指示的动作。计算机可读介质的示例包括但并不限于CD-ROM、闪存驱动、RAM芯片、硬盘、EPROM等。计算机可读介质不包括通过无线或有线连接进行输送的载波和电子信号。

在该说明书中，术语“软件”意在包括驻留于只读存储器中的固件或者存储在例如固态驱动的磁性存储或闪存中的应用，它们能够被读入存储器以便由处理器进行处理。而且，在一些实施方式中，多种软件技术能够被实现为较大程序的子部分而同时保持为不同的软件技术。在一些实施方式中，多种软件技术也能够被实现为单独程序。最后，共同实现这里所描述的软件技术的单独程序的任意组合处于该主题技术的范围之内。在一些实施方式中，当被安装以在一个或多个电子系统上进行操作时，软件程序定义执行和运行该软件程序的操作的一个或多个具体的机器实施方式。

计算机程序(也被称作程序、软件、软件应用、脚本或代码)能够以任意形式的编程语言进行编写，包括编译或解释语言、声明或过程语言，并且其能够以任意形式进行部署，包括作为独立程序或者作为适于在计算环境中使用的模块、组件、子程序、对象或其它单元。计算机程序可以对应于文件系统中的文件，但是并非需要如此。程序能够被存储在保存其它程序或数据(例如，标记语言文档中所存储的一个或多个脚本)的文件的一部分中，存储在专用于所讨论的程序的单个文件中，或者存储在多个协同文件中(例如，存储一个或多个模块、子程序或代码部分的文件)。计算机程序可以被部署为在一台计算机或多台计算机上执行，该多台计算机位于一个地点或者跨多个地点分布并且通过通信网络进行互连。

以上所描述的这些功能能够以数字电子电路、计算机软件、固件或硬件来实施。该技术能够使用一个或多个计算机程序产品来实现。可编程处理器和计算机可以包括在移动设备中或者被封装为移动设备。过程和逻辑流能够由一个或多个可编程处理器以及一个或多个可编程逻辑电路来执行。通用和专用计算设备和存储设备可以通过通信网络进行互连。

一些实施方式包括电子组件，例如微处理器、在机器可读或计算机可读介质中(可替换地称作计算机可读存储介质、机器可读介质或机器可读存储介质)存储计算机程序指令的存储和存储器。这样的计算机可读介质的一些示例包括RAM、ROM、只读紧凑盘(CD-ROM)、可记录紧凑盘(CD-R)、可重写紧凑盘(CD-RW)、只读数字多功能盘(例如，DVD-ROM、双层DVD-ROM)、各种可记录/可重写DVD(例如，DVD-RAM、DVD-RW、DVD+RW等)、闪存(例如，SD卡、mini-SD卡、micro-SC卡等)、磁性或固态硬盘、只读和可记录蓝光盘、超致密光盘、任意其它光学或磁性介质以及软盘。计算机可读介质能够存储可由至少一个处理单元执行并且包括用于执行各种操作的指令集合的计算机程序。计算机程序或计算机代码的示例包括例如由编译器所产生的机器代码以及包括由计算机、电子组件或者微处理器使用解释器执行的高级代码的文件。

虽然以上讨论主要涉及执行软件的微处理器或多核处理器，但是一些实施方式由一个或多个集成电路来执行，例如专用集成电路(ASIC)或现场可编程门阵列(FPGA)。在一些实施方式中，这样的集成电路执行存储在电路自身上的指令。

如该说明书以及本申请的任意权利要求中所使用的，术语“计算机”、“服务器”、“处理器”和“存储器”全部是指电子或其它技术设备。这些术语排除了人或人组。出于该说明书的目的，术语显示器或显示器件在电子设备上进行显示。如该说明书以及本申请的任意权利要求中所使用的，术语“计算机可读介质”被完全限于以计算机可读取的形式存储信息的有形的物理对象。这些术语排除了任何的无线信号、有线下载信号和任意其它瞬时信号。

为了提供与用户的交互，该说明书中所描述的主题的实施方式能够在计算机上实现，该计算机具有例如CRT(阴极射线管)或LCD(液晶显示器)监视器的用于向用户显示信息的显示设备以及用户能够通过其向计算机提供输入的键盘和例如鼠标或轨迹球的指示设备。也能够使用其它类型的设备来提供与用户的交互；例如，提供给用户的反馈可以是任意形式的感觉反馈，例如视觉反馈、听觉反馈或触觉反馈；并且来自用户的输入能够以任意形式被接收，包括声音、语音或触觉输入。此外，计算机能够通过往来于用户所使用的设备发送和接收文档而与用户进行交互；例如，通过响应于从用户的客户端设备上的web浏览器接收到的请求而向该web浏览器发送网页。

该说明书中所描述的主题能够在计算系统中实现，该计算系统包括例如作为数据服务器的后端组件，或者包括例如应用服务器的中间件组件，或者包括例如客户端计算机的前端组件，或者一个或多个这样的后端、中间件或前端组件的任意组合，上述客户端计算机具有用户能够通过其而与该说明书所描述主题的实施方式进行交互的图形用户界面或Web浏览器。该系统的组件能够通过例如通信网络之类的任意形式或介质的数字数据通信进行互连。通信网络的示例包括局域网(LAN)和广域网(WAN)、互联网络(例如，互联网)以及端对端网络(例如，自组端对端网络)。

计算系统能够包括客户端和服务器。客户端和服务器通常互相远离并且典型地通过通信网络进行交互。客户端和服务器的关系源自于在相应计算机上运行并且互相具有客户端-服务器关系的计算机程序。在所公开的主题的一些方面，服务器(例如，出于向与客户端设备进行交互的用户传送数据以及从该用户处接收用户输入的目的)向客户端设备传送数据(例如，HTML页面)。在客户端设备所生成的数据(例如，用户交互的结果)能够在服务器从客户端设备接收。

所要理解的是，所公开的过程中的步骤的任何具体顺序或层级都是示例方式的说明。基于设计偏好，所要理解的是，过程中的步骤的具体顺序或层级可以重新安排，或者执行所有所图示的步骤。一些步骤可以同时执行。例如，在某些环境中，多任务和并行处理可能是有利的。此外，以上所说明的各个系统组件的划分不应当被理解为要求这样的划分，并且应当理解的是，所描述的程序组件和系统一般能够共同集成在单个软件产品中或者被封装为多个软件产品。

针对这些方面的各种修改将是轻易显而易见的，并且这里所描述的一般原则可以应用于其它方面。因此，权利要求不意在限于这里所示出的方面，而是要依据与权利要求的语言相一致的完整范围，其中对单数要素的引用并非意在表示“一个且仅一个”，除非特别如此指出，而是表示“一个或多个”。除非以其它方式特别指出，否则术语“一些”是指一个或多个。男性代词(例如，他的)包括女性或中性(例如，她的和它的)，反之亦然。如果存在，标题和副标题仅是为了方便而使用而并非对主题技术加以限制。

例如“方面”之类的短语并非暗示该方面对于该主题技术而言是必要的或者该方面应用于主题技术的所有配置。涉及一个方面的公开内容可以应用于所有配置或者一种或多种配置。例如“一个方面”的短语可以指代一个或多个方面，反之亦然。例如“配置”的短语并非意味着这样的配置对于该主题技术而言是必要的或者这样的配置应用于该主题技术的所有配置。涉及到一种配置的公开内容可以应用于所有配置或者一种或多种配置。例如“一种配置”的短语可以指代一种或多种配置，反之亦然。

Claims (32)

1.一种计算设备，包括：

操作系统企业控制模块，被配置为：

经由网络接收包括与操作系统相关联的所更新的企业策略/客户端配置的消息以及签名；

基于所述签名对所述消息进行认证；以及

安装所更新的企业策略/客户端配置，企业策略/客户端配置的至少第一部分被配置为在没有经由网络接收到所述消息的情况下不可更新。

2.根据权利要求1所述的计算设备，其中所述企业策略/客户端配置的所述至少第一部分被配置为仅经由经所述网络接收的消息、经由重新安装所述操作系统或者经由安装新的操作系统而被更新。

3.根据权利要求1所述的计算设备，其中所述操作系统被配置为在没有经由所述网络接收到所述消息的情况下放弃对与所述操作系统相关联的所述企业策略/客户端配置的所述至少第一部分进行更新。

4.根据权利要求1所述的计算设备，其中所述操作系统企业控制模块被配置为在没有经由所述网络接收到所述消息的情况下放弃对与所述操作系统相关联的所述企业策略/客户端配置的所述至少第一部分进行更新。

5.根据权利要求1所述的计算设备，进一步包括：

用户模式模块，被配置为：

接收请求在所述操作系统内执行软件程序的用户输入，以及

在所述操作系统内执行所述软件程序。

6.根据权利要求5所述的计算设备，其中所述用户模式模块被配置为对所述企业策略/客户端配置的至少第二部分进行更新。

7.根据权利要求5所述的计算设备，其中所述操作系统企业控制模块与所述用户模式模块分离并且不同。

8.根据权利要求1所述的计算设备，其中所述计算设备缺少被配置为在不访问所述网络的情况下更新所述企业策略/客户端配置的管理员模式模块。

9.根据权利要求1所述的计算设备，进一步包括被配置为对所述企业策略/客户端配置的至少第二部分进行更新的管理员模式模块。

10.根据权利要求9所述的计算设备，其中所述企业策略/客户端配置的第二部分与所述企业策略/客户端配置的第一部分分离并且不同。

11.根据权利要求9所述的计算设备，其中所述企业策略/客户端配置的第一部分包括系统日志设置和安全设置，其中所述企业策略/客户端配置的第二部分不包括系统日志设置和安全设置，并且其中所述登录设置包括对操作系统行为、用户行为、操作系统配置或网络配置中的一个或多个进行报告或日志记录的设置。

12.根据权利要求1的计算设备，其中与所述操作系统相关联的所述企业策略/客户端配置包括与所述操作系统相关联的一个或多个操作系统设置，并且其中与操作系统相关联的所更新的企业策略/客户端配置包括与所述操作系统相关联的一个或多个所更新的操作系统设置。

13.根据权利要求12所述的计算设备，其中与所述操作系统相关联的一个或多个操作系统设置包括以下的一个或多个：针对所述操作系统的企业设置、针对所述操作系统的登录策略、针对所述操作系统的用户账户设置或者与浏览器相关联的浏览器设置。

14.根据权利要求1所述的计算设备，其中与所述操作系统相关联的所述企业策略/客户端配置包括被配置为在所述操作系统内执行的一个或多个软件应用，并且其中与操作系统相关联的所更新的企业策略/客户端配置包括被配置为在所述操作系统内执行的一个或多个所更新的软件应用。

15.根据权利要求1所述的计算设备，其中所更新的企业策略/客户端配置包括以下的一个或多个：针对所述操作系统的更新、针对所述操作系统的所更新的企业设置、针对所述操作系统的所更新的登录策略、针对所述操作系统的所更新的用户账户设置或者与浏览器相关联的所更新的浏览器设置。

16.根据权利要求1所述的计算设备，进一步包括安全可锁定存储模块，其中所述安全可锁定存储模块指示用于更新所述企业策略/客户端配置的企业配置，并且其中所述安全可锁定存储模块被配置为除非所述计算设备的所述操作系统被重置或替代否则不被重置。

17.一种计算机实现的用于客户端计算设备的管理的方法，所述方法包括：

在服务器上接收与多个客户端计算设备的操作系统相关联的所更新的企业策略/客户端配置，其中所述多个客户端计算设备的所述操作系统被配置为在不访问网络的情况下放弃对与所述操作系统相关联的企业策略/客户端配置的至少一部分进行更新；

创建包括所更新的企业策略/客户端配置的消息以及用于对所述消息进行认证的签名；以及

经由网络将所述消息传送至所述多个客户端计算设备的至少子集，其中所述消息用于对所述多个客户端计算设备的至少子集上的企业策略/客户端配置进行更新。

18.根据权利要求17所述的方法，其中与所述操作系统相关联的所述企业策略/客户端配置包括针对所述操作系统的一个或多个操作系统设置。

19.根据权利要求17所述的方法，其中所更新的企业策略/客户端配置包括针对所述操作系统的一个或多个操作系统设置的更新。

20.根据权利要求17所述的方法，其中所述签名被配置为将与所述服务器相关联的服务识别为所述消息的源。

21.根据权利要求17所述的方法，进一步包括：

在所述服务器上接收管理员的登录凭证；以及

验证所述管理员的登录凭证；

其中向所述多个客户端计算设备的至少子集传送所述消息包括响应于验证了所述管理员的登录凭证而向所述多个客户端计算设备的至少子集传送所述消息。

22.根据权利要求21所述的方法，其中所述登录凭证不与所述多个客户端计算设备内的客户端计算设备相关联。

23.根据权利要求21所述的方法，其中验证所述管理员的登录凭证包括验证所述登录凭证内的登录标识符是所存储的登录标识符集合中的成员。

24.一种计算机实现的用于客户端计算设备的管理的方法，所述方法包括：

在所述客户端计算设备上经由网络接收包括与操作系统相关联的所更新的企业策略/客户端配置的消息以及签名，其中所述签名识别所述消息的源；

基于所述签名对所述消息进行认证；以及

安装所更新的企业策略/客户端配置，企业策略/客户端配置的至少一部分被配置为在没有经由所述网络接收到所述消息的情况下不可更新。

25.根据权利要求24所述的方法，其中所述企业策略/客户端配置的所述至少部分被配置为仅经由经所述网络接收的消息、经由重新安装所述操作系统或者经由安装新的操作系统被更新。

26.根据权利要求24所述的方法，其中所更新的企业策略/客户端配置包括以下的一个或多个：针对所述操作系统的更新、针对所述操作系统的所更新的企业设置、针对所述操作系统的所更新的登录策略、针对所述操作系统的所更新的用户账户设置或者与浏览器相关联的所更新的浏览器设置。

27.根据权利要求24所述的方法，其中基于所述签名对所述消息进行认证包括基于所存储的密钥验证所述签名，进一步其中所存储的密钥被存储在所述客户端计算设备上。

28.根据权利要求27所述的方法，其中所更新的企业策略/客户端配置包括针对所存储的密钥的更新。

29.根据权利要求24所述的方法，进一步包括：

验证所述消息的源是受信任源集合中的成员；以及

如果所述消息的源是所述受信任源集合中的成员，则安装所更新的企业策略/客户端配置。

30.根据权利要求29所述的方法，进一步包括：

如果所述消息的源不是所述受信任源集合中的成员，则放弃安装所更新的企业策略/客户端配置。

31.一种用于计算机的管理的计算机可读介质，所述计算机可读介质包括指令，所述指令在被所述计算机执行时使得所述计算机：

经由网络接收包括与所述计算机的操作系统相关联的所更新的企业策略/客户端配置的消息；

对所述消息进行认证；以及

安装所更新的企业策略/客户端配置，其中企业策略/客户端配置的至少一部分被配置为在没有经由所述网络接收到所述消息的情况下不可更新。

32.根据权利要求31所述的计算机可读介质，其中所述消息进一步包括签名，进一步其中对所述消息进行认证的指令包括：在被所述计算机执行时使得所述计算机基于所述签名对所述消息进行认证的指令。