CN104364790A - 用于实施多因素认证的系统和方法 - Google Patents

Abstract

本发明公开了一种用于实施多因素认证的计算机实现的方法，所述方法可以包括：1)作为二级认证系统的一部分，接收来自客户端系统的认证请求，2)响应于接收到所述认证请求，将所述客户端系统重定向为首先用初级认证系统执行第一认证；3)接收来自所述客户端系统的证明所述第一认证已成功的所述第一认证的断言；以及4)响应于接收到所述第一认证的所述断言，用所述客户端系统执行第二认证。还公开了各种其他方法、系统和计算机可读介质。

Description

用于实施多因素认证的系统和方法

背景技术

在数字化时代，组织机构越来越依赖计算资源来管理数据以及提供内部和外部服务。出于多种安全、保密、行政和/或管理的目的，这些组织机构可能希望控制对其企业环境内的资源的访问。

传统的企业内访问控制系统已使用单因素认证系统(诸如用户名和密码登录系统)来建立用户身份。遗憾的是，各种安全威胁的激增可能使单因素认证系统易受攻击而失效。因此，一些组织机构可能希望在其企业内采用多因素认证来建立用户身份。

遗憾的是，组织机构在试图将传统的二级因素认证服务整合到它们的企业中时可能面临显著的困难。例如，一些传统的二级因素认证服务可能需要组织机构购买用于在企业内实施二级因素认证的全部基础结构并将二级因素认证服务作为企业应用程序安装和管理。在其他例子中，二级因素认证服务供应商可能需要组织机构通过将敏感数据同步至二级因素认证服务供应商或通过打开企业防火墙并允许第三方应用程序从企业外部访问敏感数据来提供针对企业的对敏感身份数据的访问。这些各种传统方法可能将大量的成本和/或安全漏洞强加于组织机构。因此，本公开识别并解决了对用于实施多因素认证的另外且改善的系统和方法的需要。

发明内容

如将在下文更详细地描述，本公开整体涉及通过在一个域中调用一种认证服务并尝试在另一个域中使用另一种认证服务来实施多因素认证的系统和方法。在一个例子中，用于实施多因素认证的计算机实现的方法可以包括1)作为二级认证系统的一部分，接收来自客户端系统的认证请求，2)响应于接收到认证请求，将客户端系统重定向为首先用初级认证系统执行第一认证，3)接收来自客户端系统的证明第一认证已成功的第一认证的断言，以及4)响应于接收到第一认证的断言，用客户端系统执行第二认证。

在一些例子中，接收认证请求可以包括接收由被配置为通过二级认证系统对客户端系统进行认证的访问管理器发起的认证请求。在这些例子中，访问管理器可以在拦截到来自客户端系统的对受保护资源的请求时发起认证请求。另外，在这些例子中，初级认证系统和访问管理器两者可安装在单个企业网络内并在其中工作。此外，在这些例子中，二级认证系统可包括被配置为在单个企业网络外工作的服务器。

此外，计算机实现的方法还可以包括在执行第二认证之后用第二认证的断言将客户端系统重定向至访问管理器。在这个例子中，访问管理器可被配置为在接收到第二认证的断言之后授权客户端系统访问受保护资源。

在一些实施例中，初级认证系统可以接收来自客户端系统的认证凭据并用第一认证的断言将客户端系统重定向至二级认证系统。

在一个例子中，执行第二认证可以包括1)从第一认证的断言中检索用户识别信息，以及2)通过使用所述用户识别信息而不是从客户端系统请求用户识别信息来执行第二认证。

在一个实施例中，用于实施上述方法的系统可以包括1)接收模块，其被编程为作为二级认证系统的一部分接收来自客户端系统的认证请求，2)重定向模块，其被编程为响应于接收到认证请求而将客户端系统重定向为首先用初级认证系统执行第一认证，3)断言模块，其被编程为接收来自客户端系统的证明第一认证已成功的第一认证的断言，以及4)认证模块，其被编程为响应于接收到第一认证的断言而用客户端系统执行第二认证。该系统还可以包括至少一个处理器，该处理器被配置为执行接收模块、重定向模块、断言模块和认证模块。

在一些例子中，上述方法可被编码为计算机可读存储介质上的计算机可读指令。例如，计算机可读存储介质可以包括一个或多个计算机可执行指令，所述指令当被计算设备的至少一个处理器执行时，可以使计算设备：1)作为二级认证系统的一部分接收来自客户端系统的认证请求，2)响应于接收到认证请求而将客户端系统重定向为首先用初级认证系统执行第一认证，3)接收来自客户端系统的证明第一认证已成功的第一认证的断言，以及4)响应于接收到第一认证的断言而用客户端系统执行第二认证。

如下文将更详细地阐释，通过在一个域中调用一种认证服务并尝试在另一个域中使用另一种认证服务，本文所述的系统和方法可以允许在已实施单因素认证的企业内实施多因素认证，而无需从企业清除与原来的单因素认证系统相关的控制和/或敏感数据。另外，这些系统和方法可以允许添加二级认证因素，而无需昂贵和复杂的基础结构变更和维护。例如，这些系统和方法可以允许简单地通过重新配置企业内的第一因素认证系统以接受和信任来自第二因素认证系统的认证请求来添加二级认证因素。另外，这些系统和方法可以在不向外部系统开放对敏感企业认证数据的访问并从而不潜在地造成安全漏洞的情况下允许将二级认证因素添加至企业的单因素认证系统。

来自上述实施例中的任何一者的特征可根据本文所述的一般原理彼此结合地使用。通过结合附图和权利要求阅读下面的详细描述，将会更充分地理解这些和其他实施例、特征和优点。

附图说明

附图示出了多个示例性实施例并且为说明书的一部分。这些附图结合下面的描述展示并且说明本发明的各种原理。

图1为用于实施多因素认证的示例性系统的框图。

图2为用于实施多因素认证的示例性系统的框图。

图3为用于实施多因素认证的示例性方法的流程图。

图4为用于实施多因素认证的示例性系统的框图。

图5为示例性多因素认证的图示。

图6为能够实现本文描述和/或示出的实施例中的一者或多者的示例性计算系统的框图。

图7为能够实现本文描述和/或示出的实施例中的一者或多者的示例性计算网络的框图。

在全部附图中，相同引用字符和描述指示类似但未必相同的元件。虽然本文所述的示例性实施例易受各种修改和替代形式的影响，但在附图中以举例的方式示出了特定实施例并且将在本文详细描述。然而，本文所述的示例性实施例并非旨在限于所公开的特定形式。相反，本发明涵盖落在所附权利要求范围内的所有修改形式、等同形式和替代形式。

具体实施方式

下面将参照图1-2提供对用于实施多因素认证的示例性系统的详细描述。也将结合图3提供相应计算机实现的方法的详细描述。此外，将分别结合图6和图7提供能够实现本文所述实施例中的一者或多者的示例性计算系统和网络架构的详细描述。

图1为用于实施多因素认证的示例性系统100的框图。如该附图所示，示例性系统100可包括用于执行一个或多个任务的一个或多个模块102。例如，并且如将在下文更详细地描述，示例性系统100可以包括接收模块104，其被编程为作为二级认证系统的一部分接收来自客户端系统的认证请求。示例性系统100还可以包括重定向模块106，其被编程为响应于接收到认证请求而将客户端系统重定向为首先用初级认证系统执行第一认证。

此外，并且如将在下文更详细地描述，示例性系统100可以包括断言模块108，其被编程为接收来自客户端系统的证明第一认证已成功的第一认证的断言。示例性系统100还可以包括认证模块110，其被编程为响应于接收到第一认证的断言而用客户端系统执行第二认证。尽管例示为独立元件，但图1中的模块102中的一者或多者可表示单个模块或应用程序的部分。

在某些实施例中，图1中的模块102中的一者或多者可表示一个或多个软件应用程序或程序，当通过计算设备执行时其可使计算设备执行一个或多个任务。例如，并且如将在下文更详细地描述，模块102中的一者或多者可表示存储并且被配置为在一个或多个计算设备上运行的软件模块，所述计算设备诸如图2中示出的设备(例如，计算设备202、客户端系统206和/或认证服务器208)、图6中的计算系统610，和/或图7中的示例性网络架构700的部分。图1中的模块102中的一者或多者也可表示被配置为执行一个或多个任务的一台或多台专用计算机的全部或部分。

图1中的示例性系统100可以多种方式来实现。例如，示例性系统100的全部或一部分可表示图2中的示例性系统200的部分。如图2中所示，系统200可以包括通过网络204与客户端系统206和认证服务器208通信(例如，以使用由计算设备202提供的认证因素和由认证服务器208提供的认证因素来认证客户端系统206的用户的身份)的计算设备202。

在一个实施例中，来自图1的模块102中的一者或多者在被计算设备202的至少一个处理器执行时，可促进计算设备202实施多因素认证。例如，并且如将在下文更详细地描述，模块102中的一者或多者可使计算设备202：1)作为(例如，计算设备202上的)二级认证系统的一部分接收来自客户端系统206的认证请求210，2)响应于接收到请求210而将客户端系统206重定向为首先用(例如，认证服务器208上的)初级认证系统执行第一认证，3)(例如，用认证服务器208)接收来自客户端系统206的证明第一认证已成功的第一认证的断言210，以及4)响应于接收到第一认证的断言210而用客户端系统206执行第二认证。

计算设备202通常代表能够读取计算机可执行指令的任何类型或形式的计算设备。计算设备202的例子包括但不限于笔记本电脑、平板电脑、台式机、服务器、移动电话、个人数字助理(PDA)、多媒体播放器、嵌入式系统、这些设备中一者或多者的组合、图6中的示例性计算系统610，或任何其他合适的计算设备。在一些例子中，计算设备202可代表认证服务器和/或作为认证服务的一部分操作的计算设备。

客户端系统206通常代表能够读取计算机可执行指令的任何类型或形式的计算设备。计算设备202的例子包括但不限于笔记本电脑、平板电脑、台式机、服务器、移动电话、个人数字助理(PDA)、多媒体播放器、嵌入式系统、这些设备中一者或多者的组合、图6中的示例性计算系统610，或任何其他合适的计算设备。

认证服务器208通常代表能够执行一种或多种认证操作的任何类型或形式的计算设备。认证服务器208的例子包括但不限于被配置为提供各种数据库服务和/或运行某些软件应用程序的应用程序服务器和数据库服务器。

网络204通常代表能够促进通信或数据传输的任何介质或架构。网络204的例子包括但不限于内联网、广域网(WAN)、局域网(LAN)、个人区域网(PAN)、互联网、电力线通信(PLC)、蜂窝网络(例如，GSM网络)、图7中的示例性网络架构700，等等。网络204可使用无线或有线连接来促进通信或数据传输。在一个实施例中，网络204可促进计算设备202、客户端系统206和认证服务器208之间的通信。

图3为用于实施多因素认证的示例性计算机实现的方法300的流程图。图3中示出的步骤可通过任何合适的计算机可执行代码和/或计算系统执行。在一些实施例中，图3中示出的步骤可通过图1中的系统100、图2中的系统200、图6中的计算系统610，和/或图7中的示例性网络架构700的部分的组件中的一者或多者执行。

如图3中所示，在步骤302处，本文所述系统中的一者或多者可以作为二级认证系统的一部分接收来自客户端系统的认证请求。例如，在步骤302处，作为图2中的计算设备202的一部分的接收模块104可以作为(例如，计算设备202上的)二级认证系统的一部分接收来自客户端系统206的认证请求210。

如本文所用，短语“认证系统”可以指验证和/或确认用户和/或客户端身份的任何方法。认证系统可以使用多种凭据中的任何一种。可用于认证系统的凭据的例子包括但不限于基于知识的凭据(例如，用户所已知的)、基于令牌的凭据(例如，用户所具有的)、基于生物特征的凭据(例如，用户所是的)，和/或它们的任何组合。例如，基于知识的凭据可以包括密码、个人识别号码(PIN)和/或口令，基于令牌的凭据可以包括由移动计算设备和/或台式计算设备(例如，智能电话)生成或接收到的一次性密码和/或安全码，并且基于生物特征的凭据可以包括指纹、声纹和/或虹膜扫描。

因此，如本文所用，短语“二级认证系统”可以指可与一种或多种另外的认证系统结合使用以对用户和/或客户端进行认证的认证系统。在一些例子中，短语“二级认证系统”可以指远程和/或异地认证系统。在一些例子中，短语“二级认证系统”可以指被引入先前配置具有单因素认证系统的企业以便创建多因素认证系统的认证系统。

如本文所用，短语“认证请求”可以指向认证系统提出的针对认证的任何请求。例如，认证请求可以包括安全断言标记语言(“SAML”)请求。如本文所用，短语“客户端系统”可以指能够请求认证的任何计算设备、客户端软件和/或用户代理。

在一些例子中，接收认证请求可以包括接收由被配置为通过二级认证系统对客户端系统进行认证的访问管理器发起的认证请求。如本文所用，短语“访问管理器”可以指用于裁决访问(例如，企业内部的)资源的请求和/或尝试的任何系统。在一些例子中，访问管理器可在未能找到与客户端系统的有效认证会话的基础上发起认证请求。例如，访问管理器可以在拦截到来自客户端系统的对受保护资源的请求时发起认证请求。如本文所用，术语“资源”可以指任何文件、数据、文档和/或服务。因此，短语“受保护资源”可以指基于用户身份(例如，由访问管理器)控制对其进行访问的任何资源。

在一些例子中，初级认证系统和访问管理器两者可安装在单个企业网络内并在其中工作。例如，初级认证系统和访问管理器可以在连接单个企业中的多个组织机构网站的单个LAN网络上和/或企业专用网络上工作。在这些例子中，二级认证系统可包括被配置为在单个企业网络外工作的服务器。例如，企业专用网络和二级认证系统的服务器可由独立的实体拥有、控制、掌管、维护和/或管理。除此之外或作为另一种选择，企业专用网络和二级认证系统的服务器可在不同的域内工作。在一些例子中，二级认证系统可包括被配置为在单个企业网络外操作的服务。因此，单个企业网络的管理员可以使用单个企业网络订阅二级认证系统，而无需对该二级认证系统进行维护。

图4示出了用于实施多因素认证的示例性系统400。如图4中所示，示例性系统400可包括通过网关420连接至网络430的企业402和也连接至网络430的认证服务器440。企业402可以包括连接客户端系统412、企业访问管理器414、企业认证服务器415和服务器416的企业网络410。以图4为例，在步骤302处，接收模块104可以作为认证服务器440的一部分接收来自客户端系统412的认证请求。在一些例子中，认证请求可能已由企业访问管理器414发起。例如，客户端系统412可能已尝试和/或请求访问服务器416上的受保护资源418。因此，企业访问管理器414可能已拦截对访问资源418的尝试和/或识别出对访问资源418的请求，从而使企业访问管理器414向认证服务器440发起认证请求(例如，通过客户端系统412)。

图5示出了示例性多因素认证500。如图5所示，示例性多因素认证500可包括用户代理502、企业访问管理器504、云认证服务器506和企业认证服务器508。以图5为例，在步骤510处，企业访问管理器504可拦截用户代理502发起的访问受保护资源的尝试。在步骤512处，企业访问管理器504可以用认证请求(例如，SAML请求)将用户代理502重定向至云认证服务506。因此，云认证服务506可接收认证请求。

返回图3，在步骤304处，本文所述系统中的一者或多者可以响应于接收到认证请求而将客户端系统重定向为首先用初级认证系统执行第一认证。例如，在步骤304处，重定向模块106可以作为图2中计算设备202的一部分响应于接收到请求210而将客户端系统206重定向为首先用(例如，认证服务器208上的)初级认证系统执行第一认证。

重定向模块106可以任何合适的方式将客户端系统重定向为用初级认证系统执行第一认证。例如，重定向模块106可以用新的认证请求(例如，新的SAML请求)将客户端系统重定向至初级认证系统。

在一些例子中，初级认证系统可以然后用客户端系统执行第一认证。例如，初级认证系统可以接收来自客户端系统的认证凭据并用第一认证的断言将客户端系统重定向至二级认证。如本文所用，术语“断言”可以指能够断言认证的任何消息。在一些例子中，断言可包括认证的时间、认证的签发者、认证的主题和/或认证的条件。如前文所述，认证系统可以使用多种凭据中的任何一种。例如，第一认证的认证凭据可以包括用户名密码对。

以图4为例，在步骤304处，重定向模块106可以作为认证服务器440的一部分将客户端系统412重定向为首先用企业认证服务器415执行认证。在一些例子中，企业认证服务器415然后可以用客户端系统412执行认证。

以图5为例，在步骤514处，云认证服务器506可以用指向企业认证服务器508的新认证请求重定向用户代理502。在步骤516处，企业认证服务器508可以使用用户代理502执行第一认证。

返回图3，在步骤306处，本文所述系统中的一者或多者可以接收来自客户端系统的证明第一认证已成功的第一认证的断言。例如，在步骤306处，断言模块108可以作为图2中计算设备202的一部分接收来自客户端系统206的证明第一认证已成功的(例如，用认证服务器208进行的)第一认证的断言210。

在一些例子中，断言模块108还可以确认断言有效。例如，断言可以包括SAML断言，并且断言模块108可以使用密匙所有者方法和/或发送方担保方法来确认断言。

以图4为例，在步骤306处，断言模块108可以作为认证服务器440的一部分接收和确认在客户端系统412与企业认证服务器415之间执行的第一认证的断言。

以图5为例，在步骤518处，企业认证服务器508可以用在步骤516中执行的第一认证的断言重定向用户代理502。企业认证服务器508从而可以接收来自用户代理502的断言。

返回图3，在步骤308处，本文所述系统中的一者或多者可以响应于接收到第一认证的断言而用客户端系统执行第二认证。例如，在步骤308处，认证模块110可以作为图2中计算设备202的一部分响应于接收到第一认证的断言210而用客户端系统206执行第二认证。

认证模块110可以任何合适的方式执行第二认证。在一些例子中，认证模块110可以从第一认证的断言中检索用户识别信息，并通过使用所述用户识别信息而不是从客户端系统请求用户识别信息来执行第二认证。例如，认证模块110可以从断言中检索用户名和用户名适用的域、电子邮件地址等。以此方式，认证模块110可以潜在地节省计算资源并加快认证过程。

如前文所述，在一些例子中，(例如，在拦截到来自客户端系统的对受保护资源的请求之后)访问管理器可能已发起指向二级认证系统的认证请求。在这些例子中，认证模块110还可以在执行第二认证之后用第二认证的断言将客户端系统重定向至访问管理器。在这些例子中，访问管理器可被配置为在接收到并确认第二认证的断言之后授权客户端系统访问受保护资源。

以图4为例，在步骤308处，认证模块110可以作为认证服务器440的一部分响应于接收到并确认来自客户端系统412的(例如，用企业认证服务器415执行的)第一认证的断言，而用客户端系统412执行第二认证。认证模块110还可以用第二认证的断言将客户端系统412重定向至企业访问管理器414。企业访问管理器414可被配置为在确认第二认证时授权对资源418的访问。因此，企业访问管理器414可允许客户端系统412访问资源418。虽然企业访问管理器414可能只需要来自客户端系统412的第二认证，但因为认证服务器440需要来自客户端系统412的第一认证，所以本文所述的系统和方法可以在对企业402干扰最小的情况下促进多因素认证。

以图5为例，在步骤520处，云认证服务器506可以使用用户代理502执行第二认证。在步骤522处，云认证服务506可将来自第二认证的属性映射至第二认证的断言(例如，SAML断言)的属性。例如，云认证服务器506可将在第二认证中使用的用户标识符映射至第二认证的断言内的用户标识符字段。在步骤524处，云认证服务506可以用第二认证的断言将用户代理502重定向至访问管理器504。企业访问管理器504然后可以在步骤526处确认断言并将受保护资源提供给用户代理502。

如上所述，通过在一个域中调用一种认证服务并尝试在另一个域中使用另一种认证服务，本文所述的系统和方法可以允许在已实施单因素认证的企业内实施多因素认证，而无需从企业清除与原来的单因素认证系统相关的控制和/或敏感数据。另外，这些系统和方法可以允许添加二级认证因素，而无需昂贵和复杂的基础结构变更和维护。例如，这些系统和方法可以允许简单地通过重新配置企业内的第一因素认证系统以接受和信任来自第二因素认证系统的认证请求来添加二级认证因素。另外，这些系统和方法可以在不向外部系统开放对敏感企业认证数据的访问并从而不潜在地造成安全漏洞的情况下允许将二级认证因素添加至企业的单因素认证系统。

图6为能够实施本文描述和/或示出的实施例中的一者或多者的示例性计算系统610的框图。例如，计算系统610的全部或一部分可执行和/或作为一种方式用于单独地或与其他元件结合来执行本文所述的接收、发起、拦截、重定向、执行、检索和授权步骤中的一者或多者。计算系统610的全部或一部分也可执行和/或作为一种方式来执行本文描述和/或示出的任何其他步骤、方法或过程。

计算系统610在广义上表示能够执行计算机可读指令的任何单处理器或多处理器计算设备或系统。计算系统610的例子包括但不限于工作站、笔记本电脑、客户端方终端、服务器、分布式计算系统、手持式设备或任何其他计算系统或设备。在其最基本的配置中，计算系统610可包括至少一个处理器614和系统存储器616。

处理器614通常表示能够处理数据或解译和执行指令的任何类型或形式的处理单元。在某些实施例中，处理器614可接收来自软件应用程序或模块的指令。这些指令可使处理器614执行本文描述和/或示出的一个或多个示例性实施例的功能。

系统存储器616通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的易失性或非易失性存储设备或介质。系统存储器616的例子包括但不限于随机存取存储器(RAM)、只读存储器(ROM)、闪存存储器或任何其他适用的存储器设备。尽管不是必需的，但在某些实施例中，计算系统610可包括易失性存储器单元(诸如系统存储器616)和非易失性存储设备(诸如，主要存储设备632，如下详述)。在一个例子中，图1的模块102中的一者或多者可加载到系统存储器616中。

在某些实施例中，除处理器614和系统存储器616之外，示例性计算系统610还可包括一个或多个组件或元件。例如，如图6所示，计算系统610可包括存储器控制器618、输入/输出(I/O)控制器620和通信接口622，它们中的每一者都可通过通信基础结构612互连。通信基础结构612通常表示能够在计算设备的一个或多个组件之间促进通信的任何类型或形式的基础结构。通信基础结构612的例子包括但不限于通信总线(诸如ISA、PCI、PCIe或类似总线)和网络。

存储器控制器618通常表示能够处理存储器或数据或控制计算系统610的一个或多个组件之间的通信的任何类型或形式的设备。例如，在某些实施例中，存储器控制器618可通过通信基础结构612来控制处理器614、系统存储器616和I/O控制器620之间的通信。

I/O控制器620通常表示能够协调和/或控制计算设备的输入和输出功能的任何类型或形式的模块。例如，在某些实施例中，I/O控制器620可控制或促进计算系统610的一个或多个元件之间的数据传输，所述元件诸如处理器614、系统存储器616、通信接口622、显示适配器626、输入接口630和存储接口634。

通信接口622在广义上表示能够促进示例性计算系统610与一个或多个附加设备之间的通信的任何类型或形式的通信设备或适配器。例如，在某些实施例中，通信接口622可促进计算系统610与包括附加计算系统的专用或公共网络之间的通信。通信接口622的例子包括但不限于有线网络接口(诸如网络接口卡)、无线网络接口(诸如无线网络接口卡)、调制解调器和任何其他合适的接口。在至少一个实施例中，通信接口622可通过与网络(诸如互联网)的直接链接来提供与远程服务器的直接连接。通信接口622还可通过例如局域网(诸如以太网网络)、个人区域网、电话或电缆网络、蜂窝电话连接、卫星数据连接或任何其他合适的连接来间接提供此类连接。

在某些实施例中，通信接口622还可表示主机适配器，该主机适配器可被配置为通过外部总线或通信信道来促进计算系统610与一个或多个附加网络或存储设备之间的通信。主机适配器的例子包括但不限于SCSI主机适配器、USB主机适配器、IEEE 1394主机适配器、SATA和eSATA主机适配器、ATA和PATA主机适配器、光纤信道接口适配器、以太网适配器等等。通信接口622还可允许计算系统610参与分布式或远程计算。例如，通信接口622可接收来自远程设备的指令或将指令发送到远程设备以供执行。

如图6所示，计算系统610还可包括至少一个显示设备624，该显示设备624通过显示适配器626耦合到通信基础结构612。显示设备624通常表示能够以可视方式显示显示适配器626转发的信息的任何类型或形式的设备。类似地，显示适配器626通常表示被配置为转发来自通信基础结构612(或来自帧缓冲器，如本领域所已知)的图形、文本和其他数据以在显示设备624上显示的任何类型或形式的设备。

如图6所示，示例性计算系统610还可包括经由输入接口630耦合到通信基础结构612的至少一个输入设备628。输入设备628通常表示能够向示例性计算系统610提供输入(由计算机或人生成)的任何类型或形式的输入设备。输入设备628的例子包括但不限于键盘、指向设备、语音识别设备或任何其他输入设备。

如图6所示，示例性计算系统610还可包括主要存储设备632和经由存储接口634耦合到通信基础结构612的备份存储设备633。存储设备632和633通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的存储设备或介质。例如，存储设备632和633可为磁盘驱动器(例如，所谓的硬盘驱动器)、固态驱动器、软盘驱动器、磁带驱动器、光盘驱动器、闪存驱动器等等。存储接口634通常表示用于在计算系统610的存储设备632和633与其他组件之间传输数据的任何类型或形式的接口或设备。

在某些实施例中，存储设备632和633可被配置为对被配置为存储计算机软件、数据或其他计算机可读信息的可移除存储单元进行读取和/或写入。合适的可移除存储单元的例子包括但不限于软盘、磁带、光盘、闪存存储器设备等。存储设备632和633还可包括允许将计算机软件、数据或其他计算机可读指令加载到计算系统610内的其他类似结构或设备。例如，存储设备632和633可被配置为读取和写入软件、数据或其他计算机可读信息。存储设备632和633还可为计算系统610的一部分，或者可为通过其他接口系统进行访问的独立设备。

可将多个其他设备或子系统连接到计算系统610。相反地，无需图6中示出的所有组件和设备都存在，亦可实践本文描述和/或示出的实施例。上文提及的设备和子系统也可以不同于图6所示的方式互连。计算系统610也可采用任何数量的软件、固件和/或硬件配置。例如，本文所公开的一个或多个示例性实施例可被编码为计算机可读存储介质上的计算机程序(也称为计算机软件、软件应用程序、计算机可读指令或计算机控制逻辑)。短语“计算机可读存储介质”通常指能够存储或携带计算机可读指令的任何形式的设备、载体或介质。计算机可读存储介质的例子包括但不限于传输型介质，诸如载波，和非暂态型介质，诸如磁存储介质(例如，硬盘驱动器和软盘)、光存储介质(例如，CD-或DVD-ROM)、电子存储介质(例如，固态驱动器和闪存介质)和其他分配系统。

可将包含计算机程序的计算机可读存储介质加载到计算系统610中。然后可将计算机可读存储介质上存储的全部或一部分计算机程序存储在系统存储器616中和/或存储设备632和633的各个部分中。当由处理器614执行时，加载到计算系统610中的计算机程序可使处理器614执行和/或作为一种方式来执行本文描述和/或示出的示例性实施例中的一者或多者的功能。除此之外或作为另外一种选择，可在固件和/或硬件中实施本文描述和/或示出的示例性实施例中的一者或多者。例如，计算系统610可被配置为适用于实施本文所公开的示例性实施例中的一者或多者的专用集成电路(ASIC)。

图7为示例性网络架构700的框图，其中客户端系统710、720和730以及服务器740和745可耦合到网络750。如上文所详述，网络架构700的全部或一部分可执行和/或作为一种方式用于单独地或与其他元件结合来执行本文所公开的接收、发起、拦截、重定向、执行、检索和授权步骤中的一者或多者。网络架构700的全部或一部分也可用于执行和/或作为一种方式用于执行本发明中阐述的其他步骤和特征。

客户端系统710、720和730通常表示任何类型或形式的计算设备或系统，诸如图6中的示例性计算系统610。类似地，服务器740和745通常表示被配置为提供各种数据库服务和/或运行特定软件应用程序的计算设备或系统，诸如应用程序服务器或数据库服务器。网络750通常表示任何电信或计算机网络，包括(例如)内联网、广域网(WAN)、局域网(LAN)、个人区域网(PAN)或互联网。在一个例子中，客户端系统710、720和/或730和/或服务器740和/或745可包括图1的系统100的全部或一部分。

如图7所示，一个或多个存储设备760(1)-(N)可直接附接到服务器740。类似地，一个或多个存储设备770(1)-(N)可直接附接到服务器745。存储设备760(1)-(N)和存储设备770(1)-(N)通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的存储设备或介质。在某些实施例中，存储设备760(1)-(N)和存储设备770(1)-(N)可表示被配置为使用各种协议(诸如NFS、SMB或CIFS)与服务器740和745进行通信的网络附接存储(NAS)设备。

服务器740和745也可连接到存储区域网络(SAN)光纤网780。SAN光纤网780通常表示能够促进多个存储设备之间的通信的任何类型或形式的计算机网络或架构。SAN光纤网780可促进服务器740和745与多个存储设备790(1)-(N)和/或智能存储阵列795之间的通信。SAN光纤网780还可通过网络750以及服务器740和745以这样的方式促进客户端系统710、720和730与存储设备790(1)-(N)和/或智能存储阵列795之间的通信：设备790(1)-(N)和阵列795呈现为客户端系统710、720和730的本地附接设备。与存储设备760(1)-(N)和存储设备770(1)-(N)相同，存储设备790(1)-(N)和智能存储阵列795通常表示能够存储数据和/或其他计算机可读指令的任何类型或形式的存储设备或介质。

在某些实施例中，并参照图6的示例性计算系统610，通信接口(诸如图6中的通信接口622)可用于在每个客户端系统710、720和730与网络750之间提供连接。客户端系统710、720和730可能够使用(例如)web浏览器或其他客户端软件来访问服务器740或745上的信息。此类软件可允许客户端系统710、720和730访问由服务器740、服务器745、存储设备760(1)-(N)、存储设备770(1)-(N)、存储设备790(1)-(N)或智能存储阵列795托管的数据。尽管图7示出了使用网络(诸如互联网)来交换数据，但本文所述和/或示出的实施例并不限于互联网或任何特定的基于网络的环境。

在至少一个实施例中，本文所公开的一个或多个示例性实施例中的全部或一部分可被编码为计算机程序并加载到服务器740、服务器745、存储设备760(1)-(N)、存储设备770(1)-(N)、存储设备790(1)-(N)、智能存储阵列795、或它们的任意组合上并加以执行。本文所公开的一个或多个示例性实施例中的全部或一部分也可被编码为计算机程序，存储在服务器740中，由服务器745运行，以及通过网络750分配到客户端系统710、720和730。

如上所详述，计算系统610和/或网络架构700的一个或多个组件可执行和/或作为一种方式用于单独或与其他元件结合来执行用于实施多因素认证的示例性方法的一个或多个步骤。

虽然上述发明使用特定框图、流程图和例子阐述了各种实施例，但每个框图组件、流程图步骤、操作和/或本文描述和/或示出的组件可使用广泛范围的硬件、软件或固件(或其任何组合)配置单独和/或共同来实现。此外，包含在其他组件内的组件的任何公开内容应当被视为在本质上是示例性的，因为可实施许多其他架构来实现相同功能。

在一些例子中，图1中的示例性系统100的全部或一部分可表示云计算环境或基于网络的环境的部分。云计算环境可以通过互联网提供各种服务和应用程序。这些基于云的服务(例如，软件即服务(software as aservice)、平台即服务(platform as a service)、基础结构即服务(infrastructureas a service)等)可以通过web浏览器或其他远程接口进行访问。本文所述的各种功能可以通过远程桌面环境或任何其他基于云的计算环境提供。

本文描述和/或示出的过程参数和步骤序列仅通过举例的方式给出并且可根据需要改变。例如，虽然本文示出和/或描述的步骤可以特定顺序示出或讨论，但这些步骤不必按示出或讨论的顺序来执行。本文描述和/或示出的各种示例性方法也可省略本文描述或示出的步骤中的一者或多者，或除了所公开的那些步骤之外还包括附加步骤。

虽然本文已经在完全功能计算系统的上下文中描述和/或示出了各种实施例，但这些示例性实施例中的一者或多者可作为各种形式的程序产品来分配，而不考虑用于实际进行分配的计算机可读存储介质的特定类型。本文所公开的实施例也可使用执行某些任务的软件模块来实现。这些软件模块可包括脚本、批处理或可存储在计算机可读存储介质上或计算系统中的其他可执行文件。在一些实施例中，这些软件模块可将计算系统配置为执行本文所公开的示例性实施例中的一者或多者。

此外，本文所述的模块中的一者或多者可将数据、物理设备和/或物理设备的表示从一种形式转换为另一种形式。例如，本文所述模块中的一者或多者可将计算设备转换为用于实施多因素认证的设备。又如，本文所述模块中的一者或多者可将企业转换为具有多因素认证的企业。

提供前面描述的目的是使本领域的其他技术人员能够最好地利用本文所公开的示例性实施例的各种方面。该示例性描述并非旨在是详尽的或局限于所公开的任何精确形式。在不脱离本发明精神和范围的前提下，可进行许多修改和变化。本文所公开的实施例在所有方面均应被视为示例性的而非限制性的。应当参考所附权利要求及其等同形式来确定本发明的范围。

除非另有说明，否则在本说明书和权利要求中使用的术语“一”或“一个”应当理解为是表示“......中的至少一者”。此外，为了易于使用，在本说明书和权利要求中使用的词语“包括”和“具有”与词语“包含”可互换并且与词语“包含”具有相同含义。

Claims (20)

1.一种用于实施多因素认证的计算机实现的方法，所述方法的至少一部分可由包括至少一个处理器的计算设备来执行，所述方法包括：

作为二级认证系统的一部分接收来自客户端系统的认证请求；

响应于接收到所述认证请求，将所述客户端系统重定向为首先用初级认证系统执行第一认证；

接收来自所述客户端系统的证明所述第一认证已成功的所述第一认证的断言；

响应于接收到所述第一认证的所述断言，用所述客户端系统执行第二认证。

2.根据权利要求1所述的计算机实现的方法，其中接收所述认证请求包括接收由访问管理器发起的认证请求，所述访问管理器被配置为通过所述二级认证系统对所述客户端系统进行认证。

3.根据权利要求2所述的计算机实现的方法，其中所述访问管理器在拦截到来自所述客户端系统的对受保护资源的请求时发起所述认证请求。

4.根据权利要求2所述的计算机实现的方法，其中所述初级认证系统和所述访问管理器两者安装在单个企业网络内并在其中工作。

5.根据权利要求4所述的计算机实现的方法，其中所述二级认证系统包括被配置为在所述单个企业网络外操作的服务。

6.根据权利要求2所述的计算机实现的方法，还包括在执行所述第二认证之后用所述第二认证的断言将所述客户端系统重定向至所述访问管理器。

7.根据权利要求6所述的计算机实现的方法，其中所述访问管理器被配置为在接收到所述第二认证的所述断言之后授权所述客户端系统访问受保护资源。

8.根据权利要求1所述的计算机实现的方法，其中执行所述第二认证包括：

从所述第一认证的所述断言中检索用户识别信息；

通过使用所述用户识别信息而不是从所述客户端系统请求所述用户识别信息来执行所述第二认证。

9.根据权利要求1所述的计算机实现的方法，其中所述初级认证系统接收来自所述客户端系统的认证凭据，并用所述第一认证的所述断言将所述客户端系统重定向至所述二级认证系统。

10.一种用于实施多因素认证的系统，所述系统包括：

接收模块，所述接收模块被编程为作为二级认证系统的一部分接收来自客户端系统的认证请求；

重定向模块，所述重定向模块被编程为响应于接收到所述认证请求而将所述客户端系统重定向为首先用初级认证系统执行第一认证；

断言模块，所述断言模块被编程为接收来自所述客户端系统的证明所述第一认证已成功的所述第一认证的断言；

认证模块，所述认证模块被编程为响应于接收到所述第一认证的所述断言而用所述客户端系统执行第二认证；

至少一个处理器，所述处理器被配置为执行所述接收模块、所述重定向模块、所述断言模块和所述认证模块。

11.根据权利要求10所述的系统，其中所述接收模块被配置为通过接收由访问管理器发起的认证请求来接收所述认证请求，所述访问管理器被配置为通过所述二级认证系统对所述客户端系统进行认证。

12.根据权利要求11所述的系统，其中所述访问管理器在拦截到来自所述客户端系统的对受保护资源的请求时发起所述认证请求。

13.根据权利要求11所述的系统，其中所述初级认证系统和所述访问管理器两者安装在单个企业网络内并在其中工作。

14.根据权利要求13所述的系统，其中所述二级认证系统包括被配置为在所述单个企业网络外操作的服务。

15.根据权利要求11所述的系统，其中所述认证模块还被编程为在执行所述第二认证之后用所述第二认证的断言将所述客户端系统重定向至所述访问管理器。

16.根据权利要求15所述的系统，其中所述访问管理器被配置为在接收到所述第二认证的所述断言之后授权所述客户端系统访问受保护资源。

17.根据权利要求10所述的系统，其中所述认证模块还被编程为通过以下方式执行所述第二认证：

从所述第一认证的所述断言中检索用户识别信息；

通过使用所述用户识别信息而不是从所述客户端系统请求所述用户识别信息来执行所述第二认证。

18.根据权利要求10所述的系统，其中所述初级认证系统接收来自所述客户端系统的认证凭据，并用所述第一认证的所述断言将所述客户端系统重定向至所述二级认证系统。

19.一种计算机可读存储介质，其包括一个或多个计算机可执行指令，当由计算设备的至少一个处理器执行时，所述指令可使所述计算设备：

作为二级认证系统的一部分接收来自客户端系统的认证请求；

响应于接收到所述认证请求，将所述客户端系统重定向为首先用初级认证系统执行第一认证；

接收来自所述客户端系统的证明所述第一认证已成功的所述第一认证的断言；

响应于接收到所述第一认证的所述断言，用所述客户端系统执行第二认证。

20.根据权利要求20所述的计算机可读存储介质，其中所述一个或多个计算机可执行指令通过使所述计算设备接收由被配置成通过所述次级认证系统对所述客户端系统进行认证的访问管理器发起的认证请求来使所述计算设备接收所述认证请求。