CN105447400A - 一种终端应用访问控制方法、装置、系统及相关设备 - Google Patents

Abstract

本发明公开了一种终端应用访问控制方法、装置、系统及相关设备，用以隔离终端上允许访问的终端应用和不允许访问的终端应用，提高终端应用访问的安全性。其中，终端被划分为至少一个域，每一域用于安装或者运行指定的终端应用。基于此，网络侧实施的终端应用访问控制方法包括：按照预先设置的域切换策略监控是否满足域切换条件；在监控到满足域切换条件时，向所述终端发送第一域切换指令控制所述终端切换到指定域。终端侧实施的终端应用访问控制方法，包括：接收域切换指示；根据域切换指示中携带的域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表；显示所述终端应用列表中的每一终端应用。

Description

一种终端应用访问控制方法、装置、系统及相关设备

技术领域

本发明涉及移动终端技术领域，尤其涉及一种终端应用访问控制方法、装置、系统及相关设备。

背景技术

随着智能终端的功能越来越强大，通过智能终端办公、娱乐以及教学等成为智能终端的热点应用。但是，如果智能终端中同时安装办公类应用程序、娱乐类应用程序以及教学类应用程序，可能存在以下问题：老师在授课时学生没有打开教学类应用程序，而是打开游戏等娱乐类应用程序，或者，在企业的敏感区域，如办公场所或者会议场所等需要禁止用户使用智能终端的部分功能，如拍照或者摄像以及社交类应用程序避免泄露企业相关的商业机密；另外，用户在企业网使用智能终端还可能存在以下问题：企业的商业机密从企业网泄露到人人设备上，被个人设备上的恶意应用窃取或者在外网环境下意外泄露等，而用户的个人信息也可能被企业网记录，被企业网监控。又如如果多人共同使用一个智能终端，需要划分不同的使用权限或者彼此间的数据希望能够不被其他用户访问。

因此，如何对终端上允许访问的终端应用和不允许访问的终端应用进行隔离，提高终端应用访问的安全性成为现有技术亟待解决的技术问题之一。

发明内容

本发明实施例提供一种终端应用访问控制方法、装置及终端，用以隔离终端上允许访问的终端应用和不允许访问的终端应用，提高终端应用访问的安全性。

本发明实施例提供一种网络侧实施的终端应用访问控制方法，所述终端被划分为至少一个域，每一域用于安装或者运行指定的终端应用；

所述方法，包括：

按照预先设置的域切换策略监控是否满足域切换条件；

在监控到满足域切换条件时，向所述终端发送第一域切换指令控制所述终端切换到指定域，所述第一域切换指令中携带有将要切换到的域的域标识。

本发明实施例提供一种网络侧实施的应用访问控制装置，所述终端被划分为至少一个域，每一域用于安装或者运行指定的终端应用；

所述装置，包括：

监控单元，用于按照预先设置的域切换策略监控是否满足域切换条件；

发送单元，用于在所述监控单元监控到满足域切换条件时，向所述终端发送第一域切换指令控制所述终端切换到指定域，所述第一域切换指令中携带有将要切换到的域的域标识。

本发明实施例提供一种网络服务器，包括上述网络侧实施的应用访问控制装置。

本发明实施例提供一种终端侧实施的终端应用访问控制方法，将终端划分为至少一个域，每一域用于安装或者运行指定的终端应用；

所述方法，包括：

接收域切换指示，所述域切换指示中携带有将要切换到的域的域标识；

根据所述域标识，获取允许在所述域标识对应的域内运行的终端应用列表；

显示所述终端应用列表中的每一终端应用。

本发明实施例提供一种终端侧实施的终端应用访问控制装置，包括：

域划分单元，用于将终端划分为至少一个域，每一域用于安装或者运行指定的终端应用；

接收单元，用于接收域切换指示，所述域切换指示中携带有将要切换到的域的域标识；

域切换单元，用于根据所述域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表；

显示单元，用于显示所述终端应用列表中的每一终端应用。

本发明实施例提供一种终端，包括上述终端侧实施的终端应用访问控制装置。

本发明实施例提供一种终端应用访问控制系统，包括网络服务器和终端，其中所述网络服务器中设置有上述网络侧实施的终端应用访问控制装置；所述终端中设置上述终端侧实施的终端应用访问控制装置。

本发明实施例提供的终端应用访问控制方法、装置、系统及相关设备，终端被划分为若干个域，每一个域可以安装或者运行指定的终端应用，在网络侧，根据预先设置域切换策略监控是否满足域切换条件，在监控到满足域切换条件时，向终端发送第一域切换指令控制终端切换到指定域，终端根据网络侧发送的域指令进行切换到指定域，由于每一个域只能安装或者运行指定的终端应用，从而实现了对终端上允许访问的应用和不允许访问的应用进行隔离，提高了终端应用访问的安全性。在终端侧，终端根据网络侧下发的第一域切换指令切换到指定域，并运行允许在指定域运行的应用。由于在每一域内终端只能运行指定终端应用，从而实现了对终端上允许访问的应用和不允许访问的应用进行隔离，提高了终端应用访问的安全性。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例中，网络侧实施终端应用访问控制方法的实施流程示意图；

图2为本发明实施例中，终端侧实施的系统结构示意图；

图3为本发明实施例中，终端侧实施终端应用访问控制方法的实施流程示意图；

图4为本发明实施例中，网络侧实施的终端应用访问控制的结构示意图；

图5为本发明实施例中，终端侧实施的终端应用访问控制的结构示意图；

图6为本发明实施例中，终端应用访问控制系统的结构示意图。

具体实施方式

为了实现智能终端上应用程序之间的相互隔离，本发明实施例中将终端分隔为多个域，如个人域、企业域、教学域等若干个受控域。

需要说明的是，域实际上是指终端上一个特定的运行环境，在每一运行环境下，可以启动运行一组特定的终端应用。域间彼此隔离，在同一个时刻，终端只能运行在一个域内。当用户进入一受控域后，终端行为均按照设定的策略执行，可以保证终端在受控范围内使用。如学生上课时间只能使用教学域，该域下只能访问教学类应用程序无法安装及使用其他类应用程序等。而在企业域，终端的相机或者WIFI功能不可使用。终端域间切换是指终端从一个域的运行中退出，进入到另外一个域内运行。

基于此，本发明实施例将终端划分为至少一个域，每一域用于安装或者运行指定的终端应用。

以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明，并且在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

以下分别以网络侧和终端侧实施终端应用访问控制方法为例，对本发明实施例的具体实施过程进行说明。

如图1所示，为本发明实施例中网络侧实施终端应用访问控制方法的实施流程示意图，可以包括以下步骤：

S11、按照预先设置的域切换策略监控是否满足域切换条件，如果是，执行步骤S12，否则，继续执行步骤S11。

具体实施时，网络侧服务器预先设置不同的域切换策略，例如，可以设置分时切换策略，即按照预先划分的时间段与域之间的对应关系进行切换，具体实施时，可以使用域标识或者域名称来区分不同的域。如表1所述，为划分好的时间段与域之间的对应关系一种可能的结构：

表1

时间段	域标识
		09:00～12:00	domain1
12:00～13:00	domain2
		13:00～17:00	domain1
17:00～09:00	domain2

其中，域标识为1的域是企业域，域标识为2的域是个人域。企业域内仅能够运行办公类终端应用，禁止运行终端的相机、社交类终端应用。个人域可以允许运行娱乐类和社交类终端应用等。需要说明的是，以上各域内允许或者禁止运行的终端应用仅用作示例，具体实施时，可以根据企业或者个人的实际需要灵活设定。

网络侧服务器以网络时间和日期为基准，监控当前时间点是否到达域切换时间段的起始时间，如果达到，确定满足域切换条件，如果未到达，确定不满足域切换条件。以表1为例，网络侧服务器分别监控当前时间点是否到达9:00/12:00/13:00或者17:00，在到达时，确定满足域切换条件，以及在监控到满足域切换条件时，将指示终端进行域切换。

S12、向终端发送第一域切换指令控制终端切换到指定域。

其中，网络侧服务器在向终端发送的第一域切换指令中携带有将要切换到的域的域标识，指示终端切换到域标识对应的域。

通过实施本发明实施例，一方面能够实现终端在不同的域之间进行切换，由于不同的域允许运行不同的终端应用，因此，实现了允许访问终端应用和不允许访问终端应用之间的隔离，另一方面，由于本发明实施例中，以网络时间为准控制终端进行域切换，这样，可以避免由终端自行控制域切换时，由于终端时间可以由终端用户自行调整，导致域切换无法精确控制的问题。

如图2所示，为终端侧实施的系统结构示意图。该系统从本质上说是一个操作系统，单一的用户的系统。系统内的应用程序带有各种签名。该系统根据不同的应用的签名，把应用分类，不同分类的应用显示在不同的桌面(等同于本发明实施例中的域，是域的一种表现形式，不同的域为用户显示是不同的桌面)上，不同桌面之间有切换的入口。例如，某个企业签名的终端应用分为一类，是企业应用(图2中的app1,app2)，只在企业域桌面上显示，其他签名的应用归为个人应用(图2中的app3)，显示在个人域桌面上。有些应用在两个域内都可以使用，可以显示在两个域的界面上。对于运行在当前域内的应用，对文件系统的目录操作会自动重定向到文件系统中相应的当前域的目录中，保证不同域内的应用数据可以自动的隔离。

基于此，终端在接收到网络侧下发的第一域切换指令之后，可以按照图3所示的步骤执行域切换：

S31、接收域切换指示。

其中，域切换指示中携带有将要切换到的域的域标识。

S32、根据域切换指示中携带的域标识，启动该域标识对应的域并获取允许在该域标识对应的域内运行的终端应用列表。

具体实施时，终端在接收到第一域切换指令之后，强制退出当前域，并启动第一域切换指令中携带的域标识对应的域，并获取终端可显示的终端应用入口列表，并根据域标识获取允许在该域标识对应的域内运行的终端应用列表，并显示在桌面上。

S33、显示获取的终端应用列表中的每一终端应用。

较佳的，终端在退出当前域之前，还可以在预置的域标识与终端应用签名之间的对应关系中，查找允许在第一域切换指令携带的域标识对应的域内运行的终端应用的终端应用签名集合，针对当前正在运行的每一终端应用，分别判断当前正在运行的终端应用的终端应用签名是否在查找到的终端应用签名集合中；如果不再，则退出该终端应用。如果允许，则检查下一终端应用，直至所有当前正在运行的终端应用全部检查完毕，才退出当前域。

较佳的，域标识与终端应用签名的对应关系可以但不限于采用以下结构：<signature1,signature3:domain1>,<signature2,signature3:domain2>……。其中，signature1/2/3表示终端应用签名1/2/3，例如，具体实施时还可以采用表2所示的结构：

表2

具体实施时，终端在运行过程中，可以随时或者按照预设的周期向网络侧上报当前自身正在运行的终端应用(需要说明的是，具体实施时，终端可以向网络侧上报自身正在运行的终端应用的应用标识或者其他能够唯一标识该终端应用的特征标识)，网络侧在接收到终端上报的终端应用之后，确定当前的时间点所在的当前时间段，以及当前时间段对应的当前域，分别判断终端上报的终端应用是否存在当前域允许访问的终端应用中，如果不存在，网络侧可以向终端发送提示信息，也可以向终端发送第二域切换指令，并在第二域切换指令中携带当前域对应的域标识，指示终端切换到当前域。

通过实施本发明实施例，一方面能够实现终端在不同的域之间进行切换，由于不同的域允许运行不同的终端应用，因此，实现了允许访问终端应用和不允许访问终端应用之间的隔离，另一方面，由于本发明实施例中，以网络时间为准控制终端进行域切换，这样，可以避免由终端自行控制域切换时，由于终端时间可以由终端用户自行调整，导致域切换无法精确控制的问题。最后，由于终端无需监控域切换策略是否满足条件，从而减少了终端需要实施的操作，也减少了终端存储及操作开销等。

基于同一发明构思，本发明实施例中还分别提供了一种网络侧和终端侧实施的终端应用访问控制装置、设备及终端应用访问控制系统，由于上述装置、设备和系统解决问题的原理与终端应用访问控制方法相似，因此上述装置、设备及系统的实施可以参见方法的实施，重复之处不再赘述。

如图4所示，为本发明实施例提供的网络侧实施的终端应用访问控制装置的结构示意图，可以包括：

监控单元41，用于按照预先设置的域切换策略监控是否满足域切换条件；

发送单元42，用于在所述监控单元41监控到满足域切换条件时，向所述终端发送第一域切换指令控制所述终端切换到指定域，所述第一域切换指令中携带有将要切换到的域的域标识。

具体实施时，所述域切换策略包括分时切换策略，所述分时切换策略包括按照预先划分的时间段与域之间的对应关系进行域切换；基于此，所述监控单元41，可以用于监控当前时间点是否到达域切换时间段的起始时间；如果是，则确定满足域切换条件；如果否，确定不满足域切换条件。

具体实施时，本发明实施例提供的终端应用访问控制装置，还可以包括接收单元、确定单元和判断单元，其中：

所述接收单元，可以用于在监控单元监控到满足域切换条件时，所述发送单元向所述终端发送第一域切换指令控制所述终端切换到指定域之后，接收所述终端上报的、当前所述终端正在运行的终端应用；

所述确定单元，可以用于确定当前的时间点所在的当前时间段，以及所述当前时间段对应的当前域；

所述判断单元，可以用于分别判断终端上报的终端应用是否存在当前域允许访问的终端应用中；

所述发送单元42，还可以用于在所述判断单元的判断结果为否时，向向所述终端发送第二域切换指令，所述第二域切换指令中携带有所述当前域对应的域标识。

为了描述的方便，以上各部分按照功能划分为各模块(或单元)分别描述。当然，在实施本发明时可以把各模块(或单元)的功能在同一个或多个软件或硬件中实现。

具体实施时，上述网络侧实施的终端应用访问控制装置可以设置在网络侧服务器中。

如图5所示，为本发明实施例提供的终端侧实施的终端应用访问控制装置的结构示意图，包括：

域划分单元51，用于将终端划分为至少一个域，每一域用于安装或者运行指定的终端应用；

接收单元52，用于接收域切换指示，所述域切换指示中携带有将要切换到的域的域标识；

域切换单元53，用于根据所述域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表；

显示单元54，用于显示域切换单元53获取的终端应用列表中的每一终端应用。

具体实施时，本发明实施例提供的终端侧实施的终端应用访问控制装置，还可以包括：

查找单元，可以用于在所述域切换单元53根据所述域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表之前，根据所述域标识从预置的域标识与终端应用签名之间的对应关系中，查找允许在所述域标识对应的域内运行的终端应用的终端应用签名集合；

判断单元，可以用于针对当前正在运行的每一终端应用，分别判断当前正在运行的终端应用的终端应用签名是否在所述查找到的终端应用签名集合中；

访问控制单元，可以用于在所述判断单元的判断结果为是时，退出该终端应用。

为了描述的方便，以上各部分按照功能划分为各模块(或单元)分别描述。当然，在实施本发明时可以把各模块(或单元)的功能在同一个或多个软件或硬件中实现。

具体实施时，上述终端侧实施的终端应用访问控制装置可以设置在终端中。

如图6所示，为本发明实施例提供的终端应用访问控制系统的结构示意图，包括网络侧服务器61和终端62，其中网络侧服务器61中设置有上述网络侧实施的终端应用访问控制装置，终端62中设置有上述终端侧实施的终端应用访问控制装置。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (13)

1.一种终端应用访问控制方法，其特征在于，所述终端被划分为至少一个域，每一域用于安装或者运行指定的终端应用；

所述方法，包括：

按照预先设置的域切换策略监控是否满足域切换条件；

在监控到满足域切换条件时，向所述终端发送第一域切换指令控制所述终端切换到指定域，所述第一域切换指令中携带有将要切换到的域的域标识。

2.如权利要求1所述的方法，其特征在于，所述域切换策略包括分时切换策略，所述分时切换策略包括按照预先划分的时间段与域之间的对应关系进行域切换；以及

按照预先设置的域切换策略监控是否满足域切换条件，包括：

监控当前时间点是否到达域切换时间段的起始时间；

如果是，则确定满足域切换条件；

如果否，确定不满足域切换条件。

3.如权利要求2所述的方法，其特征在于，在监控到满足域切换条件时，向所述终端发送第一域切换指令控制所述终端切换到指定域之后，还包括：

接收所述终端上报的、当前所述终端正在运行的终端应用；

确定当前的时间点所在的当前时间段，以及所述当前时间段对应的当前域；

分别判断终端上报的终端应用是否存在当前域允许访问的终端应用中；

如果否，则向所述终端发送第二域切换指令，所述第二域切换指令中携带有所述当前域对应的域标识。

4.一种终端应用访问控制装置，其特征在于，所述终端被划分为至少一个域，每一域用于安装或者运行指定的终端应用；

所述装置，包括：

监控单元，用于按照预先设置的域切换策略监控是否满足域切换条件；

发送单元，用于在所述监控单元监控到满足域切换条件时，向所述终端发送第一域切换指令控制所述终端切换到指定域，所述第一域切换指令中携带有将要切换到的域的域标识。

5.如权利要求4所述的装置，其特征在于，所述域切换策略包括分时切换策略，所述分时切换策略包括按照预先划分的时间段与域之间的对应关系进行域切换；以及

所述监控单元，用于监控当前时间点是否到达域切换时间段的起始时间；如果是，则确定满足域切换条件；如果否，确定不满足域切换条件。

6.如权利要求4所述的装置，其特征在于，还包括接收单元、确定单元和判断单元，其中：

所述接收单元，用于在监控单元监控到满足域切换条件时，所述发送单元向所述终端发送第一域切换指令控制所述终端切换到指定域之后，接收所述终端上报的、当前所述终端正在运行的终端应用；

所述确定单元，用于确定当前的时间点所在的当前时间段，以及所述当前时间段对应的当前域；

所述判断单元，用于分别判断终端上报的终端应用是否存在当前域允许访问的终端应用中；

所述发送单元，还用于在所述判断单元的判断结果为否时，向向所述终端发送第二域切换指令，所述第二域切换指令中携带有所述当前域对应的域标识。

7.一种网络服务器，其特征在于，包括权利要求4、5或6所述的装置。

8.一种终端应用访问控制方法，其特征在于，将终端划分为至少一个域，每一域用于安装或者运行指定的终端应用；

所述方法，包括：

接收域切换指示，所述域切换指示中携带有将要切换到的域的域标识；

根据所述域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表；

显示所述终端应用列表中的每一终端应用。

9.如权利要求8所述的方法，其特征在于，在根据所述域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表之前，还包括：

根据所述域标识从预置的域标识与终端应用签名之间的对应关系中，查找允许在所述域标识对应的域内运行的终端应用的终端应用签名集合；

针对当前正在运行的每一终端应用，分别判断当前正在运行的终端应用的终端应用签名是否在所述查找到的终端应用签名集合中；

如果否，则退出该终端应用。

10.一种终端应用访问控制装置，其特征在于，包括：

域划分单元，用于将终端划分为至少一个域，每一域用于安装或者运行指定的终端应用；

接收单元，用于接收域切换指示，所述域切换指示中携带有将要切换到的域的域标识；

域切换单元，用于根据所述域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表；

显示单元，用于显示所述终端应用列表中的每一终端应用。

11.如权利要求10所述的装置，其特征在于，还包括：

查找单元，用于在所述域切换单元根据所述域标识，启动所述域标识对应的域并获取允许在所述域标识对应的域内运行的终端应用列表之前，根据所述域标识从预置的域标识与终端应用签名之间的对应关系中，查找允许在所述域标识对应的域内运行的终端应用的终端应用签名集合；

判断单元，用于针对当前正在运行的每一终端应用，分别判断当前正在运行的终端应用的终端应用签名是否在所述查找到的终端应用签名集合中；

访问控制单元，用于在所述判断单元的判断结果为是时，退出该终端应用。

12.一种终端，其特征在于，包括权利要求10或11所述的装置。

13.一种终端应用访问控制系统，其特征在于，包括网络服务器和终端，其中所述网络服务器中设置有权利要求4、5或6所述的装置；所述终端中设置有权利要求10或11所述的装置。