CN105556919A - 使用服务请求票据进行多因素认证 - Google Patents

Abstract

在前端系统接收服务请求且后端系统响应该服务请求的环境中，必须认证目标端点的用户。对该服务请求分配票据ID，并响应该用户的主动行动，生成与该票据ID具有特定关系的虚拟令牌。向该用户传送该虚拟令牌，并提示该用户将该令牌提交至与该前端或后端系统的其中一个关联的验证组件，其中，该验证组件经配置以验证该令牌有效性。如果确定该令牌有效，则该用户经认证以访问该特定目标端点。

Description

使用服务请求票据进行多因素认证

本申请要求2013年9月9日(09.09.2013)提交的美国专利申请序列号14/021,921的优先权。

技术领域

这里所揭露并请求保护的发明通常涉及在环境(例如包括用以接收服务请求的票据系统(ticketingsystem)以及用以响应该请求的服务提供系统的IT服务环境)中认证服务器及其它目标端点的用户的方法。尤其，本发明涉及一种上述类型的方法，其中，向服务请求分配唯一票据识别码或票据ID，并将自该给定的票据ID导出的虚拟令牌(virtualtoken)用于多因素认证，例如第二因素认证。

背景技术

信息技术(informationtechnology；IT)以及其它电脑相关产品及服务的供应商常常使资源能够被客户利用，例如服务票据系统等，以用于解决客户问题。例如，这些问题可包括客户所报告的难题及事件，以及客户产品更改请求。为解决特定的问题，客户可向上述类型的票据系统提交有关该问题的服务请求。在接收该服务请求以后，该票据系统向该请求分配包括唯一的数字或字母数字代码等的票据识别码(ID)。

上述类型的票据系统可被称作前端系统，也就是客户用来与他们的供应商或服务提供商交互的系统。在服务请求已被输入并获得唯一票据ID以后，该请求被纳入票据中，该票据被路由至由供应商或服务提供商的一个或多个服务员工操作的后端系统。各服务员工使用该后端系统来采取行动，旨在解决或顺应该已出票的服务请求。如上所述，通过向请求票据分配唯一票据ID，该前端票据系统可有效管理该后端系统对该服务请求的处理，从而确保以及时且满意的方式响应该请求。

在上述类型的布局中，该后端系统的用户必须能够访问特定的服务器或其它资源，这通常需要用户认证。而且，政策或规章可能要求用户多因素认证，例如第二因素认证。如本领域的技术人员所已知，多因素认证要求用户提供三个当前被认可的认证因素中的两个或更多。第一因素包括用户所知道的某些事物，例如密码或PIN。第二因素包括用户所拥有的某些事物，例如ATM卡、智能卡(smartcard)或令牌，包括虚拟的、软件的以及连接的及断开的令牌。第三因素包括用户是的某些事物，例如生物特征，如指纹或眼睛视网膜。

针对上述情况，显着提升或增强多因素用户认证(尤其第二因素认证)的效率将会非常有益。

发明内容

本发明的实施例提供一种在例如上述服务布局的IT服务环境中结合商业操作与顺应性控制的方法及系统。通过使操作管理系统成为对被管理系统的认证或访问控制流的部分以提供完全闭环控制，可至少部分实现此目标。此目标可进一步通过下述方式实现：通过票据管理系统自动生成必要的第二认证因素；将一个或多个第二认证因素与各服务请求票据关联以进行问责及状态跟踪；以及/或者启动虚拟令牌的生成，在票据管理系统内，该虚拟令牌将被用作第二认证因素。

本发明的实施例包括一种涉及服务环境的方法，其中，前端电脑系统接收服务请求，后端电脑系统响应该服务请求，以及用户必须经认证来访问特定目标端点，以响应该服务请求而采取行动。该方法包括对该服务请求分配特定识别码的步骤。响应选择性涉及该前端系统及该后端系统的其中一个的该用户的预定主动行动，生成与该特定识别码具有特定关系的虚拟令牌。该方法还包括向该用户传送该虚拟令牌，以及提示该用户将该传送的虚拟令牌提交至与该前端系统及该后端系统的至少其中一个关联的验证组件，其中，该验证组件经配置以验证该传送的虚拟令牌的有效性。响应该传送的虚拟令牌的有效性被验证，认证该用户以访问该特定目标端点。

附图说明

图1显示包括用以说明本发明的第一实施例的流程图的示意图。

图2显示包括用以说明本发明的第二实施例的流程图的示意图。

图3显示包括用以说明本发明的第三实施例的流程图的示意图。

图4显示本发明的实施例的票据信息与令牌的关系的示意图。

图5显示可在其中实施本发明的实施例的数据处理系统网络的方块图。

图6显示可用于实施本发明的实施例的电脑或数据处理系统的方块图。

具体实施方式

本领域的技术人员将了解，本发明的方面可实施为系统、方法或电脑程序产品。因此，本发明的方面可采取完全硬件实施例、完全软件实施例(包括固件、常驻软件、微代码等)或者这里通常可被全部称为“电路”、“模块”或“系统”的结合软件与硬件方面的实施例的形式。而且，本发明的方面可采取电脑程序产品的形式，该电脑程序产品实施于一个或多个具有电脑可读程序代码实施于其上的电脑可读媒体中。

可使用一个或多个电脑可读媒体的任意组合。该电脑可读媒体可为电脑可读信号媒体或电脑可读储存媒体。电脑可读储存媒体可为例如但不限于电子的、磁的、光的、电磁的、红外的或半导体的系统、装置或设备，或上述任意合适的组合。电脑可读储存媒体的更具体例子(非详尽清单)包括如下：具有一条或多条导线的电性连接、便携式电脑磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦写可编程只读存储器(EPROM或闪存)、光纤、便携式压缩盘只读存储器(CD-ROM)、光储存装置、磁储存装置，或上述任意合适的组合。在本文档的上下文中，电脑可读储存媒体可为可包含或储存由指令执行系统、装置或设备使用或与其结合使用的程序的任意有形媒体。

电脑可读信号媒体可包括例如基带中或者作为载波的部分的具有可读程序代码实施于其中的传播数据信号。这样的传播信号可采取任意各种形式，包括但不限于电磁的、光的或其任意合适的组合。电脑可读信号媒体可为非电脑可读储存媒体且可传送、传播或传输由指令执行系统、装置或设备使用或与其结合使用的程序的任意电脑可读媒体。

在电脑可读媒体上实施的程序代码可利用任意适当的媒体传输，包括但不限于无线、线缆、光缆、RF等，或上述任意合适的组合。

用以针对本发明的方面执行操作的电脑程序代码可以一种或多种编程语言的任意组合来编写，包括面向对象的编程语言，例如Java、Smalltalk、C++等，以及通常的过程式编程语言，例如“C”编程语言或类似的编程语言。该程序代码可完全执行于用户电脑上，部分执行于用户电脑上，作为独立软件包，部分执行于用户电脑上且部分执行于远程电脑上，或者完全执行于远程电脑或服务器上。在后者的情形中，该远程电脑可通过包括局域网(LAN)或广域网(WAN)的任意类型的网络与用户电脑连接，或者可与外部电脑建立连接(例如利用因特网服务提供商通过因特网连接)。

下面参照依据本发明的实施例的方法、装置(系统)及电脑程序产品的流程图/或方块图来说明本发明的方面。本领域的技术人员将理解，该些流程图和/或方块图中的各方块以及该些流程图和/或方块图中的方块的组合可通过电脑程序指令实施。这些电脑程序指令可被提供给通用电脑、专用电脑或其它可编程数据处理装置的处理器来生产机器，以使通过所述电脑或其它可编程数据处理装置的处理器执行的该些指令创建用以实施一个或多个流程图和/或方块图方块中特定的功能/行为的构件。

该些电脑程序指令也可储存于电脑可读媒体中，该电脑可读媒体可引导电脑、其它可编程数据处理装置或者其它设备以特定方式作用，以使储存于该电脑可读媒体中的该些指令产生包括实施一个或多个流程图和/或方块图方块中特定的功能/行为的指令的制品。

该电脑程序指令也可上载至电脑、其它可编程数据处理装置或其它设备，以在该电脑、其它可编程数据处理装置或其它设备上执行一系列操作步骤来产生电脑实施过程，从而使执行于该电脑或其它可编程装置上的该些指令提供用以实施一个或多个流程图和/或方块图方块中特定的功能/行为的过程。

请参照图1，其显示用于IT服务环境中的系统的布局或配置，该系统包括服务票据系统102以及服务传送工作站104。票据系统102包括前端系统，可由产品供应商或其他服务提供商使用以接收客户或其他人的服务请求。如上所述，服务请求可能来自难题报告、事件报告或更改请求，但本发明的实施例不限于此。

工作站104包括后端系统的至少部分，由服务员工或与供应商或服务提供商关联的其他用户使用，以对给定的服务请求提供适当的响应。尤其，工作站104被用户用来访问各目标端点，从而顺应、解决或以其它方式响应服务请求。该目标端点明确包括为解决给定请求必须访问的所有服务器，但也可包括其它资源，例如数据库等。这里所使用的术语“目标端点”包括但不限于所有此类服务器、数据库以及其它资源。

如上所述，需要访问服务器及其它目标端点的用户可能需要用户认证，例如第二因素认证。因此，图1的布局设有用于此目的的认证服务器108，该认证服务器108包括第二因素服务器110。而且，如下文详细所述，依据本发明的实施例选择性配置票据系统102和工作站104，以显着提升认证过程的效率。

进一步参照票据系统102，其中显示流程步骤114至118，这些步骤由系统102响应接收服务请求112而执行。请求112可为上述服务请求类型。在接收服务请求112后，在步骤114创建有关该请求的服务票据(serviceticket)。另外，向该票据分配唯一票据识别码或ID。接着，将该票据路由至票据记录116，票据记录116使用该分配的票据ID来跟踪有关该服务请求所采取的所有后续处理及行动。票据记录116可包含若干不同的票据信息字段(filed)的有关该服务请求的信息。除票据ID外，这些字段可包括票据类型、状态、核准状态、核准时间戳、代理人以及票据开始及票据终止时间戳。

图1还显示在步骤118将该创建的服务请求票据路由至派发器，该派发器可向工作站104发送该票据。

请进一步参照图1，其显示结合针对服务请求112所创建的票据，用户120登录票据系统102。依据图1的实施例，用户120的此行动用以启动虚拟令牌的生成，接着，该虚拟令牌可被用于认证用户访问一个或多个目标端点。详而言之，当用户登录票据系统102时，该票据系统的组件自动地请求生成虚拟令牌，如步骤122所示。而且，该虚拟令牌经配置以与该票据ID具有密切关系。有效地，该虚拟令牌包括或包含该票据ID。下文中结合图4详细说明此类关系。

在一个有用的实施例中，生成该虚拟令牌的该请求被路由至第二因素服务器110。接着，服务器110生成该虚拟令牌，并且还例如通过电子邮件或文本消息(textmessage)将该虚拟令牌发送给用户120。在此实施例中，第二因素服务器110另外向仓库(repository)126发送虚拟令牌124以供后续使用，并且还向票据记录116发送该虚拟令牌。

请进一步参照工作站104，工作流代理(workflowagent)可能目前是活跃的。但是，如果该代理不活跃，则响应自票据系统102派发的票据，在128创建工作流代理实例。该工作流实例包括工作流步骤序列(如工作站104所示)，这些步骤由例如代理130的工作流代理驱动。工作步骤流显示在步骤132接收票据，并在步骤134核查票据记录。

在步骤136，用户120登录该工作流代理实例，以执行有关服务请求112的服务票据的任务。在本发明的一个实施例中，响应用户登录，显示工作流步骤及相关应用的窗口弹出到用户的显示器上。在本发明的其它有用实施例中，基于应用签名，例如二进制名称、版本及校验，和来被动接听应用，并自动与该应用关联相应的工作流。用户选择执行任务所需的应用并在步骤138启动该应用。不过，为使用该应用，用户必须具有特定目标端点例如特定服务器的访问权利，这需要第二因素认证。

因此，在工作流步骤140，针对该特定目标端点开始认证过程。在步骤142，用户提供该特定目标端点的IP地址及名称。在步骤144，工作流代理以对话框提示用户，提供用于认证的虚拟令牌。作为响应，用户在步骤146提供在步骤122后他或她曾被发送的上述虚拟令牌。

在工作流步骤148，工作流代理自仓库126检索虚拟令牌124，并将该检索到的虚拟令牌与用户所提供的虚拟令牌比较。如果该两个虚拟令牌精确匹配，则用户的令牌的有效性被验证。在此情况下，在工作流步骤150向特定目标端点154发送登录凭证，并在步骤152准许用户访问该特定目标端点。接着，用户可在例如156中所述任务的任务推进期间使用该特定目标端点，这些任务促进或辅助解决服务请求112。

本领域的技术人员将了解，工作站104中所示的工作流步骤序列可迭代使用，以结合一系列服务器或其它目标端点中的每一个来认证用户。而且，可修改图1的实施例的特定方面，而不背离本发明。例如，目标端点可为认证服务器，如目标端点158所示。作为进一步的选择，ID保险库(IDvault)160可包括于认证服务器，以进一步促进认证。

通过为虚拟令牌124提供如图1所示的仓库126，可通过工作站104的工作流步骤异步检索虚拟令牌。不过，在图1的实施例的另一方面中，虚拟令牌的检索可包括在工作流步骤序列中具有特定位置的工作流步骤。

图1的实施例以及这里所揭露的各其它实施例通过使用虚拟令牌并提供映射至票据记录的服务，通过在服务器端点记录各访问事件来提供用户访问的集中审计跟踪。这促进以低成本遵守对服务提供商以及具有大规模及广泛分布的支持装置组的内部支持组织的监管和/或政策要求。

请参照图2，其显示的本发明实施例包括前端服务票据系统202及后端工作站传送系统204，它们分别与图1的系统102及系统104大体类似。因此，图2的系统202及204分别包含与图1的系统102及104中所分别包括的步骤或组件相同的步骤或组件的其中一些。详而言之，系统202包括步骤或组件114至118，且系统204包括工作流序列步骤128至138以及144至152，分别如上面结合系统102及104所述。图2还包括认证服务器108及其各组件，以及特定目标端点154，所有这些都如上面结合图1所述。

尽管在图1及2的各系统之间具有上述相似性，但在它们之间还有一些重要的区别。例如，用以请求生成虚拟令牌的系统202的步骤206由与图1的步骤120的触发输入有很大不同的输入触发，如下文详细所述。另外，工作流代理208提供的工作流步骤序列包括图1的工作流序列中找不到的步骤，如下文详细所述。

请进一步参照图2，其显示以与图1的步骤类似的方式响应服务请求112的系统202的步骤114至118。因此，针对服务请求112创建服务票据，向该服务票据分配唯一票据ID，以及在票据记录116中记录票据信息。该服务票据也被派发至工作站204。

不过，与图1的实施例不同，在图1的实施例中，虚拟令牌的生成由用户登录票据系统启动，而图2实施例采用不同的用户行动来启动用于用户认证的虚拟令牌的生成。详而言之，通过实施图2的工作流序列的特定步骤，当用户试图登录特定目标端点时触发生成。因此，票据系统202设有步骤206，该步骤自工作站204接收触发事件，如下文所述。作为响应，步骤206将用于用户认证的虚拟令牌的生成请求路由至第二因素服务器110。接着，第二因素服务器110生成与票据ID具有密切关系的虚拟令牌，并通过电子邮件或文本消息将该虚拟令牌发送给用户120。服务器110还向仓库126发送该虚拟令牌124，以供后续使用。

请进一步参照图2的工作站204，在步骤128创建包括工作流步骤序列的工作流代理208的实例。接着，执行步骤132至136，并在步骤138，用户启动特定目标端点的应用，这需要用户认证。这开始图2的认证过程，该认证过程包括工作流步骤210至218。

该认证过程开始于步骤210，且在步骤212，用户提供该特定目标端点的特定目标名称以及ID地址。接着，在工作流步骤214，工作流代理提示用户输入有关服务请求112的服务票据的票据ID，以及在步骤216，用户提供票据ID。在工作流步骤218，工作流代理208向票据系统204发送票据ID以及其它信息，其中，所述其它信息可包括该特定目标端点的IP及名称。

更具体地，在步骤218发送的票据ID及其它信息被路由至票据系统202的步骤206，并包括上述触发事件。作为响应，步骤206请求第二因素服务器110生成虚拟令牌，该虚拟令牌被发送给用户。

在工作站204的步骤144，工作流代理提示用户提供虚拟令牌，此任务在步骤146中完成。接着，在步骤148，工作流代理验证虚拟令牌的有效性，并且如果令牌有效，则执行步骤150及152。

请参照图3，其显示的本发明实施例包括前端服务票据系统302以及后端工作站传送系统304，它们分别与图1的系统102及系统104大体类似。因此，图3的系统302及304分别包含与图1的系统102及104中所分别包括的步骤或组件相同的步骤或组件的其中一些。详而言之，系统302包括步骤或组件114至118，且系统304包括工作流序列步骤128至152，分别如上面结合系统102及104所述。图3还包括特定目标端点154，如上面结合图1所述。

不过，从图3可看出，图3的实施例不包括任何认证服务器，例如认证服务器108。相反，票据系统302充当图3实施例的第二认证因素服务器。这通过使票据系统302设有步骤或组件306及308以及使工作站304设有工作流代理310及工作流步骤312来部分实施，分别如下文所述。

请进一步参照图3的票据系统302，以与图1的步骤类似的方式，步骤114至118分别响应服务请求112。因此，针对服务请求112创建服务票据，向该服务票据分配唯一票据ID，以及在票据记录116中记录票据信息。该服务票据也被派发至工作站304。

图3还显示结合针对服务请求112所创建的票据，用户120登录票据系统302。用户120的此行动使票据系统302在步骤306自动生成虚拟令牌。如上面结合图1及2的实施例所述，虚拟令牌经配置以与服务请求112的票据ID具有密切关系。步骤306或票据系统302的其它组件还通过例如电子邮件或文本消息将该生成的虚拟令牌发送给用户。

请进一步参照工作站304，在步骤128创建工作流代理310的实例。在步骤136，用户登录该工作流代理实例，以及在步骤138，用户启动有关特定目标端点的应用。这需要认证，该认证开始于步骤140。在步骤144，工作流代理提示用户输入虚拟令牌，以及在步骤146，提供令牌。

在图3的实施例中，通过服务票据系统302验证虚拟令牌的有效性。因此，图3的工作流序列设有步骤312，该步骤向票据系统发送虚拟令牌以进行验证。另外，票据系统302设有步骤或组件308，以验证用户虚拟令牌的有效性。因此，步骤308自工作站304接收用户所提供的虚拟令牌，并将其与在步骤306初始生成的虚拟令牌比较。如果虚拟令牌的有效性被验证，则在工作流步骤150至152准许访问该特定目标端点。

图4显示票据记录402，其列出与服务票据相关的可储存于例如系统102等服务票据系统中的信息。此类信息可包括票据说明及票据请求人，以及票据ID。如上所述，有效地，由本发明的实施例生成的虚拟令牌与相关服务的票据ID具有密切关系。在仅单次只需一名服务员工404为票据提供服务的简单例子中，只需要单个虚拟令牌。在此情况下，票据ID可直接被用作虚拟令牌。

请进一步参照图4，其中显示票据记录402与各令牌406之间的映射关系。一般来说，服务要求会比上述简单情况更复杂。例如，令牌通常仅在给定的时间段有效，这对于服务员工来说可能不足以完成与票据关联的服务任务。因此，服务员工将需要多个令牌来为票据提供服务。此情况如图4所示，其显示同一服务员工需要两个不同的令牌，也就是令牌1和令牌2。为针对此情形提供截然不同的虚拟令牌，令牌1及令牌2可分别包括例如包括票据ID与特定令牌有效的特定时间两者的数字代码。

当需要多个服务员工来完成服务任务时，产生更进一步的复杂度。这将需要为每位服务员工提供截然不同的虚拟令牌，如图4的令牌2、3以及n所示。为实现此目的，各该令牌可包括例如包括票据ID与将接收该令牌的服务员工的唯一识别码两者的数字代码。

图5图示可在其中实施本发明的示例实施例的数据处理系统网络。网络数据处理系统500是可在其中实施示例实施例的电脑网络。网络数据处理系统500包含网络502，该网络502是用以提供网络数据处理系统500内连接在一起的各种装置及电脑之间的通信链路的媒体。网络502可包括连接，例如有线、无线通信链路或光缆。

在所示例子中，服务器电脑504及服务器电脑506与网络502及储存单元508连接。另外，客户端电脑510、512及514与网络502连接。客户端电脑510、512及514可为例如个人电脑或网络电脑。在所示例子中，服务器电脑504向客户端电脑510、512及514提供信息，例如根文件、操作系统映像以及应用。在此例子中，客户端电脑510、512及514是服务器电脑504的客户。网络数据处理系统500可包括额外的服务器电脑、客户端电脑以及未图示的其它装置。

位于网络数据处理系统500中的程序代码可储存于电脑可记录储存媒体上并下载至数据处理系统或其它装置以供使用。例如，程序代码可储存于服务器电脑504的电脑可记录储存媒体上并通过网络502下载至客户端电脑510以供用于客户端电脑510上。

在所示例子中，网络数据处理系统500是具有代表使用传输控制协议/网际协议(TCP/IP)协议组来相互通信的世界范围内的网络及网关集合的网络502的因特网。因特网的核心是由路由数据及消息的成千上万的商业的、政府的、教育的以及其它的电脑系统组成的主要节点或主机之间的高速数据通信线路主干。当然，网络数据处理系统500也可实施为若干不同类型的网络，例如内联网、局域网(LAN)或广域网(WAN)。图5意图作为例子，而不作为不同示例实施例的架构限制。

现在请参照图6，其显示依据示例实施例的数据处理系统图。在此示例中，数据处理系统600包括通信架构602，该通信架构在处理器单元604、内存606、持久储存体608、通信单元610、输入/输出(I/O)单元612与显示器614之间提供通信。

处理器单元604用以处理可载入内存606中的软件指令。处理器内元604可为若干处理器、多处理器核或一些其它类型的处理器，取决于特定的实施。这里提到某物品时所用的“若干”是指一件或多件物品。另外，处理器单元604可通过若干异构处(heterogeneous)理器系统实施，在该异构处理器系统中，主处理器与次级处理器一起出现在单个芯片上。作为另一个示例，处理器单元604可为包含相同类型的多个处理器的对称多处理器系统。

内存606及持久储存体608是储存装置616的例子。储存装置可为能够暂时和/或永久储存信息例如但不限于数据、功能形式的程序代码和/或其它合适的信息的任意硬件部件。在这些例子中，储存装置616也可被称作电脑可读储存装置。在这些例子中，内存606可为例如随机访问存储器或任意其它合适的易失性或非易失储存装置。持久储存体608可采取各种形式，取决于特定的实施。

例如，持久储存体608可包含一个或多个组件或装置。例如，持久储存体608可为硬盘驱动器、闪存、可重写光盘、可重写磁带，或上述的某种组合。持久储存体608所使用的媒体也可为可移动。例如，可移动硬盘驱动器可用作持久储存体608。

在这些例子中，通信单元610提供与其它数据处理系统或装置的通信。在这些例子中，通信单元610为网络接口卡。通信单元610可通过使用物理及无线通信链路的其中一种或两种来提供通信。

输入/输出单元612允许与可连接至数据处理系统600的其它装置进行数据的输入及输出。例如，输入/输出单元612可通过键盘、鼠标和/或一些其它合适的输入装置来提供用户输入连接。另外，输入/输出单元612可向打印机发送输出。显示器614提供向用户显示信息的机制。

用于操作系统、应用和/或程序的指令可位于储存装置616中，储存装置616通过通信架构602与处理器单元604通信。在这些示例中，该些指令在持久储存体608上呈功能形式。这些指令可被载入内存606中，以由处理器单元604处理。通过电脑实施的指令可由处理器单元604执行不同实施例的处理，该些电脑实施的指令可位于内存中，例如内存606中。

这些指令被称为程序代码、电脑可使用程序代码，或者可由处理器单元604中的处理器读取并处理的电脑可读程序代码。不同实施例中的程序代码可实施于不同的物理或电脑可读储存媒体上，例如内存606或持久储存体608上。

程序代码618以功能形式位于可选择性移动的电脑可读媒体620上，并可被上载或传输至数据处理系统600以由处理器单元604处理。在这些例子中，程序代码618与电脑可读媒体620构成电脑程序产品622。在一个例子中，电脑可读媒体620可为电脑可读储存媒体624或电脑可读信号媒体626。

电脑可读储存媒体624可包括例如光盘或磁盘，该光盘或磁盘被插入或置于驱动器或作为持久储存体608的部分的其它装置中，以上传至作为持久储存体608的部分的例如为硬盘驱动器的储存装置。电脑可读储存媒体624也可采取与数据处理系统600连接的例如硬盘驱动器、拇指驱动器或闪存的持久储存体的形式。

在一些实例中，电脑可读储存媒体624可能不可从数据处理系统600移除。在这些例子中，电脑可读储存媒体624是用以储存程序代码618的物理的或有形的储存装置，而不是传播或传输程序代码618的媒体。电脑可读储存媒体624也被称为电脑可读有形储存装置或电脑可读物理储存装置。换句话说，电脑可读储存媒体624是可被人触摸的媒体。

或者，程序代码618可通过电脑可读信号媒体626被传送至数据处理系统600。电脑可读信号媒体626可为例如包含程序代码618的传播数据信号。例如，电脑可读信号媒体626可为电磁信号、光信号和/或任意其它合适类型的信号。这些信号可在通信链路例如无线通信链路、光缆、同轴电缆、导线和/或任意其它合适类型的通信链路上传输。换句话说，在示例中，该通信链路和/或连接可能是物理的或无线的。

在一些示例实施例中，程序代码618可通过电脑可读信号媒体626从另一装置或数据处理系统经由网络下载至持久储存体608，以供用于数据处理系统600内。例如，储存于服务器数据处理系统的电脑可读储存媒体中的程序代码可经由网络从该服务器下载至数据处理系统600。提供程序代码618的数据处理系统可为服务器电脑、客户端电脑、远程数据处理系统，或能够储存并传输程序代码618的一些其它装置。例如，储存于数据处理系统600的电脑可读储存媒体中的程序代码可经由网络从远程数据处理系统下载至数据处理系统600中的电脑可读储存媒体。另外，储存于服务器电脑的电脑可读储存媒体中的程序代码可经由网络从服务器电脑下载至远程数据处理系统中的电脑可读储存媒体。

对本发明的各种实施例所作的说明是出于示例目的，而非意图详尽无遗或限于所揭露的实施例。许多修改及变更对于本领域的普通技术人员显而易见，而不背离所述实施例的范围及精神。这里所使用的术语经选择以最佳解释实施例的原理、实际应用或在市场已知技术上的技术改进，或者使本领域的普通技术人员能够理解这里所揭露的实施例。

附图中的流程图及方块图说明依据本发明的各种实施例的系统、方法及电脑程序产品的可能实施的架构、功能以及操作。在这点上，流程图或方块图中的各方块可代表模块、片断或部分代码，其包括用以实施特定逻辑功能的一条或多条可执行指令。应当注意的是，在一些替代实施中，方块中所示的功能可能不按附图中所示的顺序发生。例如，以连续方式显示的方块可能实际上基本同时执行，或者方块可能有时以相反的顺序执行，取决于所涉及的功能。还要注意的是，方块图和/或流程图中的每个方块以及方块图和/或流程图中的方块组合可由执行特定功能或行为的基于专用硬件的系统或者专用硬件及电脑指令的组合实施。

Claims (20)

1.在前端电脑系统接收服务请求、后端电脑系统响应该服务请求以及用户必须经认证来访问特定目标端点以响应该服务请求而采取行动的服务环境中，一种电脑实施方法包括步骤：

对该服务请求分配特定识别码；

响应选择性涉及该前端系统及该后端系统的其中一个的该用户的预定主动行动，生成与该特定识别码具有特定关系的虚拟令牌；

向该用户传送该虚拟令牌；

提示该用户将该传送的虚拟令牌提交至与该前端系统及该后端系统的至少其中一个关联的验证组件，其中，该验证组件经配置以验证该传送的虚拟令牌的有效性；以及

响应该传送的虚拟令牌的有效性被验证，认证该用户以访问该特定目标端点。

2.如权利要求1所述的方法，其中：

该前端系统包括针对该服务请求创建票据的服务票据系统，该特定识别码包括分配给该票据的票据识别码(ID)，以及该生成的虚拟令牌选择性地包括该票据ID或者就是该票据ID。

3.如权利要求1所述的方法，其中：

该前端系统包括服务票据系统，以及该用户的该主动行动包括登录该服务票据系统的用户行动。

4.如权利要求3所述的方法，其中：

响应该用户登录该服务票据系统，该服务票据系统自动地请求第二认证因素服务器生成该虚拟令牌。

5.如权利要求4所述的方法，其中：

该第二认证因素服务器向该用户传送该虚拟令牌。

6.如权利要求3所述的方法，其中：

响应该用户登录该服务票据系统，该服务票据系统的组件生成该虚拟令牌，且向该用户传送该虚拟令牌。

7.如权利要求3所述的方法，其中：

使用该服务票据系统的组件来验证该传送的虚拟令牌的有效性。

8.如权利要求1所述的方法，其中：

该后端系统包括用以创建工作流代理实例的系统，以及该用户的该主动行动包括使用该工作流实例来试图访问该特定目标端点。

9.如权利要求8所述的方法，其中：

该工作流代理提示该用户输入该特定识别码。

10.如权利要求9所述的方法，其中：

响应自该用户接收该特定识别码，该工作流代理向该前端系统发送该特定识别码，以及该前端系统请求第二认证因素服务器生成该虚拟令牌。

11.如权利要求8所述的方法，其中：

使用该工作流代理的组件来验证该传送的虚拟令牌的有效性。

12.如权利要求1所述的方法，其中：

该特定识别码包括分配给该服务请求的票据ID，以及该虚拟令牌包括该票据ID，且还选择性包括标示该虚拟令牌有效时间段的信息以及唯一识别接收该虚拟令牌的该用户的信息。

13.如权利要求1所述的方法，其中：

该传送的虚拟令牌包括一组多个虚拟令牌中的一个虚拟令牌，其中，该组中的各虚拟令牌被传送给用户以用于认证该用户访问该特定目标端点；以及

与该服务请求关联的特定票据具有特定票据ID，以及该组中的各虚拟令牌具有唯一识别码，该唯一识别码包括该特定票据ID，且还包括标示该虚拟令牌有效时间段的信息及唯一识别接收该虚拟令牌的该用户的信息的至少其中一个。

14.在前端电脑系统接收服务请求、后端电脑系统响应该服务请求以及用户必须经认证来访问特定目标端点以响应该服务请求而采取行动的服务环境中，一种可执行于可记录储存媒体中的电脑程序包括：

用以对该服务请求分配特定识别码的指令；

响应选择性涉及该前端系统及该后端系统的其中一个的该用户的预定主动行动以生成与该特定识别码具有特定关系的虚拟令牌的指令；

用以向该用户传送该虚拟令牌的指令；

用以提示该用户将该传送的虚拟令牌提交至与该前端系统及该后端系统的至少其中一个关联的验证组件的指令，其中，该验证组件经配置以验证该传送的虚拟令牌的有效性；以及

响应该传送的虚拟令牌的有效性被验证以认证该用户访问该特定目标端点的指令。

15.如权利要求14所述的电脑程序产品，其中：

该前端系统包括针对该服务请求创建票据的服务票据系统，该特定识别码包括分配给该票据的票据识别码(ID)，以及该生成的虚拟令牌选择性地包括该票据ID或者就是该票据ID。

16.如权利要求14所述的电脑程序产品，其中：

该前端系统包括服务票据系统，以及该用户的该主动行动包括登录该服务票据系统的用户行动。

17.如权利要求16所述的电脑程序产品，其中：

响应该用户登录该服务票据系统，该服务票据系统自动地请求第二认证因素服务器生成该虚拟令牌。

18.如权利要求16所述的电脑程序产品，其中：

响应该用户登录该服务票据系统，该服务票据系统的组件生成该虚拟令牌，且向该用户传送该虚拟令牌。

19.如权利要求14所述的电脑程序产品，其中：

该后端系统包括用以创建工作流代理实例的系统，以及该用户的该主动行动包括使用该工作流实例来试图访问该特定目标端点。

20.在前端系统接收服务请求、后端电脑系统响应该服务请求以及用户必须经认证来访问特定目标端点以响应该服务请求而采取行动的服务环境中，一种数据处理系统包括：

总线；

与该总线连接的内存，其中，在该内存上储存程序代码；以及

与该总线连接的处理器单元，其中，该处理器单元执行该程序代码：

以对该服务请求分配特定识别码；

响应选择性涉及该前端系统及该后端系统的其中一个的该用户的预定主动行动，以生成与该特定识别码具有特定关系的虚拟令牌；

以传送该虚拟令牌；

以提示该用户将该传送的虚拟令牌提交至与该前端系统及该后端系统的至少其中一个关联的验证组件，其中，该验证组件经配置以验证该传送的虚拟令牌的有效性；以及

响应该传送的虚拟令牌的有效性被验证，以认证该用户访问该特定目标端点。