CN106446673A - 一种应用隔离方法及终端设备 - Google Patents

Abstract

本发明实施例公开了一种应用隔离方法及终端设备，能够节省应用隔离的成本。本发明实施例方法包括：运行预装桌面应用；将预装桌面应用替换并禁用系统默认桌面，并禁用其他桌面应用的安装；在预装桌面应用中配置第一用户界面和第二用户界面，在第一用户界面中创建个人区，在第二用户界面中创建工作区，个人区用于安装个人应用，工作区用于安装企业应用。本发明实施例通过预装桌面应用控制终端桌面，在预装桌面应用中划分出个人区和工作区实现桌面隔离，无需受限于终端设备厂商。该应用隔离方案可以作为一种通用的应用隔离方案，无需进行移动设备ROM或底层的其他改造，从而可以节省应用隔离成本。

Description

一种应用隔离方法及终端设备

技术领域

本发明涉及移动终端领域，尤其涉及一种应用隔离方法及终端设备。

背景技术

随着移动技术的进步，企业开始逐渐采用移动办公，用于强化内部沟通，提升业务效率。在移动办公形式上，有自携设备(Bring your own device，BYOD)和自选设备(英文：Choose Your Own Device，简称：CYOD)两种选择。采用BYOD，员工是终端设备的所有者，企业不需要额外采购终端设备。但在设备上安装企业移动管理(Enterprise MobilityManagement，EMM)管控软件会受到员工抵触，影响移动办公安全性。采用CYOD，企业是终端设备的所有者，需要额外付出采购成本。但企业可以在终端设备上预装EMM管控软件，更好的保护企业数据安全性。基于成本和安全性考虑，现在也有很多企业采用BYOD/CYOD混合方案。企业和员工共同承当设备采购成本，员工可以在终端设备上同时进行办公及私人工作。

BYOD/CYOD的安全性需要可靠的应用隔离方案，保障企业数据不泄露，同时不影响私人数据。业界已有一些可行方案，比如中科创达的ThunderSec安全移动办公方案，提供了一个加入EMM管控策略的只读存储区镜像(Read Only Memory image，ROM)。三星的KNOX框架，通过软件开发工具包(Software Development Kit，SDK)为三星手机提供EMM管控功能。但这些方案，受限于厂商提供的移动终端，影响企业采购移动终端的选择。在企业选择第三方设备时，需要投入大量人力定制ROM，成本较高，且不具备通用性。

发明内容

本发明实施例提供了一种应用隔离方法及终端设备，能够作为一种通用的应用隔离方案，节省应用隔离的成本。

第一方面，本发明实施例提供了一种应用隔离方法，该方法包括：运行预装桌面应用；将预装桌面应用替换并禁用系统默认桌面，并禁用其他桌面应用的安装；在预装桌面应用中配置第一用户界面和第二用户界面，在第一用户界面中创建个人区，在第二用户界面中创建工作区，个人区用于安装个人应用，工作区用于安装企业应用。

本发明实施例通过获取预装桌面应用，将预装桌面应用替换系统默认桌面，并禁用其他桌面应用的安装，在预装桌面应用中创建个人区和工作区，通过个人区安装个人应用，通过工作区安装企业应用。从而通过预装桌面应用控制移动终端桌面，在预装桌面应用中划分出个人区和工作区实现桌面隔离，通过预装桌面应用即可完成个人区和工作区应用的隔离，无需受限于终端设备厂商。该应用隔离方案可以作为一种通用的应用隔离方案，无需进行移动设备ROM或底层的其他改造，从而可以节省应用隔离成本。

结合第一方面，在第一方面的第一种可能的实现方式中，该方法还包括：

接收服务器发送的隔离配置信息；根据隔离配置信息对个人区进行控制和/或对工作区进行控制。

可选的，隔离配置信息包括合法用户信息；所述根据隔离配置信息对工作区进行控制包括：判断当前登录工作区的用户是否在合法用户信息中，若在合法用户信息中，则允许当前登录工作区的用户登录工作区。

可选的，隔离配置信息包括自动进入工作区的时间区间；所述根据隔离配置信息对个人区和对工作区进行控制包括：当当前系统时间位于自动进入工作区的时间区间内时，自动从个人区切换到工作区。

可选的，隔离配置信息包括允许在工作区安装的应用集合；所述根据隔离配置信息对工作区进行控制包括：当用户在工作区安装的目标应用不属于允许在工作区安装的应用集合时，禁止目标应用在工作区安装。

可选的，隔离配置信息包括是否限定企业应用只在工作区显示，不可以在个人区显示；所述根据隔离配置信息对个人区和工作区进行控制包括：限制企业应用只在工作区显示，不在个人区显示。

可选的，EMM管理后台配置的隔离配置信息中还可以包括：是否开启个人区和工作区的隔离；是否允许在个人区使用工作区的应用等配置信息。

在通过预装桌面应用对个人区和工作区进行应用隔离的基础上，本发明实施例还可以根据业务需要对个人区和工作区施加不同的管控策略，从而增强了对企业数据的安全管控。

可选的，该方法还包括：在预装桌面应用中对工作区中的应用进行应用加固、数据加密、和/或网络加密。

第二方面，本发明实施例提供了一种终端设备，该终端设备具体对应于上述第一方面所提供的应用隔离方法的功能。在一种可能的设计中，包括：

桌面应用运行单元，用于运行预装桌面应用；

桌面设置单元，用于将预装桌面应用替换并禁用系统默认桌面，并禁用其他桌面应用的安装；

应用隔离单元，用于在预装桌面应用中配置第一用户界面和第二用户界面，在第一用户界面中创建个人区，在第二用户界面中创建工作区，个人区用于安装个人应用，工作区用于安装企业应用。

从以上技术方案可以看出，本发明实施例具有以下优点：

本发明实施例通过预装桌面应用控制移动终端桌面，在预装桌面应用中划分出个人区和工作区实现桌面隔离，无需受限于终端设备厂商，通过预装桌面应用即可完成个人区和工作区应用的隔离。该应用隔离方案可以作为一种通用的应用隔离方案，无需进行移动设备ROM或底层的其他改造，从而可以节省应用隔离成本。

附图说明

图1为本发明实施例中应用隔离方法的一种流程图；

图2为本发明实施例中应用隔离的示意图；

图3为本发明实施中终端设备原始桌面示意图；

图4为本发明实施例中预装桌面应用中个人区的示意图；

图5为本发明实施例中预装桌面应用中工作区的示意图；

图6为本发明实施例中终端设备的功能结构示意图。

具体实施方式

为了使本发明的技术方案及有益效果更加清楚，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

随着移动技术的进步，企业开始逐渐部署移动信息化平台，用于强化内部沟通，提升业务效率。由于移动终端的多样性、便携性，相比传统信息化，移动信息化安全问题更加突出。EMM包括移动设备管理、移动用户管理、移动应用管理、移动内容管理四个维度，可有效解决移动业务开展过程中遇到的各种安全风险，并提升移动终端、移动应用的管理效率。

在BYOD场景，移动终端同时包含企业数据和私人数据，需要保障企业数据安全的同时，不影响私人数据。EMM通过应用加固、文件加密、网络加密等技术，可有效隔离公私数据，保障企业数据不外泄。除了对企业应用自身的安全防护，还需要统一管理企业应用的使用，以更有效的隔离企业应用，展现EMM安全。

本发明实施例提供一种通用的移动终端应用隔离方案，通过预装桌面应用即可完成个人区和工作区应用的隔离，能够有效隔离企业应用，并对个人区和工作区进行管理。

本发明实施例可以应用于装载有智能操作系统的终端设备，该终端设备可以为智能手机、平板电脑、车载终端等智能终端。其中，智能操作系统可以是Android、iOS、WindowsPhone等操作系统。本发明实施例中以Android操作系统为例进行说明。

本发明实施例中应用隔离方法的流程图如图1所示，该应用隔离方法的执行主体具体为应用隔离装置，该应用隔离装置具体可以集成在本发明实施例应用的智能终端设备中。

101、运行预装桌面应用；

可以通过给终端设备预装应用的方式来获取预装桌面应用，运行所述预装桌面应用，并设置桌面应用为该系统设备拥有者，然后启动预装桌面应用。

102、将所述预装桌面应用替换并禁用系统默认桌面，并禁用其他桌面应用的安装；

启动所述预装桌面应用后，使用设备拥有者权限禁用系统默认桌面，然后设置所述预装桌面应用的桌面为默认桌面。

预装桌面应用监控系统安装应用事件，一旦检测到安装一个桌面类应用，立即禁止安装行为，避免因同时安装多个桌面类应用而引发冲突，以使得系统只有预装桌面应用的运行。

103、在所述预装桌面应用中配置第一用户界面和第二用户界面，在第一用户界面中创建个人区，在第二用户界面中创建工作区，所述个人区用于安装个人应用，所述工作区用于安装企业应用。

如图2所示，在预装桌面应用中配置个人区和工作区。个人区包含系统预装的个人应用，用于安装个人应用及个人应用的显示；工作区用于安装企业应用，企业应用的安装可以待用户登录后根据需要安装。该个人区和工作区作为两个不同的展示界面：第一用户界面和第二用户界面，可相互切换，不可同时展示。

预装桌面应用可以成为移动终端操作系统的入口，用户访问终端上的应用受到控制。

如图2所示，服务器(即：EMM服务器)可以通过预装桌面应用管控个人区和工作区。EMM服务器中的EMM管理后台设置隔离配置信息，下发给各终端设备，终端设备根据隔离配置信息对个人区和工作区进行控制。具体包括：

EMM管理后台可以获取企业用户信息，或管理企业用户信息。EMM管理后台配置的隔离配置信息中包括合法用户信息(即企业用户信息)，设置企业用户进入工作区必须先进行用户信息验证。当用户进入工作区时，通过判断当前登录工作区的用户是否在合法用户信息中，若在合法用户信息中，则可以允许当前用户登录工作区。

企业用户在个人区自由使用个人应用，也可以安装或卸载新的应用，不影响工作区。需要工作时，企业用户使用公司提供的账号进入工作区，安装、使用所需应用。在此期间产生的数据，和个人区隔离。

EMM管理后台可以管控企业用户对个人区和工作区中的使用时间。EMM管理后台配置的隔离配置信息中包括自动进入工作区的时间区间，当当前系统时间位于所述自动进入工作区的时间区间内时，自动从个人区切换到工作区，让所有企业用户进入工作区。例如：可以配置在上班时间(9:00-12:00，14:00-17:00)自动进入工作区。

EMM管理后台还可以管控企业用户在个人区和工作区中的操作行为。EMM管理后台配置的隔离配置信息中包括允许在工作区安装的应用集合，当用户在所述工作区安装的目标应用不属于所述允许在工作区安装的应用集合时，禁止目标应用在工作区安装。例如：禁止在工作区安装QQ等。

EMM管理后台还可以在隔离配置信息中配置企业应用只可以在工作区显示，不可以在个人区显示。

除此之外，EMM管理后台配置的隔离配置信息中还可以包括：是否开启个人区和工作区的隔离；是否允许在个人区使用工作区的应用等配置信息。

终端设备的原始桌面如图3所示，个人应用和企业应用都混合呈现；通过执行本发明实施例中的应用隔离方法，终端设备的个人区界面如图4所示：在个人区只安装了个人应用，在个人区提供进入工作区的入口：图4中的示例为“进入工作区”应用。通过点击“进入工作区”，经过验证用户信息后，可以进入如图5所示的工作区，工作区中只安装了企业应用，在工作区提供退出工作区的入口：图5中示例为“退出工作区”应用。

本发明实施例通过获取预装桌面应用，将预装桌面应用替换系统默认桌面，并禁用其他桌面应用的安装，在预装桌面应用中创建个人区和工作区，通过个人区安装个人应用，通过工作区安装企业应用。从而通过预装桌面应用控制移动终端桌面，在预装桌面应用中划分出个人区和工作区实现桌面隔离。采用本方案，省去了巨大的ROM定制成本，也不依赖终端厂商提供的SDK，实现了一种通用的应用隔离方案。在此基础上，还可以根据业务需要对个人区和工作区施加不同的管控策略，从而增强了对企业数据的安全管控。

可选的，在工作区安装企业应用时，预装桌面应用可以给安装的企业应用增加应用加固、数据加密和/或网络加密等管控，在数据层面隔离个人区和工作区应用，可以更有效的隔离企业应用和私人应用，增强EMM应用管理能力。应用加固、数据加密和网络加密的具体方式具体不做限定。

可选的，也可以在打包生成应用时进行应用加固、数据加密、网络加密等管控，例如：在打包生成应用时，先通过解包工具分离应用，得到程序清单、程序库文件、资源文件。然后修改清单和注入库文件，以加入能够标识工作区应用的特征值、去桌面图标，实现数据加密等其他EMM相关功能。最后用打包工具生成新的应用。在企业应用做加固后，进入EMM服务器的应用商店。用户在终端设备的工作区可安装加固后的企业应用。

以上是本发明实施例中对应用隔离方法的介绍，下面从功能模块角度对本发明实施例中的终端设备进行介绍。

本发明实施例中的终端设备的功能模块结构图如图6所示。具体实现对应于上述方法实施例(图1-图5中所示的实施例)提供的应用隔离方法的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件程序实现。硬件和软件包括一个或多个与上述功能相对应的单元模块，所述单元模块可以是软件和/或硬件。

一种可能的设计中，所述终端设备包括：

桌面应用运行单元601，用于运行预装桌面应用；

桌面设置单元602，用于将预装桌面应用替换并禁用系统默认桌面，并禁用其他桌面应用的安装；

应用隔离单元603，用于在预装桌面应用中配置第一用户界面和第二用户界面，在第一用户界面中创建个人区，在第二用户界面中创建工作区，个人区用于安装个人应用，工作区用于安装企业应用。

在一些具体的实施中，终端设备还包括：

配置信息接收单元604，用于接收服务器发送的隔离配置信息；

控制单元605，用于根据隔离配置信息对个人区进行控制和/或对工作区进行控制。

在一些具体的实施中，配置信息接收单元604，具体用于接收服务器发送的隔离配置信息，隔离配置信息包括合法用户信息；

控制单元605，具体用于判断当前登录工作区的用户是否在合法用户信息中，若在合法用户信息中，则允许当前登录工作区的用户登录工作区。

在一些具体的实施中，配置信息接收单元604，具体用于接收服务器发送的隔离配置信息，隔离配置信息包括自动进入工作区的时间区间；

控制单元605，具体用于当当前系统时间位于自动进入工作区的时间区间内时，自动从个人区切换到工作区。

在一些具体的实施中，配置信息接收单元604，具体用于接收服务器发送的隔离配置信息，隔离配置信息包括允许在工作区安装的应用集合；

控制单元605，具体用于当用户在工作区安装的目标应用不属于允许在工作区安装的应用集合时，禁止目标应用在工作区安装。

在一些具体的实施中，终端设备还包括：

应用加固单元606，用于在预装桌面应用中对工作区中的应用进行应用加固、数据加密、和/或网络加密。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，图6所示的终端设备的各单元之间的工作过程和信息交互请参阅上述图1至图5所示的实施例，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (12)

1.一种应用隔离方法，其特征在于，所述方法包括：

运行预装桌面应用；

将所述预装桌面应用替换并禁用系统默认桌面，并禁用其他桌面应用的安装；

在所述预装桌面应用中配置第一用户界面和第二用户界面，在第一用户界面中创建个人区，在第二用户界面中创建工作区，所述个人区用于安装个人应用，所述工作区用于安装企业应用。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收服务器发送的隔离配置信息；

根据所述隔离配置信息对所述个人区进行控制和/或对所述工作区进行控制。

3.根据权利要求2所述的方法，其特征在于，

所述隔离配置信息包括合法用户信息；

所述根据所述隔离配置信息对所述工作区进行控制包括：

判断当前登录所述工作区的用户是否在所述合法用户信息中，若在所述合法用户信息中，则允许所述当前登录工作区的用户登录所述工作区。

4.根据权利要求2所述的方法，其特征在于，

所述隔离配置信息包括自动进入工作区的时间区间；

所述根据所述隔离配置信息对所述个人区和对所述工作区进行控制包括：

当当前系统时间位于所述自动进入工作区的时间区间内时，自动从所述个人区切换到所述工作区。

5.根据权利要求2所述的方法，其特征在于，

所述隔离配置信息包括允许在工作区安装的应用集合；

所述根据所述隔离配置信息对所述工作区进行控制包括：

当用户在所述工作区安装的目标应用不属于所述允许在工作区安装的应用集合时，禁止所述目标应用在所述工作区安装。

6.根据权利要求1-5中任一项所述的方法，其特征在于，所述方法还包括：

在所述预装桌面应用中对所述工作区中的应用进行应用加固、数据加密、和/或网络加密。

7.一种终端设备，其特征在于，包括：

桌面应用运行单元，用于运行预装桌面应用；

桌面设置单元，用于将所述预装桌面应用替换并禁用系统默认桌面，并禁用其他桌面应用的安装；

应用隔离单元，用于在所述预装桌面应用中配置第一用户界面和第二用户界面，在第一用户界面中创建个人区，在第二用户界面中创建工作区，所述个人区用于安装个人应用，所述工作区用于安装企业应用。

8.根据权利要求7所述的终端设备，其特征在于，所述终端设备还包括：

配置信息接收单元，用于接收服务器发送的隔离配置信息；

控制单元，用于根据所述隔离配置信息对所述个人区进行控制和/或对所述工作区进行控制。

9.根据权利要求8所述的终端设备，其特征在于，

所述配置信息接收单元，具体用于接收服务器发送的隔离配置信息，所述隔离配置信息包括合法用户信息；

所述控制单元，具体用于判断当前登录所述工作区的用户是否在所述合法用户信息中，若在所述合法用户信息中，则允许所述当前登录工作区的用户登录所述工作区。

10.根据权利要求8所述的终端设备，其特征在于，

所述配置信息接收单元，具体用于接收服务器发送的隔离配置信息，所述隔离配置信息包括自动进入工作区的时间区间；

所述控制单元，具体用于当当前系统时间位于所述自动进入工作区的时间区间内时，自动从所述个人区切换到所述工作区。

11.根据权利要求8所述的终端设备，其特征在于，

所述配置信息接收单元，具体用于接收服务器发送的隔离配置信息，所述隔离配置信息包括允许在工作区安装的应用集合；

所述控制单元，具体用于当用户在所述工作区安装的目标应用不属于所述允许在工作区安装的应用集合时，禁止所述目标应用在所述工作区安装。

12.根据权利要求7-11中任一项所述的终端设备，其特征在于，所述终端设备还包括：

应用加固单元，用于在所述预装桌面应用中对所述工作区中的应用进行应用加固、数据加密、和/或网络加密。