CN107690770B - 自主私钥恢复 - Google Patents

自主私钥恢复 Download PDF

Info

Publication number
CN107690770B
CN107690770B CN201580079331.1A CN201580079331A CN107690770B CN 107690770 B CN107690770 B CN 107690770B CN 201580079331 A CN201580079331 A CN 201580079331A CN 107690770 B CN107690770 B CN 107690770B
Authority
CN
China
Prior art keywords
certificate
account
private key
stateless
directory service
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201580079331.1A
Other languages
English (en)
Other versions
CN107690770A (zh
Inventor
C·M·迈耶斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Citrix Systems Inc
Original Assignee
Citrix Systems Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Citrix Systems Inc filed Critical Citrix Systems Inc
Publication of CN107690770A publication Critical patent/CN107690770A/zh
Application granted granted Critical
Publication of CN107690770B publication Critical patent/CN107690770B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本文描述的方法允许无状态设备恢复至少一个私钥。特别地，无状态设备可以向目录服务提供服务帐户凭证以建立第一会话，并且使用与无状态设备相关联的信息来获取证书和私钥。无状态设备可以在第一会话结束之前存储其私钥。然后，无状态设备可以向目录服务提供用户帐户凭证以建立第二会话。在第二会话开始之后，无状态设备可以获取私钥。

Description

自主私钥恢复
技术领域
无状态计算通常是指不在其内存储任何唯一的软件配置或状态的计算设备(或无状态设备)。任何必要的配置来自作为其计算资源外部设备。无状态计算在过去几十年中越来越受欢迎。这部分是因为个人计算机(PC)有本地存储，这可能会被破坏，感染病毒或被黑客劫持。此外，无状态设备越来越多地被使用，因为它们减少了停机时间，易于维护和更好的网络安全性。
虚拟机通常是特定计算机系统的无状态仿真。虽然无状态虚拟机可以存储数据，但是当无状态虚拟机会话结束时，所存储的数据不会持久。虚拟机由在作为其资源的物理机器(或主机)上运行的超管理器(hypervisor)创建和执行。在主机上运行的每个虚拟机通常被称为客户机，它可以具有相应的操作系统(或客户操作系统)。
虚拟机还可以访问目录服务(例如，Microsoft的Active Directory)。目录服务是在计算机操作系统的目录中存储，组织和提供对信息的访问的软件系统。由Microsoft为Windows计算机开发的Active Directory提供一个目录服务系统，并且被包括作为WindowsServer OS的一部分，作为设置的流程和服务。例如，Active Directory提供可定制的服务，用于在使用公钥基础设施(public key infrastructure，PKI)的软件安全系统中颁发和管理证书。Active Directory可以创建一个或多个证书管理机构，其可以接收对证书(如数字证书)请求，验证请求中的信息，颁发证书和撤销证书。
然而，无状态虚拟机不能存储证书(和相关密钥)，因为它们没有持久存储器。当大量的虚拟机启动并请求新的证书和私钥时，这会出现诸如网络延迟等问题。此外，当许多虚拟机每次重新启动都需要新的密钥时，检测未经授权的证书请求变得更加困难。
附图说明
下面说明示出本公开的示例性实施例的附图。在图中：
图1是与本公开的实施例一致的示例性网络环境的框图。
图2是与本公开的实施例一致的示例性虚拟环境的框图。
图3是与本公开的实施例一致的包括域控制器的示例性环境的框图。
图4是表示与本公开的实施例一致的提供私钥的示例性方法的流程图。
图5是表示与本公开的实施例一致的存储和检索私钥的示例性方法的流程图。
图6A-6B是与本公开的实施例一致的示例性计算设备的框图。
具体实施方式
下面详细说明根据本公开实现的示例性实施例，其示例在附图中示出。在可能的情况下，在所有附图中将使用相同的附图标记来指代相同或相似的部件。
目录服务，如Active Directory，提供存储证书及其相关密钥的服务。一个这样的服务是凭证漫游(credential roaming)。凭证漫游允许用户使用多台计算机，并且能够使用相同的证书和私钥，而不管他们使用哪台计算机。如果用户使用没有证书和私钥的设备登录到具有用户帐户的域，则凭证漫游可以存储和/或检索该设备的证书和私钥。
仅某些类型的域帐户可以使用凭证漫游。例如，尽管用户帐户和一些管理服务帐户可以使用凭证漫游，但是凭证漫游不能被网络服务帐户使用。
证书使用服务(例如，诸如因特网信息服务之类的MicrosoftTM WindowsTM服务)被设计为以特定特权进行操作，并且被配置为使用相应的帐户(例如，管理服务帐户)登录到域(或目录服务)。用来登录到服务的帐户的类型会影响证书的存储位置以及凭证漫游是否可用。
通常，当管理服务帐户注册证书时，会颁发具有该管理服务帐户用来登录的设备的名称的证书。然而，当用户帐户注册证书时，会颁发具有该用户的名称的证书。因此，用户帐户通常对于注册服务是无用的，因为证书将具有错误的名称(例如，不是设备的名称)。这就是为什么服务可以使用网络服务帐户登录的原因之一，使得服务可以访问具有正确名称(例如，设备的名称)的设备的证书。然而，使用网络服务帐户登录的服务无法使用凭证漫游。
本文描述的实施例允许无状态设备使用帐户(例如，管理服务帐户)登录到域，使得所颁发的证书包含无状态设备的名称。在注册完成并且接收到证书和私钥之后，证书和私钥可以保存在一个位置(例如，Active Directory内，证书库内等)。如果证书和私钥保存在诸如Active Directory之类的目录服务中，则可以在以后的时间，例如当无状态设备使用用户帐户登录到域时，使用凭证漫游来检索它们。因此，即使无状态设备使用用户帐户登录到域，无状态设备也可以使用凭证漫游来检索具有无状态设备的名称的证书。
当无状态设备(例如，虚拟机)启动时，自动注册机构可以确定无状态设备是否具有证书和私钥。如果自动注册机构或使用自动注册机构的无状态设备确定无状态设备没有证书和私钥，则无状态设备(或自动注册机构)将请求证书和私钥(例如，从诸如ActiveDirectory之类的目录服务)。
无状态设备通常采用某种类型的自动注册机构，因为它们通常不具有用于存储证书和私钥的持久存储器。在本文描述的实施例中，凭证漫游可以存储一个或多个证书和/或私钥。此外，凭证漫游可以在启动过程结束之前向无状态设备提供一个或多个证书和/或私钥，使得自动注册机构不会导致针对无状态设备颁发新的证书和私钥。自动注册机构的触发器可以由用户或其他设备配置。这种配置可以使凭证漫游在触发自动注册机构之前被执行。通过在执行自动注册机构之前执行凭证漫游，无状态设备可以再次使用具有设备名称的证书，使得它可以针对每个会话使用相同的证书和私钥。
在各种实施例中，证书分配器可以使用凭证漫游机构来将证书和私钥与为证书使用服务保存证书的目录服务同步。如果证书分配器被配置为使用组管理服务帐户，则其可以在多个服务器上复制证书和私钥。
图1是示例性网络环境100的框图。虽然示例性网络环境100针对虚拟网络环境，但是应当理解，网络环境100可以是使用数据包进行通信的任何类型的网络。网络环境100可以包括一个或多个客户端设备102A-F、公共网络104、私有网络110、主局114、分局116和数据中心120。
一个或多个客户端设备102A-F(统称为102)是可以通过各种手段从数据中心120获取远程服务的设备。客户端设备102A-F可以直接(例如，客户端设备102E)或间接通过公共网络104(例如，客户端设备102A-D)或私有网络110(例如，客户端设备102F)与数据中心120进行通信。在一些实施例中，主局114和分局116还可以包括与客户端设备102A-F类似的一个或多个客户端设备(例如，可穿戴设备)。主局114可以位于例如公司的主要营业地点。分局116可以位于例如远离主局14的地方。在一些实施例中，主局114和分局116的客户端设备还可以通过例如私有网络从数据中心120获取远程服务110。
当客户端设备102通过公共网络104或私有网络110进行通信时，可以建立通信链路。例如，可以通过公共网络104建立通信链路，由此提供客户端设备(例如，客户端设备102A-D)对数据中心120的访问。也可以通过私有网络110建立通信链路，由此提供客户端设备102F、主局114和/或分局16对数据中心120的访问。虽然客户端设备102A-D被描述为计算机(例如，客户端设备102A)、笔记本电脑(例如客户端设备102B)、平板电脑(例如，客户机设备102C)和移动智能电话(例如，客户端设备102D)，但是应当理解，客户端设备102可以是与数据中心120传送数据包的任何类型的设备。
公共网络104和私有网络110可以是诸如广域网(WAN)、局域网(LAN)或城域网(MAN)之类的任何类型的网络。在一个示例中，WAN可以被连接到因特网和/或被因特网替代。公共网络104和私有网络110可以是有线网络、无线网络或两者的组合。
数据中心120可以是物理或虚拟的中央存储库，用于存储、管理和传播与特定公共或私有实体有关的数据和信息。数据中心120可用于容纳计算机系统和相关组件，如一个或多个物理服务器、虚拟服务器和存储系统。数据中心120可以另外包括一个或多个服务器(例如，服务器122)、桌面交付控制器124、虚拟桌面126、应用128、后端系统130和目录服务140(例如，Microsoft的Active Directory)。
服务器122可以是由IP地址表示的实体，并且可以作为单个实体或服务器场的成员存在。服务器122可以是物理服务器或虚拟服务器。在一些实施例中，服务器122可以包括硬件层、操作系统、通信子系统以及创建或管理一个或多个虚拟机的超管理器。服务器122可以向端点提供一个或多个服务。这些服务可以包括向一个或多个端点(例如，客户机设备102A-F)提供一个或多个应用128。例如，一个或多个应用128可以包括基于WindowsTM或SAPTM的应用和计算资源。经由通信子系统，服务器122可以通过各种类型的网络(例如，私有网络110和公共网络104)与其他设备(例如，客户端设备102)进行通信。
桌面交付控制器124可以是能够将诸如虚拟桌面126的服务交付给客户端设备(例如，客户端设备102A-F)的设备。桌面交付控制器124可以提供管理、维护和优化所有虚拟桌面通信所需的功能。在一些实施例中，桌面交付控制器124可以控制、管理、维护或优化应用128的供应。
在一些实施例中，一个或多个虚拟桌面126可以提供一个或多个应用128。虚拟桌面126可以包括：托管的共享桌面，其允许多个用户访问单个共享的远程桌面服务桌面；虚拟桌面基础架构桌面，其允许每个用户拥有其自己的虚拟机、流式盘映像、本地虚拟机、各个应用(例如，一个或多个应用128)或其组合。
后端系统130可以是计算机联网硬件、装备或服务器场或服务器库中的服务器的单个或多个实例。后端系统130可以直接或间接地与服务器122连接。例如，后端系统130可以包括目录服务140，其可以提供多个网络服务，包括轻量级目录访问协议(LDAP)目录服务、基于Kerberos的认证、基于域名称系统(DNS)的命名和其他网络信息、以及多个服务器之间的目录更新的同步化。后端系统130还可以另外包括Oracle后端服务器、SQL Server后端和/或动态主机配置协议(dynamic host configuration protocol,DHCP)服务器。后端系统130可以向数据中心120提供数据、服务或两者的组合，然后数据中心120可以通过改变形式将该信息提供给客户端设备102或分局116。
图2是示例性虚拟化环境200的框图。在一些实施例中，虚拟化环境200可以包括计算设备(例如，客户端设备102或服务器122)。在一些实施例中，由虚拟化环境200存储和执行的模块、程序、虚拟机和命令可由多于一个的计算设备执行。例如，虚拟化环境200可以包括服务器场。
虚拟化环境200可以包括硬件层210，硬件层210可以包括一个或多个物理盘204、一个或多个物理设备206、一个或多个物理处理器208、系统存储器212和图形存储器214。在一些实施例中，帧缓冲器216可以存储在图形存储器214中的存储元件内，并且可由一个或多个物理处理器208执行。
物理盘204可以是内部或外部硬盘。在一些实施例中，虚拟化环境200可以与包括在硬件层210中的作为物理盘204的外部硬盘进行通信。在一些实施例中，物理设备206可以是包括在虚拟化环境200中的设备和与虚拟化环境200通信的外部设备的任何组合。物理设备206可以是任何设备，如网络接口卡、视频卡、键盘、鼠标、输入设备、监视器、显示设备、扬声器、光驱动器、存储设备、通用串行总线连接、连接到虚拟化环境200的任何设备、与虚拟化环境200通信的任何设备、打印机、扫描仪或期望的任何其他设备。在一些实施例中，物理处理器208可以是任何处理器，并且可以包括例如CPU和GPU。
系统存储器212可以包括能够存储数据、程序、固件或可执行指令集的任何类型的存储器。存储在系统存储器212中的程序、固件或可执行指令可由虚拟化环境200的一个或多个物理处理器208执行。系统存储器212可以是持久的。因此，尽管虚拟机可能在重新启动时无法在其虚拟盘226A、226B、226C(统称为226)中存储任何东西，但是虚拟机可以将数据存储在系统存储器212中，它们在重新启动之后可以检索这些数据。例如，系统存储器212可以存储的数据包括但不限于：帐户凭证、密码、密码散列、系统帐户密码散列、用户帐户密码散列、证书、私钥等。在一些实施例中，系统存储器212存储针对证书分配器330(图3)的帐户密码，用来登录到域。在这种情况下，密码库380(图3)可以位于系统存储器212中。如下所述，虚拟机232可以从系统存储器212中检索密码以登录到域。
图形存储器214可以是物理处理器208可访问的任何存储空间，包括本地存储器、系统存储器、片上存储器和硬盘。物理处理器208可以将对应于存储在图形存储器214中的图形数据的某些图形显示在物理设备206的显示设备上。
虚拟化环境200还可以包括操作系统218，操作系统218可以存储在系统存储器212中的存储元件中并且由一个或多个物理处理器208执行。操作系统218也可以被称为内核。此外，虚拟化环境200可以包括超管理器202。超管理器202可以是由虚拟化环境200中的物理处理器208执行的程序，以管理任意数量的虚拟机。超管理器202可以被称为虚拟机监视器或平台虚拟化软件。在一些实施例中，超管理器202可以是可执行指令和监视在计算设备上执行的虚拟机的硬件的任何组合。超管理器202可以存储在系统存储器212中的存储元件中。
在一些实施例中，超管理器202可以向诸如虚拟机232A-C的一个或多个虚拟机提供对资源(例如，虚拟资源)的访问。虚拟机可以是完全虚拟化的虚拟机。完全虚拟化的虚拟机可以具有客户操作系统，以允许执行其软件。在主计算机上运行时，完全虚拟化的虚拟机不知道它是一个虚拟机。完全虚拟化的虚拟机有时也被称为域U或domU虚拟机(例如，虚拟机232A)。domU虚拟机可以由另一个虚拟机的控制程序控制。该控制程序也可以被称为控制操作系统、控制域、域O或domO。因此，运行控制操作系统的虚拟机可以被称为domO虚拟机(例如，虚拟机232B-C)。在一些实施例中，domO虚拟机可以直接访问主计算机的硬件资源，并且因此控制程序可由主计算机的操作系统执行。domO虚拟机可以通过超管理器访问主计算机的硬件资源，该超管理器直接在主计算机的硬件(即，裸机超管理器)上运行或在主计算机的操作系统(即，托管的超管理器)中运行。在一些实施例中，虚拟机还可以是服务域虚拟机，也称为域S或domS虚拟机(未示出)。
在一些实施例中，超管理器202可以以任何方式向客户操作系统(domU)230A-B和/或控制操作系统(domO))提供虚拟资源，使得超管理器202模拟任何期望的操作系统(例如，WindowsTM、Linux、Unix)在虚拟机232A-C上执行。系统资源可以包括例如硬件层210和包括在虚拟化环境200中的任何其他组件。在这些实施例中，超管理器202可以用于模拟虚拟硬件，将物理硬件分区，将物理硬件虚拟化或执行虚拟机访问计算环境。在一些实施例中，超管理器202可以控制在虚拟化环境200中执行的虚拟机232A-C的处理器调度和存储器分区。
在一些实施例中，超管理器202可以创建虚拟机232A-C，客户操作系统230A-C或控制操作系统分别在其中执行。作为示例，超管理器202可以加载虚拟机映像以创建虚拟机232。作为另一示例，超管理器202可以分别在虚拟机232A、232B和232C内执行客户操作系统230A、230B和230C。
图3示出与本公开的实施例一致的实现域控制器310的示例性环境300的框图。域控制器310实现诸如Active Directory的目录服务320。在本文描述的各种实施例中，域控制器310是未修改的WindowsTM域控制器310。
客户端设备370A、370B、370C(统称为370)可以与虚拟机332和/或证书使用服务360如MicrosoftTM远程桌面服务、MicrosoftTM因特网信息服务等进行通信。应当理解，虚拟机332可以是任何类型的无状态设备。在各种实施例中，证书使用服务360被包括在虚拟机332中。证书使用服务360可以是未修改的WindowsTM服务。安全端口管理器340可以允许客户端设备370与一个或多个证书使用服务360进行通信。应当理解，虽然证书使用服务360、安全端口管理器340和证书分配器330被包括在虚拟机332中，但是这些设备中的一个或多个可以远离虚拟机332。此外，应当理解，虚拟机332可以是任何类型的无状态设备，而不仅仅是虚拟机。
在各种实施例中，安全端口管理器340是有特权的WindowsTM服务，并且可以执行任务，包括检测证书和私钥丢失、不可用或即将变得不可用(例如，安全端口管理器340可以确定证书使用服务360的证书将在一具体时间段内到期)。安全端口管理器340可以向证书分配器330发送现有证书和专用密钥，并且从证书分配器330获取证书和私钥(例如，用于更新或丢失时)。另外，安全端口管理器340可以配置证书使用服务360使用特定的(例如，有效的)证书和私钥。
在各种实施例中，安全端口管理器340匹配相应的证书使用服务360的行为，因为证书使用服务360的配置可以专用于特定的服务(例如，应用可以作为本地服务帐户、网络服务帐户、本地系统帐户、管理服务帐户或虚拟帐户来运行)。一个安全端口管理器340可以对应于一个证书使用服务360。例如，每个证书使用服务360(例如，远程桌面服务、因特网信息服务等)可以具有相应的安全端口管理器340，其允许客户端设备370与证书使用服务360通信。在一些实施例中，可以存在对应于单个安全端口管理器340的单个证书使用服务360。尽管在一些实施例中一个或多个证书使用服务360可以对应于一个或多个安全端口管理器340。
在各种实施例中，证书分配器330可以登录到域并且使用凭证漫游。证书分配器330可以将证书和私钥与目录服务320同步化。证书分配器330还可以向安全端口管理器340发送丢失的证书和私钥，以允许证书使用服务360维护有效的证书。通过与目录服务320同步，证书分配器330可以确保证书分配器330为证书使用服务360保存的私钥是有效的。
在一些实施例中，安全端口管理器340包括证书库350。除了安全端口管理器340能够访问证书库350以外，证书分配器330也可以访问证书库350。在这种情况下，安全端口管理器340可以授权访问证书分配器330，这可以在安装安全端口管理器340和/或证书分配器330时发生。当需要改变时(例如，当证书或私钥丢失或无效时)，安全端口管理器340可以向证书分配器330发信号，并且证书分配器330可以更新证书库350。应当理解，证书分配器330也可以包括证书库。在这样的示例中，安全端口管理器340可以访问证书分配器330的证书库以访问证书(例如，如果证书需要更新等)。还可以考虑，在一些实施例中，证书库350可以与安全端口管理器340、证书分配器330和/或虚拟机332分开。例如，证书库350可以存储在远程机器上或系统存储器212中。在这种情况下，安全端口管理器340或证书分配器330可以访问证书库350。在任何情况下，无论配置如何，都可以将证书从一个设备推送到另一个设备。
虽然设备可以是无状态的，但是在一些实施例中，证书分配器330可以将密码(或密码的等同物，例如密码散列)存储在持久系统存储器212中，以通过用户账户登录。应当理解，在一些实施例中，证书分配器330和系统存储器212可以是相同的组件，或者系统存储器212可以包括证书分配器330。无论如何，持久存储器允许本文描述的实施例自主地恢复私钥和证书(例如，没有用户介入)。帐户密码(例如，管理服务帐户密码和/或用户帐户密码)可以存储在提供持久存储能力的密码库380中。
当证书分配器330被启动时，密码库380/存储器212可以在触发自动注册机构之前向证书分配器330提供用户帐户密码。密码库380可以是虚拟的或物理的，并且被包括在数据中心/后端设备中或者在后端设备的外部。在一些示例中，密码库380和系统存储器212可以是相同的组件，或者系统存储器212包括密码库380(或至少包括在与存储器212相同的机器中)。密码库380还可以在证书分配器服务被启动之前(例如，在自动注册机构开始之前)在重启动时从持久存储中恢复证书分配器服务密码。
单独管理证书可能会不必要地使用资源。因此，组织通常使用应用于域、组或组织中的客户端计算机的自动化组策略设置来管理证书。在一些实施例中，证书分配器330被配置为使用组管理服务帐户。证书分配器330可以被配置为复制证书和私钥，使得相同的证书和私钥可以存在多个服务器上而无需额外的修改。此外，由于凭证漫游自动提供加密支持，所以在使用证书分配器330时，可能不需要额外的加密技术来保护私钥。
利用凭证漫游，不必从特定的证书颁发机构获得证书分配器330保存的证书和私钥。在各种实施例中，证书颁发机构不存储计算机的私钥的副本。在某些实施例中，可以使用Microsoft的证书颁发机构来获取证书。此外，可以使用由其他系统(如UNIX)提供的证书颁发机构来获取证书。此外，如果证书使用服务360需要的话，还可以使用多个证书。例如，证书使用服务360可以在转期期间(例如，当证书即将到期并且需要被替换时)需要多个密钥。在这种情况下，可以在转期之前获得新证书，使得在证书使用服务360处存在多于一个的证书。
在各种实施例中，单个证书分配器330可以支持多于一个的安全端口管理器340。例如，当多个证书使用服务360在单个机器上时。在某些情况下，如果系统确实具有适合于证书和私钥的持久存储，则证书分配器330可以使用该持久存储而不是凭证漫游。此外，在各种实施例中，每个安全端口管理器340可以直接访问持久存储。在证书库界面的一些实现中，证书分配器330可以表现为阴影。在这种情况下，安全端口管理器340可能不需要监视证书库或向证书分配器330发信号。这种方法可以通过使用集合库来实现。此外，在一个实施例中，可以实现MicrosoftTM加密服务提供商接口或者密钥存储提供商接口，其中证书分配器330表现为阴影。在一些实施例中，可以考虑使用组保护的PKCS#12文件作为导入/导出机构来代替凭证漫游。
在各种实施例中，考虑了安全端口管理器340可以访问证书分配器330的证书库而不是使用证书分配器330来访问安全端口管理器340的证书库。如果计算机上有多个安全端口管理器340，则这种方法可能要求所有安全端口管理器340相互信任。此外，在这样的实施例中，证书分配器可以保持登录，使得凭证漫游继续正确地操作。
在一些实施例中，证书分配器330可以位于与客户虚拟机所位于的相同的主机上的单独的专用虚拟机中。这种方法可以具有把证书分配器330为证书使用服务360保存的私钥的副本限制在客户虚拟机之外的优点。如果专用虚拟机可以访问诸如信任的物理平台模块或硬件安全模块之类的有特权的超管理器机构，则私钥将被进一步保护。这也将允许支持无状态非WindowsTM虚拟机(其不能使用凭证漫游)。
在各种实施例中，使用密钥代管来恢复私有解密密钥，而不是签名密钥。密钥代管可以涉及对授权密钥恢复的行政干预，并且还允许原始请求者之外的人恢复密钥。
在各种实施例中，硬件安全模块支持网络化的密钥分发，使得私钥在中央硬件安全模块处被管理，并且经由网络分发到使用私钥进行签名的卫星硬件安全模块。然而，这种方法依赖于专有密钥分发协议以及每个硬件安全模块的硬件安全性。
在各种实施例中，可以发生复制，其中两个或多个副本可以被配置为具有相同的配置，包括相同的私钥。如果在副本之间存在安全通信路径，这可以使用专有复制协议来实现，或者通过手动导出/导入配置。
在各种实施例中，诸如盘加密产品的整批加密产品使用对称的整批加密密钥来认证设备。这样的密钥通过密钥分级结构来加密，其具有支持不同的密钥保护器认证机构(例如可信的平台模块)的若干个替代密钥。即使在认证凭证被改变之后，或者如果需要重新密钥更新，整批加密产品也可以允许恢复基础的整批加密密钥。这样的实施例通常实现密钥分级结构(例如，链)。
在各种实施例中，会话密钥拦截器可以被使用并且可以允许授权方恢复由特定加密通信使用的会话密钥。这可以由在线或离线执行合法拦截的监管组织来使用(例如，解密记录的会话)。
本文讨论的实施例的一些扩展包括通过使其成为WindowsTM保护的服务来加强安全端口管理器340和证书分配器330以防止篡改。可以至少部分地基于背景信息，如一天中的时间、因特网协议地址或虚拟化计算机的主机系统的标识符(或使用附加机构，如一次性使用代码或租赁)，对从证书分配器330发放私钥进行授权控制。在一些实施例中，证书分配器330可以仅用于证书(如果私钥被限制于硬件，或虚拟化的硬件，如虚拟可信平台模块)。此外，可以添加审核日志以表明私钥是否被无状态设备获取，或者可以使用MicrosoftTM证书库功能(如CertControlStore)来检测证书库变化和不一致。在一些实施例中，可以提供用于请求证书的选项登记，具有适当的名称约束(例如，如果没有凭证)。
图4是表示与本公开的实施例一致的用于存储和检索私钥的示例性方法400的流程图。参考图4，将很容易理解，所示过程可以被改变以删除步骤，或进一步包括附加步骤，如下所述。此外，可以与方法400中所示的顺序不同的顺序执行步骤和/或并行执行步骤。虽然表示方法400的流程图对于一个设备(例如，接收会话信息的设备、发送私钥等的设备等)提供了示例性步骤来提供和存储与无状态设备相关联的密钥，但是应当理解，一个或多个其他设备可以单独地或与客户端设备或后端服务器组合地执行基本类似的步骤。
在初始启动步骤410之后，在步骤420启动无状态机(例如，虚拟机或物理的非虚拟机)。在无状态机启动之后，可以向目录服务提供帐户密码，如步骤430所示。如上所述，可以将凭证漫游和/或自动注册配置为在虚拟机上执行。在本文描述的实施例中，虚拟机可以被配置为在自动注册之前使凭证漫游执行。在一些实施例中，凭证漫游机构可以确定虚拟机是否可以从目录服务检索用于识别虚拟机的证书和私钥。该方法可以继续到步骤440，在该步骤中从目录服务获取证书和私钥(例如，使用凭证漫游)。虚拟机(或虚拟机中的设备)可以确定虚拟机是否意图向目录服务提供与帐户相关联的密码(或密码散列)。如本文所述，在各种实施例中，与帐户相关联的密码可以存储在持久存储器(例如，存储器212或密码库380)中。然后该方法继续到步骤450，在该步骤中证书和/或私钥被提供给证书使用服务。然后方法400可以在步骤460结束。
图5是表示与本公开的实施例一致的用于存储和检索私钥的示例性方法500的流程图。参考图5，将很容易理解，所示过程可以被改变以删除步骤或进一步包括附加步骤，如下所述。例如，在方法500中可以出现额外的步骤。此外，可以与方法500中所示的顺序不同的顺序执行步骤和/或并行执行步骤。虽然表示方法500的流程图对于一个设备提供了示例性步骤来提供和存储与无状态设备相关联的密钥，但是应当理解，一个或多个其他设备可以单独地或与其他设备组合地执行基本相似的步骤。
在初始开始步骤510之后，在步骤515，在设备(例如，无状态设备)启动并向目录服务提供诸如与帐户(例如，管理服务帐户)相关联的密码和/或标识符之类的凭证之后开始(例如，建立)会话。可以使用帐户，使得帐户稍后收到的证书将包括提供密码的无状态设备的名称，而不是用户的名称(如果会话是以用户帐户启动的话，则这会发生)。在步骤520，自动注册机构被激活并且确定该设备是否具有相关联的私钥或证书。如果自动注册机构确定该设备没有相关联的私钥或证书(由于该设备已经提供了帐户，所以这将不会)，则向证书颁发机构请求私钥和证书。该请求应包括该设备的名称，使得证书将存储将来在与诸如MicrosoftTM因特网信息服务之类的各种证书使用服务的会话中使用的设备的名称。
然后，流程继续到步骤530，在该步骤中设备接收私钥和证书。在步骤535，私钥和证书被存储在凭证漫游最终可以检索到它们的位置，因为私有密钥和证书不能被存储在无状态设备上，因为它的存储器不是持久的。该位置可以是诸如Active Directory之类的目录服务。
流程继续到步骤540，在该步骤中无状态设备处的会话结束(例如，无状态设备被重新启动)。在会话结束之前，如上所述存储证书和私钥。在步骤545，设备使用用户帐户开始会话，并且向目录服务提供与用户帐户相关联的密码。与系统帐户不同，用户帐户可以使用凭证漫游。因此，在步骤550，由于设备使用用户帐户登录，所以凭证漫游可以向设备提供在前一会话期间(其中通过用帐户登录开始会话)存储的私钥。当然，这可能发生在第三、第四或第五会话(例如，所存储的密钥不需要来自前一会话)。然后，该方法进行到步骤555，在该步骤中在自动注册机构执行之前从凭证漫游接收私钥，使得不请求新的私钥和证书(例如，通过设备或自动注册机构)。在此，由于会话具有私钥和证书，所以自动注册机构确定它不需要请求新的私钥和证书，因为无状态设备已经具有私钥和证书，与非无状态设备一样。然后该方法可以在步骤560结束。
图6A-6B是与本公开的实施例一致的提供虚拟化环境(例如，图2的虚拟化环境200)的计算设备600的框图。如图6A所示，每个计算设备600可以包括一个或多个中央处理单元(CPU)621、一个或多个图形处理单元(GPU 625)、系统存储器622和图形存储器626。CPU621可以是响应并处理从系统存储器622取回的指令的任何逻辑电路。CPU 621可以是能够执行存储在存储器(例如，系统存储器622)或高速缓存(例如，高速缓存640)中的特定指令集的单个或多个微处理器、现场可编程门阵列(FPGA)或数字信号处理器(DSP)。CPU621还可以包含用于存储可变类型的数据的多个处理器寄存器。例如，这些寄存器可以存储数据、指令、浮点值、条件值和/或在系统存储器622中的位置的地址。CPU寄存器可以包括专用寄存器，用于存储与运行过程相关的数据，如指令指针、指令计数器和/或存储器堆栈指针。
系统存储器622可以是图2的存储器212，并且可以包括有形的和/或非暂时的计算机可读介质，如软盘、硬盘、CD-ROM(只读光盘存储器)、MO(磁光)驱动器、DVD-ROM(数字通用盘只读存储器)、DVD-RAM(数字通用盘随机存取存储器)、闪存驱动器、闪存、处理器高速缓存、存储器寄存器、或半导体存储器。系统存储器622可以是能够存储数据并允许任何存储位置被CPU 621直接访问的一个或多个存储器芯片。系统存储器622可以是能够如本文所述进行操作的任何类型的随机存取存储器(RAM)或任何其它可用的存储器芯片。在图6A所示的示例性实施例中，CPU 621可以经由系统接口650与系统存储器622进行通信。
GPU 625可以是可以任何类型的专用电路，其可以操纵和改变存储器(例如，图形存储器626或图2的图形存储器214)以提供和/或加速存储在帧缓冲器(例如，图6B所示的帧缓冲器616或图2的帧缓冲器216)中的图像的创建，用于输出到显示设备(例如，显示设备624)。GPU 625可以具有高度并行结构，使得它们对于可以并行执行大块图形数据处理的算法比CPU 621更有效。此外，GPU 625的功能也可以被包括在某些其它类型的专用处理单元或协处理器的芯片组中。
CPU 621可以连接到系统存储器622和系统接口650。CPU 621可以执行存储在系统存储器622中的编程指令，对存储在系统存储器622中的数据进行操作，以及通过系统接口650与GPU 625进行通信，其中系统接口650桥接CPU621和GPU662之间的通信。在一些实施例中，CPU 621、GPU 625、系统接口650或其任何组合可以集成到单个处理单元中。GPU 625能够执行存储在系统存储器622中的特定指令集，以操纵存储在系统存储器622或图形存储器626中的图形数据库。例如，GPU 625可以接收由CPU 621发送的指令并处理该指令以呈现存储在图形存储器626中的图形数据。图形存储器626可以是可由GPU 625访问的任何存储空间，包括本地存储器、系统存储器、片上存储器和硬盘。GPU 625能够使得存储在图形存储器626中的图形数据显示在显示设备624上。
计算设备600还可以包括显示设备624和通过I/O控制器623连接的输入/输出(I/O)设备630(例如，键盘、鼠标或指点设备)，两者通过系统接口650进行通信。应当理解，CPU621还可以通过系统接口650之外的方式与系统存储器622和其他设备进行通信，如通过串行通信方式或点对点通信方式。类似地，GPU 625也可以通过系统接口650之外的方式与图形存储器626和其他设备进行通信。此外，I/O设备630还可以为客户端设备102提供存储和/或安装介质。
图6B示出计算设备600的各种实施例，其中CPU 621经由存储器端口603与系统存储器622直接通信，并且类似地，GPU 625直接与图形存储器626进行通信。CPU 621可以经由次级总线，有时称为后侧总线，与高速缓存640进行通信。在一些实施例中，CPU 621可以经由系统接口650与高速缓存640进行通信。高速缓存640通常具有比系统存储器622更快的响应时间。在一些实施例中，如图6B所示的实施例，CPU 621可以经由I/O端口直接与I/O设备630进行通信。在另外的实施例中，I/O设备630可以是系统接口650和外部通信总线之间的桥接器670，如USB总线、Apple桌面总线、RS-232串行连接、SCSI总线、FireWire总线、FireWire 800总线、以太网总线、AppleTalk总线、千兆以太网总线、异步传输模式总线、HIPPI总线、超级HIPPI总线、SerialPlus总线、SCI/LAMP总线、FibreChannel总线、ThunderboltTM总线或串行连接的小型计算机系统接口总线。
如图6B所示，GPU 625还可以直接与图形存储器626和显示设备624进行通信。GPU625可以通过系统接口650与CPU 621和其他设备进行通信。图形存储器626还可以包括帧缓冲器636(例如，帧缓冲器216)。帧缓冲器636可以是图形输出设备，其从包含完整的图形数据帧的图形存储器626的存储器缓冲器驱动显示设备(例如，显示设备624)。帧缓冲器316可以存储要在显示设备624上显示的最终图形帧。
如图6A所示，计算设备600可以支持任何合适的安装设备616，如用于接收诸如3.5英寸、5.25英寸盘或ZIP盘之类的软盘的软盘驱动器；CD-ROM驱动器；CD-R/RW驱动器；DVD-ROM驱动器；各种格式的带驱动器；一个USB设备；硬盘驱动器；或适合于安装诸如任何客户端代理620或其一部分的软件和程序的任何其它设备。客户端设备102还可以包括存储设备628，如一个或多个硬盘驱动器或独立磁的冗余阵列，用于存储操作系统和其他相关软件，并且用于存储应用软件程序，如与客户端代理620相关的任何程序。可选地，任何安装设备616也可以用作存储设备628。
此外，计算设备600可以包括网络接口618，以通过各种连接，包括但不限于标准电话线、LAN或WAN链路(例如，802.11、T1、T3、56kb、X.25)、宽带连接(例如，ISDN、帧中继、ATM)、无线连接或上述任何或全部的某种组合，来连接到LAN、WAN、MAN或因特网。网络接口618可以包括内置网络适配器、网络接口卡、PCMCIA网卡、卡总线网络适配器、无线网络适配器、USB网络适配器、调制解调器或适于将客户端设备102连接到能够通信和执行本文描述的操作的任何类型的网络的任何其他设备。
在以上说明中，已经关于可以根据实施而变化的众多具体细节描述了实施例。可以对所描述的实施例进行某些适应和修改。考虑本文公开的本发明的说明和实践，其他实施例对于本领域技术人员来说是显而易见的。本说明和示例意图仅视为示例性的，本发明的真实范围和精神由所附权利要求书表示。附图中所示的步骤的顺序意图仅用于说明性目的，并不意图限于任何特定的步骤顺序。因此，本领域技术人员可以理解，在实现相同的方法时，这些步骤可以以不同的顺序执行。

Claims (20)

1.一种具有一个或多个处理器的设备，所述设备包括：
存储器，其被配置为存储没有使用凭证漫游能力的第一账户的帐户凭证；和
无状态机，其包括一个或多个证书使用服务和证书分配器，所述证书分配器被配置为：
向目录服务提供与所述第一账户相关联的所述帐户凭证，用于建立第一会话；
使用所述帐户凭证和与所述无状态机相关联的信息执行自动注册操作以获取私钥和以无状态机的名称颁发的第一证书；
在所述第一会话结束之前将所述私钥存储在所述目录服务中；
在所述第一会话结束后，向所述目录服务提供第二账户的用户帐户凭证，所述第二账户不同于所述第一账户并且有能力使用凭证漫游；以及
在所述无状态机再次执行所述自动注册操作之前使用所述凭证漫游从所述目录服务至少获取所述私钥，使得不以用户名称请求和颁发所述无状态机的第二证书。
2.根据权利要求1所述的设备，其中所述帐户凭证被提供用于登录到包括所述目录服务的域。
3.根据权利要求1所述的设备，其中所述用户帐户凭证被提供用于登录到包括所述目录服务的域。
4.根据权利要求1所述的设备，其中在第二会话期间再次使用所述私钥。
5.根据权利要求1所述的设备，其中所述证书分配器包括在所述无状态机中。
6.根据权利要求1所述的设备，其中被配置为存储帐户凭证的所述存储器是持久的。
7.根据权利要求1所述的设备，其中所述证书分配器还被配置为在所述证书分配器上执行自动注册机构之前接收所述私钥。
8.一种用于恢复私钥的方法，所述方法由与无状态机相关联的一个或多个处理器执行并且包括：
向目录服务提供没有使用凭证漫游能力的第一账户的并与无状态机的一个或多个证书使用服务相关联的帐户凭证，用于建立第一会话；
使用所述帐户凭证和与无状态机相关联的信息来执行自动注册操作以获取私钥和以所述无状态机的名称颁发的第一证书；
在所述第一会话结束之前将所述私钥存储在所述目录服务中；
在所述第一会话结束后，向所述目录服务提供第二账户的用户帐户凭证，所述第二账户不同于所述第一账户并且有能力使用凭证漫游；以及
在所述无状态机再次执行所述自动注册操作之前使用所述凭证漫游从所述目录服务至少获取所述私钥，使得不以用户名称请求和颁发所述无状态机的第二证书。
9.根据权利要求8所述的方法，其中所述帐户凭证被提供用于登录到包括所述目录服务的域。
10.根据权利要求8所述的方法，其中所述用户帐户凭证被提供用于登录到包括所述目录服务的域。
11.根据权利要求8所述的方法，其中在第二会话期间再次使用所述私钥。
12.根据权利要求8所述的方法，其中由包括在所述无状态机中的证书分配器来执行向所述目录服务提供帐户凭证。
13.根据权利要求8所述的方法，其中，存储器被配置为存储帐户凭证并且是持久的。
14.根据权利要求8所述的方法，其中证书分配器被配置为在所述证书分配器上执行自动注册机构之前接收所述私钥。
15.一种非暂时性计算机可读存储介质，其存储可由与无状态机相关联的至少一个处理器执行的指令集，以使所述无状态机执行用于恢复私钥的方法，所述方法包括：
向目录服务提供与第一账户相关联的帐户凭证，用于建立第一会话；
使用所述帐户凭证和与无状态机相关联的信息来执行自动注册操作以获取私钥和以所述无状态机的名称颁发的第一证书；
在所述第一会话结束之前将所述私钥存储在所述目录服务中；
在所述第一会话结束后，向所述目录服务提供第二账户的用户帐户凭证，所述第二账户不同于所述第一账户并且有能力使用凭证漫游；以及
在所述无状态机再次执行所述自动注册操作之前使用所述凭证漫游从所述目录服务至少获取所述私钥，使得不以用户名称请求和颁发所述无状态机的新证书。
16.根据权利要求15所述的非暂时性计算机可读存储介质，其中所述帐户凭证被提供用于登录到包括所述目录服务的域。
17.根据权利要求15所述的非暂时性计算机可读存储介质，其中所述用户帐户凭证被提供用于登录到包括所述目录服务的域。
18.根据权利要求15所述的非暂时性计算机可读存储介质，其中在第二会话期间再次使用所述私钥。
19.根据权利要求15所述的非暂时性计算机可读存储介质，其中被配置为存储帐户凭证的存储器是持久的。
20.根据权利要求15所述的非暂时性计算机可读存储介质，其中所述无状态机的证书分配器被配置为在所述证书分配器上执行自动注册机构之前接收所述私钥。
CN201580079331.1A 2015-04-29 2015-05-11 自主私钥恢复 Expired - Fee Related CN107690770B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US14/699,712 US9729321B2 (en) 2015-04-29 2015-04-29 Autonomous private key recovery
US14/699,712 2015-04-29
PCT/US2015/030224 WO2016175868A1 (en) 2015-04-29 2015-05-11 Autonomous private key recovery

Publications (2)

Publication Number Publication Date
CN107690770A CN107690770A (zh) 2018-02-13
CN107690770B true CN107690770B (zh) 2019-04-16

Family

ID=53366250

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201580079331.1A Expired - Fee Related CN107690770B (zh) 2015-04-29 2015-05-11 自主私钥恢复

Country Status (4)

Country Link
US (2) US9729321B2 (zh)
EP (1) EP3289750B1 (zh)
CN (1) CN107690770B (zh)
WO (1) WO2016175868A1 (zh)

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10567357B2 (en) * 2015-10-02 2020-02-18 Zixcorp Systems, Inc. Secure transmission system with upgraded encryption strength
US10318321B2 (en) * 2017-04-10 2019-06-11 Hongfujin Precision Electronics(Tianjin)Co., Ltd. Virtual desktop system and method of control
US10523658B2 (en) 2017-09-05 2019-12-31 Citrix Systems, Inc. Securing a data connection for communicating between two end-points
CN109982150B (zh) * 2017-12-27 2020-06-23 国家新闻出版广电总局广播科学研究院 智能电视终端的信任链建立方法和智能电视终端
US11323274B1 (en) * 2018-04-03 2022-05-03 Amazon Technologies, Inc. Certificate authority
US11888997B1 (en) 2018-04-03 2024-01-30 Amazon Technologies, Inc. Certificate manager
US11023573B2 (en) 2018-04-20 2021-06-01 Microsoft Technology Licensing, Llc Password reset for multi-domain environment
US11138274B2 (en) * 2018-05-03 2021-10-05 Citrix Systems, Inc. Virtualization environment providing user-based search index roaming and related methods
RU2715027C2 (ru) * 2018-06-29 2020-02-21 Акционерное общество "Лаборатория Касперского" Способ обнаружения несанкционированного изменения в отношении хранилища сертификатов
AU2019454689A1 (en) 2019-06-28 2021-12-16 Citrix Systems, Inc. Distance based session roaming
US20220326975A1 (en) * 2021-03-31 2022-10-13 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Transparent data reduction in private/public cloud environments for host encrypted data

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1534921A (zh) * 2003-03-31 2004-10-06 ��Ѹ�Ƽ���˾ 用于独立网络间的公共认证和授权的方法
CN1681240A (zh) * 2004-04-09 2005-10-12 微软公司 凭证漫游
CN102035849A (zh) * 2010-12-23 2011-04-27 华为技术有限公司 云计算中实现资源管理的方法、设备及系统

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6263446B1 (en) * 1997-12-23 2001-07-17 Arcot Systems, Inc. Method and apparatus for secure distribution of authentication credentials to roaming users
US7703128B2 (en) * 2003-02-13 2010-04-20 Microsoft Corporation Digital identity management
US8190124B2 (en) * 2004-10-22 2012-05-29 Broadcom Inc. Authentication in a roaming environment
US8112789B2 (en) * 2005-10-11 2012-02-07 Citrix Systems, Inc. Systems and methods for facilitating distributed authentication
US8527774B2 (en) 2009-05-28 2013-09-03 Kaazing Corporation System and methods for providing stateless security management for web applications using non-HTTP communications protocols
US8263446B2 (en) * 2010-09-13 2012-09-11 International Business Machines Corporation Asymmetric FinFET devices
US9118645B2 (en) 2012-12-19 2015-08-25 Jive Software, Inc. Distributed authentication using persistent stateless credentials

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1534921A (zh) * 2003-03-31 2004-10-06 ��Ѹ�Ƽ���˾ 用于独立网络间的公共认证和授权的方法
CN1681240A (zh) * 2004-04-09 2005-10-12 微软公司 凭证漫游
CN102035849A (zh) * 2010-12-23 2011-04-27 华为技术有限公司 云计算中实现资源管理的方法、设备及系统

Also Published As

Publication number Publication date
US20170359173A1 (en) 2017-12-14
CN107690770A (zh) 2018-02-13
US20160323104A1 (en) 2016-11-03
WO2016175868A1 (en) 2016-11-03
US10091001B2 (en) 2018-10-02
EP3289750B1 (en) 2019-07-10
US9729321B2 (en) 2017-08-08
EP3289750A1 (en) 2018-03-07

Similar Documents

Publication Publication Date Title
CN107690770B (zh) 自主私钥恢复
CA2939925C (en) Securing client-specified credentials at cryptographically attested resources
US9047468B2 (en) Migration of full-disk encrypted virtualized storage between blade servers
US8254579B1 (en) Cryptographic key distribution using a trusted computing platform
US9699155B2 (en) Cloud aware file system
CN104982005B (zh) 实施虚拟化环境中的特权加密服务的计算装置及方法
JP4620111B2 (ja) ネットワークシステム、ストレージ装置へのアクセス制御方法、管理サーバ、ストレージ装置及びログイン制御方法
US20160342798A1 (en) Protected device management
US20090276774A1 (en) Access control for virtual machines in an information system
US9910791B1 (en) Managing system-wide encryption keys for data storage systems
US8799119B1 (en) System and method for usage billing of hosted applications
US10318747B1 (en) Block chain based authentication
US9710798B1 (en) System and method for usage billing of hosted applications
JP7475428B2 (ja) オンデマンドのファイル・システムのロックダウンおよび自動修復機能を伴う自動ランサムウェア検出
US10592942B1 (en) System and method for usage billing of hosted applications
KR20100027556A (ko) 로그인된 계정권한 제어를 이용한 프로그램 실행관리 방법 및 기록매체
US10423944B1 (en) System and method for usage billing of hosted applications
US11538078B1 (en) System and method for usage billing of hosted applications
US11601425B1 (en) Maintaining dual-party authentication requirements for data retention compliance within a distributed server environment
WO2024064425A1 (en) Managing unique secrets in distributed systems

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20190416