CN110798434B - 计算机系统、计算装置所进行的方法和存储介质 - Google Patents

计算机系统、计算装置所进行的方法和存储介质 Download PDF

Info

Publication number
CN110798434B
CN110798434B CN201810879335.3A CN201810879335A CN110798434B CN 110798434 B CN110798434 B CN 110798434B CN 201810879335 A CN201810879335 A CN 201810879335A CN 110798434 B CN110798434 B CN 110798434B
Authority
CN
China
Prior art keywords
target instance
key
public key
support account
instance
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810879335.3A
Other languages
English (en)
Other versions
CN110798434A (zh
Inventor
李辉
林芳园
郭睿
张鸥
王晓辉
韩敏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
EMC Corp
Original Assignee
EMC IP Holding Co LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by EMC IP Holding Co LLC filed Critical EMC IP Holding Co LLC
Priority to CN201810879335.3A priority Critical patent/CN110798434B/zh
Priority to US16/119,992 priority patent/US10841093B2/en
Publication of CN110798434A publication Critical patent/CN110798434A/zh
Application granted granted Critical
Publication of CN110798434B publication Critical patent/CN110798434B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Information Transfer Between Computers (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及一种对云上的实例的访问管理。管理对公共云上的实例的访问可以包括对来自用户的用以在公共网络上创建目标实例的支持账户的请求作出响应。处理可以包括：生成包括公钥和私钥的密钥对；在目标实例中创建支持账户；以及使公钥与目标实例相关联。可以提供对私钥的访问以便于经由支持账户与目标实例的连接。可以生成临时证书并使这些临时证书与目标实例相关联。在临时证书到期时，可以通过将支持账户从目标实例中删除并使公钥与目标实例解除关联来禁用支持账户。

Description

计算机系统、计算装置所进行的方法和存储介质
技术领域
本发明的实施例通常涉及云实例(instance)。更具体地，本发明的实施例涉及管理对公共云上的实例的访问。
背景技术
云服务可以通过网络提供计算能力。云计算通常包括已知为实例的虚拟计算环境。实例可以以虚拟机或虚拟服务器的形式出现，其中各实例均能够具有操作系统和附加应用程序。
存在各种实例类型，其中一些实例类型被优化以适合特定用例，而一些实例类型是为了通用目的而开发的。实例类型可以具有存储器、CPU和联网能力的不同组合。
组织正越来越多地在虚拟机(VM)上部署应用程序，以提高信息技术(IT)效率和应用程序可用性。采用虚拟机的主要好处是虚拟机可以托管在较少的物理服务器(VM服务器)上。
发明内容
根据本发明的一个方面，一种计算装置所进行的方法，包括：响应来自用户的用以在公共网络上创建目标实例的支持账户的请求，进行以下操作：生成包括公钥和私钥的密钥对；在所述目标实例中创建支持账户；使所述公钥与所述目标实例相关联；提供对所述私钥的访问，其中所述密钥能够便于经由所述支持账户与所述目标实例的连接；生成与所述目标实例相关联的临时证书；以及在所述临时证书到期时，将所述支持账户从所述目标实例中删除并且使所述公钥与所述目标实例解除关联，这使得当前连接终止并且禁止经由所述密钥对与所述目标实例的未来连接。
根据本发明的又一方面，一种非暂时性机器可读介质，其存储有指令，所述指令在由处理器执行时使所述处理器进行操作，所述操作包括：响应来自用户的用以在公共网络上创建目标实例的支持账户的请求，进行以下操作：生成包括公钥和私钥的密钥对；在所述目标实例中创建支持账户；使所述公钥与所述目标实例相关联；提供对所述私钥的访问，其中所述密钥能够便于经由所述支持账户与所述目标实例的连接；生成与所述目标实例相关联的临时证书；以及在所述临时证书到期时，将所述支持账户从所述目标实例中删除并且使所述公钥与所述目标实例解除关联，这使得当前连接终止并且禁止经由所述密钥对与所述目标实例的未来连接。
根据本发明的另一方面，一种系统，包括：处理系统，其具有至少一个硬件处理器，所述处理系统连接至利用可执行指令进行编程的存储器，所述可执行指令在由所述处理系统执行时进行操作，所述操作包括：响应来自用户的用以在公共网络上创建目标实例的支持账户的请求，进行以下操作：生成包括公钥和私钥的密钥对；在所述目标实例中创建支持账户；使所述公钥与所述目标实例相关联；提供对所述私钥的访问，其中所述密钥能够便于经由所述支持账户与所述目标实例的连接；生成与所述目标实例相关联的临时证书；以及在所述临时证书到期时，将所述支持账户从所述目标实例中删除并且使所述公钥与所述目标实例解除关联，这使得当前连接终止并且禁止经由所述密钥对与所述目标实例的未来连接。
附图说明
本发明的实施例通过示例而非限制的方式在附图中示出，其中在附图中，相同的附图标记表示相似的元件。
图1是示出根据一个实施例的公共云上的实例的框图。
图2是示出根据一个实施例的实例的访问管理的序列图。
图3是示出根据一个实施例的用于实例的访问管理的方法的流程图。
图4是示出根据一个实施例的数据处理系统的框图。
具体实施方式
公共云可被描述为由第三方提供商通过公共互联网提供的计算服务。这些服务可以包括虚拟机(VM)、应用程序或存储。可以以虚拟计算环境或实例的形式提供这些服务。
可以使用基于密钥的认证来提高公共云上的安全性。例如，可以经由包括公钥和私钥的密钥对来进行与实例的连接(例如，登录到实例)。公钥可以由管理员存储，或者可以存储在实例上(例如，在密钥列表中)。私钥可以由用户存储，以保持在公众无法访问的安全场所。由于私钥是访问实例所需的，因此这使得能够安全地管理多个实例，因为只有用户才需要私钥来访问具有对应公钥的实例。因此，私钥对于公共云上的安全性而言至关重要，并且不应由用户与其他人共享。
然而，在实例中可能发生可能需要专业服务或技术支持的问题。例如，如果实例上的应用程序停止或存在可疑行为，则用户可以请求技术支持的帮助。在一些情况下，可能需要对实例进行维护。因而，存在用户可能想要另一用户(例如，技术支持)登录到实例的情形。针对此的不需要密钥共享的一个解决方案是远程控制，其中技术支持远程连接至(并控制)用户登录到实例的用户计算机。这样，技术支持或服务专业人员可以访问该实例。遗憾的是，远程处理并不总是实用、方便或可能的。例如，调度冲突或操作系统冲突可能会阻止远程处理的能力。
在密钥共享的情况下，可能出现明显的安全风险。例如，技术支持可能会违背用户的信任并对实例进行未经授权的行为。此外，密钥共享可能会存在技术支持方面的责任问题，其中一旦私钥已与技术支持共享，则技术支持可能会因将来的安全漏洞而被错误地指责。
在一个方面，系统和方法通过管理并限制对公共云上的实例的临时访问来解决本文所描述的问题。计算装置所进行的方法可以包括：响应于来自用户的用以在公共网络上创建目标实例的支持账户的请求，生成包括公钥和私钥的密钥对；在目标实例中创建支持账户；使公钥与目标实例相关联；提供对私钥的访问，其中该密钥对可以便于经由支持账户与目标实例的连接；以及生成与目标实例相关联的临时证书。在临时证书到期时，该系统和方法可以包括将支持账户从目标实例中删除以及使公钥与目标实例解除关联，这使得当前连接终止并禁止经由该密钥对与目标实例的未来连接。
将参考以下论述的细节来说明本发明的各种实施例和方面，并且附图将例示各种实施例。以下的描述和附图是对本发明的例示，而不应被解释为限制本发明。描述了许多具体细节以提供对本发明的各种实施例的全面理解。然而，在某些实例下，为了提供本发明的实施例的简要论述，没有描述公知的或传统的细节。
说明书中对“一个实施例”或“实施例”的引用意味着结合该实施例描述的特定特征、结构或特性可以包括在本发明的至少一个实施例中。在说明书中各处出现的短语“在一个实施例中”不一定全部指代同一实施例。
在一个实施例中，在图1中示出公共云系统100。管理器150可以连接至网络10，其中该网络是公共互联网。该网络还连接有用户所操作的终端用户机110、客户端/主机120和管理员(第二用户)116。客户端/主机120可以包括虚拟机管理器122(例如，管理程序)，其中该虚拟机管理器122针对包括126、127和128的多个实例创建并管理资源(例如，计算资源和磁盘存储124)。
用户经由终端用户机110可以请求管理器150创建与目标实例128有关的支持账户并向该支持账户授予权限。尽管示出了单个主机120，但如本文所述，管理器150可以通过网络10与多个主机进行通信，并且管理对多个主机上的实例的访问。管理器150可以包括：计时器152；证书管理器154，其被配置为生成、监视和删除/销毁证书158；密钥生成器156；以及其它典型的计算机特征，诸如存储器、一个或多个CPU、网络装置以及在本领域内已知的其它软件和硬件等。
密钥生成器156可以生成临时密钥对。在图1中示出生成了包括私钥201和公钥202的密钥对的示例。公钥与实例128相关联。私钥201由终端用户机保持，并且相应的公钥202与实例128相关联，并且例如被存储在密钥列表130中。密钥对可以基于已知的密码算法。
第二密钥对的公钥204可以同样与目标实例128相关联，并且相应的私钥203可以由第二用户116保持，其中该第二用户116可以是诸如管理员或技术支持等的第二用户所使用的机器。各密钥对可以与特定实例中的账户相关联。例如，密钥对203和204可以与支持账户相关联。因此，私钥203的持有者的访问和权限可以局限于与支持账户相关联的访问和许可权。
证书管理器154可以生成与来自用户的请求和相应的支持账户有关的证书。证书可以包括目标实例的标识、密钥对、证书到期时间、以及与支持账户相关联的权限、或者它们的组合。
证书可以具有可以经由一个或多个计时器152实现的到期时间。计时器可以在到期时、在经过了某时间时或者在周期性经过时触发可动作事件。动作可以包括例如将支持账户和公钥从实例中删除。然而，应当理解，计时器在这种情况下可以采用递增或递减的简单计数器的形式，并且在计数达到预定数时，计时器被管理器认为已到期。
因而，如以下更详细地描述，证书可以使密钥对链接到目标实例和支持账户，并且包含使得管理器150能够管理对实例的访问的信息(例如，到期时间)。
如图2所示，在一个实施例中，终端用户机110将用以创建与目标实例有关的支持账户的请求经由路径252发送至管理器150。该请求可以包括要与支持账户相关联的权限和/或用于确定支持账户的寿命的到期时间。
管理器150经由路径254生成密钥对，并且经由路径256向主机120发送用以在块258中创建与目标实例相关联的支持账户的请求。向主机的请求可以包括基于来自用户请求的权限的、要与支持账户相关联的权限。向主机的请求(256)可以包括254中所生成的公钥。主机120可以创建与目标实例相关联的支持账户，并且例如通过将公钥存储在与目标实例相关联的授权密钥列表中来使公钥与目标实例相关联(258)。
管理器150可以从主机接收通知(278)，从而确认创建了支持账户。可选地，该管理器可以简单地假设，除非另有说明(例如，通过错误消息)，否则已成功创建了支持账户。
管理器150可以在块260中生成与支持账户和目标实例有关的临时证书，并且将密钥对中的私钥经由路径262提供至第二用户(例如，技术支持)。私钥例如可被作为来自公共网络的可下载密钥提供，或者可以经由电子邮件、ftp或其它已知的传输方法发送至用户。提供私钥的方法和/或私钥的接收方可以通过用户请求(252)指定，以及/或者可以是管理器150中的存储器设置。临时证书可以具有基于用户请求(252)中指定的到期时间的到期时间。可选地，到期时间可以是管理器150可访问的存储器中的设置。可选地或附加地，证书的到期时间可以基于实例的类型或者与目标实例相关联的应用程序。例如，该判断可以基于查找表或相似技术来进行，其中该技术基于目标实例的类型、与目标实例相关联的应用程序或者与目标实例有关的其它参数来选择到期时间。
第二用户116可以通过利用私钥登录到目标实例的支持账户来连接至该实例(264)。第二用户可以是登录到支持账户以进行诸如安装软件、故障排除或者进行诊断和维护等的支持动作的技术支持专业人员。可以基于与支持账户相关联的权限和/或限制来限制第二用户的动作。
在临时证书到期(266)时，管理器可以发送用以删除/销毁支持账户并禁用公钥的请求(268)。主机120可以删除或销毁支持账户，并且(例如，通过将公钥从授权密钥列表中删除)使公钥与实例解除关联。在发生这种情况时，基于公钥和支持账户的所有连接都将终止。描述该情况的另一方式是：底层通信协议(例如，安全套接字外壳协议)将终止实例和与所删除的公钥相关联的私钥的持有者(在该示例中为第二用户116)之间的连接。
有益地，这在无需原始用户共享其原始私钥的情况下，提供了能够由管理器终止的、利用单独的一组权限对实例的访问。
在一个实施例中，生成临时证书包括设置计时器，并且临时证书的到期由计时器的到期触发。
可选地或附加地，临时证书的到期可以由抢占式请求267强制中断或结束支持账户。这种请求可以由终端用户机110或不同的用户(例如，具有管理权限的用户)发起并由管理器接收到。
可选地或附加地，管理器可以基于所监视的实例的动作来触发临时证书的到期。例如，如果管理器检测到支持账户下的实例的行为违反了预定规则，则管理器的逻辑处理单元可以抢占式地删除支持账户以防止进一步违反规则。
在一个实施例中，管理器可以接收与支持账户有关的系统日志(276)。例如，该系统日志可以包含支持账户所进行的动作。管理器可以将该日志存储在存储器中(272)、以及/或者将对系统日志的访问(274)例如提供给原始用户或管理员。这样，实例的用户/所有者以及管理员可以审核支持账户的用户(例如，技术支持)的操作和行为。
图3是示出管理对公共云上的实例的访问的处理的流程图。处理300可以由可以包括软件、硬件或它们的组合的处理逻辑来进行。例如，处理300可以由管理器150进行。参考图3，在块302中，处理逻辑接收到来自用户的用以在公共网络上创建目标实例的支持账户的请求。
响应于这种请求，在块304中，处理逻辑生成包括公钥和私钥的密钥对。在块306中，在该实例中创建支持账户。在块308中，处理逻辑使公钥与目标实例相关联。在块310中，处理逻辑提供对私钥的访问，其中该私钥可以经由支持账户提供与目标实例的连接。在块312中，处理逻辑生成与目标实例相关联的临时证书。在块314中，处理逻辑监视临时证书的到期。在这种情况下，监视可以是主动的(例如，通过轮询)和/或被动的(例如，事件驱动的)。
在临时证书到期时，在块316中，处理逻辑将支持账户从实例中删除并使公钥与目标实例解除关联。这可以例如通过将公钥从与目标实例相关联的授权密钥列表中删除来完成。结果，与目标实例的连接终止。
应当理解，尽管通常被描述为管理对目标实例的访问，但响应于来自多个用户的多个请求，重复本文描述的系统和方法，以管理对多个主机上的多个实例的访问。
图4是示出可用于本发明的一个实施例的数据处理系统的示例的框图。例如，系统1500可以表示诸如主机120、终端用户机110和116以及管理器150等的任何数据处理系统。系统1500可以包括许多不同的组件。这些组件可以被实现为集成电路(IC)、集成电路(IC)的一部分、分立电子装置、或者适用于计算机系统的诸如主板或附加卡等的电路板的其它模块，或者否则被实现为并入在计算机系统的机箱内的组件。还注意，系统1500旨在示出计算机系统的许多组件的高级视图。然而，应当理解，在某些实现中可能存在附加组件，此外，在其它实现中可能出现所示组件的不同配置。系统1500可以表示台式机、膝上型计算机、平板电脑、服务器、移动电话、媒体播放器、个人数字助理(PDA)、个人通信器、游戏装置、网络路由器或集线器、无线接入点(AP)或中继器、机顶盒或者它们的组合。此外，尽管仅示出单个机器或系统，但术语“机器”或“系统”还应被认为包括用于单独地或联合地执行一组(或多组)指令以进行这里论述的方法中的任一个或多个方法的机器或系统的任何集合。
在一个实施例中，系统1500包括经由总线或互连线1510的处理器1501、存储器1503和装置1505～1508。处理器1501可以表示内部包括单个处理器核或多个处理器核的单个处理器或多个处理器。处理器1501可以表示诸如微处理器或中央处理单元(CPU)等的一个或多个通用处理器。更具体地，处理器1501可以是复杂指令集计算(CISC)微处理器、精简指令集计算(RISC)微处理器、超长指令字(VLIW)微处理器、或者实现其它指令集的处理器、或者实现指令集的组合的处理器。处理器1501还可以是诸如以下等的一个或多个专用处理器：专用集成电路(ASIC)、蜂窝或基带处理器、现场可编程门阵列(FPGA)、数字信号处理器(DSP)、网络处理器、图形处理器、网络处理器、通信处理器、加密处理器、辅助处理器、嵌入式处理器、或者能够处理指令的任何其它类型的逻辑。
处理器1501(其可以是诸如超低电压处理器等的低功率多核处理器插槽)可用作用于与系统的各种组件进行通信的主处理单元和中央集线器。这种处理器可被实现为片上系统(SoC)。处理器1501被配置为执行用于进行这里论述的操作和步骤的指令。系统1500还可以包括与可选图形子系统1504进行通信的图形接口，其中该可选图形子系统1504可以包括显示控制器、图形处理器和/或显示装置。
处理器1501可以与存储器1503进行通信，其中该存储器1503在一个实施例中可以经由多个存储器装置来实现以提供给定量的系统内存。存储器1503可以包括诸如随机存取存储器(RAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、静态RAM(SRAM)或其它类型的存储装置等的一个或多个易失性存储(或存储器)装置。存储器1503可以存储包括由处理器1501或任何其它装置执行的指令序列的信息。例如，各种操作系统、装置驱动器、固件(例如，输入输出基本系统或BIOS)和/或应用的可执行代码和/或数据可被加载在存储器1503中并由处理器1501执行。操作系统可以是任何类型的操作系统，例如来自
Figure GDA0003343485280000101
的
Figure GDA0003343485280000102
操作系统、来自Apple的Mac
Figure GDA0003343485280000103
来自
Figure GDA0003343485280000104
的
Figure GDA0003343485280000105
或者诸如VxWorks等的其它实时或嵌入式操作系统等。
系统1500还可以包括诸如装置1505～1508等的IO装置，其中这些IO装置包括网络接口装置1505、可选输入装置1506以及其它的可选IO装置1507。网络接口装置1505可以包括无线收发器和/或网络接口卡(NIC)。无线收发器可以是WiFi收发器、红外收发器、Bluetooth(蓝牙)收发器、WiMax收发器、无线蜂窝电话收发器、卫星收发器(例如，全球定位系统(GPS)收发器)或其它射频(RF)收发器、或者它们的组合。NIC可以是以太网卡。
输入装置1506可以包括鼠标、触摸垫、触敏屏幕(其可以与显示装置1504一体化)、诸如触控笔等的指针装置、以及/或者键盘(例如，物理键盘或者显示为触敏屏幕的一部分的虚拟键盘)。例如，输入装置1506可以包括连接至触摸屏的触摸屏控制器。触摸屏和触摸屏控制器可以例如使用触敏度技术(其包括但不限于电容技术、电阻技术、红外技术和表面声波技术)、以及其它接近传感器阵列或者用于确定与触摸屏的一个或多个接触点的其它元件中的任何来检测接触和移动或它们的中断。
IO装置1507可以包括音频装置。音频装置可以包括扬声器和/或麦克风以促进支持语音的功能，诸如语音识别、语音复制、数字记录和/或电话功能等。其它IO装置1507还可以包括通用串行总线(USB)端口、并行端口、串行端口、打印机、网络接口、总线桥(例如，PCI-PCI桥)、传感器(例如，诸如加速计、陀螺仪、磁力计、光传感器、指南针、接近传感器等的运动传感器)、或者它们的组合。装置1507还可以包括摄像处理子系统(例如，照相机)，其中该摄像处理子系统可以包括诸如电荷耦合器件(CCD)或互补金属氧化物半导体(CMOS)光学传感器等的用于促进诸如记录照相和视频剪辑等的照相机功能的光学传感器。根据系统1500的特定结构或设计，某些传感器可以经由传感器集线器(未示出)连接至互连线1510，而诸如键盘或热传感器等的其它装置可以由嵌入式控制器(未示出)控制。
为了提供诸如数据、应用以及一个或多个操作系统等的信息的永久存储，大容量存储器(未示出)也可以连接至处理器1501。在各种实施例中，为了使得能够实现更薄更轻的系统设计以及为了提高系统响应性，可以经由固态装置(SSD)来实现该大容量存储器。然而，在其它实施例中，大容量存储器可以主要使用具有较少量的SSD存储器用作SSD高速缓存的硬盘驱动器(HDD)来实现，使得能够实现断电事件期间的上下文状态和其它这种信息的非易失性存储，由此在重新启动系统活动期间可以发生快速上电。另外，闪存装置可以例如经由串行外设接口(SPI)连接至处理器1501。该闪存装置可以提供包括基本输入/输出软件(BIOS)的系统软件以及系统的其它固件的非易失性存储。
存储装置1508可以包括计算机可访问存储介质1509(还已知为机器可读存储介质或计算机可读介质)，其中在该计算机可访问存储介质1509上，存储有体现这里所述的方法或功能中的任一个或多个的一组或多组指令或软件(例如，处理模块、单元和/或逻辑1528)。如上所述，处理模块/单元/逻辑1528可以表示上述的任何组件，例如快照生成模块203、快照分析模块205、重复数据删除逻辑或备份引擎等。处理模块/单元/逻辑1528在由数据处理系统1500、存储器1503和处理器1501执行期间，也可以完全地或至少部分地驻留在存储器1503内和/或处理器1501内，从而还构成机器可访问存储介质。处理模块/单元/逻辑1528还可以经由网络接口装置1505通过网络来发送或接收。
计算机可读存储介质1509也可用于永久地存储上述的一些软件功能。尽管计算机可读存储介质1509在典型实施例中被示出为单个介质，但术语“计算机可读存储介质”应被认为包括用于存储一组或多组指令的单个介质或多个介质(例如，集中式或分布式数据库以及/或者关联的高速缓存器和服务器)。术语“计算机可读存储介质”还应被认为包括能够存储或编码由机器执行的一组指令并且使机器进行本发明的方法中的任何一个或多个方法的任何介质。相应地，术语“计算机可读存储介质”应被认为包括但不限于固态存储器、以及光学和磁性介质、或者任何其它非暂时性机器可读介质。
这里描述的处理模块/单元/逻辑1528、组件和其它特征可被实现为分立的硬件组件、或者集成在诸如ASICS、FPGA、DSP或相似装置等的硬件组件的功能中。另外，处理模块/单元/逻辑1528可被实现为硬件装置内的固件或功能电路。此外，处理模块/单元/逻辑1528可以采用硬件装置和软件组件的任何组合来实现。
注意，尽管系统1500例示有数据处理系统的各种组件，但这并不意图表示使这些组件互连的任何特定架构或方式；因为这些细节与本发明的实施例并无密切关系。还应当理解，网络计算机、手持式计算机、移动电话、服务器、以及/或者具有更少的组件或可能更多的组件的其它数据处理系统也可用于本发明的实施例。
前面的详细说明的一些部分已从针对计算机存储器内的数据位的操作的算法和符号表示方面进行了呈现。这些算法描述和表示是数据处理领域的技术人员为了将他们工作的实质最有效地传达给本领域其它技术人员所使用的方式。算法在这里通常被认为是产生期望结果的自洽的操作序列。这些操作是需要对物理量进行物理操纵的操作。
然而，应当牢记，所有这些以及类似的术语都应与适当的物理量相关联，并且仅仅是应用于这些物理量的方便标签。除非另外特别说明，否则从以上论述显而易见，应当理解，在整个说明书中，利用诸如在所附权利要求书中阐述的术语等的术语的论述是指计算机系统或类似的电子计算装置的如下动作和处理：将计算机系统的寄存器和存储器内的被表示为物理(电子)量的数据操纵并变换成该计算机系统存储器或寄存器或者其它这种信息存储、传输或显示装置内的类似地被表示为物理量的其它数据。
本发明的实施例还涉及用于进行这里的操作的设备。这种计算机程序存储在非暂时性计算机可读介质中。机器可读介质包括用于以机器(例如，计算机)可读的形式存储信息的任何机制。例如，机器可读(例如，计算机可读)介质包括机器(例如，计算机)可读存储介质(例如，只读存储器(“ROM”)、随机存取存储器(“RAM”)、磁盘存储介质、光存储介质、闪速存储器装置)。
在前面的附图中所示的处理或方法可以通过包括硬件(例如，电路、专用逻辑等)、软件(例如，其在非暂时性计算机可读介质上体现)或这两者的组合的处理逻辑来进行。尽管以上根据一些顺序操作描述了处理或方法，但应当理解，所描述的操作中的一些操作可以按不同的顺序进行。此外，一些操作可以并行而不是顺次进行。
没有参考任何特定的编程语言描述本发明的实施例。应当理解，可以使用各种编程语言来实现这里所述的本发明的实施例的教导。
在前述的说明书中，已经参考本发明的特定典型实施例描述了本发明的实施例。显而易见，可以在没有背离如在所附权利要求书中阐述的本发明的更广泛的精神和范围的情况下对本发明进行各种修改。因此，说明书和附图应被认为是说明性的而不是限制性的。

Claims (20)

1.一种计算装置所进行的方法，包括：
响应来自用户的用以在公共网络上创建目标实例的支持账户的请求，进行以下操作：
生成包括公钥和私钥的密钥对；
在所述目标实例中创建支持账户；
使所述公钥与所述目标实例相关联；
提供对所述私钥的访问，其中所述密钥对能够便于经由所述支持账户与所述目标实例的连接；
生成与所述目标实例相关联的临时证书；以及
在所述临时证书到期时，将所述支持账户从所述目标实例中删除并且使所述公钥与所述目标实例解除关联，这使得当前连接终止并且禁止经由所述密钥对与所述目标实例的未来连接。
2.根据权利要求1所述的方法，其中，生成所述临时证书包括设置计时器，以及
所述临时证书的到期是由所述计时器的到期所触发的。
3.根据权利要求1所述的方法，其中，作为针对用户抢占式请求的应答，强制使所述临时证书到期以中断所述支持账户。
4.根据权利要求1所述的方法，其中，来自用户的请求包括与所述支持账户相关联的权限和所述临时证书的到期时间。
5.根据权利要求1所述的方法，其中，所述临时证书的到期时间是基于所述目标实例的类型或者与所述目标实例相关联的应用程序来确定的。
6.根据权利要求1所述的方法，其中，
使所述公钥与所述目标实例相关联包括：将所述公钥存储在与所述目标实例相关联的授权密钥列表中，以及
使所述公钥与所述目标实例解除关联包括：将所述公钥从所述授权密钥列表中删除。
7.根据权利要求1所述的方法，其中，还包括：从所述目标实例中检索系统日志，其中所述系统日志包含经由所述支持账户对所述目标实例进行的动作。
8.根据权利要求1所述的方法，其中，与所述目标实例的连接是使用安全套接字外壳协议即SSH协议经由网络来进行的。
9.根据权利要求1所述的方法，其中，所述密钥对是基于密码算法而生成的。
10.根据权利要求1所述的方法，其中，还包括：重复各处理以管理对多个目标实例的访问。
11.一种非暂时性计算机可读存储介质，其存储有指令，所述指令在由处理器执行时使所述处理器进行操作，所述操作包括：
响应来自用户的用以在公共网络上创建目标实例的支持账户的请求，进行以下操作：
生成包括公钥和私钥的密钥对；
在所述目标实例中创建支持账户；
使所述公钥与所述目标实例相关联；
提供对所述私钥的访问，其中所述密钥对能够便于经由所述支持账户与所述目标实例的连接；
生成与所述目标实例相关联的临时证书；以及
在所述临时证书到期时，将所述支持账户从所述目标实例中删除并且使所述公钥与所述目标实例解除关联，这使得当前连接终止并且禁止经由所述密钥对与所述目标实例的未来连接。
12.根据权利要求11所述的非暂时性计算机可读存储介质，其中，生成所述临时证书包括设置计时器，以及
所述临时证书的到期是由所述计时器的到期所触发的。
13.根据权利要求11所述的非暂时性计算机可读存储介质，其中，作为针对用户抢占式请求的应答，强制使所述临时证书到期以中断所述支持账户。
14.根据权利要求11所述的非暂时性计算机可读存储介质，其中，来自用户的请求包括与所述支持账户相关联的权限和所述临时证书的到期时间。
15.根据权利要求11所述的非暂时性计算机可读存储介质，其中，所述临时证书的到期时间是基于所述目标实例的类型或者与所述目标实例相关联的应用程序来确定的。
16.根据权利要求11所述的非暂时性计算机可读存储介质，其中，
使所述公钥与所述目标实例相关联包括：将所述公钥存储在与所述目标实例相关联的授权密钥列表中，以及
使所述公钥与所述目标实例解除关联包括：将所述公钥从所述授权密钥列表中删除。
17.根据权利要求11所述的非暂时性计算机可读存储介质，其中，所述操作还包括：从所述目标实例中检索系统日志，其中所述系统日志包含经由所述支持账户对所述目标实例进行的动作。
18.根据权利要求11所述的非暂时性计算机可读存储介质，其中，与所述目标实例的连接是使用安全套接字外壳协议即SSH协议经由网络来进行的。
19.根据权利要求11所述的非暂时性计算机可读存储介质，其中，所述密钥对是基于密码算法而生成的。
20.一种计算机系统，包括：
处理系统，其具有至少一个硬件处理器，所述处理系统连接至利用可执行指令进行编程的存储器，所述可执行指令在由所述处理系统执行时进行操作，所述操作包括：
响应来自用户的用以在公共网络上创建目标实例的支持账户的请求，进行以下操作：
生成包括公钥和私钥的密钥对；
在所述目标实例中创建支持账户；
使所述公钥与所述目标实例相关联；
提供对所述私钥的访问，其中所述密钥对能够便于经由所述支持账户与所述目标实例的连接；
生成与所述目标实例相关联的临时证书；以及
在所述临时证书到期时，将所述支持账户从所述目标实例中删除并且使所述公钥与所述目标实例解除关联，这使得当前连接终止并且禁止经由所述密钥对与所述目标实例的未来连接。
CN201810879335.3A 2018-08-03 2018-08-03 计算机系统、计算装置所进行的方法和存储介质 Active CN110798434B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201810879335.3A CN110798434B (zh) 2018-08-03 2018-08-03 计算机系统、计算装置所进行的方法和存储介质
US16/119,992 US10841093B2 (en) 2018-08-03 2018-08-31 Access management to instances on the cloud

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810879335.3A CN110798434B (zh) 2018-08-03 2018-08-03 计算机系统、计算装置所进行的方法和存储介质

Publications (2)

Publication Number Publication Date
CN110798434A CN110798434A (zh) 2020-02-14
CN110798434B true CN110798434B (zh) 2022-04-08

Family

ID=69229378

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810879335.3A Active CN110798434B (zh) 2018-08-03 2018-08-03 计算机系统、计算装置所进行的方法和存储介质

Country Status (2)

Country Link
US (1) US10841093B2 (zh)
CN (1) CN110798434B (zh)

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102238161A (zh) * 2010-04-23 2011-11-09 富士施乐株式会社 通信控制装置和通信控制系统
CN102546563A (zh) * 2010-12-30 2012-07-04 深圳市傲冠软件股份有限公司 网络数据分发方法及系统
CN105933315A (zh) * 2016-04-21 2016-09-07 浪潮集团有限公司 一种网络服务安全通信方法、装置和系统
CN106487743A (zh) * 2015-08-25 2017-03-08 阿里巴巴集团控股有限公司 用于支持多用户集群身份验证的方法和设备
CN106899583A (zh) * 2017-02-15 2017-06-27 江苏信源久安信息科技有限公司 一种可远程授权的电子锁及远程管控方法
CN107180201A (zh) * 2017-04-25 2017-09-19 上海与德科技有限公司 隐私空间的创建方法及装置
CN107210914A (zh) * 2015-01-27 2017-09-26 维萨国际服务协会 用于安全凭证供应的方法
CN107222485A (zh) * 2017-06-14 2017-09-29 腾讯科技（深圳）有限公司 一种授权方法以及相关设备
CN107810617A (zh) * 2015-06-30 2018-03-16 维萨国际服务协会 机密认证和供应

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6769068B1 (en) * 1999-09-02 2004-07-27 International Business Machines Corporation Dynamic credential refresh in a distributed system
EP1634133B1 (en) * 2003-06-18 2008-05-07 Telefonaktiebolaget LM Ericsson (publ) An arrangement and a method relating to ip network access
JP4634751B2 (ja) * 2004-07-08 2011-02-16 株式会社東芝 記憶媒体処理方法、記憶媒体処理装置及びプログラム
JP4256415B2 (ja) * 2006-09-04 2009-04-22 株式会社日立製作所 暗号化装置、復号装置、情報システム、暗号化方法、復号方法及びプログラム
JP2011008701A (ja) * 2009-06-29 2011-01-13 Sony Corp 情報処理サーバ、情報処理装置、および情報処理方法
US8782491B2 (en) * 2011-08-17 2014-07-15 Cleversafe, Inc. Detecting intentional corruption of data in a dispersed storage network
US9075788B1 (en) * 2012-06-15 2015-07-07 Amazon Technologies, Inc. Account state simulation service for cloud computing environments
US20140189346A1 (en) * 2012-12-28 2014-07-03 Next Education, Llc License server manager
US20150229475A1 (en) * 2014-02-10 2015-08-13 Qualcomm Incorporated Assisted device provisioning in a network
JP6888673B2 (ja) * 2016-10-27 2021-06-16 株式会社デンソー デバイスを認証および認可するためのシステムおよび方法
US10757103B2 (en) * 2017-04-11 2020-08-25 Xage Security, Inc. Single authentication portal for diverse industrial network protocols across multiple OSI layers
US10819701B2 (en) * 2018-03-14 2020-10-27 Microsoft Technology Licensing, Llc Autonomous secrets management for a managed service identity
US10691790B2 (en) * 2018-03-14 2020-06-23 Microsoft Technology Licensing, Llc Autonomous secrets management for a temporary shared access signature service

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102238161A (zh) * 2010-04-23 2011-11-09 富士施乐株式会社 通信控制装置和通信控制系统
CN102546563A (zh) * 2010-12-30 2012-07-04 深圳市傲冠软件股份有限公司 网络数据分发方法及系统
CN107210914A (zh) * 2015-01-27 2017-09-26 维萨国际服务协会 用于安全凭证供应的方法
CN107810617A (zh) * 2015-06-30 2018-03-16 维萨国际服务协会 机密认证和供应
CN106487743A (zh) * 2015-08-25 2017-03-08 阿里巴巴集团控股有限公司 用于支持多用户集群身份验证的方法和设备
CN105933315A (zh) * 2016-04-21 2016-09-07 浪潮集团有限公司 一种网络服务安全通信方法、装置和系统
CN106899583A (zh) * 2017-02-15 2017-06-27 江苏信源久安信息科技有限公司 一种可远程授权的电子锁及远程管控方法
CN107180201A (zh) * 2017-04-25 2017-09-19 上海与德科技有限公司 隐私空间的创建方法及装置
CN107222485A (zh) * 2017-06-14 2017-09-29 腾讯科技（深圳）有限公司 一种授权方法以及相关设备

Also Published As

Publication number Publication date
US20200044847A1 (en) 2020-02-06
US10841093B2 (en) 2020-11-17
CN110798434A (zh) 2020-02-14

Similar Documents

Publication Publication Date Title
CN106664323B (zh) 企业系统中的设备上的应用的统一供应
JP5756560B2 (ja) 文書のデジタル利用権を管理するための方法およびデバイス
EP3385873B1 (en) Delegating authorization to applications on a client device in a networked environment
TWI553505B (zh) 管理機架伺服器系統之安全金鑰的方法與系統
JP7225326B2 (ja) ユーザアカウントと企業ワークスペースとの関連付け
US10574660B2 (en) Continuous sensitive content authentication
US20140189119A1 (en) Controlling Access to Resources on a Network
KR20130058058A (ko) 서비스 프로세서 컴플렉스 내의 데이터 저장을 위한 요구 기반 ｕｓｂ 프록시
US20190394040A1 (en) User Security Token Invalidation
US20140109194A1 (en) Authentication Delegation
US11055256B2 (en) Edge component computing system having integrated FaaS call handling capability
US20230221784A1 (en) System and method for power state enforced subscription management
US11829740B2 (en) System and method for deployment level management of subscription based solutions
US20190306155A1 (en) Generating cryptographic keys using supplemental authentication data
US11907153B2 (en) System and method for distributed subscription management
US20170286129A1 (en) Managed application detection logic
US11048809B1 (en) Systems and methods for detecting misuse of online service access tokens
US20170118197A1 (en) Sharing data between sandboxed applications with certificates
CN110798434B (zh) 计算机系统、计算装置所进行的方法和存储介质
US11630591B1 (en) System and method to manage storage system for startup
US10567387B1 (en) Systems and methods for managing computing device access to local area computer networks
US11757648B2 (en) System and method for remote startup management
US20230344620A1 (en) Personal private key encryption device
US11550964B2 (en) Account-specific security in an email client
US20230155997A1 (en) System and method for authenticating devices in distributed environment

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant