CN112823501A - 确定软件应用之间数据连接的系统和方法 - Google Patents

Abstract

本申请提供了用于调节在基础设施上运行的应用之间的数据互连的系统和方法。该系统/方法将访问权限数据记录到嵌入在每个这样的应用的源代码中的元数据内，该元数据调节该应用可以接收或传送的数据。除了调节数据的接收或传送之外，元数据还可以用以向防火墙和其他调节系统提供指令，以便配置这些系统，从而允许应用接收和传送记录有权限的数据。

Description

确定软件应用之间数据连接的系统和方法

相关申请的交叉引用

本国际申请要求2018年8月1日提交的第16/051660号美国申请的优先权，该申请的公开通过全本引用明确并入本文。

技术领域

本发明总体涉及一种用于在软件应用构建时而不是在其完全部署后确定这些应用之间的数据连接的系统和方法。

背景技术

软件应用很少单独运行。事实上，软件应用，特别是处理来自不同资源的数据的应用，可以在分布于一系列连接的资源中的几十个不同的位置进行数据收发。如果应用代码按预期运行，这种交互通常不会导致问题。但是，如果应用未能按预期运行，或者如果与应用交互的其他应用故障，则结果可能是数据损坏或结果错误。损坏的数据或错误的结果对组织所产生的损失影响可能会很严重。当前的跟踪应用之间交互的方法包括将预期的数据连接添加到程序要求文档和测试计划中。这些相当于意图，而不是结果，因为编码错误或非预期的程序操作可能导致连接中断或以非期望方式执行。因此，现有的以文档记录应用之间连接的方法可能会导致对实际连接缺乏可见性、无法跟踪连接问题以及无法验证已被引入生产的应用中的互连。所需的是以自调节的方式定义应用连接性的系统和方法。

发明内容

在示例性实施例中，应用与其他应用或数据源之间的连接性被编码在源代码(源代码、目标代码、脚本、解释代码等)中，使得这些关系被定义并可用于自动生成连接性映射。这允许可靠地映射信息流，而无需手动创建在生产使用时可能无法准确反映应用的实际操作特性的映射。

在一些示例性实施例中，如同通常情况，在编程文档中定义连接性要求(connectivity requirements)。然而，这些定义也被程序员编码到源代码中。这些经编码的定义用以允许自动创建信息流映射。在示例性实施例中，编码被定位于与应用相关联的元数据(例如，环境标签)中。在一些示例性实施例中，流映射的自动创建产生可以容易地与实际应用连接进行比较的数据，以便检测可能指示应用的操作或其环境中的错误的差异。连接性要求用以指示应用可能使用什么类型的资源以及在正常运行时预期将发布哪些数据。

通过下面的描述和附图，通过举例说明总体发明构思的原理，总体发明构思的以上和其他方面以及优点将变得更加明显。

附图说明

关于以下描述和附图，总体发明构思的这些和其他特征将得到更好地理解，在附图中：

图1是示出各种应用之间的互连的连接性映射的图示；

图2是示出示例性实施例中的各种系统和数据流的系统图；

图3的流程图示出示例性实施例中从元数据创建防火墙规则的步骤；

图4A至图4C列出的根据示例性实施例的计算机代码，示出用于控制互连的元数据；

图5是根据示例性实施例的两个应用及其互连的图示；

图6列出的根据示例性实施例的计算机代码，示出用于控制互连的元数据；

图7列出的根据示例性实施例的计算机代码，示出用于控制互连的元数据；

图8列出的根据示例性实施例的计算机代码，示出用于控制互连的元数据；以及

图9是执行图2所示功能的示例性系统的图示。

具体实施方式

在图1中示出了连接性映射100。如图所示，应用102可以连接到多个其他应用或数据源104。连接性映射用于以人类易于理解的图形方式示出这种连接。可选地，连接性映射100可以由电子数据组成，该电子数据可以被系统监视和供应系统所使用，以更好地理解在特定数据系统上运行的应用的特性。在连接性映射100中，应用102与其他应用或数据源104之间的连接106如箭头所示。创建这种映射的已知方法包括手动检查应用与其数据源或接收者之间的以文档记录的连接。如本领域的普通技术人员将理解的，这样的手动处理不一定准确地反映所实现的代码的实际连接。因此，在每次部署新的应用或资源时，如果需要准确理解该应用的这些连接，则必须创建新的映射。

在示例性实施例中，连接性是由应用开发者定义的。如图2的流程图200中所示，应用所有者202将应用数据输入到应用服务注册表204中。此信息包括服务定义206、连接性定义208、公共共享服务定义210和数据发布/订阅定义212。此信息用于创建应用要求216，该要求216是图2中所示的软件开发时间线214的一部分。结合其它信息，这些定义用于创建应用数据手册218，该应用数据手册218用于为软件开发时间线214的要求216和设计220部分生成进一步的要求和设计信息。源数据存储库222收集关于服务定义206、连接性定义208和公共共享服务定义210的数据，并将该数据提供给防火墙规则模式管理器224和应用部署管理器230。防火墙规则模式管理器224使用各种定义文件来建立防火墙实施设定228，以使用防火墙管理平台226在一个或多个防火墙处进行部署。在示例性实施例中，使用代表性状态转移应用程序接口(REST API)，然后应用一组防火墙规则。在某些示例性实施例中，这些规则由5元组(源IP地址、目的地IP地址、源端口、目的地端口和协议)组成。这些规则可以嵌入HTTP POST方法(创建新的防火墙规则)、HTTP PUT方法(修改防火墙规则)或HTTP DELETE方法(删除防火墙规则)中以更新防火墙管理平台226中的数据库。随后，防火墙管理平台226将更新的规则推送到目标防火墙设备。这种布置使得防火墙规则模式管理器224能够自动配置防火墙实施设定228以适应应用所需的连接和数据流。图3示出了从元数据自动导出防火墙规则的方法300中涉及的步骤。在步骤302中，识别通信端点。在示例性实施例中，通信端点可以是应用、虚拟或物理服务器IP地址、云中的容器、甚或是具有标识的微服务。在步骤304中，查询源记录数据库以提取与每个通信端点相关联的元数据列表。此步骤中提取的元数据包含两组信息，允许连接性策略决定制定的信息列表(例如，环境变量，如“生产”或“非生产”；地理位置信息，如国家代码—“US美国”、“Geneva日内瓦”、“Russia俄罗斯”等；机密性标签，如“高度机密”、“机密”等；监管和合规性标签，如SOX等)以及网络标识列表(例如，IP地址、子网地址等)。在步骤306中，对与两个端点之间的策略决定制定相关的元数据列表执行成对比较。该比较是由策略引擎处理的，以导出许可或拒绝结果。例如，应用1和应用2包含以下元数据列表：应用1：{“生产”，“美国”}，应用2：{“非生产”，“美国”}。在此示例中，全局策略不允许非生产资产和生产资产之间的通信。因此，策略引擎将确定全局策略将拒绝所述两个应用之间的通信。在另一个示例中，应用1包含以下元数据列表：{“生产”，“美国”}，而应用2包含以下元数据列表：{“生产”，“日内瓦”}。在此示例中，虽然两个应用都是有效的生产应用，但日内瓦有严格的数据驻留规则，使得该策略不允许数据跨国家边界流动，因此通信将被拒绝。在第三示例中，应用1：{“非生产”、“俄罗斯”、“公共”}和应用2：{“非生产”、“俄罗斯”、“公共”}具有相同的元数据集，因此通信是“允许”。

一旦策略引擎为任何给定的通信对生成或“允许”或“拒绝”，在步骤308中，与每个通信端点相关联的网络信息(例如，IP地址)被用来构造5元组防火墙规则。在示例性实施例中，这些防火墙规则经由API调用发送到防火墙管理平台以进行下游处理。

除了防火墙规则模式管理器224之外，在示例性实施例中，应用部署管理器(ADM)230从源数据存储库222接收连接性和服务定义数据。此数据用于生成应用策略数据，该应用策略数据被用于将应用引入生产环境。如软件开发时间线214所示，ADM 230还从软件部署的各个阶段(例如，从预生产232、用户验收测试和生产部署)接收数据。该数据被提供给ADM230的连接性证明功能234。该功能被用于执行风险评估和验收测试236，并将该数据提供给ADM策略引擎240的ADM应用简档策略实施部分238。该处理允许ADM 230在沿着软件开发时间线214前进时评估软件中存在的连接。因此，除了定义连接性之外，存储在源数据存储库222中的来自应用所有者202的信息还可以用于在开发期间自动验证软件的连接性特征，并且还可以用于建立防火墙规则和部署策略。

如图2所描述，应用所有者202将应用数据输入到应用服务注册表中。此信息也作为元数据被合并到应用的源代码中，其中的一些示例在图4A至图4C中示出。如图所示，代码402A、402B和402C的一部分定义了完整代码的允许连接。例如，在图4A中，代码部分402用以仅允许与操作环境的生产区域中的应用通信。在图4B中，代码部分402A用以防止生产代码在实验室环境下与桌面应用通信。此外，该示例包括402B处的端口限制定义。在图4C中，代码部分402C允许404中定义的数据源与位于卢森堡的生产应用通信。从这些示例可以看出，定义连接性的代码就其限制方面可能非常具体。这允许应用开发者对一段应用代码的操作进行大量控制。

应用的连接性由此定义在源代码中。在一些示例性实施例中，可以发生的连接只是那些由代码定义和允许的连接。例如，在示例性实施例中，只有满足一组特定的预定条件的数据源和数据使用者才被允许连接到应用。这在图4A至图4C中示出，其限制了与某些应用、某些软件操作区域、系统类型和地理区域的连接。因此，本领域的普通技术人员将理解，这些限制的各种组合可以导致对一段软件应用代码的连接性的非常具体的限定。此外，由于这些限定被编码到应用中，因此对应用连接的更改需要修改代码，并将其作为应用的新版本或修订版本发布。因此，版本控制系统很容易跟踪这些更改，从而提供跟踪连接更改的方法。

受控连接性的构思在图5的简化应用通信连接示例500中示出，其中，第一应用502与第二应用504通信。如图所示，第一应用502具有数据组件506、逻辑组件508和呈现组件510。第二应用504也具有数据组件512、逻辑组件514和呈现组件516。对于所使用的术语“呈现”，这些组件应被认为是用于逻辑组件508和514的输出的数据接口。如互连518所示，这两个应用通过应用程序接口(API)代理520而彼此关联。如在522所示，在此示例性实施例中，第一应用502的业务逻辑与第二应用504的呈现组件516之间存在连接。在示例性实施例中，此连接被编码在至少第一应用502的元数据中。例如，编码可以调节由逻辑组件508检索的数据的类型，并且可以将该数据限制为由第二应用504的呈现组件516提供的数据。除了此外部连接522之外，第一应用502中(应注意，内部连接通常存在于大多数应用中)存在内部连接。如图所示，逻辑组件508与数据组件506之间存在连接524。在示例性实施例中，此连接524可以由在与第一应用502相关联的元数据中找到的定义来调节。因此，仅某些数据类型可被允许流入逻辑组件508，也许更重要的是，仅某些数据可被允许从逻辑组件508流入数据组件506。此限制可用于防止非预期数据进入数据组件506以试图避免存储在数据组件506中的数据的损坏。以类似的方式，在某些示例性实施例中，逻辑组件508与呈现组件510之间的连接可以由存储在元数据中的限制来控制。

图6中示出用于示例性web接口组件的元数据600。如图所示，元数据600包括对web接口组件名602、组件接口名604和允许应用进行通信所需的条件606的定义。因此，如图所示，与该元数据相关联的应用只能在特定环境608、特定层610、特定通信端口612和特定位置614(在所示的示例性实施例中，不包括位置“卢森堡”)与应用通信。

图7示出另一示例性实施例，其中，提供元数据700以定义应用程序的接口特征。如图所示，接口702被定义为包括第一组条件704，第一组条件704被用于定义关于进出应用的数据流的允许状态。在所示的示例性实施例中，定义了两个接口。第一接口被定义为公共接口706，但是第二组条件708与私有接口710相关联。以这种方式，应用所有者(例如，应用所有者202)可以建立具有不同条件的各种接口，从而根据各种应用的特征和需要来调节提供至各种应用(或由各种应用访问)的信息。

图8示出与信息的数据库相关联的元数据800的另一示例性实施例。如图所示，元数据800根据以下来定义访问和使用数据库的限制：特定应用的列表802、应用的操作环境804、应用正在进行访问的层806、应用的功能808以及应用正试图用来交接数据的端口810。

图2示出数据流从应用所有者202经由各种功能到达用于防火墙实施设定228的配置和控制信息，并且还管理应用接口管理器242，该应用接口管理器242管理应用与各种外部系统和数据源244之间的接口连接。在某些示例性实施例中，这些功能可以由诸如计算机服务器之类的计算机化设备来执行。在一些示例性实施例中，计算机服务器由处理器、存储器和软件指令组成，所述软件指令配置处理器以执行特定所需的功能。图2所示的主要功能的示例性实施例在图9中示出为计算机服务器的连接图900。如图所示，应用服务注册表(例如，应用服务注册表204)由计算机服务器902形成。应用服务注册表与也由计算机服务器904形成的源数据存储库(例如，源数据存储库222)通信。应用服务注册表与防火墙规则模式管理器(例如，防火墙规则模式管理器224)通信，该防火墙规则模式管理器的功能由计算机服务器906执行。服务器906与一个或多个防火墙908通信，防火墙908本身可以由一个或多个服务器形成。源数据存储库将连接和数据流信息传送到由计算机服务器910形成的ADM(例如，ADM 230)。然后，该计算机服务器910将应用接口数据提供给应用接口管理器(例如，应用接口管理器242)，该应用接口管理器可以由一个或多个服务器912形成。在所示的示例性实施例中，每个功能在单独的计算机服务器中执行，然而，应理解，这些服务器可以组合成较少数量的计算机，或者可以在一个以上这样的服务器之间划分某些功能。这些功能可以合并，也可以在适当的情况下跨组织分布。如前所述，每个服务器执行软件指令，所述软件指令使得服务器的处理器执行用于执行图2中每个功能的操作所需的步骤。

虽然本发明及其相关发明构思已通过对其各种实施例的描述进行了说明，并且虽然这些实施例已被相当详细地描述，但申请人的意图不在于将所附权利要求的范围以任何方式限定或限制到这些细节。附加的优点和修改对本领域的技术人员将容易地呈现。此外，在一些实例中，以一个实施例描述的元件可以容易地适用于其他实施例。因此，本发明在其更广泛的方面不限于所示出和描述的具体细节、代表性装置和说明性示例。因此，可以在不脱离一般发明构思的精神或范围的情况下偏离这些细节。

Claims (18)

1.一种控制应用程序的数据连接的方法，所述方法包括：

建立服务定义；

建立允许连接的定义；

在应用服务注册表中存储所述服务定义和所述允许连接的定义；

将所述允许连接的定义作为元数据嵌入到源代码文档中；

从所述元数据自动导出防火墙规则；

从所述元数据自动导出允许的连接数据列表；以及

使用所述允许的应用数据列表配置应用接口管理器。

2.根据权利要求1所述的方法，其中，所述允许集合的定义也作为元数据嵌入到相应的应用程序中。

3.根据权利要求2所述的方法，还包括：

创建数据发布和数据源的定义，

其中，创建数据手册，所述数据手册包括关键数据元素的定义和从所述数据发布和数据源的定义导出的数据来源规则。

4.根据权利要求1所述的方法，其中，所述建立允许连接的定义的步骤包括：识别应用类型，应用程序被允许与该应用类型通信。

5.根据权利要求1所述的方法，其中，所述建立允许连接的定义的步骤包括：识别应用环境，所述应用程序被允许与该应用环境通信。

6.根据权利要求1所述的方法，其中，所述建立允许连接的定义的步骤包括：识别端口，所述应用程序被允许通过该端口通信。

7.根据权利要求1所述的方法，其中，所述建立允许连接的定义的步骤包括：定义地理位置，所述应用程序被允许与该地理位置通信。

8.根据权利要求1所述的方法，其中，所述建立允许连接的定义的步骤包括：定义能够从所述应用程序传送的数据。

9.根据权利要求1所述的方法，还包括以下步骤：

将在测试环境中运行的应用程序对连接的访问尝试与所述允许连接的定义进行比较；以及

记录对不包括在所述允许连接的定义中的连接的每次访问尝试。

10.一种用于自动调节应用程序的数据连接的系统，所述系统包括：

应用服务注册表；

与所述应用服务注册表通信的源数据存储库；

所述应用服务注册表包括在由第一处理器执行时使所述第一处理器执行以下的软件指令：

提取与允许的应用数据连接有关的元数据信息；

所述源数据存储库包括在由第二处理器执行时使所述第二处理器执行以下的软件指令：

建立软件应用要求定义，所述软件应用要求定义包括与其他应用和数据源的允许连接；

将所述允许连接的定义存储到元数据文档；

从所述元数据自动建立防火墙规则；

从所述元数据自动建立允许的应用数据列表；以及

使用所述允许的应用数据列表配置应用接口管理器。

11.根据权利要求10所述的系统，还包括使所述第二处理器创建数据发布和数据源的定义的软件指令。

12.根据权利要求10所述的系统，还包括使所述第二处理器创建数据手册的软件指令，所述数据手册包括关键数据元素的定义以及从所述数据发布和数据源的定义导出的数据来源规则。

13.根据权利要求10所述的系统，其中，所述建立软件应用要求定义的步骤进一步包括：识别与其他应用和数据源的允许连接。

14.根据权利要求10所述的系统，其中，所述建立软件应用要求定义的步骤进一步包括：识别应用环境，所述应用程序被允许与该应用环境通信。

15.根据权利要求10所述的系统，其中，所述建立软件应用要求定义的步骤进一步包括：定义端口，所述应用程序被允许通过该端口通信。

16.根据权利要求10所述的系统，其中，所述建立软件应用要求定义的步骤进一步包括：定义地理位置，来自该地理位置的所述应用程序被允许通信。

17.根据权利要求10所述的系统，其中，所述建立软件应用要求定义的步骤进一步包括：定义能够从所述应用程序传送的数据。

18.根据权利要求10所述的系统，还包括应用接口管理器，所述应用接口管理器包括在由所述应用接口管理器执行时使所述应用接口管理器执行以下的软件指令：

将在测试环境中运行的应用程序对连接的访问尝试与所述允许连接的定义进行比较；以及

记录对不包括在所述允许连接的定义中的连接的每次访问尝试。

Images