CN113966604A - web应用封装器 - Google Patents

Abstract

公开了用于检索从客户端接收的web服务器的web地址的代理服务器。代理服务器可以包括反向代理服务器。web地址在代理服务器处被转换为代理地址。利用封装框架代理地址被封装到封装器域中。

Description

web应用封装器

背景技术

云计算是服务交付模型，用于实现对可配置计算资源的共享池的方便的按需网络访问，共享池可以通过名义管理工作或与服务提供方的交互来快速生成和释放。云计算允许云消费方以弹性且有时是非永久性的方式获取计算资源，诸如网络、网络带宽、服务器、处理存储器、存储设备、应用、虚拟机和服务即服务。云计算平台和基础设施允许开发人员为应用构建、部署和管理资产和资源。云计算可以包括可以保护资源和资产免受攻击的安全服务。

发明内容

提供本发明内容，以在以下的具体实施方式中进一步描述的简化形式来引入概念的选择。本发明内容不旨在标识所要求保护的主题的关键特征或基本特征，也不旨在用于限制所要求保护的主题的范围。

云计算环境可以包括诸如云访问安全中介的安全服务，其可以在用户和网络(web)应用之间实施策略和记录会话数据。本公开涉及一种代理服务器，该代理服务器实现web地址封装器系统来接收从客户端到web服务器的web地址(诸如web网站或web应用)。代理服务器可以包括反向代理服务器。web地址在代理服务器处被转换为代理地址。利用封装框架代理地址被封装到封装器域中。代理地址可以包括与代理服务器或利用代理服务器实现的安全服务对应的代理域或后缀域。封装器域可以与安全服务的租户相对应。在一个示例中，封装框架包括内联框架。客户端可以相对于封装器域来导航web地址。例如，客户端可以相对于封装器域而导航到各种网页的web地址或网站文件或web应用。网页可以被加载到内联框架中或内联框架内。

附图说明

附图被包括来提供对实施例的进一步理解并且被并入并构成本公开的一部分。附图图示了实施例并且与描述一起用于解释实施例的原理。其他实施例和实施例的许多预期优点将容易理解，因为它们通过参考以下描述变得更好理解。附图的元素不必相对于彼此成比例。相同的附图标记表示对应的相似部件。

图1是图示了计算设备的示例的框图，该计算设备可以被配置在计算机网络中以提供例如云计算环境。

图2是图示了云计算环境的示例的示意图。

图3是图示了示例web应用封装器系统的示意图，示例web应用封装器系统可以被包括在图2的云计算环境中。

图4是图示了图3的web应用封装器系统的示例方法的框图。

具体实施方式

在以下的描述中，参考了形成其一部分的附图，并且其中通过例示的方式示出了可以实践本发明的特定实施例。应当理解，在不脱离本发明的范围的情况下，可以利用其他实施例并且可以进行结构或逻辑改变。因此，以下描述不应被视为限制意义。应当理解，除非另外特别指出，否则本文描述的各种示例实施例的特征可以部分或全部彼此组合。

图1图示了示例性计算机系统，示例性计算机系统可以在操作环境中采用并且被用于托管或运行被包括在一个或多个计算机可读存储介质上的计算机应用，计算机可读存储介质存储用于控制计算机系统(诸如计算设备)的计算机可执行指令来执行进程。示例性计算机系统包括计算设备，诸如计算设备100。计算设备100可以采用多种形式中的一个或多个。这样的形式包括平板电脑、个人计算机、工作站、服务器、手持设备、消费电子设备(诸如视频游戏控制台或数字录像机)等，并且可以是独立设备或者被配置为计算机网络的一部分。

在基本硬件配置中，计算设备100通常包括具有一个或多个处理单元(即，处理器102)和存储器104的处理器系统。例如，处理单元可以包括在一个芯片上的两个或更多个处理核心或者两个或更多个处理器芯片。在一些示例中，计算设备还可以具有一个或多个附加处理或专用处理器(未示出)，诸如用于在图形处理器单元上的通用计算的图形处理器，以执行从处理器102卸载的处理功能。存储器104可以以分层布置并且可以包括一个或多个级别的缓存。根据计算设备的配置和类型，存储器104可以是易失性的(诸如随机存取存储器(RAM))、非易失性的(诸如只读存储器(ROM)、闪存等)或者两者的一些组合。

计算设备100还可以具有附加的特征或功能。例如，计算设备100还可以包括附加存储装置。这样的存储装置可以是可移除或不可移除的，并且可以包括磁盘或光盘、固态存储器或闪存设备，诸如可移除存储装置108和不可移除存储装置110。计算机存储介质包括以用于存储信息的任何合适的方法或技术实现的易失性和非易失性、可移除和不可移除介质，诸如计算机可读指令、数据结构、程序模块或其他数据。存储器104、可移除存储装置108和不可移除存储装置110均是计算机存储介质的示例。计算机存储介质包括RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能光盘(DVD)或其他光学存储装置、磁带盒、磁带、磁盘存储装置或其他磁存储设备、通用串行总线(USB)闪存驱动装置、闪存卡或其他闪存设备或者可以被用于存储所需信息并且可以由计算设备100访问的任何其他存储介质。因此，传播信号本身不符合条件作为存储介质。任何此类计算机存储介质均可以是计算设备100的一部分。

计算设备100通常包括一个或多个输入和/或输出连接，诸如USB连接、显示器端口、专有连接和连接到各种设备来向计算设备提供输入和输出的其他连接。输入设备112可以包括诸如键盘、指点设备(例如，鼠标、轨迹板)、触笔、语音输入设备、触摸输入设备(例如，触摸屏)等的设备。输出设备111可以包括诸如显示器、扬声器、打印机等的设备。

计算设备100通常包括允许计算设备100与其他计算机/应用115通信的一个或多个通信连接114。示例通信连接可以包括以太网接口、无线接口、总线接口、存储区域网络接口以及专有接口。通信连接可以被用于将计算设备100耦合到计算机网络，计算机网络可以根据诸如拓扑、连接方法和规模的多种特性进行分类。网络是由通信信道互连的计算设备和可能的其他设备的集合，通信信道促进通信并且允许在互连设备之间共享资源和信息。计算机网络的示例包括局域网、广域网、互联网或其他网络。

在一个示例中，计算设备100中的一个或多个可以被配置为网络中用户的客户端设备。客户端设备可以被配置为在计算环境中与网络上的服务器建立远程连接。客户端设备可以被配置为运行应用或软件，诸如操作系统、web浏览器、云访问代理、终端模拟器或实用程序。

在一个示例中，计算设备100中的一个或多个可以被配置为数据中心中的服务器以提供分布式计算服务，诸如云计算服务。数据中心可以提供池化资源，消费方或租户可以按需在该池化资源上动态地配置和伸缩应用，而无需添加服务器或附加联网。数据中心可以被配置为与诸如由云消费方使用的本地计算设备通信，本地计算设备包括个人计算机、移动设备、嵌入式系统或其他计算设备。在数据中心内，计算设备100可以被配置为服务器，或者作为独立设备或者作为一个或多个其他服务器设备的机架中的单独刀片。每个服务器上的一个或多个主机处理器(诸如处理器102)以及包括存储器104和存储装置110的其他组件运行可以支持多个虚拟机的主机操作系统。租户最初可以使用服务器上的一个虚拟机来运行应用。数据中心可以在需求增加时，激活服务器或其他服务器上的附加虚拟机，并且数据中心可以在需求下降时，将虚拟机去激活。

数据中心可以是向单个企业用户提供服务的本地私有系统，或者可以是向多个可能不相关的消费方和租户提供服务的公有(或半公有)可访问分布式系统，或者可以是两者的组合。此外，数据中心可以被包含在单个地理位置内，或者可以分布在全球多个位置并提供冗余和灾难恢复能力。例如，数据中心可以将服务器上的一个虚拟机指定为租户应用的主要位置，并且可以激活同一或另一服务器上的另一虚拟机作为辅助或备份，以防第一虚拟机或服务器故障。

云计算环境通常在一个或多个公认模型中实现，以在一个或多个网络连接的数据中心中运行。无论它是由内部管理还是由第三方管理，也无论它是被托管在组织内部还是某些远程外部位置，私有云部署模型包括专为组织运营的基础设施。私有云的一个示例包括自运行数据中心。公共云部署模型包括向公众或大部分公众(诸如行业团体)提供并由提供云服务的组织运营的基础设施。共同体云由若干个组织共享，并支持具有共同关注点(诸如管辖权、合规性或安全性)的特定组织社区。部署模型通常包括类似的云架构，但可以包括解决特定考虑因素(诸如共享云模型中的安全性)的特定功能。

云计算供应商通常将用于云计算环境的服务提供为作为基础设施即服务、平台即服务和包括软件即服务的其他服务中的一个或多个提供的服务模型。云计算提供方可以通过向租户或消费方订阅来提供服务。例如，软件即服务提供方将软件应用作为订阅服务来提供，软件应用通常可以从web浏览器或其他瘦客户端界面访问，并且消费方不会在本地计算设备上加载应用。基础设施即服务提供方为消费方提供配置处理、存储、网络和其他基本计算资源的能力，消费方可以在其中部署和运行软件，软件包括操作系统和应用。消费方通常不管理底层云基础设施，但通常保留对计算平台和平台上运行的应用的控制。平台即服务提供方为消费方提供了将消费方创建或获取的应用部署到云基础设施上的能力，这些应用使用提供方支持的编程语言、库、服务和工具来创建。在一些示例中，消费方不管理或控制底层云基础设施(包括网络、服务器、操作系统或存储装置)，但可以控制所部署的应用和应用托管环境的可能配置设置。在其他示例中，提供方可以提供基础设施和平台服务的组合，以允许消费方管理或控制所部署的应用以及底层云基础设施。平台即服务提供方可以包括基础设施(诸如服务器、存储装置和联网)以及中间件、开发工具、商业智能服务、数据库管理服务等，并且可以被配置为支持应用生命周期的功能，功能包括构建、测试、部署、管理和更新中的一个或多个。

图2图示了这样的云计算环境中的计算机网络200的示例，该网络200用于在web服务器上部署动态网页(该动态网页可以包括网络应用202)以由用户在客户端设备204上访问。在所示示例中，网络200包括安全服务208，安全服务208可以包括诸如云访问安全中介的的安全中介，安全服务208被设置为处理客户端设备206和web应用204之间的网络流量。web应用204是在远程服务器上运行的软件应用。在许多情况下，客户端设备206上的web浏览器被用于通过网络200(诸如互联网)来访问和实现网络应用204。

在一个示例中，web应用204可以被配置为软件即服务应用或SaaS。SaaS是软件模型，其中软件基于订阅而被许可并被集中托管。SaaS通常由用户使用瘦客户端(例如经由诸如计算设备100的计算设备上的web浏览器应用)来访问。SaaS已成为许多商业应用的通用交付模型。SaaS应用也被称为基于web的软件、按需软件和托管软件。许多SaaS应用基于多租户架构，在多租户架构中，应用的单个版本(具有单个配置，诸如硬件、网络和操作系统)供所有消费方或租户使用。为了支持可伸缩性，在诸如一个或多个数据中心的环境中，应用被安装在多个机器上或者被水平伸缩。这与更传统的应用架构形成对比，其中软件的多个物理副本(可能包括不同版本或不同配置)跨各种消费方站点(诸如企业的不同计算设备)安装。某些SaaS应用不使用多租户，或者可以使用其他机制(诸如虚拟化)来经济高效地管理大量消费方来代替多租户。随着网页技术(诸如HTML、JavaScript和CSS)的标准化以及web应用框架的引入和普及，SaaS应用变得流行起来，逐渐降低了开发SaaS解决方案的成本。

在一些示例中，SaaS应用可以涉及对消费方当前数据的访问或集成，并且在这样的数据量大或敏感的情况下，将数据与远程托管软件集成可能成本高昂或有风险，或者可能与数据治理法规相冲突。

安全服务208(诸如云访问安全中介)在用户206和web应用204之间提供服务。在一个示例中，安全服务208可以支持企业的多个用户(诸如用户206)访问被企业订阅或以其他方式访问的多个SaaS应用(诸如web应用204)。在一些示例中，安全服务208可以被部署在本地或经由云服务来访问。在一个示例中，安全服务208可以支持多个企业访问多租户模型中的SaaS应用的一个或多个集合。安全服务208可以监视用户206和web应用204之间的活动并实施安全策略。例如，云访问安全中介可以监视用户活动、就潜在危险行为向管理员发出警告、强制执行安全策略合规性，并自动防止或降低企业中恶意软件的可能性。

在一个示例中，安全服务208是分布式的基于云的代理，其是用户和应用活动的内联中介。对于有效的应用，安全服务通过应用中的配置改变来将其自身绑定到web应用204，并且用户206向应用提出的请求被引导到代理来进行控制和管理。安全服务208可以在架构内应用认证信息来跟踪用户206的身份和被访问的web应用204。例如，安全服务208可以在认证或流量级别作为反向代理进行操作来创建来自web应用204的重定向。通过经由反向代理，而不是直接在用户204与web应用204之间的安全服务206，用户206被引导到web应用204。用户请求和web应用响应在会话期间行进通过安全服务208。例如，在用户206对由安全服务206服务的有效web应用204进行认证之后，安全服务可以用安全服务208的域来替换到web应用204的web链路，以将用户保持在会话中。安全服务208可以将安全域链路附加到网络应用的链路，以保持会话内的相关链路、cookie和脚本。在一个示例中，安全服务208可以将会话活动保存到日志中并且执行会话的策略。

图3图示了web地址封装器系统300，在一个示例中，web地址封装器系统300可以被并入安全服务208中。在另一示例中，封装器系统300可以是独立于安全服务208托管的独立系统。封装器系统300可以包括计算机可读存储设备来存储计算机可执行指令，以控制处理器，诸如数据中心中的服务器。在一个示例中，封装器系统300可以被实现为计算机程序，以运行作为代理服务器的一部分的处理器，诸如反向代理服务器，从而在例如安全服务208中引导客户端302和web应用服务器304之间的流量。例如，封装器系统300可以引导与在客户端302和web服务器304上运行的web应用有关的流量。

在该示例中，web应用服务器304托管引用web资源的web地址，该web资源指定了网页在计算机网络(诸如计算机网络200)上的位置。在一个示例中，web地址https://www.myapp.com/page/from/myapp指示协议(HTTPS或Hypertext Transfer ProtocolSecure)、主机名(www.myapp.com)和文件路径(page/from/myapp)。web地址可以符合一般通用资源指示符的语法。客户端302可以包括web浏览器，其可以接收web地址并且与托管与web地址相对应的网页的web服务器304通信。web 304可以将与web地址相对应的网页加载到客户端302处的浏览器中。在一个示例中，网页可以是网站的一部分，网站具有通过文件路径进行索引并且被包括作为web应用(诸如异步web应用)的一部分的一组页面。在一个示例中，web应用可以在客户端302和web服务器304之间异步发送和检索数据，且通常不会干扰客户端302的web浏览器中页面的显示和行为。

安全服务208用作反向代理服务器，从客户端接收用于对应web服务器的、被附加有一些代理后缀(诸如“us.cas.ms”)的web地址，并且将其转发到原始指定的地址。例如，来自华盛顿州雷蒙德市的微软公司以商品名Microsoft Cloud Access Security提供的安全服务可以将具有包括www.myapp.com的域的web地址转换为具有后缀域www.myapp.com.us.cas.ms的代理地址。在该示例中，web地址被附加有安全服务208的域，或后缀域，诸如us.cas.ms，以形成代理地址或后缀域地址。安全服务208的域将安全服务的用户保持在引导用户通过安全服务208的会话(诸如代理服务器)内，而不是直接引导至web服务器304之间。web应用204内的相关web地址、JavaScript和cookie被代理地址替换。

封装器系统300将代理地址封装到具有封装器框架的封装器域中。在用户可以被包括为安全服务208的租户的一部分，其中租户具有“Contoso”的品牌名称或域名的示例中，www.myapp.com.us.cas.ms的代理地址可以被提供有www.myapp.contoso.com的封装域地址，当用户导航网站或web应用时，该封装域地址可能在用户的浏览器中可见。在一个示例中，经反向代理的web地址被封装在另一内联框架中。例如，系统300将带后缀的web应用封装在封装器框架(诸如内联框架或内框架)内。web应用的用户将导航至相对于封装器域的页面。封装框架将相对于带后缀的域来转换web地址，并将其加载到内联框架内。

在封装框架中使用品牌名称或租户域名可以赋予用户增加的信任度，即，安全服务208是可操作的。附加地，封装器系统可以解决上下文丢失问题，并且上下文丢失问题可以体现在经由代理服务器访问web应用的架构中。在上下文丢失问题的一个示例中，诸如www.myapp.com/targetdocument的路径通常被存储为目标web应用的cookie。当后缀代理解决方案被应用于在会话中访问目标web应用时，在没有目标web应用的协作的情况下，通常无法恢复目标文档的上下文，这使得后缀代理解决方案难以与许多web应用一起使用。封装器系统300解决了上下文丢失问题，因为用户借助协作端点来浏览web应用，因此改变了访问web应用的方式。

封装器系统300确定适当的封装器域来应用于代理地址，这可以基于对安全服务208的订阅。在一个示例中，安全服务208可以为许多租户提供服务，每个租户具有用户集，并且每个租户可以由代理服务的同一域(诸如us.cas.ms)来服务，以形成代理地址。安全服务可以应用代理服务的单个域。然而，每个租户可以包括对应的封装器域，并且安全服务可以应用与租户对应的封装器域。

在一个示例中，封装框架包括内联框架或内框架(<iframe>)，其允许将一个超文本标记语言(HTML)文档嵌入到另一HTML文档内。在一个示例中，代理地址被封装在内联框架中。用户将导航到与封装器域相关的web应用页面。在提供用于例示的示例中，www.myapp.com/page/from/myapp的web地址将在浏览器中显示为www.myapp.contoso.com/#page/from/myapp。封装框架将相对于带后缀的域www.myapp.com.us.cas.ms/page/from/myapp来转换web地址，并且将其加载到iframe内部。设想了其他示例。当用户导航到网站或web应用内的其他页面时，封装器域地址与经封装的后缀地址或代理地址保持同步，并且经封装的代理地址与封装器域地址保持同步。

图4图示了示例方法400，方法400可以由实现web封装器系统300的代理服务器使用。在402处，代理服务器从客户端302接收web服务器304的web地址，并且将该web地址转换为代理地址。在404处，代理服务器将代理地址封装成具有封装框架的封装器域。在一个示例中，代理地址可以提供与代理服务器或通过代理服务器实现的安全服务208相对应的代理域或后缀域。在一个示例中，封装器域可以对应于安全服务的租户，并且安全服务可以实现多个不同的封装器域。在一个示例中，封装框架包括内联框架。客户端可以相对于封装器域来导航web地址。例如，客户端可以相对于封装器域而导航到各种网页的web地址或网站的文件或web应用。网页可以被加载到内联框架中或内联框架内。

示例系统300和方法400可以被实现为包括一个或多个硬件设备和用于控制系统的计算机程序的组合(诸如具有处理器和存储器的计算系统)来执行方法400。例如，系统300和方法400可以被实现为具有用于控制处理器来执行方法400的可执行指令集的计算机可读介质或计算机可读存储设备。系统300和方法400可以被包括为云环境中的服务，诸如实现云访问安全中介来实施安全策略的安全服务，并且在数据中心中的计算设备100上被实现为代理服务器，诸如反向代理服务器，以引导客户端302和web服务器304之间的web流量。

虽然本文中已图示和描述了特定的实施例，但是本领域的普通技术人员将理解，在不脱离本发明的范围的情况下，可以使用各种替代和/或等效的实现方式来代替所示和描述的特定实施例。本申请旨在涵盖本文中讨论的特定实施例的任何修改或变化。

Claims (10)

1.一种利用代理服务器检索web地址的方法，所述代理服务器接收从客户端到web服务器的所述web地址，所述方法包括：

在所述代理服务器处，将所述web地址转换为代理地址；以及

利用封装框架将所述代理地址封装到封装器域中。

2.根据权利要求1所述的方法，其中所述web地址对应于web应用。

3.根据权利要求1所述的方法，其中所述客户端相对于所述封装器域来导航所述web地址。

4.根据权利要求3所述的方法，其中所述封装框架相对于后缀域的所述封装器域来转换所述代理地址。

5.根据权利要求4所述的方法，其中所述封装器域与所述后缀域同步。

6.一种计算机可读存储设备，用于存储计算机可执行指令以控制处理器：

在代理服务器处，将接收到的从客户端到web服务器的web地址转换为代理地址；以及

利用封装框架将所述代理地址封装到封装器域中。

7.根据权利要求6所述的计算机可读存储设备，其中利用封装框架封装所述代理地址的所述指令包括内联框架。

8.一种系统，包括：

用于存储指令集合的存储器设备；以及

处理器，用于执行所述指令集合以：

在代理服务器处，将接收到的从客户端到web服务器的web地址转换为代理地址；以及

利用封装框架将所述代理地址封装到封装器域中。

9.根据权利要求8所述的系统，其中所述指令是利用安全服务来实现的。

10.根据权利要求8所述的系统，其中所述代理服务器是用于在所述客户端和所述web服务器之间引导web流量的反向代理服务器。

Images