CN115248922A - 用于远程接入的设备以及方法 - Google Patents

Abstract

本申请提供了一种用于远程接入的设备、方法，该设备包括：统一管控模块，用于提供通道创建信息，所述通道创建信息用于创建用户当前设备到待访问目标设备的异构的多个通道；道创建模块，包括多个通道创建组件，每个所述通道创建组件用于根据所述通道创建信息创建一个所述通道。上述技术方案中的设备具有较好的灵活性和可选择性。

Description

用于远程接入的设备以及方法

技术领域

本申请涉及计算机领域，并且更具体地，涉及一种用于远程接入的设备以及方法。

背景技术

随着互联网技术的发展，远程接入成为一种重要技术。从企业的角度出发，如何做好接入人员、权限和资源的统一管控，如何提升接入通道的可靠性等成为越来越关键的技术。

相关的技术方案中，远程接入设备中仅提供了一种厂商的通道创建组件，用户无法进行灵活选择，且接入通道的可靠性无法得到保障。

因此，如何使得远程接入设备具有较好的灵活性和可选择性成为亟需要解决的问题。

发明内容

本申请提供一种用于远程接入的设备、方法，该设备具有较好的灵活性和可选择性。

第一方面，提供了一种用于远程接入的设备，包括：统一管控模块，通道创建模块，

统一管控模块，用于提供通道创建信息，所述通道创建信息用于创建用户当前设备到待访问目标设备的异构的多个通道；

通道创建模块，包括多个通道创建组件，每个所述通道创建组件用于根据所述通道创建信息创建一个所述通道。

上述设备中包括多个通道创建组件，每个通道创建组件用于根据所述通道创建信息创建一个通道，这样，多个通道创建组件的共存可以给用户一定的灵活性和可选择性。同时，多个通道创建组件的接入权限和能力受制于一个统一管控模块，这样可以防止多个管控模块共存造成的访问控制冲突或缺失。

结合第一方面，在第一方面的某些实现方式中，所述异构的多个通道之间有以下中的一种或多种不同：采用的架构不同、实现的语言不同、部署的形态不同。

具体的，一方面，从设计的角度出发，异构的多个通道之间在框架、处理逻辑和流程上不同，例如，异构的多个通道之间采用的框架不同、处理逻辑不同、组件划分不同、组件间接口不同等等。另一方面，从实现的角度出发，异构的多个通道之间实现语言不同，所用支持库不同，编码水平不同，编译平台不同，这些都会影响到是否出现bug或漏洞。另一方面，从部署的角度出发，异构的多个通道之间部署平台不同，部署方式不同(例如，单点部署，主备部署还是主主部署)，现网配置不同，这些也会影响通道的可用性。

上述设备可以创建异构的多个通道，这样可以提高可靠性，避免一个通道的故障造成的较差的用户体验。

结合第一方面，在第一方面的某些实现方式中，所述多个通道创建组件为异构的多个通道创建组件。

结合第一方面，在第一方面的某些实现方式中，所述异构的多个通道创建组件来自多个不同的厂商。

结合第一方面，在第一方面的某些实现方式中，所述设备还包括：显示模块，

显示模块，用于显示所述多个通道创建组件；获取所述用户对目标通道创建组件的选择。

上述设备中可以向用户显示多个通道创建组件，以便于用户可以按需开通不同的通道。

结合第一方面，在第一方面的某些实现方式中，所述统一管控模块包括至少一种服务的应用程序接口API，所述至少一种服务的API用于提供所述通道创建信息。

结合第一方面，在第一方面的某些实现方式中，所述至少一种服务的API包括以下中的任一种或多种的组合：用户管理服务API、目标设备资源管理API、访问策略管理API、公共管理API。

结合第一方面，在第一方面的某些实现方式中，所述通道创建信息包括以下中的任一种或多种的组合：用户身份数据、目标设备资源数据、所述目标设备的访问策略数据。

结合第一方面，在第一方面的某些实现方式中，所述通道创建模块包括多个通道创建组件的API，每个所述通道创建组件的API用于创建一个所述通道。

结合第一方面，在第一方面的某些实现方式中，每个所述通道创建组件的API的类型相同。

上述设备中每个所述通道创建组件的通道类API的接口相同，便于纳入本框架，进行统一使用。

上述设备中每个所述通道创建组件的审计类API的接口相同，这样可以使得用户不感知异构的多个通道产生的数据内容、格式的不同，提高用户的体验度，也便于集成。

结合第一方面，在第一方面的某些实现方式中，每个所述通道创建组件包括通道服务器和通道代理，所述通道服务器用于存储所述通道创建信息，所述通道代理用于从所述通道服务器获取所述通道创建信息，并根据所述通道创建信息创建所述通道。

结合第一方面，在第一方面的某些实现方式中，所述通道服务器还用于存储会话的元数据，所述会话为所述用户当前设备和所述待访问目标设备进行交互产生的数据，所述通道代理还用于存储所述会话。

结合第一方面，在第一方面的某些实现方式中，所述每个所述通道创建组件的API还用于提供所述会话。

第二方面，提供了一种用于远程接入的方法，包括：接收指示信息，所述指示信息用于指示用户从多个通道创建组件选择的目标通道创建组件，所述目标通道创建组件用于创建所述用户当前设备到待访问目标设备的目标通道。根据所述指示信息从统一管控模块获取通道创建信息，所述通道创建信息用于创建所述异构的多个通道；根据所述通道创建信息，调用所述目标通道创建组件的应用程序接口API创建所述目标通道。

结合第二方面，在第二方面的某些实现方式中，所述异构的多个通道之间有以下中的一种或多种不同：采用的架构不同、实现的语言不同、部署的形态不同。

结合第二方面，在第二方面的某些实现方式中，，所述多个通道创建组件为异构的多个通道创建组件。

结合第二方面，在第二方面的某些实现方式中，所述异构的多个通道创建组件来自多个不同的厂商。

结合第二方面，在第二方面的某些实现方式中，所述统一管控模块包括至少一种服务的应用程序接口API，根据所述指示信息调用所述至少一种服务的应用程序接口API，获取所述通道创建信息。

结合第二方面，在第二方面的某些实现方式中，所述通道创建信息包括以下中的任一种或多种的组合：用户身份数据、目标设备资源数据、所述目标设备的访问策略数据。

结合第二方面，在第二方面的某些实现方式中，所述至少一种服务的API包括以下中的任一种或多种的组合：用户管理服务API、目标设备资源管理API、访问策略管理API、公共管理API。

结合第二方面，在第二方面的某些实现方式中，所述目标通道创建组件包括目标通道服务器和目标通道代理，所述目标通道服务器用于存储所述通道创建信息，根据所述通道创建信息，调用所述目标通道服务器的API获取所述目标通道代理的地址信息；根据所述地址信息访问所述目标通道代理，以便于所述目标通道代理从所述目标通道服务器获取所述通道创建信息，并根据所述通道创建信息创建所述目标通道。

结合第二方面，在第二方面的某些实现方式中，所述方法还包括：根据目标会话的标识ID，通过所述目标通道创建组件的API获取所述目标会话，所述目标会话为所述目标通道中所述用户当前设备和所述待访问目标设备交互产生的数据。

结合第二方面，在第二方面的某些实现方式中，所述目标通道服务器还用于存储所述目标会话的元数据，所述目标通道代理还用于存储所述目标会话，根据目标会话的ID，通过调用所述目标通道服务器的API获取所述目标通道代理的地址信息；根据所述地址信息访问所述目标通道代理，以便于所述目标通道代理从所述目标通道服务器获取所述目标会话的元数据；根据所述目标会话的元数据从所述目标通道代理获取所述目标会话。

第三方面，提供了一种用于远程接入的设备，包括输入输出接口、处理器和存储器，其中所述处理器用于控制所述输入输出接口收发信息，所述存储器用于存储计算机程序，所述处理器用于从存储器中调用并运行该计算机程序，使得所述执行第二方面或第二方面任意一种可能的实现方式中所述的方法。

可选地，该处理器可以是通用处理器，可以通过硬件来实现也可以通过软件来实现。当通过硬件实现时，该处理器可以是逻辑电路、集成电路等；当通过软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，该存储器可以集成在处理器中，可以位于该处理器之外，独立存在。

第四方面，提供了一种芯片，该芯片获取指令并执行该指令来实现上述第二方面以及第二方面的任意一种实现方式中的方法。

可选地，作为一种实现方式，该芯片包括处理器与数据接口，该处理器通过该数据接口读取存储器上存储的指令，执行上述第二方面以及第二方面的任意一种实现方式中的方法。

可选地，作为一种实现方式，该芯片还可以包括存储器，该存储器中存储有指令，该处理器用于执行该存储器上存储的指令，当该指令被执行时，该处理器用于执行第二方面以及第二方面中的任意一种实现方式中的方法。

第五方面，提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序代码，当所述计算机程序代码在计算机上运行时，使得计算机执行上述第二方面以及第二方面的任意一种实现方式中的方法。

第六方面，提供了一种计算机可读存储介质，包括指令；所述指令用于实现上述第二方面以及第二方面的任意一种实现方式中的方法。

可选地，作为一种实现方式，上述存储介质具体可以是非易失性存储介质。

附图说明

图1是适用于本申请实施例的一种场景示意图。

图2是本申请实施例提供的一种用于远程接入的设备112的示意性框图。

图3是本申请实施例提供的另一种用于远程接入的设备的示意性框图。

图4是本申请实施例提供的一种建立用户当前设备到目标设备的通道的方法的示意性流程图。

图5是一种用户获取到的自己有权限接入的目标设备列表的示意图。

图6是本申请实施例提供的一种会话审计的方法的示意性流程图。

图7是本申请实施例提供的另一种用于远程接入的设备700的示意性框图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

本申请将围绕包括多个设备、组件、模块等的系统来呈现各个方面、实施例或特征。应当理解和明白的是，各个系统可以包括另外的设备、组件、模块等，并且/或者可以并不包括结合附图讨论的所有设备、组件、模块等。此外，还可以使用这些方案的组合。

另外，在本申请实施例中，“示例的”、“例如”等词用于表示作例子、例证或说明。本申请中被描述为“示例”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用示例的一词旨在以具体方式呈现概念。

本申请实施例中，“相应的(corresponding，relevant)”和“对应的(corresponding)”有时可以混用，应当指出的是，在不强调其区别时，其所要表达的含义是一致的。

本申请实施例描述的网络架构以及业务场景是为了更加清楚地说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。

在本说明书中描述的参考“一个实施例”或“一些实施例”等意味着在本申请的一个或多个实施例中包括结合该实施例描述的特定特征、结构或特点。由此，在本说明书中的不同之处出现的语句“在一个实施例中”、“在一些实施例中”、“在其他一些实施例中”、“在另外一些实施例中”等不是必然都参考相同的实施例，而是意味着“一个或多个但不是所有的实施例”，除非是以其他方式另外特别强调。术语“包括”、“包含”、“具有”及它们的变形都意味着“包括但不限于”，除非是以其他方式另外特别强调。

本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：包括单独存在A，同时存在A和B，以及单独存在B的情况，其中A，B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b，或c中的至少一项(个)，可以表示：a，b，c，a-b，a-c，b-c，或a-b-c，其中a，b，c可以是单个，也可以是多个。

为了便于理解，下面先对本申请实施例可能涉及的相关术语和概念进行介绍。

1、用户

用户是指从远程接入最终目标设备的操作人员。该操作人员可以包括但不限于：运维人员或远程办公人员。

2、审计人员

审计人员是指对运维人员的操作行为进行实时或事后审计的人员。

3、目标设备

目标设备是指用户或审计人员需要访问进行操作的设备。该设备例如可以包括但不限于：虚拟机(virtual machine，VM)、物理主机、服务器、网络设备、数据库、网站等。

4、通道

通道是指建立的从用户或审计人员的接入设备到要访问的目标设备之间的交互路径。该接入设备例如可以包括但不限于：用户或审计人员的电脑、手机或其他接入设备等。

5、会话

会话是指在通道建立后，用户与目标设备间的交互及产生的审计数据。

图1是适用于本申请实施例的一种场景示意图。如图1所示，该场景中可以包括接入设备110、远程接入设备112以及目标设备113。

接入设备110，可以是运维人员或远程办公人员的接入设备，或者还可以是审计人员的接入设备。用于通过远程接入设备112连接到目标设备113，从而实现远程接入。作为示例，该接入设备110可以是上述人员的电脑、手机或其他接入设备等。

应理解，该远程接入的场景可以是用于随时随地接入办公系统进行远程办公的场景，或者还可以是进行运维操作的特权账号管理审计的场景，或者还可以是其他管控通道接入场景，本申请实施例对此不做具体限定。

远程接入设备112，用于创建接入设备110到目标设备113之间的通道，实现接入设备110与目标设备113的交互。作为示例，该远程接入设备112例如可以是堡垒机系统。

目标设备113，用于实现与接入设备110进行交互。作为示例，该目标设备113可以包括但不限于：VM、物理主机、服务器、网络设备、数据库、网站等。

从企业的角度出发，如何做好接入人员、权限和资源的统一管控，如何提升接入通道的可靠性，如何打通到多网访问路径，如何做好操作合规审计等成为越来越关键的技术。相关的技术方案中，远程接入设备112中仅提供了一种厂商的通道创建组件，用户无法进行灵活选择，且接入通道的可靠性无法得到保障。

有鉴于此，本申请实施例提供了一种用于远程接入的设备，该设备具有较好的灵活性和可选择性，且接入通道的可靠性较好，从而为远程办公或运维提供了一个高效灵活安全可靠的系统。

下面结合图2，对本申请实施例提供的一种用于远程接入的设备进行详细描述。

图2是本申请实施例提供的一种用于远程接入的设备112的示意性框图。如图2所示，该设备112可以包括：统一管控模块210、通道创建模块220。

统一管控模块210，用于提供通道创建信息。该通道创建信息用于创建用户当前设备到待访问目标设备的异构的多个通道。

作为示例，异构的多个通道之间有以下中的一种或多种不同：设计阶段不同的架构、实现阶段不同的语言、部署阶段不同的部署形态。例如，在设计阶段，异构的多个通道在框架、处理逻辑和流程上不同，比如，异构的多个通道之间采用的框架不同、处理逻辑不同、组件划分不同、组件间接口不同等等。又如，在实现阶段，异构的多个通道的实现语言不同，比如，所用支持库不同，编码水平不同，编译平台不同，这些都会影响到是否出现bug或漏洞。又如，在部署阶段，异构的多个通道的部署平台不同，部署方式不同(比如，单点部署，或主备部署，或主主部署)，现网配置不同，这些也会影响通道的可用性。

通道创建模块220，包括多个通道创建组件，每个所述通道创建组件用于根据所述通道创建信息创建一个所述通道。可选地，该多个通道创建组件为异构的多个通道创建组件。一种可能的实现方式中，所述异构的多个通道创建组件来自多个不同的厂商。

可选地，该设备还包括：显示模块230，用于显示所述多个通道创建组件，还用于显示用户对目标通道创建组件的选择。

下面结合图3，对本申请实施例提供的一种远程接入的设备112中各个模块的具体架构进行详细描述。应理解，图3的例子仅仅是为了帮助本领域技术人员理解本申请实施例，而非要将申请实施例限制于所示例的具体数值或具体场景。本领域技术人员根据下面所给出的图3的例子，显然可以进行各种等价的修改或变化，这样的修改和变化也落入本申请实施例的范围内。

图3是本申请实施例提供的另一种用于远程接入的设备的示意性框图。如图3所示，该设备中可以包括：远程接入服务的运营面、业务面，下面分别结合具体的模块进行描述。

应理解，图3是以用于远程接入的设备为堡垒机系统作为示例进行举例说明的。

1、远程接入服务的业务面

也可以称为堡垒机服务的业务面。作为示例，云堡垒机控制台(cloud bastionhost console，CBH console)为该业务面的操作界面。应理解，CBH console是通过调用统一管控模块中各个微服务的应用程序接口(application programming interface，API)来对外呈现堡垒机的各种功能。

一个示例，统一管控模块中包括用户管理微服务API、资源管理微服务API、访问管理(策略管理)微服务API、公共管理微服务API。上述微服务例如可以包括但不限于：用户管理微服务、资源管理微服务、访问管理(策略管理)微服务、公共管理微服务以及多厂家通道微服务等。

举例说明，用户可以通过CBH console调用用户管理微服务API获取用户数据，该用户数据可以包括用于确认接入系统的访问实体的身份的数据，比如，该用户数据可以是用户标识(用户名)、认证因子(口令、验证码、指纹等)等。用户还可以通过CBH console调用资源管理微服务API获取资源数据，该资源数据可以包括用于远程访问登录目标设备所必须的数据，比如该资源数据可以是资源地址、端口、访问协议，登录目标主机的账号和凭证等。用户还可以通过CBH console调用访问管理(策略管理)微服务API获取访问策略数据，该访问策略数据可以包括用户对目标设备的访问策略，比如该访问策略数据可以是一个用户在什么时间、什么地点、以什么方式、访问哪些目标主机的控制策略，及有对目标设备有哪些操作权限(文件上传下载，剪切板粘入粘出，字符命令黑白名单等)。

另一个示例，通道创建模块可以为用户提供多厂家通道微服务，该多厂家通道微服务创建的多个通道为异构的多个通道。作为示例，图3中是以3个厂家的通道创建组件为例进行描述的，用户还可以通过CBH console调用某个厂家的通道创建组件的API来创建到目标设备的通道。

举例说明，每个厂商的通道创建组件可以包括通道服务器和一个或多个通道代理。其中，通道服务器(tunnel server)负责通道微服务API接口的实现，主要负责处理通道创建，通道关闭，开始回放会话，关闭回放会话。通道微服务存储着有关每个通道会话的元数据，包括会话ID、会话开始时间、会话结束时间、开启会话的用户信息、会话的资源信息和权限信息。这些数据通过会话ID和具体的会话审计数据关联。通道代理(tunnel proxy)是每个网络单独部署的，作为接入目标网络(目标设备)的跳板机，也是实际通道建立时的代理服务器，负责会话的实时审计记录。

2、远程接入服务的运营面

也可以称为堡垒机服务的运营面。是指远程接入服务的开通、关闭、缴费、续费和升级等运营与运维工作。主要包括云堡垒机服务器控制台(cloud bastion serverconsole，CBS console)、CBS以及安装在每个通道代理上的CBS客户端(CBS agent)。

其中，CBS console为运营操作界面，在此界面，用户可以选择在对自己的哪些虚拟私有云(virtual private cloud，VPC)开通哪个厂家的通道接入服务。也就是说，用户可以选择使用哪些厂商的通道创建组件开通到自己的哪些VPC的通道。

下面以图3所示的设备为例，结合图4，对该设备建立用户当前设备到目标设备的通道的具体实现方式进行详细描述。应理解，图4的例子仅仅是为了帮助本领域技术人员理解本申请实施例，而非要将申请实施例限制于所示例的具体数值或具体场景。本领域技术人员根据下面所给出的图4的例子，显然可以进行各种等价的修改或变化，这样的修改和变化也落入本申请实施例的范围内。

图4是本申请实施例提供的一种建立用户当前设备到目标设备的通道的方法的示意性流程图。如图4所示，该方法可以包括步骤410-450，下面分别对步骤410-450进行详细描述。

应理解，用户登录堡垒机系统后，可以获取到自己有权限接入的目标设备列表。例如，用户可以通过业务面的操作界面CBH console获取到自己有权限接入的目标设备列表。举例说明，图5是一种用户获取到的自己有权限接入的目标设备列表以及访问该目标设备对应的一个或多个通道，该一个或多个通道可以是用户通过运营操作界面CBS console选择的对自己的哪些目标设备开通哪个厂家的通道接入服务。如图5所示，有些目标设备可以有多种通道可供用户选择，用户可以仅选择创建的其中一个通道，或者可以选择创建所有可供选择的通道，本申请实施例对此不做不做具体限定。用户创建到不同目标设备的通道可以相同的，或者也可以不同，本申请实施例对此不做具体限定。

为了便于描述，图4中是以用户选择厂商1的通道创建组件创建到租户1的VPN1中的目标设备之间的通道进行举例说明的，通过其他厂商的通道创建组件创建通道的过程与该过程类似，此处不再赘述。

步骤410：通过调用统一管控模块中的至少一种微服务的API获取通道创建信息。

作为示例，用户通过浏览器登录堡垒机系统后，通过调用统一管控模块中包括用户管理微服务API、资源管理微服务API、访问管理(策略管理)微服务API获取通道创建信息。下面分别对用户通过调用不同的API获取的信息进行举例说明。

一种可能的实现方式中，通过调用用户管理微服务API可以获取用户信息(也可以称为用户数据)，该用户信息可以包括用于确认接入系统的访问实体的身份的数据，比如，创建通道的用户的名字、ID以及其所属的租户信息。举例说明，下表1示出了用户信息所包含的内容。

表1用户(user)信息

参数	是否必选	类型	描述
				id	是	string	用户ID
name	是	string	用户名
				tenant	否	object	用户所属的租户。缺省为default
└id	是	string	租户ID
				└name	否	string	租户名

另一种可能的实现方式中，通过调用资源管理微服务API获取资源信息(也可以称为资源数据)远程访问登录目标设备所必须的资源数据，包括但不限于：目标设备的登录信息，包括地址，端口号，接入协议及登录账号信息。举例说明，下表2示出了资源信息所包含的内容。

表2资源(resource)信息

参数	是否必选	类型	描述
				id	是	string	资源ID
name	是	string	资源名
				address	是	string	目标主机地址
port	是	number	目标主机端口号
				protocol	是	string	目标主机接入协议：telnet|ssh|rdp|vnc
vpc_id	否	string	目标主机所在VPC ID
				tenant	否	object	资源所属的租户。缺省为default
└id	是	string	租户ID
				└name	否	string	租户名
account	是	object	账号信息
				└name	是	string	目标主机登录用户名
└password	是	string	目标主机登录口令

另一种可能的实现方式中，通过调用访问管理(策略管理)微服务API获取权限信息(也可以称为策略数据)，包括用户对目标设备进行操作的许可和权限。举例说明，下表3示出了权限信息所包含的内容。

表3权限(permissions)信息

参数	是否必选	类型	描述
				file_download	否	boolean	是否允许下载文件。缺省为false。
file_upload	否	boolean	是否允许上传文件。缺省为false。
				paste_in	否	boolean	是否允许从本地粘入到目标主机。缺省为false。
paste_out	否	boolean	是否允许从目标主机粘出到本地。缺省为false。
				commands	否	object	字符类协议命令名单。
└type	是	string	是命令黑名单还是命令白名单：white|black
				└lists	是	[]string	命令列表，支持正则表达式。

步骤420：通过调用厂商1通道服务器的API，将上述通道创建信息发送给厂商1通道服务器。

以通过厂商1的通道创建组件，创建用户到位于租户去的VPC1中的目标设备之间的为例，该用户可以调用厂商1通道服务器的API，并将获取到的用户信息、资源信息、权限信息作为参数传递到厂商1通道服务器中。厂商1通道服务器将这些信息存储在会话元数据数据库中，并生成一个一次性令牌和通道代理的统一资源定位器(uniform resourcelocator，URL)，将这些信息返回给浏览器中的tunnel client。

应理解，URL表示用户通过厂商1的通道创建组件创建通道时需要访问的通道代理的地址信息，例如，该URL表示厂商1的通道代理1的地址信息。

步骤430：使用携带有令牌的URL访问通道代理1。

作为示例，浏览器中的tunnel client使用携带有令牌的URL访问通道代理1。

步骤440：通道代理1从厂商1通道服务器获取通道创建信息。

通道代理1使用令牌去访问厂商1通道服务器进行认证，并获取厂商1通道服务器的会话元数据数据库中存储的通道创建信息，例如，用户信息、资源信息、权限信息。

步骤450：通道代理1根据通道创建信息建立到目标设备的通道。

通道代理1在从厂商1通道服务器获取到存储的用户信息、资源信息、权限信息后，可以使用资源信息建立到位于租户1的VPN1中的目标设备之间的连接，并依据权限信息开始会话的权限管理。

应理解，步骤430-450属于厂商1通道创建组件的内部实现。

下面以图3所示的设备为例，结合图6，对通过该设备进行会话审计过程的具体实现方式进行详细描述。应理解，图6的例子仅仅是为了帮助本领域技术人员理解本申请实施例，而非要将申请实施例限制于所示例的具体数值或具体场景。本领域技术人员根据下面所给出的图6的例子，显然可以进行各种等价的修改或变化，这样的修改和变化也落入本申请实施例的范围内。

图6是本申请实施例提供的一种会话审计的方法的示意性流程图。如图6所示，该方法可以包括步骤610-660，下面分别对步骤610-660进行详细描述。

步骤610：审计人员调用通道服务器的API获取自己可审计的会话列表。

审计人员通过浏览器登录堡垒机系统后，调用通道服务器的API，从会话元数据数据库中获取自己可审计的会话列表。作为示例，本申请实施例中各个厂商通道服务器的API类型相同，这样，审计人员就可以获取各个厂商通道服务器的会话元数据数据库中存储的会话ID。这样，由于可以提供统一的审计归一化接口给审计人员使用，可以避免审计人员直接面对不同厂商服务器的接口格式不同、数据存储位置不同、数据处理方式不同等所带来的操作复杂性。

步骤620：审计人员点击要审计的会话ID对应的播放按钮，开始回放该会话。

作为示例，审计人员可以通过浏览器中的会话播放器(session player)，点击要审计的会话ID对应的播放按钮，开始回放该会话。

步骤630：审计人员携带会话ID调用通道服务器API开始播放会话。

审计人员可以将审计的会话ID作为参数，调用对应的厂商通道服务器API开始播放会话。作为示例，本申请实施例中，审计人员可以调用厂商1通道服务器API开始播放会话。厂商1通道服务器还可以生成一个一次性令牌和通道代理的URL，将这些信息通过API返回给浏览器。作为示例，本申请实施例中，通道代理的URL为厂商1的通道代理1的地址信息。

步骤640：审计人员使用携带有令牌的URL访问通道代理1。

作为示例，浏览器中的session player使用携带有令牌的URL访问通道代理1。

步骤650：通道代理1从厂商1通道服务器获取要播放会话的元数据。

通道代理1使用令牌去访问厂商1通道服务器进行认证，并获取厂商1通道服务器的会话元数据数据库中存储的要播放会话的元数据。作为示例，该会话的元数据可以包括但不限于：会话ID、会话开始时间、会话结束时间、开启会话的用户信息、会话的资源信息和权限信息。

步骤660：通道代理1使用会话元数据找到会话审计数据。

通道代理1使用会话元数据找到会话审计数据，并开始和浏览器中的sessionplayer互动。例如，开始播放、暂停、快进、快退，命令定位审计会话媒体流。

应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

图7是本申请实施例提供的另一种用于远程接入的设备700的示意性框图。用于远程接入的设备700能够执行图4或图6所示的方法的各个步骤，为了避免重复，此处不再详述。用于远程接入的设备700包括：存储器710、处理器720以及输入输出接口730。

其中，该处理器720可以与输入输出接口730通信连接。该存储器710可以用于存储用于远程接入的设备700的程序代码和数据。因此，该存储器710可以是处理器720内部的存储单元，也可以是与处理器720独立的外部存储单元，还可以是包括处理器720内部的存储单元和与处理器720独立的外部存储单元的部件。

可选的，用于远程接入的设备700还可以包括总线740。其中，存储器710、输入输出接口730可以通过总线740与处理器720连接。总线740可以是外设部件互连标准(peripheral component interconnect，PCI)总线或扩展工业标准结构(extendedindustry standard architecture，EISA)总线等。所述总线740可以分为地址总线、数据总线、控制总线等。为便于表示，图7中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

举例说明，处理器720例如可以是中央处理器(central processing unit，CPU)，通用处理器，数字信号处理器(digital signal processor，DSP)，专用集成电路(application-specific integrated circuit，ASIC)，现场可编程门阵列(fieldprogrammable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。

输入输出接口730可以是包括上述天线和发射机链和接收机链的电路，二者可以是独立的电路，也可以是同一个电路。

当存储器710中存储的用于远程接入的设备700的程序代码和数据被执行时，一种可能的实现方式中，所述处理器720用于执行以下操作：

接收指示信息，所述指示信息用于指示用户从多个通道创建组件选择的目标通道创建组件，所述目标通道创建组件用于创建所述用户当前设备到待访问目标设备的目标通道，所述目标通道为所述用户当前设备到待访问目标设备的异构的多个通道中的一个或多个；

根据所述指示信息从统一管控模块获取通道创建信息，所述通道创建信息用于创建所述异构的多个通道；

根据所述通道创建信息，调用所述目标通道创建组件的应用程序接口API创建所述目标通道。

可选地，所述异构的多个通道之间有以下中的一种或多种不同：采用的架构不同、实现的语言不同、部署的形态不同。

可选地，所述多个通道创建组件为异构的多个通道创建组件。

可选地，所述异构的多个通道创建组件来自多个不同的厂商。

可选地，所述统一管控模块包括至少一种服务的应用程序接口API，所述处理器720还用于执行以下操作：

根据所述指示信息调用所述至少一种服务的应用程序接口API，获取所述通道创建信息。

可选地，所述通道创建信息包括以下中的任一种或多种的组合：用户身份数据、目标设备资源数据、所述目标设备的访问策略数据。

可选地，所述至少一种服务的API包括以下中的任一种或多种的组合：用户管理服务API、目标设备资源管理API、访问策略管理API、公共管理API。

可选地，所述目标通道创建组件包括目标通道服务器和目标通道代理，所述目标通道服务器用于存储所述通道创建信息，所述处理器720具体用于执行以下操作：

根据所述通道创建信息，调用所述目标通道服务器的API获取所述目标通道代理的地址信息；根据所述地址信息访问所述目标通道代理，以便于所述目标通道代理从所述目标通道服务器获取所述通道创建信息，并根据所述通道创建信息创建所述目标通道。

可选地，所述处理器720还用于执行以下操作：

根据目标会话的标识ID，通过所述目标通道创建组件的API获取所述目标会话，所述目标会话为所述目标通道中所述用户当前设备和所述待访问目标设备交互产生的数据。

可选地，所述目标通道服务器还用于存储所述目标会话的元数据，所述目标通道代理还用于存储所述目标会话，所述处理器720具体用于执行以下操作：

根据目标会话的ID，通过调用所述目标通道服务器的API获取所述目标通道代理的地址信息；根据所述地址信息访问所述目标通道代理，以便于所述目标通道代理从所述目标通道服务器获取所述目标会话的元数据；根据所述目标会话的元数据从所述目标通道代理获取所述目标会话。

上述描述的各示例的模块，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本申请实施例还提供一种芯片，该芯片获取指令并执行该指令来实现上述用于远程接入的方法，或者该指令用于实现上述的用于远程接入的设备。

可选地，作为一种实现方式，该芯片包括处理器与数据接口，该处理器通过该数据接口读取存储器上存储的指令，执行上述用于远程接入的方法。

可选地，作为一种实现方式，该芯片还可以包括存储器，该存储器中存储有指令，该处理器用于执行该存储器上存储的指令，当该指令被执行时，该处理器用于执行上述用于远程接入的方法。

本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质存储有指令，该指令用于上述方法实施例中的用于远程接入的方法，或者该指令用于实现上述的用于远程接入的设备。

本申请实施例还提供一种包含指令的计算机程序产品，该指令用于实现上述方法实施例中的用于远程接入的方法，或者该指令用于实现上述的用于远程接入的设备。

一种实现举例，处理器可以为中央处理单元(central processing unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(digital signal processor，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现成可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

一种实现举例，存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasablePROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的随机存取存储器(random access memory，RAM)可用，例如静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(DRAM)、同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double data rate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhancedSDRAM，ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(direct rambus RAM，DR RAM)。

本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况，其中A,B可以是单数或者复数。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系，但也可能表示的是一种“和/或”的关系，具体可参考前后文进行理解。

本申请中，“多个”是指两个或两个以上。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a,b,或c中的至少一项(个)，可以表示：a,b,c,a-b,a-c,b-c,或a-b-c，其中a,b,c可以是单个，也可以是多个。

在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (25)

1.一种用于远程接入的设备，其特征在于，包括：

统一管控模块，用于提供通道创建信息，所述通道创建信息用于创建用户当前设备到待访问目标设备的异构的多个通道；

通道创建模块，包括多个通道创建组件，每个所述通道创建组件用于根据所述通道创建信息创建一个所述通道。

2.根据权利要求1所述的设备，其特征在于，所述异构的多个通道之间有以下中的一种或多种不同：采用的架构不同、实现的语言不同、部署的形态不同。

3.根据权利要求1或2所述的设备，其特征在于，所述多个通道创建组件为异构的多个通道创建组件。

4.根据权利要求1至3中任一项所述的设备，其特征在于，所述异构的多个通道创建组件来自多个不同的厂商。

5.根据权利要求1至4中任一项所述的设备，其特征在于，还包括：

显示模块，用于显示所述多个通道创建组件；

所述显示模块，还用于获取所述用户对目标通道创建组件的选择。

6.根据权利要求1至5中任一项所述的设备，其特征在于，所述统一管控模块包括至少一种服务的应用程序接口API，所述至少一种服务的API用于提供所述通道创建信息。

7.根据权利要求6所述的设备，其特征在于，所述至少一种服务的API包括以下中的任一种或多种的组合：用户管理服务API、目标设备资源管理API、访问策略管理API、公共管理API。

8.根据权利要求6或7所述的设备，其特征在于，所述通道创建信息包括以下中的任一种或多种的组合：用户身份数据、目标设备资源数据、所述目标设备的访问策略数据。

9.根据权利要求1至8中任一项所述的设备，其特征在于，所述通道创建模块包括多个通道创建组件的API，每个所述通道创建组件的API用于创建一个所述通道。

10.根据权利要求9所述的设备，其特征在于，每个所述通道创建组件的API的类型相同。

11.根据权利要求9或10所述的设备，其特征在于，每个所述通道创建组件包括通道服务器和通道代理，所述通道服务器用于存储所述通道创建信息，所述通道代理用于从所述通道服务器获取所述通道创建信息，并根据所述通道创建信息创建所述通道。

12.根据权利要求11所述的设备，其特征在于，所述通道服务器还用于存储会话的元数据，所述会话为所述用户当前设备和所述待访问目标设备进行交互产生的数据，所述通道代理还用于存储所述会话。

13.根据权利要求12所述的设备，其特征在于，所述每个所述通道创建组件的API还用于提供所述会话。

14.一种用于远程接入的方法，其特征在于，包括：

接收指示信息，所述指示信息用于指示用户从多个通道创建组件选择的目标通道创建组件，所述目标通道创建组件用于创建所述用户当前设备到待访问目标设备的目标通道，所述目标通道为所述用户当前设备到待访问目标设备的异构的多个通道中的一个或多个；

根据所述指示信息从统一管控模块获取通道创建信息，所述通道创建信息用于创建所述异构的多个通道；

根据所述通道创建信息，调用所述目标通道创建组件的应用程序接口API创建所述目标通道。

15.根据权利要求14所述的方法，其特征在于，所述异构的多个通道之间有以下中的一种或多种不同：采用的架构不同、实现的语言不同、部署的形态不同。

16.根据权利要求14或15所述的方法，其特征在于，所述多个通道创建组件为异构的多个通道创建组件。

17.根据权利要求14至16中任一项所述的方法，其特征在于，所述异构的多个通道创建组件来自多个不同的厂商。

18.根据权利要求14至17中任一项所述的方法，其特征在于，所述统一管控模块包括至少一种服务的应用程序接口API，

所述根据所述指示信息从所述统一管控模块获取通道创建信息，包括：

根据所述指示信息调用所述至少一种服务的应用程序接口API，获取所述通道创建信息。

19.根据权利要求18所述的方法，其特征在于，所述通道创建信息包括以下中的任一种或多种的组合：用户身份数据、目标设备资源数据、所述目标设备的访问策略数据。

20.根据权利要求18或19所述的方法，其特征在于，所述至少一种服务的API包括以下中的任一种或多种的组合：用户管理服务API、目标设备资源管理API、访问策略管理API、公共管理API。

21.根据权利要求14至20中任一项所述的方法，其特征在于，所述目标通道创建组件包括目标通道服务器和目标通道代理，所述目标通道服务器用于存储所述通道创建信息，

所述根据所述通道创建信息，调用所述目标通道创建组件的应用程序接口API创建所述目标通道，包括：

根据所述通道创建信息，调用所述目标通道服务器的API获取所述目标通道代理的地址信息；

根据所述地址信息访问所述目标通道代理，以便于所述目标通道代理从所述目标通道服务器获取所述通道创建信息，并根据所述通道创建信息创建所述目标通道。

22.根据权利要求14至21中任一项所述的方法，其特征在于，所述方法还包括：

根据目标会话的标识ID，通过所述目标通道创建组件的API获取所述目标会话，所述目标会话为所述目标通道中所述用户当前设备和所述待访问目标设备交互产生的数据。

23.根据权利要求22所述的方法，其特征在于，所述目标通道服务器还用于存储所述目标会话的元数据，所述目标通道代理还用于存储所述目标会话，

所述通过所述目标通道创建组件的API获取目标会话，包括：

根据目标会话的ID，通过调用所述目标通道服务器的API获取所述目标通道代理的地址信息；

根据所述地址信息访问所述目标通道代理，以便于所述目标通道代理从所述目标通道服务器获取所述目标会话的元数据；

根据所述目标会话的元数据从所述目标通道代理获取所述目标会话。

24.一种用于远程接入的设备，其特征在于，包括处理器和存储器；所述处理器运行所述存储器中的指令，使得所述用于远程接入的设备执行如权利要求14至23中任一项所述的方法。

25.一种计算机可读存储介质，其特征在于，包括指令；所述指令用于实现如权利要求14至23中任一项所述的方法。

Images