CN116418539A

CN116418539A - 身份认证方法、系统、装置、设备及存储介质

Info

Publication number: CN116418539A
Application number: CN202111676483.3A
Authority: CN
Inventors: 胡金涌; 丁兆鹏
Original assignee: Shanghai Yundun Information Technology Co ltd
Current assignee: Shanghai Yundun Information Technology Co ltd
Priority date: 2021-12-31
Filing date: 2021-12-31
Publication date: 2023-07-11

Abstract

本申请提出一种身份认证方法、系统、装置、设备及存储介质，该方法中连接器客户端与至少一个目标应用对应的身份认证系统关联，连接器客户端与至少一个连接器服务端间建立有会话连接，会话连接为连接器客户端至连接器服务端的出站连接。基于会话连接，若接收到由连接器服务端转发的针对目标应用对应的身份认证系统的身份认证请求，将身份认证请求发送至身份认证系统；将由身份认证系统反馈的身份认证页面发送给连接器服务端。本申请基于连接器客户端与连接器服务端间的会话连接，通过内网中的身份认证系统进行身份认证，既不会将内网的身份认证系统暴露于互联网，又可以将目标应用部署于互联网中。

Description

身份认证方法、系统、装置、设备及存储介质

技术领域

本申请属于网络安全技术领域，具体涉及一种身份认证方法、系统、装置、设备及存储介质。

背景技术

随着云计算技术的发展，企业的应用可广泛分布于公有云、私有云和混合云中，企业员工对企业应用的访问需求也呈现出新的变化，如移动化、远程办公、第三方合作伙伴的访问等等。企业需要为日益多样化、分布广泛的用户提供服务，也需要保证应用的安全性。

相关技术中，企业将应用发布在分布式云计算环境(如CDN、云WAF、边缘计算等)上以满足企业员工移动办公的趋势，员工在访问这些应用时，不再需要通过使用VPN，而是直接访问到最近的边缘节点上，在边缘节点上进行必要的身份认证与权限检查再访问到能授权访问的应用。在这样的业务部署下，员工需要能访问到身份认证系统，一些企业使用外部的身份认证系统，边缘节点可以与外部的身份认证系统进行交互，对员工进行身份认证和权限控制。另一些企业使用自建的身份认证系统对员工进行身份认证和权限控制。由于自建的身份认证系统大多在企业内部，受限制于现有业务架构和安全考虑，无法将自建的身份认证系统暴露于互联网，因此无法实现将业务部署于互联网。

发明内容

本申请提出一种身份认证方法、系统、装置、设备及存储介质，实现在不将目标应用对应的自建的身份认证系统暴露于互联网的前提下，利用目标应用对应的身份认证系统对用户进行身份认证，从而实现将目标应用对应的业务部署于互联网。

本申请第一方面实施例提出了一种身份认证方法，应用于连接器客户端，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，所述连接器客户端与至少一个连接器服务端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述至少一个连接器服务端的出站连接，所述方法包括：

基于所述会话连接，若接收到由连接器服务端转发的由目标终端发送的针对目标应用对应的所述身份认证系统的身份认证请求，将所述身份认证请求发送至身份认证系统；

将由所述身份认证系统反馈的身份认证页面发送给所述连接器服务端，所述身份认证页面用于供输入用户身份信息以完成身份认证。

本申请第二方面实施例提出了一种身份认证方法，应用于连接器服务端，所述连接器服务端与至少一个连接器客户端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述连接器服务端的出站连接，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，包括：

接收由边缘节点服务器转发的由目标终端发送的针对目标应用对应的身份认证系统的身份认证请求；

确定与所述身份认证系统对应的目标连接器客户端；

根据与所述目标连接器客户端对应的会话连接，转发所述身份认证请求至所述目标连接器客户端。

本申请第三方面实施例提出了一种身份认证方法，应用于边缘节点服务器，包括：

接收目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，所述身份认证请求包括所述身份认证系统的标识信息；

根据所述身份认证系统的标识信息，确定与所述身份认证系统对应的连接器服务端的地址信息；

根据所述连接器服务端的地址信息，转发所述身份认证请求至所述连接器服务端，以使所述连接器服务端根据与对应的目标连接器客户端之间的会话连接，转发所述身份认证请求至所述目标连接器客户端。

本申请第四方面实施例提出了一种身份认证方法，应用于管理平台，包括：

生成目标应用对应的应用配置信息，所述应用配置信息包括目标应用的标识、回源地址、相关联的连接器客户端的标识信息、相关联的身份认证系统的标识信息、身份认证策略以及访问权限控制策略中的至少一种；所述身份认证系统的标识信息包括所述身份认证系统的域名、IP地址、端口中的至少一种；

生成所述目标应用对应的身份认证系统的认证配置信息及域名记录，所述认证配置信息至少包括与所述身份认证系统关联的连接器客户端的标识信息；所述域名记录包括所述身份认证系统的地址信息与边缘节点服务器的IP地址之间的映射关系；

发送所述目标应用的应用配置信息以及所述身份认证系统的认证配置信息；

发送DNS服务器所需的所述身份认证系统的域名记录。

本申请第五方面实施例提出了一种身份认证系统，包括：管理平台、边缘节点服务器、连接器服务端和连接器客户端，其中：

管理平台，用于生成目标应用的应用配置信息，以及生成所述目标应用对应的身份认证系统的认证配置信息及域名记录；发送所述目标应用的应用配置信息以及所述身份认证系统的认证配置信息，并发送DNS服务器所需的所述身份认证系统的域名记录；

边缘节点服务器，用于接收由目标终端发送的针对所述目标应用的访问请求，所述访问请求包含所述目标应用的标识；若确定所述访问请求不包括身份凭证，则将所述目标终端重定向到所述目标应用对应的身份认证系统的访问地址；以及，还用于接收所述目标终端发送的针对目标应用对应的身份认证系统的身份认证请求；并根据所述身份认证请求包含的所述身份认证系统的标识信息，将所述身份认证请求向对应的连接器服务端进行发送；

连接器服务端，用于接收所述边缘节点服务器发送的所述身份认证请求；根据在先建立的与连接器客户端的会话连接，将所述身份认证请求转发至对应的连接器客户端，并将所述连接器客户端转发的身份认证页面发送给所述边缘节点服务器；

连接器客户端，用于接收所述连接器服务端发送的所述身份认证请求，将所述身份认证请求转发至对应的身份认证系统，并将所述身份认证系统反馈的身份认证页面发送给所述连接器服务端。

本申请第六方面实施例提出了一种身份认证装置，应用于连接器客户端，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，所述连接器客户端与至少一个连接器服务端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述至少一个连接器服务端的出站连接，包括：

第一发送模块，用于基于所述会话连接，若接收到由连接器服务端转发的由目标终端发送的针对目标应用对应的所述身份认证系统的身份认证请求，将所述身份认证请求发送至身份认证系统；

第二发送模块，用于将由所述身份认证系统反馈的身份认证页面发送给所述连接器服务端，所述身份认证页面用于供输入用户身份信息以完成身份认证。

本申请第七方面实施例提出了一种身份认证装置，应用于连接器服务端，所述连接器服务端与至少一个连接器客户端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述连接器服务端的出站连接，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，包括：

第一接收模块，用于接收由边缘节点服务器转发的由目标终端发送的针对目标应用对应的身份认证系统的身份认证请求；

第一确定模块，用于确定与所述身份认证系统对应的目标连接器客户端；

第三发送模块，用于根据与所述目标连接器客户端对应的会话连接，转发所述身份认证请求至所述目标连接器客户端。

本申请第八方面实施例提出了一种身份认证装置，应用于边缘节点服务器，包括：

第二接收模块，用于接收目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，所述身份认证请求包括所述身份认证系统的标识信息；

第二确定模块，用于根据所述身份认证系统的标识信息，确定与所述身份认证系统对应的连接器服务端的地址信息；

第四发送模块，用于根据所述连接器服务端的地址信息，转发所述身份认证请求至所述连接器服务端，以使所述连接器服务端根据与对应的目标连接器客户端之间的会话连接，转发所述身份认证请求至所述目标连接器客户端。

本申请第九方面实施例提出了一种身份认证装置，应用于管理平台，包括：

生成模块，用于生成目标应用对应的应用配置信息，所述应用配置信息包括目标应用的标识、回源地址、相关联的连接器客户端的标识信息、相关联的身份认证系统的标识信息、身份认证策略以及访问权限控制策略中的至少一种；所述身份认证系统的标识信息包括所述身份认证系统的域名、IP地址、端口中的至少一种；生成所述目标应用对应的身份认证系统的认证配置信息及域名记录，所述认证配置信息至少包括与所述身份认证系统关联的连接器客户端的标识信息；所述域名记录包括所述身份认证系统的地址信息与边缘节点服务器的IP地址之间的映射关系；

第五发送模块，用于发送所述目标应用的应用配置信息以及所述身份认证系统的认证配置信息；发送DNS服务器所需的所述身份认证系统的域名记录。

本申请第十方面的实施例提供了一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器运行所述计算机程序以实现上述第一至第四方面中任一方面所述的方法。

本申请第十一方面的实施例提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行实现上述第一至第四方面中任一方面所述的方法。

本申请实施例中提供的技术方案，至少具有如下技术效果或优点：

在本申请实施例中，基于连接器客户端与连接器服务端之间出向的会话连接，实现通过内网中的身份认证系统对用户进行身份认证，既不会将内网中的身份认证系统暴露于互联网中，又可以基于身份认证系统的身份认证功能将内网中的目标应用部署于互联网中。不需要使用VPN服务器即可实现目标终端访问内网中的目标应用，解决了VPN服务器不稳定且难以维护的问题。直接将目标应用发布到公网上，用户访问体验更好。由边缘节点服务器判断用户是否通过了身份认证，并将未通过认证的用户重定向到对应的身份认证系统，且通过边缘节点服务器进行访问权限认证，消除了恶意攻击的风险。不需要对原有的网络拓扑进行修改即可将内网中的目标应用SaaS化。另外，通过增加边缘节点服务器和连接器服务端的数量，能够很方便地进行扩容，能够适应目标用户数量很大的应用场景。

本申请附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变的明显，或通过本申请的实践了解到。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本申请的限制。而且在整个附图中，用相同的参考符号表示相同的部件。

在附图中：

图1示出了可以应用本申请实施例的技术方案的示例性系统架构的示意图；

图2示出了本申请一实施例所提供的一种身份认证方法的信令交互图；

图3示出了本申请一实施例所提供的一种身份认证方法中连接器客户端的操作流程图；

图4示出了本申请一实施例所提供的一种身份认证方法中连接器服务端的操作流程图；

图5示出了本申请一实施例所提供的一种身份认证方法中边缘节点服务器的操作流程图；

图6示出了本申请一实施例所提供的一种身份认证方法中管理平台的操作流程图；

图7示出了本申请一实施例所提供的一种应用于连接器客户端的身份认证装置的结构示意图；

图8示出了本申请一实施例所提供的一种应用于连接器服务端的身份认证装置的结构示意图；

图9示出了本申请一实施例所提供的一种应用于边缘节点服务器的身份认证装置的结构示意图；

图10示出了本申请一实施例所提供的一种应用于管理平台的身份认证装置的结构示意图；

图11示出了本申请一实施例所提供的一种电子设备的结构示意图；

图12示出了本申请一实施例所提供的一种存储介质的示意图。

具体实施方式

下面将参照附图更详细地描述本申请的示例性实施方式。虽然附图中显示了本申请的示例性实施方式，然而应当理解，可以以各种形式实现本申请而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了能够更透彻地理解本申请，并且能够将本申请的范围完整的传达给本领域的技术人员。

需要注意的是，除非另有说明，本申请使用的技术术语或者科学术语应当为本申请所属领域技术人员所理解的通常意义。

下面结合附图来描述根据本申请实施例提出的一种身份认证方法、系统、装置、设备及存储介质。

本申请实施例提供了一种身份认证方法，参见图1，该方法所基于的网络系统架构包括连接器客户端、连接器服务端、边缘节点服务器、管理平台和目标终端。其中，配置有一个或多个连接器的服务器称为连接器客户端，连接器可以为用于进行网络通信的软件程序，连接器客户端可以通过其自身所配置的连接器与至少一个目标应用相关联。具体地，连接器客户端中的每个连接器均可以与一个或多个目标应用通信连接。在一示例中，目标应用可以为企事业单位或社会组织等团体的内网中的应用，如OA系统、Web(网站)、SSH(Secure Shell，安全外壳协议)、VNC(Virtual Network Console，虚拟网络控制台)、RDP(Remote Desktop Protocol，远程桌面协议)、内部IAM(Identity and AccessManagement，身份识别与访问管理)等。在另一示例中，目标应用也可以为公网中的应用程序。

内网中还设置有内部的身份认证系统，如AD、SAML、OIDC、CAS等。内网中的目标应用可以对应于内部的身份认证系统，访问该目标应用的用户需要通过该目标应用对应的身份认证系统的认证。上述连接器客户端与至少一个目标应用对应的身份认证系统相关联。图1中示意性地画出了连接器客户端与内网中的应用系统以及身份认证系统连接。应用系统中包括一个或多个目标应用。

连接器服务端可以是能够与连接器客户端进行通信的服务器，其可以与连接器客户端之间建立用以传输信息的会话连接。应该理解的，连接器服务端的地址信息可以包括域名和/或IP地址，若为域名，则根据该域名可以解析到一个或多个连接器服务端的IP地址。需要说明的是，一个连接器服务端可以与一个或者多个连接器客户端进行通信，一个连接器客户端也可以与一个或者多个连接器服务端进行连接，本申请对此不作特殊限定。

连接器客户端与连接器服务端建立会话连接，该会话连接为出向的通信连接，该会话连接可以为TCP(Transmission Control Protocol，传输控制协议)连接或HTTPS(Hyper Text Transfer Protocol over Secure Socket Layer，超文本传输安全协议)连接或SSL/TLS连接等。边缘节点服务器与连接器服务端和目标终端通信，管理平台与边缘节点服务器通信连接。

需要说明的，上述目标终端可以包括智能手机、平板电脑、便携式电脑或者台式计算机中的一种或者多种。应该理解的，图1中的目标终端、边缘节点服务器、管理平台、连接器服务端以及连接器客户端的数目仅仅是示意性的，根据实现需要，可以具有任意数目的目标终端、边缘节点服务器、管理平台、连接器服务端以及连接器客户端。例如，该网络架构中可以包括一个或多个边缘节点服务器以及一个或多个连接器服务端，图1中仅示意性地画出了一个边缘节点服务器和一个连接器服务端。

值得注意的是，本申请实施例提到的边缘节点服务器和连接器服务端，是两个逻辑概念，分开提出来是为了帮助理解，实践中可以分开部署，也可以部署在同一台服务器设备上，本申请对此不作特殊限定。

基于上述网络架构，实现通过内网中的身份认证系统对访问目标应用的用户进行身份认证，不会将身份认证系统暴露于互联网，既确保了内网中的身份认证系统的安全性，又可以直接将内网的目标应用发布到公网上。不需要对原有的网络拓扑进行修改即可将内网中的目标应用SaaS(Software-as-a-Service，软件即服务)化。且通过增加边缘节点服务器和连接器服务端的数量，能够很方便地进行扩容，能够适应目标用户数量很大的应用场景。

以下对本申请实施例的技术方案的实现细节进行详细阐述：

图2示出了本申请一实施例所提供的一种身份认证方法的信令交互图。参照图2所示，该方法至少包括步骤101至步骤115，详细介绍如下：

步骤101：管理平台生成目标应用对应的应用配置信息，该应用配置信息包括目标应用的标识、回源地址、相关联的连接器客户端的标识信息、相关联的身份认证系统的标识信息、身份认证策略以及访问权限控制策略中的至少一种；身份认证系统的标识信息包括身份认证系统的域名、IP地址、端口中的至少一种。

其中，管理平台可以为云计算平台，如私有云或公有云等。在访问目标应用之前，由管理平台生成目标应用对应的应用配置信息。具体地，管理平台可以支持用户的配置操作，用户依据自身需求确定允许远程访问的目标应用，然后在管理平台上配置这些目标应用对应的应用配置信息，管理平台可以接收并存储用户所配置的应用配置信息，并将该应用配置信息与对应的目标应用相关联。

管理平台生成的应用配置信息包括目标应用的标识、回源地址、相关联的连接器客户端的标识信息、相关联的身份认证系统的标识信息、身份认证策略以及访问权限控制策略中的至少一种。

其中，目标应用的标识可以包括目标应用的域名，回源地址可以包括目标应用所在设备的IP地址及目标应用所在设备对外开放的端口号等。相关联的连接器客户端的标识信息可以包括连接器客户端的IP地址、MAC(Media Access Control Address，硬件地址)地址或人为设定或自动生成的能够唯一标识该连接器客户端的字符序列等。相关联的身份认证系统的标识信息可以包括身份认证系统的域名、IP地址等。身份认证策略可以用于规定目标用户的身份认证方式，访问权限控制策略可以用于规定对该目标应用具有访问权限的用户身份。

步骤102：管理平台生成目标应用对应的身份认证系统的认证配置信息及域名记录，该认证配置信息至少包括与身份认证系统关联的连接器客户端的标识信息；该域名记录包括身份认证系统的域名与边缘节点服务器的IP地址之间的映射关系。

在访问目标应用之前，由管理平台生成目标应用对应的身份认证系统的认证配置信息。具体地，管理平台可以支持用户的配置操作，用户依据自身需求确定允许远程访问的目标应用及目标应用对应的身份认证系统，然后在管理平台上配置这些目标应用对应身份认证系统的认证配置信息，管理平台可以接收并存储用户所配置的认证配置信息，并将该认证配置信息与对应的身份认证系统相关联。

在一示例性实施例中，该认证配置信息可以包括身份认证系统的标识信息及与身份认证系统关联的连接器客户端的标识信息。其中，身份认证系统的标识信息可以是身份认证系统的域名、IP地址等。与身份认证系统关联的连接器客户端的标识信息可以包括连接器客户端的IP地址、MAC地址或人为设定或自动生成的能够唯一标识该连接器客户端的字符序列等。

通过步骤101和102的操作，在管理平台上生成目标应用对应的应用配置信息及目标应用对应的身份认证系统的认证配置信息，通过在应用配置信息中设置相关联的连接器客户端的标识信息将该目标应用与连接器客户端关联起来。通过在认证配置信息中设置该目标应用关联的连接器客户端的标识信息将该目标应用对应的身份认证系统与连接器客户端关联起来。

需要说明的，目标应用或身份认证系统与连接器客户端可以处于同一网络，例如均属于内部网络、均属于公共网络或者属于同一C段网络等，目标应用或身份认证系统与连接器客户端也可以处于不同网络，例如一个在公网、另一个在内部网络等，本申请对此不作特殊限定，只需目标应用或身份认证系统与连接器客户端之间可以通信即可。

在本申请的一些实施例中，在管理平台上生成目标应用对应的身份认证系统的认证配置信息之前、之后或同时，还生成该身份认证系统对应的域名记录，该域名记录包括身份认证系统的域名与边缘节点服务器的IP地址之间的映射关系。通过该域名记录将内网中的身份认证系统与指定的边缘节点服务器关联起来，以便由指定的边缘节点服务器转发该身份认证系统相关的通信数据。

步骤103：管理平台发送目标应用的应用配置信息以及身份认证系统的认证配置信息。

管理平台可以主动将目标应用的应用配置信息及身份认证系统的认证配置信息发送给各个边缘节点服务器。管理平台也可以在接收到边缘节点服务器获取目标应用的应用配置信息的请求时，再将目标应用的应用配置信息发送给边缘节点服务器。以及，管理平台可以在接收到边缘节点服务器获取目标应用对应的身份认证系统的认证配置信息的请求时，再将身份认证系统的认证配置信息发送给边缘节点服务器。

或者，管理平台也可以将目标应用的应用配置信息发送给配置中心等中间媒介，边缘服务器从这些中间媒介处获取目标应用的应用配置信息。管理平台也可以将目标应用对应的身份认证系统的认证配置信息发送给身份认证模块，边缘服务器从身份认证模块处获取身份认证系统的认证配置信息。

步骤104：管理平台发送DNS服务器所需的身份认证系统的域名记录。

管理平台将身份认证系统的域名记录发送给DNS服务器，DNS服务器存储身份认证系统的域名记录。该域名记录包括身份认证系统的域名与边缘节点服务器的IP地址之间的映射关系。DNS服务器存储身份认证系统的域名记录后，若接收到针对该身份认证系统的域名解析请求，该域名解析请求包括该身份认证系统的域名。则DNS服务器可以根据该身份认证系统的域名记录返修域名解析结果，该域名解析结果包括域名记录中该身份认证系统的域名对应的边缘节点服务器的IP地址。

除上述目标应用的应用配置信息和身份认证系统的认证配置信息之外，管理平台还生成连接器客户端对应的连接器配置信息，该连接器配置信息至少包括连接器客户端的标识信息和与连接器客户端对应的连接器服务端的地址信息。其中，连接器客户端的标识信息包括连接器客户端的IP地址、MAC地址或人为设定或自动生成的能够唯一标识该连接器客户端的字符序列等。连接器服务端的地址信息可以包括域名和/或IP地址。

管理平台也将连接器配置信息发送给各个边缘节点服务器，或者将连接器配置信息发送给配置中心等中间媒介，再由中间媒介转发至对应的边缘节点服务器。

通过上述操作完成对整个系统的配置之后，实现了将目标应用发布到互联网中。若用户需要访问某个目标应用，则通过目标终端发送针对该目标应用的访问请求给边缘节点服务器，该访问请求包括该目标应用的标识。

其中，目标终端可以为用户的手机或电脑等设备。边缘节点服务器可以为CDN(Content Delivery Network，内容分发网络)中距离目标终端所在位置最近或者网络质量较优的边缘节点服务器。目标应用的标识可以包括目标应用的域名和/或部署目标应用的物理设备的IP地址等。

在一具体应用场景中，在家办公或出差的员工需要访问公司内网中的目标应用时，通过目标终端查看公司在公网上发布的多个目标应用，从中选择自己需要访问的目标应用，例如可以通过点击的方式进行选择。目标终端监测到某个目标应用被点击时，获取被点击的目标应用的域名，发送针对该目标应用的域名的解析请求给域名服务器。域名服务器对该目标应用的域名进行解析，由于之前将发布到公网上的所有目标应用的域名均解析到了边缘节点服务器的IP地址上，因此域名服务器对当前的目标应用的域名进行解析能够得到对应的边缘节点服务器的IP地址。域名服务器将域名解析得到的IP地址返回给该目标终端。目标终端根据该IP地址，发送访问请求给对应的边缘节点服务器。

边缘节点服务器接收目标终端发送的针对目标应用的访问请求，判断该访问请求携带的信息中是否包括身份凭证，身份凭证为用户通过该目标应用对应的身份认证系统的身份认证而生成的凭证。

若判断出该访问请求中包括身份凭证，则表明该用户在发起当前的访问请求之前已经通过了该目标应用对应的身份认证系统的认证，无需再次进行身份认证，因此边缘节点服务器根据该访问请求包括的目标应用的标识，获取该目标应用的应用配置信息。根据该应用配置信息包括的访问权限控制策略对该访问请求进行访问权限认证。若该访问请求通过访问权限认证，则从目标应用的应用配置信息中获取与该目标应用关联的连接器客户端的标识信息。

根据该连接器客户端的标识信息，从管理平台或配置中心获取的该连接器客户端对应的连接器配置信息中，获取目标连接器服务端的地址信息。根据目标连接器服务端的地址信息，将该访问请求转发给目标连接器服务端。目标连接器服务端确定该目标应用关联的连接器客户端，通过与该连接器客户端之间的会话连接将该访问请求转发给该连接器客户端。该连接器客户端接收到该访问请求后，根据该访问请求包括的目标应用的标识，将该访问请求转发给对应的目标应用。目标应用对该访问请求进行处理后反馈请求响应信息给连接器客户端。连接器客户端再将该请求响应信息转发给连接器服务端。连接器服务端将该请求响应信息经边缘节点服务器转发给目标终端。

若边缘节点服务器对该访问请求的访问权限认证未通过，则丢弃该访问请求。在此情况下，边缘节点服务器还可以向目标终端返回不具有访问权限的提示信息。

若确定该访问请求不包括身份凭证，则将该目标终端重定向到该目标应用对应的身份认证系统的访问地址。具体地，若边缘节点服务器判断出接收的访问请求中不包括身份凭证，则表明该用户在发起当前的访问请求之前未通过该目标应用对应的身份认证系统的认证，因此需要先对该用户进行身份认证，边缘节点服务器将该目标终端重定向到该目标应用对应的身份认证系统的访问地址，以使目标终端向该身份认证系统的访问地址发送身份认证请求。身份认证系统的访问地址可以包括该身份认证系统的域名和/或与该身份认证系统对应的边缘服务器的IP地址。

在一种实现方式中，边缘节点服务器发送针对该身份认证系统的重定向指令给目标终端，该重定向指令携带该身份认证系统的访问地址。若该访问地址为身份认证系统的域名，则目标终端接收到该重定向指令后，首先发送域名解析请求给DNS服务器，该域名解析请求携带该身份认证系统的访问地址。DNS服务器根据该身份认证系统的访问地址，从本地存储的域名记录中获取该身份认证系统的访问地址对应的边缘节点服务器的IP地址，将该边缘节点服务器的IP地址返回给目标终端。目标终端根据该边缘节点服务器的IP地址发送针对目标应用对应的身份认证系统的身份认证请求给该边缘节点服务器，该身份认证请求包括该身份认证系统的标识信息。

在另一种实现方式中，整个系统架构中还部署了身份认证模块，管理平台将身份认证系统的认证配置信息发送给了该身份认证模块。若边缘节点服务器判断出接收的访问请求中不包括身份凭证，则边缘节点服务器可以将该访问请求重定向至身份认证模块。身份认证模块接收到该访问请求，确定该访问请求中携带的目标应用的标识对应的身份认证系统的标识信息，进而确定该身份认证系统的标识信息对应的认证配置信息，则确定该访问请求所针对的身份认证系统为内网中的身份认证系统，因此将目标终端重定向到该身份认证系统的访问地址。若身份认证模块确定不存在该身份认证系统的标识信息对应的认证配置信息，则确定该身份认证系统为第三方的身份认证系统，则将该目标终端重定向到该第三方的身份认证系统。

需要说明的，本申请实施例提到的边缘节点服务器和身份认证模块，是两个逻辑概念，分开提出来是为了帮助理解，实践中可以分开部署，也可以部署在同一台设备上，本申请对此不作特殊限定。

本申请通过边缘节点服务器来判断用户是否已通过了身份认证，对于未通过身份认证的用户重定向到对应的身份认证系统的访问地址。对于通过了身份认证的，通过目标应用对应的访问权限控制策略对用户进行访问权限验证，只有通过身份认证和访问权限认证的访问请求才会被转发到连接器服务端，进而最终被转发到对应的目标应用，提高了目标应用的访问安全性。

步骤105：边缘节点服务器接收目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，根据该身份认证请求包括的身份认证系统的标识信息，确定与该身份认证系统对应的连接器服务端的地址信息。

其中，身份认证系统的标识信息可以包括但不限于身份认证系统的域名、部署该身份认证系统的物理设备的IP地址、或人为设定或自动生成的能够唯一标识该连接器客户端的字符序列等。

边缘节点服务器接收到该身份认证请求后，根据该身份认证请求包括的身份认证系统的标识信息，获取该身份认证系统对应的认证配置信息，从该认证配置信息中获取与该身份认证系统管理的连接器客户端的标识信息。根据该连接器客户端的标识信息，获取该连接器客户端对应的连接器配置信息。并从该连接器配置信息中获取该身份认证系统对应的连接器服务端的地址信息。

步骤106：边缘节点服务器根据该连接器服务端的地址信息，转发该身份认证请求至连接器服务端，以使连接器服务端根据与对应的目标连接器客户端之间的会话连接，转发该身份认证请求至目标连接器客户端。

步骤107：连接器服务端接收由边缘节点服务器转发的由目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，确定与该身份认证系统对应的目标连接器客户端。

连接器服务端接收边缘节点服务器转发的身份认证请求，根据该身份认证请求包括的身份认证系统的标识信息，获取该身份认证系统对应的认证配置信息，从该认证配置信息中获取与该身份认证系统关联的目标连接器客户端的标识信息。

步骤108：连接器服务端根据与目标连接器客户端对应的会话连接，转发该身份认证请求至目标连接器客户端。

连接器服务端根据与该身份认证系统关联的目标连接器客户端的标识信息，确定与目标连接器客户端对应的会话连接，并通过该会话连接转发该身份认证请求至目标连接器客户端。

步骤109：连接器客户端基于与连接器服务端之间的会话连接，若接收到由连接器服务端转发的由目标终端发送的针对目标应用对应的所述身份认证系统的身份认证请求，将该身份认证请求发送至目标应用对应的身份认证系统。

连接器客户端若接收到连接器服务端转发的身份认证请求，则根据该身份认证请求包括身份认证系统的标识信息，将该身份认证请求转发给对应的身份认证系统。

身份认证系统接收到身份认证请求后，返回一个身份认证页面给关联的连接器客户端。该身份认证页面用于用户供输入用户身份信息以完成身份认证。

步骤110：连接器客户端将由身份认证系统反馈的身份认证页面发送给连接器服务端。

连接器客户端接收到身份认证系统返回的身份认证页面后，通过与连接器服务端之间的会话连接，将该身份认证页面发送给连接器服务端。

步骤111：连接器服务端基于与目标连接器客户端之间的会话连接，接收目标连接器客户端转发的身份认证页面，将身份认证页面经由边缘节点服务器转发给目标终端。

连接器服务端接收到身份认证页面后，将该身份认证页面发送给边缘节点服务器，该边缘节点服务器可以为之前转发身份认证请求给该连接器服务端的边缘节点服务器。边缘节点服务器接收到该身份认证页面后，将该身份认证页面后转发给目标终端。

目标终端接收到该身份认证页面后，渲染并显示该身份认证页面。用户可以在显示的身份认证页面中输入自己的身份信息，目标终端从该身份认证页面中获取用户输入的用户身份信息。或者，身份认证页面可以包括扫码接口，目标终端检测到用户点击该扫码接口时，调用目标终端的摄像头扫描包含用户身份信息的二维码或条形码等图形码，解析扫描到的图形码得到用户身份信息。或者，该身份认证页面中可以包括指纹获取接口，目标终端显示该身份认证页面后调用目标终端上指纹录制装置，该指纹录制装置可以包括目标终端的home键或触摸屏等。目标终端通过该指纹录制装置获取用户的指纹信息，将该指纹信息作为用户身份信息。或者，身份认证页面中可以包括人脸识别接口，目标终端显示该身份认证页面后，若检测到用户点击该人脸识别接口，则调用目标终端的摄像头，提示用户使自己的面部处于摄像头的拍摄区域内，通过摄像头拍摄用户的面部图像，将得到的面部图像作为用户身份信息。或者，目标终端也可以对拍摄的面部图像进行人脸特征提取，将提取的人脸特征信息作为用户身份信息。

上述仅以示例的形式列举了目标终端通过身份认证页面获得用户身份信息的一些具体方式。但通过身份认证页面获得用户身份信息的方式并不局限于上述示例，只要能够通过身份认证页面获得用户身份信息的方式都在本申请的范围内。

目标终端通过身份认证页面获得用户身份信息后，发送该用户身份信息给边缘节点服务器。

步骤112：边缘节点服务器接收目标终端发送的用户身份信息，将该用户身份信息转发给连接器服务端。

步骤113：连接器服务端通过与目标连接器客户端之间的会话连接，将该用户身份信息转发给该目标连接器客户端。目标连接器客户端再将该用户身份信息转发给身份认证系统。

身份认证系统对该用户身份信息进行身份认证，将认证结果返回给目标连接器客户端。

步骤114：目标连接器客户端通过与连接器服务端之间的会话连接将该认证结果发送给连接器服务端。

步骤115：连接器服务端接收目标连接器客户端转发的身份认证系统对用户身份信息的认证结果，将认证结果经由边缘节点服务器转发给目标终端。

若身份认证系统对用户身份信息认证通过，则该认证结果中可以包括用于证明身份认证通过的身份凭证。若身份认证系统对用户身份信息认证未通过，则认证结果中可以包括用于提示身份认证失败的提示信息。

目标终端获得包括身份凭证的认证结果之后，即可发起针对目标应用的访问请求，该访问请求中包括身份凭证。边缘节点服务器接收到该访问请求，确定该访问请求中包括身份凭证，且对该访问请求进行访问权限验证通过后，依次经由该目标应用关联的连接器服务端、连接器客户端将该访问请求转发给该目标应用。该目标应用将该访问请求对应的请求响应信息反馈给对应的连接器客户端之后，再依次经由连接器服务端、边缘节点服务器将该请求响应信息转发给目标终端。

在本申请实施例中，基于连接器客户端与连接器服务端之间出向的会话连接，实现通过内网中的身份认证系统对用户进行身份认证，既不会将内网中的身份认证系统暴露于互联网中，又可以基于身份认证系统的身份认证功能将内网中的目标应用部署于互联网中。不需要使用VPN服务器即可实现目标终端访问内网中的目标应用，解决了VPN服务器不稳定且难以维护的问题。直接将目标应用发布到公网上，用户访问体验更好。由边缘节点服务器判断用户是否通过了身份认证，并将未通过认证的用户重定向到对应的身份认证系统，并且通过边缘节点服务器进行访问权限认证，消除了恶意攻击的风险。不需要对原有的网络拓扑进行修改即可将内网中的目标应用SaaS化。另外，通过增加边缘节点服务器和连接器服务端的数量，能够很方便地进行扩容，能够适应目标用户数量很大的应用场景。

本申请的另一些实施例提供了一种身份认证方法，该方法应用于连接器客户端。参见图3，该方法具体包括以下步骤：

步骤201：连接器客户端基于会话连接，若接收到由连接器服务端转发的由目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，将身份认证请求发送至身份认证系统。

连接器客户端与至少一个连接器服务端之间建立有会话连接，该会话连接为由连接器客户端至至少一个连接器服务端的出站连接。连接器客户端与至少一个目标应用对应的身份认证系统相关联。

连接器客户端接收到连接器服务端转发的身份认证请求后，根据该身份认证请求包括的身份认证系统的标识信息，将该身份认证请求转发给对应的身份认证系统。

步骤202：连接器客户端将由身份认证系统反馈的身份认证页面发送给连接器服务端，该身份认证页面用于供输入用户身份信息以完成身份认证。

身份认证系统接收到连接器客户端转发的身份认证请求后，向连接器客户端返回一个身份认证页面。连接器客户端接收到该身份认证页面后，基于与连接器服务端之间的会话连接，将该身份认证页面发送给连接器服务端。连接器服务端接收到该身份认证页面后，转发给边缘节点服务器。边缘节点服务器再将该身份认证页面发送给目标终端。

目标终端接收到该身份认证页面之后渲染并显示该身份认证页面。用户在显示的身份认证页面中输入自己的身份信息，目标终端从该身份认证页面中获取用户输入的用户身份信息，发送该用户身份信息给边缘节点服务器。边缘节点服务器接收目标终端发送的用户身份信息，将该用户身份信息转发给连接器服务端。连接器服务端通过与目标连接器客户端之间的会话连接，将该用户身份信息转发给该目标连接器客户端。目标连接器客户端再将该用户身份信息转发给身份认证系统。

身份认证系统对该用户身份信息进行身份认证，将认证结果返回给目标连接器客户端。目标连接器客户端通过与连接器服务端之间的会话连接将该认证结果发送给连接器服务端。连接器服务端接收目标连接器客户端转发的身份认证系统对用户身份信息的认证结果，将认证结果经由边缘节点服务器转发给目标终端。

若身份认证系统对用户身份信息认证通过，则该认证结果中包括用于证明身份认证通过的身份凭证。若身份认证系统对用户身份信息认证未通过，则认证结果中可以包括用于提示身份认证失败的提示信息。

目标终端获得包括身份凭证的认证结果之后，即可发起针对目标应用的访问请求，该访问请求中包括身份凭证。边缘节点服务器接收到该访问请求，确定该访问请求中包括身份凭证，且对该访问请求进行访问权限验证通过后，依次经由该目标应用关联的连接器服务端、连接器客户端将该访问请求转发给该目标应用。该目标应用将该访问请求对应的请求响应信息反馈给对应的连接器客户端之后，再依次经由连接器客户端、连接器服务端、边缘节点服务器将该请求响应信息转发给目标终端。

在本申请实施例中，连接器客户端通过与连接器服务端之间的会话连接，接收来自目标终端的身份认证请求或用户身份信息，以及将身份认证系统反馈的身份认证页面或认证结果反馈给目标终端。实现通过内网中的身份认证系统对用户进行身份认证，既不会将内网中的身份认证系统暴露于互联网中，又可以基于身份认证系统的身份认证功能将内网中的目标应用部署于互联网中。

本申请的一些实施例提供了一种身份认证方法，该方法应用于连接器服务端，参见图4，该方法具体包括以下步骤：

步骤301：连接器服务端接收由边缘节点服务器转发的由目标终端发送的针对目标应用对应的身份认证系统的身份认证请求。

该身份认证请求可以包括身份认证系统的标识信息。

步骤302：连接器服务端确定与身份认证系统对应的目标连接器客户端。

连接器服务端根据该身份认证请求包括的身份认证系统的标识信息，获取该身份认证系统对应的认证配置信息，从该认证配置信息中获取与该身份认证系统关联的目标连接器客户端的标识信息。

步骤303：连接器服务端根据与目标连接器客户端对应的会话连接，转发身份认证请求至目标连接器客户端。

连接器服务端根据与该身份认证系统关联的目标连接器客户端的标识信息，确定与目标连接器客户端对应的会话连接。通过该会话连接转发该身份认证请求至目标连接器客户端。目标连接器客户端若接收到连接器服务端转发的身份认证请求，则根据该身份认证请求包括身份认证系统的标识信息，将该身份认证请求转发给对应的身份认证系统。身份认证系统接收到身份认证请求后，返回一个身份认证页面给关联的连接器客户端。该身份认证页面用于供用户输入用户身份信息以完成身份认证。

连接器客户端接收到身份认证系统返回的身份认证页面后，通过与连接器服务端之间的会话连接，将该身份认证页面发送给连接器服务端。连接器服务端基于与目标连接器客户端之间的会话连接，接收目标连接器客户端转发的身份认证页面，将身份认证页面经由边缘节点服务器转发给目标终端。

目标终端接收到该身份认证页面后，渲染并显示该身份认证页面。用户在显示的身份认证页面中输入自己的身份信息，目标终端从该身份认证页面中获取用户输入的用户身份信息，发送该用户身份信息给边缘节点服务器。边缘节点服务器接收目标终端发送的用户身份信息，将该用户身份信息转发给连接器服务端。连接器服务端通过与目标连接器客户端之间的会话连接，将该用户身份信息转发给该目标连接器客户端。目标连接器客户端再将该用户身份信息转发给身份认证系统。

在本申请实施例中，连接器服务端通过与连接器客户端之间的会话连接，接收来自边缘节点服务器的身份认证请求或用户身份信息，并将身份认证请求或用户身份信息经连接器客户端转发给身份认证系统。以及接收连接器客户端转发的身份认证系统反馈的身份认证页面或认证结果，并经边缘节点服务器转发给目标终端。实现通过内网中的身份认证系统对用户进行身份认证，既不会将内网中的身份认证系统暴露于互联网中，又可以基于身份认证系统的身份认证功能将内网中的目标应用部署于互联网中。

本申请的一些实施例提供了一种身份认证方法，该方法应用于边缘节点服务器，参见图5，该方法具体包括以下步骤：

步骤401：边缘节点服务器接收目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，身份认证请求包括身份认证系统的标识信息。

边缘节点服务器若接收到由目标终端发送的针对目标应用的访问请求，访问请求包含目标应用的标识；若确定访问请求不包括身份凭证，则将目标终端重定向到目标应用对应的身份认证系统的访问地址，以使目标终端向身份认证系统的访问地址发送身份认证请求。

若确定访问请求包括身份凭证，则根据目标应用的标识，获取目标应用的应用配置信息；根据应用配置信息包括的访问权限控制策略对访问请求进行访问权限认证；若访问请求通过访问权限认证，获取与目标应用对应的目标连接器服务端的地址信息；根据目标连接器服务端的地址信息，转发访问请求至目标连接器服务端。

步骤402：边缘节点服务器根据身份认证系统的标识信息，确定与身份认证系统对应的连接器服务端的地址信息。

根据身份认证系统的标识信息，获取身份认证系统对应的认证配置信息，认证配置信息至少包括与身份认证系统关联的连接器客户端的标识信息。根据与身份认证系统关联的连接器客户端的标识信息，获取连接器客户端对应的连接器配置信息；从连接器配置信息中获取身份认证系统对应的连接器服务端的地址信息。

步骤403：边缘节点服务器根据连接器服务端的地址信息，转发身份认证请求至连接器服务端，以使连接器服务端根据与对应的目标连接器客户端之间的会话连接，转发身份认证请求至目标连接器客户端。

边缘节点服务器还接收连接器服务端发送的身份认证页面，身份认证页面是由身份认证系统根据身份认证请求反馈的；边缘节点服务器再发送身份认证页面给目标终端。

边缘节点服务器还接收目标终端发送的用户身份信息，用户身份信息是目标终端通过身份认证页面输入的；转发用户身份信息给连接器服务端；接收连接器服务端转发的身份认证系统对用户身份信息进行身份认证的认证结果，将认证结果发送给目标终端。

在本申请实施例中，边缘节点服务器确定访问请求中是否包含身份凭证，若不包含则将目标终端重定向到身份认证系统的访问地址，使目标终端必须先通过内网中目标应用对应的身份认证系统的身份认证才能访问目标应用。且利用边缘节点服务器进行访问权限的认证，消除了恶意攻击的风险。实现通过内网中的身份认证系统对用户进行身份认证，既不会将内网中的身份认证系统暴露于互联网中，又可以基于身份认证系统的身份认证功能将内网中的目标应用部署于互联网中。

本申请的一些实施例提供了一种身份认证方法，该方法应用于管理平台，参见图6，该方法具体包括以下步骤：

步骤501：管理平台生成目标应用对应的应用配置信息，应用配置信息包括目标应用的标识、回源地址、相关联的连接器客户端的标识信息、相关联的身份认证系统的标识信息、身份认证策略以及访问权限控制策略中的至少一种；身份认证系统的标识信息包括身份认证系统的域名、IP地址、端口中的至少一种。

步骤502：管理平台生成目标应用对应的身份认证系统的认证配置信息及域名记录，认证配置信息至少包括与身份认证系统关联的连接器客户端的标识信息；域名记录包括身份认证系统的地址信息与边缘节点服务器的IP地址之间的映射关系。

步骤503：管理平台发送目标应用的应用配置信息以及身份认证系统的认证配置信息。

步骤504：管理平台发送DNS服务器所需的身份认证系统的域名记录。

管理平台的具体操作细节均可参考上述任一实施例中管理平台的操作，在此不再赘述。

在本申请实施例中，管理平台中生成了目标应用的应用配置信息以及身份认证系统的认证配置信息及域名记录，将目标应用、连接器客户端以及身份认证系统相关联。实现通过内网中的身份认证系统对用户进行身份认证，既不会将内网中的身份认证系统暴露于互联网中，又可以基于身份认证系统的身份认证功能将内网中的目标应用部署于互联网中。

本申请实施例提供了一种身份认证系统，参见图1，该系统包括：边缘节点服务器、连接器服务端、管理平台和连接器客户端；

管理平台，用于生成目标应用的应用配置信息，以及生成目标应用对应的身份认证系统的认证配置信息及域名记录；发送目标应用的应用配置信息以及身份认证系统的认证配置信息，并发送DNS服务器所需的身份认证系统的域名记录；

边缘节点服务器，用于接收由目标终端发送的针对目标应用的访问请求，访问请求包含目标应用的标识；若确定访问请求不包括身份凭证，则将目标终端重定向到目标应用对应的身份认证系统的访问地址；以及，还用于接收目标终端发送的针对目标应用对应的身份认证系统的身份认证请求；并根据身份认证请求包含的身份认证系统的标识信息，将身份认证请求向对应的连接器服务端进行发送；

连接器服务端，用于接收边缘节点服务器发送的身份认证请求；根据在先建立的与连接器客户端的会话连接，将身份认证请求转发至对应的连接器客户端，并将连接器客户端转发的身份认证页面发送给边缘节点服务器；

连接器客户端，用于接收连接器服务端发送的身份认证请求，将身份认证请求转发至对应的身份认证系统，并将身份认证系统反馈的身份认证页面发送给连接器服务端。

在一示例性实施例中，会话连接为连接器客户端至连接器服务端的出站连接。

本申请的上述实施例提供的身份认证系统与本申请实施例提供的身份认证方法出于相同的发明构思，具有与其存储的应用程序所采用、运行或实现的方法相同的有益效果。

本申请实施例还提供一种身份认证装置，该装置用于执行上述任一实施例提供的身份认证方法中连接器客户端的操作。连接器客户端与至少一个目标应用对应的身份认证系统相关联，连接器客户端与至少一个连接器服务端之间建立有会话连接，会话连接为由连接器客户端至至少一个连接器服务端的出站连接。参见图7，该装置包括：

第一发送模块601，用于基于会话连接，若接收到由连接器服务端转发的由目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，将身份认证请求发送至身份认证系统；

第二发送模块602，用于将由身份认证系统反馈的身份认证页面发送给连接器服务端，身份认证页面用于供输入用户身份信息以完成身份认证。

该装置还包括：接收模块，用于基于会话连接，接收由连接器服务端转发的由目标终端发送的用户身份信息。

第一发送模块601，还用于将用户身份信息发送至身份认证系统，用户身份信息是目标终端通过身份认证页面输入的。

接收模块，还用于接收身份认证系统反馈的对用户身份信息的认证结果。

第二发送模块602，还用于将认证结果发送给连接器服务端，以使连接器服务端向目标终端反馈认证结果。

若用户身份信息通过身份认证，认证结果包括通过身份认证的身份凭证。

接收模块，还用于基于会话连接，接收由连接器服务端转发的由目标终端发送的针对目标应用的访问请求，访问请求包括身份凭证；将访问请求发送至目标应用。

第二发送模块602，还用于将从目标应用接收到的请求响应信息向连接器服务端进行发送。

本申请的上述实施例提供的身份认证装置与本申请实施例提供的身份认证方法出于相同的发明构思，具有与其存储的应用程序所采用、运行或实现的方法相同的有益效果。

本申请实施例还提供一种身份认证装置，该装置用于执行上述任一实施例提供的身份认证方法中连接器服务端的操作。连接器服务端与至少一个连接器客户端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述连接器服务端的出站连接，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联。参见图8，该装置包括：

第一接收模块701，用于接收由边缘节点服务器转发的由目标终端发送的针对目标应用对应的身份认证系统的身份认证请求。

第一确定模块702，用于确定与身份认证系统对应的目标连接器客户端。

第三发送模块703，用于根据与目标连接器客户端对应的会话连接，转发身份认证请求至目标连接器客户端。

第一接收模块701，还用于基于与目标连接器客户端对应的会话连接，接收目标连接器客户端转发的身份认证页面，身份认证页面是由身份认证系统根据身份认证请求反馈的，身份认证页面用于供输入用户身份信息以完成身份认证。

第三发送模块703，还用于将身份认证页面经由边缘节点服务器转发给目标终端。

第一接收模块701，还用于接收由边缘节点服务器转发的用户身份信息，用户身份信息由身份认证页面获得。

第三发送模块703，还用于根据与目标连接器客户端对应的会话连接，将用户身份信息发送给目标连接器客户端。

第一接收模块701，还用于接收目标连接器客户端转发的身份认证系统对用户身份信息的认证结果。

第三发送模块703，还用于将认证结果经由边缘节点服务器转发给目标终端。

第一接收模块701，还用于接收由边缘节点服务器转发的针对目标应用的访问请求。

第一确定模块702，还用于确定与目标应用对应的目标连接器客户端，访问请求包括根据通过身份认证的用户身份信息而生成的身份凭证。

第三发送模块703，还用于根据与目标连接器客户端对应的会话连接，转发访问请求至目标连接器客户端，以使目标连接器客户端将访问请求转发至目标应用。

本申请实施例还提供一种身份认证装置，该装置用于执行上述任一实施例提供的身份认证方法中边缘节点服务器的操作。参见图9，该装置包括：

第二接收模块801，用于接收目标终端发送的针对目标应用对应的身份认证系统的身份认证请求，身份认证请求包括身份认证系统的标识信息；

第二确定模块802，用于根据身份认证系统的标识信息，确定与身份认证系统对应的连接器服务端的地址信息；

第四发送模块803，用于根据连接器服务端的地址信息，转发身份认证请求至连接器服务端，以使连接器服务端根据与对应的目标连接器客户端之间的会话连接，转发身份认证请求至目标连接器客户端。

第二接收模块801，还用于接收由目标终端发送的针对目标应用的访问请求，访问请求包含目标应用的标识；

还包括重定向模块，用于若确定访问请求不包括身份凭证，则将目标终端重定向到目标应用对应的身份认证系统的访问地址，以使目标终端向身份认证系统的访问地址发送身份认证请求。

还包括获取模块，用于若确定访问请求包括身份凭证，则根据目标应用的标识，获取目标应用的应用配置信息；

访问权限认证模块，用于根据应用配置信息包括的访问权限控制策略对访问请求进行访问权限认证；

获取模块，还用于若访问请求通过访问权限认证，获取与目标应用对应的目标连接器服务端的地址信息；

第四发送模块803，还用于根据目标连接器服务端的地址信息，转发访问请求至目标连接器服务端。

第二确定模块802，具体用于根据身份认证系统的标识信息，获取身份认证系统对应的认证配置信息，认证配置信息至少包括与身份认证系统关联的连接器客户端的标识信息；根据与身份认证系统关联的连接器客户端的标识信息，获取连接器客户端对应的连接器配置信息；从连接器配置信息中获取身份认证系统对应的连接器服务端的地址信息。

第二接收模块801，还用于接收连接器服务端发送的身份认证页面，身份认证页面是由身份认证系统根据身份认证请求反馈的。

第四发送模块803，还用于发送身份认证页面给目标终端。

第二接收模块801，还用于接收目标终端发送的用户身份信息，用户身份信息是目标终端通过身份认证页面输入的。

第四发送模块803，还用于转发用户身份信息给连接器服务端。

第二接收模块801，还用于接收连接器服务端转发的身份认证系统对用户身份信息进行身份认证的认证结果。

第四发送模块803，还用于将认证结果发送给目标终端。

本申请实施例还提供一种身份认证装置，该装置用于执行上述任一实施例提供的身份认证方法中管理平台的操作。参见图10，该装置包括：

生成模块901，用于生成目标应用对应的应用配置信息，应用配置信息包括目标应用的标识、回源地址、相关联的连接器客户端的标识信息、相关联的身份认证系统的标识信息、身份认证策略以及访问权限控制策略中的至少一种；身份认证系统的标识信息包括身份认证系统的域名、IP地址、端口中的至少一种；生成目标应用对应的身份认证系统的认证配置信息及域名记录，认证配置信息至少包括与身份认证系统关联的连接器客户端的标识信息；域名记录包括身份认证系统的地址信息与边缘节点服务器的IP地址之间的映射关系。

第五发送模块902，用于发送目标应用的应用配置信息以及身份认证系统的认证配置信息；发送DNS服务器所需的身份认证系统的域名记录。

本申请实施方式还提供一种电子设备，以执行上述身份认证方法。请参考图11，其示出了本申请的一些实施方式所提供的一种电子设备的示意图。如图11所示，电子设备10包括：处理器1000，存储器1001，总线1002和通信接口1003，所述处理器1000、通信接口1003和存储器1001通过总线1002连接；所述存储器1001中存储有可在所述处理器1000上运行的计算机程序，所述处理器1000运行所述计算机程序时执行本申请前述任一实施方式所提供的身份认证方法。

其中，存储器1001可能包含高速随机存取存储器(RAM：Random Access Memory)，也可能还包括非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。通过至少一个通信接口1003(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网、广域网、本地网、城域网等。

总线1002可以是ISA总线、PCI总线或EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。其中，存储器1001用于存储程序，所述处理器1000在接收到执行指令后，执行所述程序，前述本申请实施例任一实施方式揭示的所述身份认证方法可以应用于处理器1000中，或者由处理器1000实现。

处理器1000可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器1000中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1000可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器1001，处理器1000读取存储器1001中的信息，结合其硬件完成上述方法的步骤。

本申请实施例提供的电子设备与本申请实施例提供的身份认证方法出于相同的发明构思，具有与其采用、运行或实现的方法相同的有益效果。

本申请实施方式还提供一种与前述实施方式所提供的身份认证方法对应的计算机可读存储介质，请参考图12，其示出的计算机可读存储介质为光盘30，其上存储有计算机程序(即程序产品)，所述计算机程序在被处理器运行时，会执行前述任意实施方式所提供的身份认证方法。

需要说明的是，所述计算机可读存储介质的例子还可以包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他光学、磁性存储介质，在此不再一一赘述。

本申请的上述实施例提供的计算机可读存储介质与本申请实施例提供的身份认证方法出于相同的发明构思，具有与其存储的应用程序所采用、运行或实现的方法相同的有益效果。

需要说明的是：

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本申请的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本申请并帮助理解各个发明方面中的一个或多个，在上面对本申请的示例性实施例的描述中，本申请的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下示意图：即所要求保护的本申请要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本申请的单独实施例。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本申请的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

以上所述，仅为本申请较佳的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims

1.一种身份认证方法，其特征在于，应用于连接器客户端，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，所述连接器客户端与至少一个连接器服务端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述至少一个连接器服务端的出站连接，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

基于所述会话连接，接收由连接器服务端转发的由目标终端发送的用户身份信息，将所述用户身份信息发送至所述身份认证系统，所述用户身份信息是目标终端通过所述身份认证页面输入的；

接收所述身份认证系统反馈的对所述用户身份信息的认证结果，将所述认证结果发送给所述连接器服务端，以使所述连接器服务端向所述目标终端反馈所述认证结果。

3.根据权利要求2所述的方法，其特征在于，若所述用户身份信息通过所述身份认证，所述认证结果包括通过身份认证的身份凭证；

在将所述认证结果发送给所述连接器服务端之后，还包括：

基于所述会话连接，接收由所述连接器服务端转发的由目标终端发送的针对所述目标应用的访问请求，所述访问请求包括所述身份凭证；

将所述访问请求发送至所述目标应用；

将从所述目标应用接收到的请求响应信息向所述连接器服务端进行发送。

4.一种身份认证方法，其特征在于，应用于连接器服务端，所述连接器服务端与至少一个连接器客户端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述连接器服务端的出站连接，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，包括：

确定与所述身份认证系统对应的目标连接器客户端；

5.根据权利要求4所述的方法，其特征在于，在所述转发所述身份认证请求至所述目标连接器客户端之后，还包括：

基于与所述目标连接器客户端对应的会话连接，接收所述目标连接器客户端转发的身份认证页面，所述身份认证页面是由所述身份认证系统根据所述身份认证请求反馈的，所述身份认证页面用于供输入用户身份信息以完成身份认证；

将所述身份认证页面经由所述边缘节点服务器转发给所述目标终端。

6.根据权利要求5所述的方法，其特征在于，在将所述身份认证页面经由所述边缘节点服务器转发给所述目标终端之后，还包括：

接收由所述边缘节点服务器转发的用户身份信息，所述用户身份信息由所述身份认证页面获得；

根据与所述目标连接器客户端对应的会话连接，将所述用户身份信息发送给所述目标连接器客户端；

接收所述目标连接器客户端转发的所述身份认证系统对所述用户身份信息的认证结果，将所述认证结果经由所述边缘节点服务器转发给所述目标终端。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

接收由所述边缘节点服务器转发的针对所述目标应用的访问请求，确定与所述目标应用对应的目标连接器客户端，所述访问请求包括根据通过身份认证的用户身份信息而生成的身份凭证；

根据与所述目标连接器客户端对应的会话连接，转发所述访问请求至所述目标连接器客户端，以使所述目标连接器客户端将所述访问请求转发至所述目标应用。

8.一种身份认证方法，其特征在于，应用于边缘节点服务器，包括：

9.根据权利要求8所述的方法，其特征在于，在所述接收目标终端发送的针对目标应用对应的身份认证系统的身份认证请求之前，还包括：

接收由所述目标终端发送的针对所述目标应用的访问请求，所述访问请求包含所述目标应用的标识；

若确定所述访问请求不包括身份凭证，则将所述目标终端重定向到所述目标应用对应的身份认证系统的访问地址，以使所述目标终端向所述身份认证系统的访问地址发送身份认证请求。

10.根据权利要求9所述的方法，其特征在于，所述方法还包括：

若确定所述访问请求包括身份凭证，则根据所述目标应用的标识，获取所述目标应用的应用配置信息；

根据所述应用配置信息包括的访问权限控制策略对所述访问请求进行访问权限认证；

若所述访问请求通过所述访问权限认证，获取与所述目标应用对应的目标连接器服务端的地址信息；

根据所述目标连接器服务端的地址信息，转发所述访问请求至所述目标连接器服务端。

11.根据权利要求8所述的方法，其特征在于，所述根据所述身份认证系统的标识信息，确定与所述身份认证系统对应的连接器服务端的地址信息，包括：

根据所述身份认证系统的标识信息，获取所述身份认证系统对应的认证配置信息，所述认证配置信息至少包括与所述身份认证系统关联的连接器客户端的标识信息；

根据与所述身份认证系统关联的连接器客户端的标识信息，获取所述连接器客户端对应的连接器配置信息；

从所述连接器配置信息中获取所述身份认证系统对应的连接器服务端的地址信息。

12.根据权利要求8所述的方法，其特征在于，所述方法还包括：

接收所述连接器服务端发送的身份认证页面，所述身份认证页面是由所述身份认证系统根据所述身份认证请求反馈的；

发送所述身份认证页面给所述目标终端。

13.根据权利要求12所述的方法，其特征在于，在所述发送所述身份认证页面给所述目标终端之后，还包括：

接收所述目标终端发送的用户身份信息，所述用户身份信息是所述目标终端通过所述身份认证页面输入的；

转发所述用户身份信息给所述连接器服务端；

接收所述连接器服务端转发的所述身份认证系统对所述用户身份信息进行身份认证的认证结果，将所述认证结果发送给所述目标终端。

14.一种身份认证方法，其特征在于，应用于管理平台，包括：

发送DNS服务器所需的所述身份认证系统的域名记录。

15.一种身份认证系统，其特征在于，包括：管理平台、边缘节点服务器、连接器服务端和连接器客户端，其中：

16.一种身份认证装置，其特征在于，应用于连接器客户端，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，所述连接器客户端与至少一个连接器服务端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述至少一个连接器服务端的出站连接，包括：

17.一种身份认证装置，其特征在于，应用于连接器服务端，所述连接器服务端与至少一个连接器客户端之间建立有会话连接，所述会话连接为由所述连接器客户端至所述连接器服务端的出站连接，所述连接器客户端与至少一个目标应用对应的身份认证系统相关联，包括：

18.一种身份认证装置，其特征在于，应用于边缘节点服务器，包括：

19.一种身份认证装置，其特征在于，应用于管理平台，包括：

20.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器运行所述计算机程序以实现如权利要求1-14任一项所述的方法。

21.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行实现如权利要求1-14中任一项所述的方法。