JP2018521431A - 管理されていない非セキュア・デバイス上でのリソース・アクセスおよび配置のためのセキュア・コンテナ・プラットフォーム - Google Patents

管理されていない非セキュア・デバイス上でのリソース・アクセスおよび配置のためのセキュア・コンテナ・プラットフォーム Download PDF

Info

Publication number
JP2018521431A
JP2018521431A JP2018510327A JP2018510327A JP2018521431A JP 2018521431 A JP2018521431 A JP 2018521431A JP 2018510327 A JP2018510327 A JP 2018510327A JP 2018510327 A JP2018510327 A JP 2018510327A JP 2018521431 A JP2018521431 A JP 2018521431A
Authority
JP
Japan
Prior art keywords
computing device
user interface
user
services
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2018510327A
Other languages
English (en)
Inventor
ノーマン，タイラー
ピジ，アンソニー
ミルスタイン，ユリ
カネフスキー，ポール
メリコフ，アンドリュー
Original Assignee
アプブス・インコーポレーテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by アプブス・インコーポレーテッド filed Critical アプブス・インコーポレーテッド
Publication of JP2018521431A publication Critical patent/JP2018521431A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/629—Protecting access to data via a platform, e.g. using keys or access control rules to features or functions of an application
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/451—Execution arrangements for user interfaces
    • G06F9/452—Remote windowing, e.g. X-Window System, desktop virtualisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Human Computer Interaction (AREA)
  • Information Transfer Between Computers (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

第１コンピューティング・デバイスは、他のコンピューティング・デバイスが提供するサービスにアクセスするためにサービス・アクセス要求を受ける。第１コンピューティング・デバイスは、サービス・アクセス要求を他のコンピューティング・デバイスに転送する。第１コンピューティング・デバイスは、他のコンピューティング・デバイスからユーザ・インタフェース構成ファイルを受け、第２コンピューティング・デバイスによって実行されると、第２コンピューティング・デバイスによる、サービスへのアクセスを提供するユーザ・インタフェースの表示を可能にする。第１コンピューティング・デバイスは、サービスへの選択的アクセスを提供するために、ユーザ認証特性に基づきユーザ・インタフェース構成ファイルを修正する。第１コンピューティング・デバイスは、修正ユーザ・インタフェース構成ファイルを第２コンピューティング・デバイスに送り、第２コンピューティング・デバイスによって実行されると、第２コンピューティング・デバイスが、サービスへの選択的アクセスを提供する、修正ユーザ・インタフェースの表示を可能にする。
【選択図】図１

Description

関連出願についての相互参照
[0002] 本出願は、「マルチ・フォーム・ファクタ制御プレーン(MULTI FORM FACTOR CONTROL PLANE)」と題される２０１５年５月７日付けの米国仮特許出願62/158,337号の優先権を主張し、本明細書での参照によりその全体が組み入れられるものである。
[0003] 本発明は、全般的に、コンピュータ・ネットワークを介したリソースへの遠隔アクセスに関し、より具体的には、コンピュータ・ネットワークを介したリソースへの遠隔アクセスを提供するための方法およびシステムに関するものである。
従来技術
[0004] 全てとは言わないが、ほとんどの会社は、今日、コンピュータ・ネットワークを実装してコンピューティング・サービスへのアクセスを提供する。これらサービスに接続するために、会社の従業員は、通常、コンピュータ・ネットワーク内で接続することが求められるか、或いは、外部に接続する場合には、仮想プライベート・ネットワークを確立することが求められる。また、会社の従業員は、コンピューティング・サービスをホストする会社サーバと同一のオペレーティング・システムを実行するデバイスを使用することが求められる。
[0005] 会社の従業員は、信頼性がなく非セキュアな環境内にある信頼性がなく非セキュアなデバイスから、会社ネットワーク内でのみ通常は利用可能となるアプリケーションおよびビジネスのデータにアクセスすることを要求する。例えば、会社の従業員は、パーソナル・ラップトップ、タブレット、またはスマートフォン上で操作して、会社の電子メールまたは文書管理システムにアクセスを行うことを望むことがある。時間の経過と共に、多くの種類のエンド・ユーザのコンピューティングおよび通信が、消費者エコシステムおよびマーケットプレイスの一部となっている。オペレーティング・システムや多数フォーム・ファクタのハードウェア上の違いを含む広範囲のバリュエーションを含む多くのユーザ・デバイス種別が存在し、異なるハードウェアおよび／またはソフトウェアの機能を受け入れている。このことは、広範囲のターゲット・デバイスを提供し、そのために、新たな種別の性能が求められている。通常の企業では、多くの機構（例えば、ＣＲＭ、管理システム、メール、ｗｅｂベース、デバイス専用アプリケーション等）によって使用される従来のアプリケーションが幅広く混ざっており、エンド・ユーザのために、一般にＢｒｉｎｇ Ｙｏｕｒ Ｏｗｎ Ｄｅｖｉｃｅ（ＢＹＯＤ）と称される彼らの好みのデバイスに応じてデプロイまたは最適化することができていない。
[0006] このことは、それらデバイスの所有者が該デバイス上でそれらアプリケーションを利用する能力を損なわせるというシナリオを生じさせる。また、これらユーザが彼らの業務上の任務を遂行するのにアクセスを必要とするアプリケーションは、文脈上、彼らの業務を効果的かつ効率的に遂行するように、ユーザの能力を高めるように共に動作することができない。それらアプリケーションは、如何なるデバイス上でもリアルタイムに、アプリケーションおよび機構データ並びに処理を共有する性能を有することを必要としている。
[0007] 一実施形態には、カスタマイズされたグラフィカル・ユーザ・インタフェースを選択的に提供する方法がある。本方法は、第１コンピューティング・デバイスによる、第３コンピューティング・デバイスによって提供される１つ以上のサービスにアクセスするために、サービス・アクセスの要求を第２コンピューティング・デバイスから受け取るステップであって、当該要求が第２コンピューティング・デバイスのユーザの認証特性を含む、ステップと、サービス・アクセス要求を第３コンピューティング・デバイスに転送するステップと、ユーザ・インタフェース構成ファイルを第３コンピューティング・デバイスから受け取るステップであって、当該ユーザ・インタフェース構成ファイルは、第２コンピューティング・デバイスが１つ以上のサービスへのアクセスを提供するユーザ・インタフェースを表示するのを可能にするように、第２コンピューティング・デバイスによって実行されるように構成される、ステップと、１つ以上のサービスへの選択的なアクセスを提供するために、ユーザ認証特性に基づいてユーザ・インタフェース構成ファイルを修正するステップと、修正されたユーザ・インタフェース構成ファイルを第２コンピューティング・デバイスに送信するステップであって、第２コンピューティング・デバイスによって、１つ以上のサービスへの選択的なアクセスを提供する、修正されたユーザ・インタフェースを表示することを可能にするように、修正されたユーザ・インタフェース構成ファイルが、第２コンピューティング・デバイスによって実行されるように構成される、ステップと、を含む。
[0008] 更なる実施形態では、第２コンピューティング・デバイスはクライアント・デバイスであり、第３コンピューティング・デバイスは仮想デスクトップ・インフラストラクチャ・サーバである。
[0009] 更なる実施形態では、上記要求が第２コンピューティング・デバイスのコンピューティング・デバイス特性を含み、当該方法が、更に、第２コンピューティング・デバイスのコンピューティング・デバイス特性に基づいてユーザ・インタフェース構成ファイルを修正するステップを含む。
[0010] 更なる実施形態では、上記コンピューティング・デバイス特性は、ｉ）第２コンピューティング・デバイスのオペレーティング・システム、およびｉｉ）第２コンピューティング・デバイスの表示スクリーン・フォーム・ファクタ特性の内少なくとも１つを含む。
[0011] 更なる実施形態では、第１コンピューティング・デバイスはサービス・アクセス要求を受け取り、セキュア・ハイパーテキスト・トランスファ・プロトコル（ＨＴＴＰＳ）を使用して、修正されたユーザ・インタフェース構成ファイルを第２コンピューティング・デバイスに送信する。
[0012] 更なる実施形態では、本方法は、更に、セキュア・コンテナを使用する第２コンピューティング・デバイスにおいて、１つ以上のサービスに選択的なアクセスを提供する、上記修正されたユーザ・インタフェースを表示するステップを含む。
[0013] 更なる実施形態では、本方法は、更に、第２コンピューティング・デバイスのローカル・ストレージにおいて、上記修正されたユーザ・インタフェースを介してユーザによって提供されたデータを格納するステップと、第２コンピューティング・デバイスのローカル・ストレージにおいて、上記修正されたユーザ・インタフェースを介してユーザによって要求されたデータにアクセスするステップと、を含み、ローカル・ストレージが暗号化される。
[0014] 更なる実施形態では、本方法は、更に、第２コンピューティング・デバイスにおいてローカル・アプリケーション・ユーザ・インタフェースを表示するアプリケーションを実行するステップと、セキュア・コンテナを使用する第２コンピューティング・デバイスにおいてローカル・アプリケーション・ユーザ・インタフェースを表示するステップと、を含む。
[0015] 更なる実施形態では、本方法は、更に、第２コンピューティング・デバイスのローカル・ストレージにおいて、ローカル・アプリケーション・ユーザ・インタフェースを介してユーザによって提供されたデータを格納するステップと、第２コンピューティング・デバイスのローカル・ストレージにおいて、ローカル・アプリケーション・ユーザ・インタフェースを介してユーザによって要求されたデータにアクセスするステップと、を含み、ローカル・ストレージが暗号化される。
[0016] 更なる実施形態では、上記１つ以上のサービスに選択的なアクセスを提供することが、ｉ）１つ以上のサービスの特徴へのアクセスを制限することと、ｉｉ）１つ以上のサービスの内少なくとも１つのサービスへのアクセスを制限することと、の内少なくとも一方を含む。
[0017] 更なる実施形態では、本方法は、更に、暗号化されたセッション・キーを第２コンピューティング・デバイスに提供することによって、第１コンピューティング・デバイスと第２コンピューティング・デバイスの間に、暗号化されたセッションを誘起するステップを含み、暗号化されたセッション・キーは、暗号化されたセッションに一意である。
[0018] 更なる実施形態では、本方法は、更に、暗号化されたセッション・キーを使用する第２コンピューティング・デバイスのローカル・ストレージにおいて、修正されたユーザ・インタフェースを介してユーザによって提供されるデータを格納するステップと、暗号化されたセッション・キーを使用する第２コンピューティング・デバイスのローカル・ストレージにおいて、修正されたユーザ・インタフェースを介してユーザによって要求されるデータにアクセスするステップと、を含む。
[0019] 更なる実施形態では、本方法は、更に、暗号化されたセッションの中断に応じて、暗号化されたセッション・キーを削除するステップを含む。
[0020] 一実施形態には、コンピュータ実行可能命令を格納して有する非一時的コンピュータ可読ストレージ媒体があり、コンピュータ実行可能命令が第１コンピューティング・デバイスのプロセッサによって実行されると、上述した実施形態の何れかのステップを実行する。
[0021] 一実施形態にはシステムがある。当該システムは、第１コンピューティング・デバイスにおいて、少なくとも１つのプログラムを格納するようにそれぞれが動作可能な１つ以上のメモリ・ユニットと、１つ以上のメモリ・ユニットに通信により結合される少なくとも１つのプロセッサであって、少なくとも１つのプロセッサによって少なくとも１つのプログラムが実行されると、当該少なくとも１つのプロセッサに、上述した実施形態のステップを実行させる、少なくとも１つのプロセッサと、を備える。
[0022] 上述した概要は、本発明の実施形態における後述する詳細な説明と同様に、例示の実施形態についての添付の図面に関連して読み取るときにより良く理解されるであろう。しかしながら、本発明は、図示した正確な配置および手段に限定されないことが理解されるべきである。
図１は、１つ以上の実施形態により、非セキュアかつ信頼性のないユーザ・デバイスにおいてコンテナ・ベースの管理を容易にするように構成される例示のシステムのブロックである。 図２は、本発明の少なくとも幾らかの実施形態により、内部ネットワーク（例えば、イントラネット）内のユーザ・デバイス（例えば、エッジ・デバイス）をセキュア化するように構成される例示のシステムのブロック図である。 図３は、本発明の１つ以上の実施形態により、ネットワーク・サービスから取得したセッション・キーに基づいてユーザ・デバイスにおけるコンテナ・ベースの管理のためのプロビジョニングを容易にするための例示の処理のフローチャートである。 図４は、本発明の少なくとも１つの実施形態により、ユーザ・デバイスをプロビジョニングする処理のフローチャートである。 図５は、本発明の１つ以上の実施形態により、例示のユーザ・デバイス（例えば、非セキュアかつ信頼性のないデバイス）上のデータ・ストレージ・アーキテクチャの概要図である。 図６は、本発明の１つ以上の実施形態による、例示のユーザ・デバイス上のネットワーク・セキュリティ・アーキテクチャの概要図である。 図７は、本発明の１つ以上の実施形態により、デバイス・ストレージのセキュリティについて、信頼性がない非セキュアなエッジ・デバイス上でセキュア・ネットワーク・リソースの認証をどのようにして管理するかについての概要図である。 図８Ａは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図８Ｂは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図８Ｃは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図８Ｄは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図８Ｅは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図８Ｆは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図８Ｇは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図８Ｈは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。 図９は、本発明の１つ以上の実施形態により、カスタマイズされたグラフィカル・ユーザ・インタフェースをユーザ・デバイスに選択的に提供する方法のフローチャートである。
[0033] 本発明の少なくとも幾らかの実施形態の目的は、ユーザ（例えば、会社の従業員）に対して、彼らのパーソナル・デバイスのためのユーザ・フレンドリな動作環境を提供すると共に、既存のアプリケーションまたは会社のエンタープライズ・システムに非侵襲の統合(non-invasive integration)を提供することである。これら実施形態では、企業（例えば、保険会社、銀行、証券会社、病院、小売、および／または他の企業）は、数多くの異なるチャネルを通じて、それらの顧客の全て（例えば、従業員、契約者、独立代理人、顧客、従業員、および異なるチャネル等）に対して、アプリケーション、データ、サービス、および機能性を提供することによって、競争力のある技術的利点を構築することができる。異なるチャネルの数は、しばしば、ＰＣＩ、ＨＩＰＡＡ、および他のデータ・セキュリティ規格をカバーするカテゴリにおける非常に機密性の高い顧客および財務データをセキュア化および保護するという責務によって最小化される。ユーザがそれらパーソナル・デバイスを利用するのを可能とすることにより、生産性およびユーザ満足度を改善することができる。これらの実施形態では、デバイスが機密情報を保護する性能を有するのを確実にするセキュリティのレベルを維持することは、デバイスが紛失され、盗難され、または破壊されることがある場合でも、企業側の責務である。
[0034] 図面を詳細に参照する。図面を通じて、同じ符号は同じ要素を示している。図１から図９までがあり、これらは、本発明の幾らかの実施形態により、非セキュア・デバイス上で遠隔アプリケーションへのアクセスを提供するシステムおよび方法である。
[0035] システム機能性
[0036] 図１は、１つ以上の実施形態により、非セキュアで信頼性のないユーザ・デバイスにおいてコンテナ・ベースの管理を容易にするように構成される例示のシステムのブロック図である。
[0037] 幾らかの実施形態では、システム１００は、１つ以上の企業サービス１．２０−１．８０を含む。企業サービス１．２０−１．８０のそれぞれは、他のデバイス（例えば、ユーザ・デバイス１．１）に提供される１つ以上のサービスを実装するために、コンピュータ・アプリケーションを実行する。幾らかの実施形態では、企業サービス１．２０−１．８０は、グラフィカル・ユーザ・インタフェース（ＧＵＩ）構成ファイルを他のデバイスに提供する。ＧＵＩ構成ファイルは、実行される場合に他のデバイス上にＧＵＩを表示する。
[0038] 企業サービスの一例には、仮想デスクトップ・インフラストラクチャ（ＶＤＩ）サーバ１．２０がある。ＶＤＩサーバ１．２０は、他の装置に対し、ＶＤＩサーバ１．２０上でホストされる仮想デスクトップへの遠隔アクセスを提供する。これらの実施形態では、ＶＤＩサーバ１．２０は、仮想デスクトップとして他のデバイス上に表示するためのＧＵＩ構成ファイルを生成する。幾らかの実施形態では、仮想デスクトップは、１つ以上の企業サービス１．３０−１．６０によって提供される１つ以上のサービスへのアクセスを提供する。幾らか実施形態では、ＶＤＩサーバ１．２０は、全てのアクティブなユーザ・デバイスに対するＶＤＩセッション割り当てを管理するＶＤＩプール・マネージャを含み、ログイン時の最善性能を確実にすると共に、企業アプリケーションを他のデバイスにデリバリする。
[0039] 企業サービスの他の例には、ユーザ・ディレクトリ１．３０、メール・サービス１．４０、第２ファクタ・サーバ１．５０、シェアポイント・サーバ１．６０、ファイル・サーバ１．７０、およびアプリケーション・サーバ１．８０が含まれる。ユーザ・ディレクトリ１．３０は、企業サービスの異なるユーザのためのディレクトリ・データを格納し、ユーザ・ログオン処理、認証、およびディレクトリ検索を含んだ、ユーザとサービスの間の通信を管理する。メール・サービス１．４０は、ユーザから出入りする（incoming and outgoing）電子メールを受信および処理する。第２ファクタ・サーバ１．５０は認証を実行する。シェアポイント・サーバ１．６０は、構成管理アプリケーションをホストする。ファイル・サーバ１．７０は、他のデバイスによる共有ストレージ・アクセスのためにストレージ場所を提供する。アプリケーション・サーバ１．８０は、インターネット・ベースのアプリケーションを実行するサーバ環境を提供する。
[0040] 幾らかの実施形態では、システム１００は、１つ以上のユーザ・デバイス１１（例えば、エッジ・デバイス）を含む。幾らかの実施形態では、ユーザ・デバイス１．１は、ＶＤＩサーバ１．２０によって提供される仮想デスクトップにアクセスし、および／または企業サービス（例えば、企業サービス１．３０−１．６０）によって提供される１つ以上のサービス若しくはデータ（例えば、ストリーミング・ビデオ、イメージ、マルチメディア）にアクセスする。ユーザ・デバイス１．１は、１つ以上の企業サービス（１．２０−１．８０）（例えば、仮想デスクトップ）からのデータをユーザに表示するディスプレイを含む。ユーザ・デバイス１１の例には、ラップトップ、タブレット、スマートフォン、およびパーソナル・コンピュータが含まれる。幾らかの実施形態では、ユーザ・デバイス１１の少なくとも幾らかは、同一のオペレーティング・システム（例えば、ＷＩＮＤＯＷＳ、ｉＯＳ）または異なるオペレーティング・システムを実行する。
[0041] 幾らかの実施形態では、ユーザ・デバイス１．１は、ローカルに実行されるコンテナを含み、仮想デスクトップにアクセスおよび表示することができる。本明細書では、コンテナは、ユーザ・デバイス１．１によって実行されると、ユーザ・デバイス１．１のディスプレイ上にユーザ・インタフェースをレンダリングするために、ＧＵＩ構成ファイル（例えば、ＸＭＬファイル）を処理するアプリケーションとしてよい。
[0042] ユーザがどのようにコンテナの機能性を利用するかに関する多くの例がある。一例では、会社の従業員は、会社リソースへのアクセスを必要とすることがある。会社リソースには、電子メール、カレンダ、連絡、文書、イントラネット・サイト、パーソナル・デバイス（即ち、ユーザ・デバイス１．１）からの研修教材を含み、上記パーソナル・デバイスには、これに限定されないが、ＩＰＡＤ（登録商標）、ＷＩＮＤＯＷＳ（登録商標）のラップトップ、ＡＮＤＲＯＩＤ（登録商標）のスマートフォン、またはＭＡＣ（登録商標）のノートブックが含まれる。一実装態様では、当該従業員は、ユーザ・デバイス１．１においてサポート済みの何れかのプラットフォーム上にコンテナをインストールおよびダウンロードすることになる。従業員は、次いで、適切な会社の証明書を提供することによって権限が付与された会社リソースへのアクセスを得ることになる。一旦インストールされると、ユーザ・デバイス１．１上のコンテナは、全てのセキュリティおよびポリシ施行機能を、会社ポリシ・サーバによって構成される配置および相互作用モデルと同様に管理する。コンテナは、また、セキュリティ分離(isolation)レイヤを実装する。セキュリティ分離レイヤは、コンテナおよびユーザ・デバイス１．１の内部で起動する全ての会社アプリケーション間で施行される。分離は、全てのストレージ・アクセスに対して施行される。その結果、コンテナによって提供されるセキュア且つ暗号化されたストアに対する会社アプリケーションからの全ての要求を遮断およびリダイレクトすることができる。このことは、当該アプリケーションによって生成される全てのネットワーク要求でも同様であり、その結果、会社アプリケーションと適切な会社サーバの間の全てのネットワーク通信を、該会社サーバが会社ファイアウォール内部にあるか外部にあるかに拘わらずセキュア化および暗号化することができる。
[0043] コンテナは、更に、ナビゲーション機能性を、多数アプリケーション・ビューア・アーキタイプと同様に含み、会社の従業員によって必要とされる複数のアプリケーションをサポートする。アーキタイプの例には、セキュアに管理されたｗｅｂブラウザ、仮想化されたＷＩＮＤＯＷＳ（登録商標）アプリケーション、セキュアＲＳＳリーダ、オフライン機能を有するセキュア文書ビューア、およびユーザ・デバイス１．１上で起動するように作成されるデバイス・ネイティブ・アプリケーション用のコントローラが含まれる。ナビゲーション機能およびビューア・アーキタイプは、サードパーティのコンテンツ・プロバイダ（例えば、一般公開されているｗｅｂサイト）と同様に、異なる企業サービス１．２０−１．８０によって提供される異なる種別のアプリケーション間で、ユーザがシームレスにアクセスしナビゲートするのを可能にする。
[0044] 幾らかの実施形態では、システム１００はセキュア・ゲートウェイ１．８を含む。セキュア・ゲートウェイ１．８は、１つ以上のサービス１．２０−１．８０にアクセスするユーザを検証および認証する。この機能性は更に、図３および図４に示される。
[0045] 幾らかの実施形態では、システム１００は、プラットフォーム・サービス・コンポーネント１．１２を含む。プラットフォーム・サービス・コンポーネント１．１２は、ユーザ・デバイス１．１上の１つ以上のサービス１．２０−１．８０の機能を修正する。その結果、１つ以上のサービス１．２０−１．８０をより多数のデバイスに提供することができ、また、より多数のユーザによってアクセスされることができる。これらの実施形態では、プラットフォーム・サービス・コンポーネント１．１２は、グラフィカル・ユーザ・インタフェース（ＧＵＩ）構成ファイルで特定されるＧＵＩ特性を修正して、ユーザ・デバイス１．１上のグラフィカル・ユーザ・インタフェースの表示を改善する。
[0046] 本明細書で説明するプラットフォーム・サービス・コンポーネント１．１２の実施形態の何れをも実装することによって、数多くの異なる利点が実現される。例えば、ＧＵＩ構成ファイルを修正することによって、第１デバイスの種別について企業向けに記述されるカスタム・アプリケーションは、（第１デバイス種別とは異なる）第２デバイス種別のコンテナ内部に「ラップ」して、カスタム・アプリケーションのＧＵＩを表示することができる。
[0047] プラットフォーム・サービス・コンポーネント１．１２は、ユーザのユーザ認証特性およびデバイス特性を含んだ、数多くの異なるファクタについてのＧＵＩ構成ファイルを修正する。
[0048] ユーザ認証特性に関し、幾らかの実施形態では、プラットフォーム・サービス・コンポーネント１．１２は、ユーザ認証特性に基づいて、１つ以上のサービス１．２０−１．８０または１つ以上のサービス１．２０−１．８０の内１つ以上の特徴へのアクセスを制限する。例えば、第１ユーザは、１つ以上のサービス１．２０−１．８０の全てにアクセスする全ての権限(full privilege)を有するが、第２ユーザは、アクセス・サービス１．２０への権限を有するのみとしてもよい。これら実施形態では、プラットフォーム・サービス・コンポーネント１．１２は、１第１ユーザおよび第２ユーザのユーザ認証特性を評価する。プラットフォーム・サービス・コンポーネント１．１２は、次いで、１つ以上のサービス１．２０−１．８０に対し、第１ユーザによるフル・アクセスを提供する一方で、この評価結果に基づいて１つ以上のサービス１．３０−１．８０に対する第２ユーザによるアクセスを制限する。
[0049] デバイス特性に関し、幾らかの実施形態では、ユーザ・デバイス１．１は、１つ以上の企業サービス１．２０−１．８０（例えば、ＶＤＩサーバ１．２０）によって提供されるＧＵＩ構成ファイルで特定されるＧＵＩ特性と比較して、異なるグラフィカル・ユーザ・インタフェース特性を有する。これらの実施形態では、プラットフォーム・サービス・コンポーネント１．１２は、ユーザ・デバイス１．１上でより良好なＧＵＩをレンダリングするのを容易にするために、デバイス特性に基づいて１つ以上のサービス１．２０−１．８０からのＧＵＩ構成ファイルで特定されるＧＵＩ特性を修正する。
[0050] 幾らかの実施形態では、システム１００は、１つ以上のファイアウォールを含むことができる。例えば、システム１００は、ユーザ・デバイス１．１とセキュア・ゲートウェイ１．８の間に位置するファイアウォール１．４、セキュア・ゲートウェイ１．８とプラットフォーム・サービス・コンポーネント１．１２の間に位置するファイアウォール１．１０、また、プラットフォーム・サービス・コンポーネント１．１２と企業サービス１．２０−１．８０の間に位置するファイアウォール１．１６を含んでもよい。ファイアウォール１．４、１．１０、および１．１６の各々は、会社のネットワークへのアクセスにおいえレイヤが異なることを表す。例えば、ファイアウォール１．４は、外部の会社ネットワークから内部の会社ネットワークにおける非武装地帯（ＤＭＺ）へのアクセスを表す。ファイアウォール１．１０は、非武装地帯（ＤＭＺ）から内部の会社ネットワークへのアクセスを表す。ファイアウォール１．１６は、内部の会社ネットワークから企業サービス１．２０−１．８０へのアクセスを表す。
[0051] 幾らかの実施形態では、システム１００のコンポーネントは、セキュア・ハイパーテキスト・トランスファ・プロトコル（ＨＴＴＰＳ）トンネルを用いて相互間(to and from)でデータを送受信する。セキュア・トンネルは、通信チャネルを確立するために、企業認証および権限付与システム(Enterprise Authentication and Entitlement systems)を導入する。幾らかの実施形態では、システム１００は、クライアント・サイド証明書およびサーバーサイド証明書を使用して、トラフィック遮断および「中間者(Man in the Middle)」攻撃のリスクを取り除くようピンする(pin)。幾らかの実施形態では、ユーザ・デバイス１．１においてコンテナ内部で起動するｗｅｂベースおよびネイティブ・アプリケーションからのセキュアおよび非セキュアな要求は、セキュアＨＴＴＰＳトンネルを通じて遮断されルーティングされる。幾らかの実施形態では、ユーザ・デバイス１．１は、暗号化認証トークン（Ｏ Ａｕｔｈ２）をあらゆるデータ要求にアタッチして、要求の真正性(authenticity)を検証する(validate)。システム１００のコンポーネントがシステム１００の内部および外部のリソースへのアクセス、或いはシステム１００の内部および外部のコンポーネント間でのデータの送信を試行するときに、セキュア・ゲートウェイ１．８は、企業規則および制限を施行する。幾らかの実施形態では、システム１００は、リソース・ホワイトリストの使用を通じて、付加的なレベルの制御を提供する。幾らかの実施形態では、セキュア・ゲートウェイ１．８は、アプリケーションおよびデータ・チャネルのアイドル・タイムアウトを誘起して、ユーザ・デバイス１．１と企業サービス１．２０−１．８０の間の非管理(unattended)のセッションが自動的に終了されることになるのを確実にする。
[0052] 幾らかの実施形態では、システム１００は、複数のユーザ・デバイス１．１上にインストールされた一組のセキュア且つ中央管理型のコンテナ・アプリケーションを介してアクセス可能とする企業ネットワーク内で、セキュアにサポートするインフラストラクチャを提供する。これらの実施形態では、データ漏洩または情報損失のリスクを負うことなく、ユーザは、潜在的に信頼性のないデバイスから会社リソース（例えば、会社データおよびアプリケーション）にアクセスして使用する。これらの実施形態では、会社ネットワーク・サーバは、リソースの配置を管理して、様々な会社ポリシを施行する。会社ポリシの例には、権限付与、認証、セッション管理、ワーク・フロー統合、データ保護、およびリソース許可等が含まれる。幾らかの実施形態では、システム１００は、既存の会社証明書システムを使用してユーザ・デバイス１．１のユーザを認証することによって、会社ポリシを企業ネットワークに適用する。これらの実施形態では、ユーザ証明書は収集され、会社認証システムにセキュアに通過される。ユーザ認証が成立した場合、システム１００は、以前は信頼性がなかったユーザ・デバイス１．１に対し、会社イントラネット・リソースへのアクセスを提供する。認証の後に、セキュア・ゲートウェイ１．８およびプラットフォーム・サービス・コンポーネント１．１２は、コンテナ・ポリシ施行システムを通じた構成ポリシを施行するために、認証および接続されたユーザ・デバイス１．１のユーザに固有のポリシおよび配置構成を抽出する。
[0053] 幾らかの実施形態では、システム１００は、ユーザを代理して会社企業サービス・サーバ１．２０−１．８０との接続を確立することによって、信頼性のないユーザ・デバイス１．１から、会社の電子メール、カレンダ、連絡、ファイル共有および文書管理リソースを含む会社リソースへのセキュアなアクセスを提供する。幾らかの実施形態では、ユーザ・デバイス１．１上のコンテナは、会社ネットワークから抽出される全ての会社情報に対し、暗号化およびセキュア化を施行する。幾らかの実施形態では、ユーザ・デバイス１．１上のコンテナはまた、（例えば、損失により、従業員が終了したことにより、または権限の喪失により）ユーザ・デバイス１．１が脆弱な場合に、ユーザ・デバイス１．１から当該情報を遠隔消去するオートメーション化した管理システムを提供する。
[0054] 幾らかの実施形態では、ユーザ・デバイス１．１は、次のとおり、データを企業サービス１．２０−１．８０と交換する。最初に、ユーザ・デバイス１．１は、公衆ネットワーク・ファイアウォール１．４を通じて要求をセキュア・ゲートウェイ１．８に送る。セキュア・ゲートウェイ１．８は、サービス要求を内向きのファイアウォール１．１０を通してプラットフォーム・サービス・コンポーネント１．１２に転送する。次いで、要求は、分離したファイアウォール１．１６（任意）を通じて既存の企業サービス１．２０−１．８０に転送される。幾らかの実施形態では、要求のフローは、要求されている企業サービスとは関係なく同一である。この例は、企業のグリーン・ゾーンへの公衆アクセスを表している。これら実施形態では、ユーザ・デバイス１．１は、商用ブロードバンド・プロバイダを使用してインターネットに接続される。ユーザ・デバイス１．１は、セキュアｈｔｔｐｓセッションを通じて企業のＤＭＺに接続して、要求を送信する。次いで、要求は、グリーン・ゾーンに向けてセキュア・ゲートウェイ１．８を通り、プラットフォーム・サービス・コンポーネント１．１２への他のセキュアｈｔｔｐｓセッションを使用して、ファイアウォール１．１０を通って転送される。プラットフォーム・サービス・コンポーネント１．１２のコネクタは、グリーン・ゾーン内の既存の企業サービス１．２０−１．８０の機能性をプラットフォーム・サービスコンポーネント１．１２に接続する。この接続は、アプリケーション・サーバ１．８０、ファイル・サーバ１．７０、文書サーバ１．６０、第２ファクタ認証サーバ１．５０、メール・サーバ１．４０、およびアクティブ・ディレクトリ１．３０等、および仮想Ｗｉｎｄｏｗｓセッション１．２０へのアクセスを含む。
[0055] 図２は、本発明の少なくとも幾らかの実施形態により、内部ネットワーク（例えば、イントラネット）内にあるユーザ・デバイス（例えば、エッジ・デバイス）をセキュア化するように構成される例示のシステムのブロック図である。これらの実施形態では、システム１００は、例えば、会社の内部にあるデバイスのセキュア化を可能にする。これらの実施形態では、ユーザは、内部ユーザ・デバイス１．１によって、イントラネット上でオプションの分離ファイアウォール１．４を通って接続している。ユーザ・デバイス１．１は、ユーザからの要求を、プラットフォーム・サービス・コンポーネント２．１２に送信する。これらの実施形態では、プラットフォーム・サービス・コンポーネント２．１２は、また、１つのデバイス上に、（図１に示した）セキュア・ゲートウェイおよび（図１に示した）プラットフォーム・サービス・コンポーネントを組み込む。プラットフォーム・サービス・コンポーネント２．１２は、グリーン・ゾーン内の既存の企業サービス１．２０−１．８０の機能性を、ファイアウォール１．１６を横切ってユーザ・デバイス２．１に接続する。一旦接続されると、ユーザ・デバイス２．１は、アプリケーション・サーバ１．８０、ファイル・サーバ１．７０、文書サーバ１．６０、第２ファクタ認証サーバ１．５０、メール・サーバ１．４０およびアクティブ・ディレクトリ１．３０等、並びに仮想Ｗｉｎｄｏｗｓセッション１．２０にアクセスすることができる。
[0056] 認証およびプロビジョニング機能性
[0057] 図３は、本発明の１つ以上の実施形態により、ネットワーク・サービスから取得したセッション・キーに基づいてユーザ・デバイスにおけるコンテナ・ベースの管理のためのプロビジョニングを容易にするための例示の処理のフローチャートである。
[0058] ステップ３．１０では、ユーザは、ユーザ・デバイス１．１においてコンテナを開始する。
[0059] ステップ３．１２では、次いでコンテナは、セキュア・ゲートウェイ１．８に接続する。次いで、セキュア・ゲートウェイ１．８は、コンテナとの低レベルの接続を確立する。コンテナは、セキュア・ゲートウェイ証明書をセキュア・ゲートウェイ１．８に送信する。
[0060] ステップ３．１４では、セキュア・ゲートウェイ１．８は、コンテナのセキュア・ゲートウェイ証明書を検証する。
[0061] 検証に失敗した場合、ステップ３．１７では、セキュア・ゲートウェイ１．８は、コンテナへのアクセスを拒絶し、ログインを中断する。
[0062] セキュア・ゲートウェイ証明書の検証に成功した場合、ステップ３．１６では、デバイスは、クライアント証明書をセキュア・ゲートウェイ１．８に提示する。
[0063] ステップ３．１８では、セキュア・ゲートウェイ１．８は、クライアントが知られ信頼性があるかについて、クライアント証明書の検証を実行する。
[0064] 検証に失敗した場合、ステップ３．１７では、セキュア・ゲートウェイ１．８は、コンテナへのアクセスを拒否し、ログインを中断する。
[0065] 証明書の検証に成功した場合、ステップ３．２０では、コンテナは、デバイスがプロビジョニングされているかについて判定する。
[0066] デバイスがプロビジョニングされていない場合、ステップ３．２１では、デバイスのプロビジョニングを実行する。デバイスのプロビジョニングについては図４でより詳細に説明する。
[0067] デバイスがプロビジョニングされている場合、ステップ３．２２では、コンテナは、デバイス識別子（デバイスＩＤ）およびユーザ証明書（例えば、ユーザ名およびパスワード）をセキュア・ゲートウェイ１．８にサブミットする。
[0068] ステップ３．２４では、セキュア・ゲートウェイ１．８は、（例えば、プラットフォーム・サービス・コンポーネント１．１２を参照(consult)ことによって）デバイスＩＤの検証を実行し、デバイスが企業サービス１．２０−１．８０にアクセスするのを許可されているかについて判定する。
[0069] 検証に失敗した場合、ステップ３．１７では、セキュア・ゲートウィイ１．８は、コンテナへのアクセスを拒否し、ログインを中断する。
[0070] デバイスＩＤの検証に成功した場合、ステップ３．３０では、セキュア・ゲートウェイ１．８は、ユーザ証明書を用いてプラットフォーム・サービス・コンポーネント１．１２を参照する。
[0071] ユーザ証明書の検証に失敗すると、ステップ３．１７では、セキュア・ゲートウェイ１．８は、コンテナへのアクセスを拒否し、ログインを中断する。
[0072] ユーザ証明書が有効である場合、ステップ３．３２では、セキュア・ゲートウェイ１．８は、ユーザがサービス１．２０−１．８０にアクセスする権限が付与されていると判断し、認証トークンを割り当てる。後続のデータ要求では、ユーザ・デバイス１．１またはコンテナは、要求の真正性を検証するために、企業サービス１．２０−１．８０へのあらゆるデータ要求に認証トークンをアタッチする。
[0073] 図４は、本発明の少なくとも１つの実施形態により、ユーザ・デバイスをプロビジョニングする処理のフローチャートである。
[0074] ステップ４．１では、ユーザ・デバイス１．１は、インストールの時にデバイスに対応した一意のインストール識別子（インストールＩＤ）を生成する。ユーザがコンテナをアンインストールして、再びコンテナを再インストールする場合は、プロビジョニングの処理が繰り返され、ユーザ・デバイス１．１は、異なるインストールＩＤを有する新規のデバイスとみなされる。
[0075] ステップ４．２では、ユーザ・デバイス１．１は、インストールＩＤの生成を開始するために、プロビジョニング・サービス（例えば、セキュア・ゲートウェイ１．８）に接続する。
[0076] ステップ４．３では、ユーザ・デバイス１．１は、プロビジョニング証明書をプロビジョニング・サービスに提示する。
[0077] プロビジョニング証明書が有効でない場合、本処理はステップ４．２２にスキップして、プロビジョニング処理を終了する。
[0078] プロビジョニング証明書が有効である場合、ステップ４．４では、ユーザ・デバイス１．１は、クライアント証明書をプロビジョニング・サービスに提示する。
[0079] クライアント証明書が有効ではない場合、本処理はステップ４．２２にスキップして、プロビジョニング処理を終了する。
[0080] クライアント証明書が受理される場合、ステップ４．６では、ユーザ・デバイス１．１は、ユーザ証明書をプロビジョニング・サービスに提示する。
[0081] ステップ４．７では、プロビジョニング・サービスは、プラットフォーム・サービス・コンポーネント１．１２を参照して、ユーザ証明が有効であるかを判定する。
[0082] ユーザ証明書が有効ではない場合、本処理はステップ４．２２にスキップして、プロビジョニング処理を終了する。
[0083] ユーザ証明書が受理される場合、ステップ４．８では、プロビジョニング・サービスは、プラットフォーム・サービス・コンポーネント１．１２を参照して、ユーザがコンテナを使用する権限を付与されているかを判定する。
[0084] ユーザが権限を付与されていない場合、本処理はステップ４．２２にスキップして、プロビジョニング処理を終了する。
[0085] ユーザが権限を付与されている場合、ステップ４．９では、プロビジョニング・サービスは、帯域外認証の要求を送る。
[0086] 帯域外検証が有効ではない場合、本処理はステップ４．２２にスキップして、プロビジョニング処理は終了する。
[0087] 帯域外検証が受理される場合、ステップ４．１４では、プラットフォーム・サービス・コンポーネント１．１２は、知られ信頼性のあるデバイスとして一意のインストールＩＤを登録する。
[0088] ステップ４．１８では、プロビジョニング・サービスは、プロビジョニング構成をコンテナに送る。ステップ４．１８の後、プロビジョニング処理は完了する。
[0089] コンテナ機能性
[0090] 図５は、本発明の１つ以上の実施形態により、例示のユーザ・デバイス（例えば、非セキュアかつ信頼性のないデバイス）上のデータ・ストレージ・アーキテクチャの概要図である。
[0091] 幾らかの実施形態では、ユーザ・デバイス１．１は、インストール済みのアプリケーション５．１およびｗｅｂブラウザ５．２を含む。ｗｅｂブラウザ５．２は、ブラウザ・キャッシュ５．２１、ユニフォーム・リソース・ロケータ（ＵＲＬ）キャッシュ５．２２、およびクッキー(cookie)５．２３を含む。
[0092] 幾らかの実施形態では、ユーザ・デバイス１．１は、セキュア・コンテナ５．３を含む。セキュア・コンテナ５．３は、セキュア・ブラウザ５．４、セキュア・ネイティブ・コンポーネント５．５、セキュアＲＳＳビューア５．６、およびセキュア文書ビューア５．８を含む。ユーザまたは企業サービス１．２０−１．８０によって提供されるデータは、暗号化されたストレージ５．９に配置され、次いで、ローカル・デバイスのストレージ５．７に格納される。幾らかの実施形態では、暗号化されたストレージ５．９は、一組の暗号化ファイル・ストレージ、暗号化データベース、およびセキュア・ストレージ・エンクリプション(Secure Storage Encryption)を備える。暗号化データベースは、ＳＱＬ暗号(Cypher)に基づき、また、ユーザ・ログインに応じて作成される。暗号化は、ユーザＩＤおよびパスワードに基づいて、１２８ビットのランダムなソルトで組み合わされ、ＳＨＡ５１２ ＨＭＡＣの１０，０００つの（構成可能な）ＰＢＫＤＦ−２の繰り返しによって導出される、導出済み２５６ビット・キーを使用するＡＥＳ−２５６ＣＢＣを使用して実施される。
[0093] 幾らかの実施形態では、ネイティブおよびｗｅｂアプリケーションは、セキュア・ストレージ内でのみ各データを格納する。ブラウザ・キャッシュは、暗号化されたファイル・ストレージに格納される。ダウンロードされる全てのアタッチメントおよびファイルは、暗号化されたファイル・ストレージに格納される。
[0094] これら実施形態の何れかを実施することにより、ユーザ・デバイス１．１は、データが移動し休眠している間のデータ処理のすべての態様をセキュア化することができる。
[0095] 図６は、本発明の１つ以上の実施形態による、例示のユーザ・デバイス上のネットワーク・セキュリティ・アーキテクチャの概要図である。図６では、ユーザ・デバイス１．１は、信頼性のないデバイスである。データのセキュリティを提供するために、ユーザ・デバイス１．１は、ネットワーク・インタフェースに関するセキュア・ネットワーク・リソースの認証を管理する。幾らかの実施形態では、ユーザ・デバイス１．１は、インストールされたアプリケーション６．１およびｗｅｂブラウザ・コンポーネント６．２を含む。インストールされたアプリケーション６．１およびｗｅｂブラウザ・コンポーネント６．２は、デバイス・ネットワーク・インタフェース６．３を利用して、企業サービス１．２０−１．８０の何れかとデータを交換することができる。
[0096] 幾らかの実施形態では、ユーザ・デバイス１．１は、セキュア・ブラウザ６．４と、ネイティブ・コンポーネント６．５と、セキュアＲＳＳ６．６と、仮想Ａｐｐビューア６．７と、ＳＳＬ証明書を適用するプロキシ・トンネル６．９を通じて暗号化されるセキュア文書６．８と、を管理するセキュア・コンテナ６．１０を含む。コンテナから送信される如何なるデータもがプロキシ・トンネル６．９を通じて暗号化され、次いで、システム１００の他のコンポーネントの何れかにルーティングするためにネットワーク・インタフェース６．３にバンドルされる。
[0097] 図７は、本発明の１つ以上の実施形態により、デバイス・ストレージのセキュリティについて、信頼性がない非セキュアなエッジ・デバイス上でセキュア・ネットワーク・リソースの認証をどのようにして管理するかについての概要図である。
[0098] コンテナ・ユーザ・インタフェース
[0099] 図８Ａから８Ｈは、本発明の少なくとも幾らかの実施形態による、コンテナについての例示のスクリーンショットを示す。図８Ａは、ユーザ・デバイス１．１のコンテナを使用して実行されるマイクロソフトＯｕｔｌｏｏｋクライアントの例示のスクリーンショットである。図８Ｂは、ユーザ・デバイス１．１のコンテナを使用して実行されるＳａａＳアプリケーションの例示のスクリーンショットである。図８Ｃは、ユーザ・デバイス１．１のコンテナを使用して実行されるＰＤＦビューアの例示のスクリーンショットである。図８Ｄは、ユーザ・デバイス１．１のコンテナを使用して実行されるカスタムＷＩＮＤＯＷＳアプリケーションの例示のスクリーンショットである（ここで、ユーザ・デバイス１．１がｉＯＳを起動するＩＰＡＤ（登録商標）である。）。図８Ｅは、ユーザ・デバイス１．１のコンテナを使用して実行されるセキュアＲＳＳ Ｆｅｅｄビューアの例示のスクリーンショットである。図８Ｆは、ユーザ・デバイス１．１のコンテナを使用して実行されるメインフレーム・ビューアの例示のスクリーンショットである。図８Ｇは、ユーザ・デバイス１．１のコンテナを使用して実行されるセキュア文書ビューアの例示のスクリーンショットである。図８Ｈは、ユーザ・デバイス１．１のコンテナを使用して実行されるサードパーティのｗｅｂアプリケーション・ビューアの例示のスクリーンショットである。
[00100] 例示の実装態様
[00101] 図９は、本発明の１つ以上の実施形態により、カスタマイズされたグラフィカル・ユーザ・インタフェースをユーザ・デバイス１．１に選択的に提供する方法のフローチャートである。
[00102] ステップ９０１では、ＶＤＩサーバ１．２０によって提供される１つ以上のサービスにアクセスするために、プラットフォーム・サービス・コンポーネント１．１２は、ユーザ・デバイス１．１からサービス・アクセスの要求を受け取る。幾らかの実施形態では、本明細書に説明するように、この要求は、ｉ）第２コンピューティング・デバイスのユーザのユーザ認証特性（複数可）（例えば、役割種別または役割レベル）、および／またはｉｉ）ユーザ・デバイス１．１のデバイス特性（複数可）（例えば、表示フォーム・ファクタやオペレーティング・システム）を含む。
[00103] ステップ９０２では、プラットフォーム・サービス・コンポーネント１．１２は、サービス・アクセス要求をＶＤＩサーバ１．２０に転送する。
[00104] ステップ９０３では、プラットフォーム・サービス・コンポーネント１．１２は、ＶＤＩサーバ１．２０からユーザ・インタフェース構成ファイルを受け取る。
[00105] ステップ９０４では、プラットフォーム・サービス・コンポーネント１．１２は、選択的なアクセスを１つ以上のサービスに提供するために、ユーザ認証特性および／またはデバイス特性に基づいて、ユーザ・インタフェース構成ファイルを修正する。
[00106] ステップ９０５では、プラットフォーム・サービス・コンポーネント１．１２は、修正されたユーザ・インタフェース構成ファイルをユーザ・デバイス１．１に送信する。修正されたユーザ・インタフェース構成ファイルは、ユーザ・デバイス１．１によって実行されるように構成され、ユーザ・デバイス１．１が、選択的なアクセスを１つ以上のサービスに提供する、修正されたユーザ・インタフェースを表示するのを可能にする。
[00107] 追加の実施形態
[00108] 幾らかの実施形態では、コンテナは、構成、セットアップ、管理、およびトラブルシューティングのための包括的な管理用ポータル（ポータル）を含む。幾らかの実施形態では、報告のおよび詳細な監査ツールがまた、ポータルに組み込まれる。監査ツールは、コンテナおよびプラットフォーム・サービス・コンポーネント１．１２から全てのアクティビティを追跡する一組のデータを含む。プラットフォーム・サービス・コンポーネント１．１２は、全てのユーザについて全てのデバイスにわたりリアルタイムにそのアクティビティを追跡する。この情報は、次いで、企業に提供されて、製品内に組み込まれた企業アプリケーション内の更なるデータ仲介およびコンテキスト化を駆動させる。このデータは、不正(fraud)、仲介、処理改良、生産性強化、および企業に対する価値のある他の機能にわたり、分析および追跡のアクティビティで利用されることになる企業選択のデータ・ストアに対して書き込まれる。
[00109] 信頼性がなく非セキュアで非管理の如何なるデバイスをセキュア化することによって、システム１００はまた、会社ネットワーク内の管理およびセキュリティの難題に対する解決策を提供する。大規模な会社内にある通常のデスクトップは、オペレーティング・システム、ブラウザ、並びに、多くのセキュア化され、またセキュア化されていないカスタムおよび在庫された(off-the-shelf)アプリケーションを備える。このようなデスクトップのための管理プロセスは、極めて複雑かつ高価である。ブラウザおよびＯ／Ｓの新規バージョンへの移行は、何百にもわたる複雑な営業品目(line-of-business)のアプリケーションをリテストおよびリライトすることが必要となり得る。このようなデスクトップのセキュリティは保証されることはなく、各アプリケーションおよびアプリケーション・ベンダは、データまたはネットワーク・トラフィックをセキュア化するために何か異なることを実施する一方で、幾らかはどれもセキュア化しない。幾らかの実施形態では、システム１００は、ＩＴ部門が、双方向にピンする証明書によってセキュア化されたシングルＨＴＴＰＳチャネルを通じて既存のデスクトップ・アプリケーションのための全ての通信を暗号化しながら、データ・センタ内でセキュア化される必要がある全てのデータおよびリソースの中央化を可能とする。また、地理的に分散したデスクトップの更新、管理、および維持を可能にする。このことは、ＩＴ部門がまた、データ・セキュリティ規格（例えば、ＮＩＳＴ）を利用することを可能にして、特定のアプリケーション・データ・フィールドまたはページにポリシを許容することができる。ポリシは、決してそれら規格を考慮しては開発されていないアプリケーションに対してでさえも、上記セキュリティ規格の汎用的な適用を許容する。
[00110] 一実施形態では、非常に細かい(fine-grained)オブジェクトのリッチ・セットに対するアプリケーション・レベルで利用可能なアクセス制御機能の存在を確実にする。それらがアプリケーションに当初から実装されていたものであれば尚更である。ビューされる必要がある文書は、安全に実施され、認証されない場合にデバイス上に文書を残すことはない。
[00111] 幾らかの実施形態では、カスタマイズされたアプリケーションのビューは、コンテキストおよびセキュリティの要件に依存して提供することができる。システム１００を用いることで、当初のアプリケーションにおいて提供されたものよりも、非常に細かいオブジェクトのアクセス制御を実装することが可能である。
[00112] 幾らかの実施形態では、コンテキスチャル・マルチファクタ・エスカレーションは一意の特徴である。これは、コンテナ内の非常に細かい機構および機能の上でのアクセス制御を可能にする。例えば、クライアント・データにアクセスするために、ユーザは、付加的な認証を催促されることができる。これらの全ては、アプリケーションそれ自体への変更なしで管理ポータルにおいて構成することができる。
[00113] 一実施形態は、会社リソースにセキュアにアクセスするためのシステムを提供する。本システムは、少なくとも１つのユーザ・デバイス上にインストールされるコンテナ・アプリケーションと、会社ネットワークに対する、既存の会社証明書システムを使用した認証と、信頼性のないデバイスからの会社イントラネット・リソースへのアクセスの提供と、双方向にピンする証明書を使用した、デバイスと会社ネットワーク・サーバの間のセキュアＨＴＴＰＳ接続の確立と、ユーザ証明書の収集および会社認証システムへのセキュアな通過と、ログオン・ユーザに特有のポリシおよび配置構成の抽出と、コンテナ・ポリシ施行システムを通じた、構成されたポリシの施行と、を備える。
[00114] 少なくとも１つの実施形態では、１つ以上のプロセッサおよびメモリ（例えば、１つ以上の不揮発性ストレージ・デバイス）を有する１つ以上のコンピュータを包含するものがある。幾らかの実施形態では、メモリまたはメモリのコンピュータ可読ストレージ媒体は、プログラム、モジュールおよびデータ構造、またはこれらのサブセットを格納し、プロセッサが、本明細書に開示した様々なシステムおよび方法を制御および起動させる。一実施形態では、非一時的コンピュータ可読ストレージ媒体は、コンピュータ実行可能命令を格納して有し、コンピュータ実行可能明細は、プロセッサによって実行されると、本明細書に開示する１つ以上の方法を実行する。
[00115] 当業者にとって、その広い発明の概念を逸脱することなく、先に図示したと共に説明した例示の実施形態に対して変更を行うことができるものと認められて然るべきである。つまり、本発明は図示および説明した例示の実施形態には限定されるのではなく、特許請求の範囲に規定される本発明の主旨および範囲内における修正を包含することが理解される。例えば、例示の実施形態が有する特定の特徴は、特許請求される発明の一部としてもそうでなくてもよく、また、開示した実施形態の特徴は組み合わされてもよい。本願明細書において特に記載されない限り、用語「１つ」(a)、「１つ」(an)および「それ」(the)は、１つの要素に限定されるのではなく、代替的に「少なくとも１つ」を意味するものとして読まれるべきである。
[00116] 本発明の図面および説明の少なくとも幾らかは、本発明の明確な理解のために関連する要素に焦点を当てて単純化した一方、本発明の一部を備えるものと当業者はまた認める他の要素も明確化の目的で除去していることが認められるべきである。しかしながら、このような要素は当該技術分野において周知であり、また、本発明のより良い理解を必ずしも促進するのではないので、このような要素は本明細書では説明されていない。
[00117] 更に、本方法が本明細書に記載したステップにおける特定の順序に依拠しない程度に、ステップの特定の順序は、特許請求の範囲において限定されて解釈されてはならない。本発明の方法に向けられる特許請求の範囲は、それらステップにおける記載された順序での機能に限定されてはならず、当業者にとって、本発明の主旨および範囲内においてステップを変形させ、尚も維持することができるものと容易に認められる。

Claims (15)

  1. カスタマイズされたグラフィカル・ユーザ・インタフェースを選択的に提供する方法であって、第１コンピューティング・デバイスによる、
    第３コンピューティング・デバイスによって提供される１つ以上のサービスにアクセスするために、サービス・アクセスの要求を第２コンピューティング・デバイスから受け取るステップであって、前記要求が前記第２コンピューティング・デバイスのユーザの認証特性を含む、ステップと、
    前記サービス・アクセス要求を前記第３コンピューティング・デバイスに転送するステップと、
    ユーザ・インタフェース構成ファイルを前記第３コンピューティング・デバイスから受け取るステップであって、前記ユーザ・インタフェース構成ファイルは、前記第２コンピューティング・デバイスが前記１つ以上のサービスへのアクセスを提供するユーザ・インタフェースを表示するのを可能にするように、前記第２コンピューティング・デバイスによって実行されるように構成される、ステップと、
    前記１つ以上のサービスへの選択的なアクセスを提供するために、前記ユーザ認証特性に基づいて前記ユーザ・インタフェース構成ファイルを修正するステップと、
    前記修正されたユーザ・インタフェース構成ファイルを前記第２コンピューティング・デバイスに送信するステップであって、前記第２コンピューティング・デバイスによって、前記１つ以上のサービスへの選択的なアクセスを提供する修正ユーザ・インタフェースを表示するのを可能にするように、前記修正されたユーザ・インタフェース構成ファイルが前記第２コンピューティング・デバイスによって実行されるように構成される、ステップと、
    を含む、方法。
  2. 請求項１記載の方法において、前記第２コンピューティング・デバイスがクライアント・デバイスであり、前記第３コンピューティング・デバイスが仮想デスクトップ・インフラストラクチャ・サーバである、方法。
  3. 請求項１記載の方法において、前記要求が前記第２コンピューティング・デバイスのコンピューティング・デバイス特性を含み、当該方法が、更に、
    前記第２コンピューティング・デバイスの前記コンピューティング・デバイス特性に基づいて前記ユーザ・インタフェース構成ファイルを修正するステップを含む、方法。
  4. 請求項３記載の方法において、前記コンピューティング・デバイス特性が、ｉ）前記第２コンピューティング・デバイスのオペレーティング・システム、およびｉｉ）前記第２コンピューティング・デバイスの表示スクリーン・フォーム・ファクタ特性の内少なくとも１つを含む、方法。
  5. 請求項１記載の方法において、前記第１コンピューティング・デバイスが前記サービス・アクセス要求を受け取り、セキュア・ハイパーテキスト・トランスファ・プロトコル（ＨＴＴＰＳ）を使用して、前記修正されたユーザ・インタフェース構成ファイルを前記第２コンピューティング・デバイスに送信する、方法。
  6. 請求項１記載の方法であって、更に、
    セキュア・コンテナを使用する第２コンピューティング・デバイスにおいて、前記１つ以上のサービスに選択的なアクセスを提供する、前記修正されたユーザ・インタフェースを表示するステップを含む、方法。
  7. 請求項６記載の方法であって、更に、
    前記第２コンピューティング・デバイスのローカル・ストレージにおいて、前記修正されたユーザ・インタフェースを介して前記ユーザによって提供されたデータを格納するステップと、
    前記第２コンピューティング・デバイスのローカル・ストレージにおいて、前記修正されたユーザ・インタフェースを介して前記ユーザによって要求されたデータにアクセスするステップと、
    を含み、前記ローカル・ストレージが暗号化される、方法。
  8. 請求項６記載の方法であって、更に、
    前記第２コンピューティング・デバイスにおいてローカル・アプリケーション・ユーザ・インタフェースを表示するアプリケーションを実行するステップと、
    前記セキュア・コンテナを使用する前記第２コンピューティング・デバイスにおいて前記ローカル・アプリケーション・ユーザ・インタフェースを表示するステップと、
    を含む、方法。
  9. 請求項８記載の方法であって、更に、
    前記第２コンピューティング・デバイスのローカル・ストレージにおいて、前記ローカル・アプリケーション・ユーザ・インタフェースを介して前記ユーザによって提供されたデータを格納するステップと、
    前記第２コンピューティング・デバイスのローカル・ストレージにおいて、前記ローカル・アプリケーション・ユーザ・インタフェースを介して前記ユーザによって要求されたデータにアクセスするステップと、
    を含み、前記ローカル・ストレージが暗号化される、方法。
  10. 請求項１記載の方法において、前記１つ以上のサービスに選択的なアクセスを提供することが、ｉ）前記１つ以上のサービスの特徴へのアクセスを制限することと、ｉｉ）前記１つ以上のサービスの内少なくとも１つのサービスへのアクセスを制限することと、の内少なくとも一方を含む、方法。
  11. 請求項１記載の方法であって、更に、
    暗号化されたセッション・キーを前記第２コンピューティング・デバイスに提供することによって、前記第１コンピューティング・デバイスと前記第２コンピューティング・デバイスの間に、暗号化されたセッションを誘起するステップを含み、
    前記暗号化されたセッション・キーが前記暗号化されたセッションに一意である、方法。
  12. 請求項１１記載の方法であって、
    前記暗号化されたセッション・キーを使用する前記第２コンピューティング・デバイスのローカル・ストレージにおいて、前記修正されたユーザ・インタフェースを介して前記ユーザによって提供されるデータを格納するステップと、
    前記暗号化されたセッション・キーを使用する前記第２コンピューティング・デバイスのローカル・ストレージにおいて、前記修正されたユーザ・インタフェースを介して前記ユーザによって要求されるデータにアクセスするステップと、
    を含む、方法。
  13. 請求項１１記載の方法であって、更に、
    前記暗号化されたセッションの中断に応じて、前記暗号化されたセッション・キーを削除するステップを含む、方法。
  14. コンピュータ実行可能命令を格納して有する非一時的コンピュータ可読ストレージ媒体であって、前記コンピュータ実行可能命令が第１コンピューティング・デバイスのプロセッサによって実行されると、請求項１から１３の何れか一項記載のステップを実行する、非一時的コンピュータ可読ストレージ媒体。
  15. システムであって、第１コンピューティング・デバイスにおいて、
    少なくとも１つのプログラムを格納するようにそれぞれが動作可能な１つ以上のメモリ・ユニットと、
    前記１つ以上のメモリ・ユニットに通信により結合される少なくとも１つのプロセッサであって、該少なくとも１つのプロセッサによって前記少なくとも１つのプログラムが実行されると、該少なくとも１つのプロセッサに、請求項１から１３の何れか一項のステップを実行させる、少なくとも１つのプロセッサと、
    を備える、システム。
JP2018510327A 2015-05-07 2016-05-06 管理されていない非セキュア・デバイス上でのリソース・アクセスおよび配置のためのセキュア・コンテナ・プラットフォーム Pending JP2018521431A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201562158337P 2015-05-07 2015-05-07
US62/158,337 2015-05-07
PCT/US2016/031300 WO2016179536A1 (en) 2015-05-07 2016-05-06 Secure container platform for resource access and placement on unmanaged and unsecured devices

Publications (1)

Publication Number Publication Date
JP2018521431A true JP2018521431A (ja) 2018-08-02

Family

ID=57217822

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018510327A Pending JP2018521431A (ja) 2015-05-07 2016-05-06 管理されていない非セキュア・デバイス上でのリソース・アクセスおよび配置のためのセキュア・コンテナ・プラットフォーム

Country Status (9)

Country Link
US (1) US11115211B2 (ja)
EP (2) EP3292475B1 (ja)
JP (1) JP2018521431A (ja)
KR (1) KR20180002841A (ja)
CN (1) CN108027799A (ja)
AU (1) AU2016258176A1 (ja)
CA (1) CA2985173A1 (ja)
HK (1) HK1253010A1 (ja)
WO (1) WO2016179536A1 (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2542175B (en) * 2015-09-10 2019-12-04 Openwave Mobility Inc Intermediate network entity
US10516653B2 (en) 2016-06-29 2019-12-24 Airwatch, Llc Public key pinning for private networks
US11605037B2 (en) * 2016-07-20 2023-03-14 Fisher-Rosemount Systems, Inc. Fleet management system for portable maintenance tools
US10438019B2 (en) 2017-05-04 2019-10-08 Microsoft Technology Licensing, Llc Cross container user model
US10587582B2 (en) * 2017-05-15 2020-03-10 Vmware, Inc Certificate pinning by a tunnel endpoint
US11177963B2 (en) * 2017-12-12 2021-11-16 Thales Dis France Sa Method for authenticating a user based on an image relation rule and corresponding first user device, server and system
US11381575B2 (en) * 2019-05-03 2022-07-05 Microsoft Technology Licensing, Llc Controlling access to resources of edge devices
CN110213274B (zh) * 2019-05-31 2022-06-21 深信服科技股份有限公司 文件传输方法、装置、设备及计算机可读存储介质
US11546334B2 (en) * 2019-07-29 2023-01-03 Citrix Systems, Inc. Client device configuration for remote digital workspace access
US11182995B1 (en) * 2019-11-25 2021-11-23 Wells Fargo Bank, N.A. Systems and methods for remotely accessing secured spaces
US11449625B2 (en) * 2021-01-18 2022-09-20 Vmware, Inc. Optimized directory enumeration and data copy for client drive redirection in virtual desktops
CN114511970A (zh) * 2022-01-07 2022-05-17 湖南省烟草公司怀化市公司 一种智助烟仓

Family Cites Families (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5878258A (en) 1996-05-06 1999-03-02 Merrill Lynch, Pierce, Fenner & Smith Seamless application interface manager
US6327628B1 (en) 2000-05-19 2001-12-04 Epicentric, Inc. Portal server that provides a customizable user Interface for access to computer networks
JP2003069547A (ja) 2001-08-29 2003-03-07 Fujitsu Ltd マルチキャスト通信システム
US7062502B1 (en) 2001-12-28 2006-06-13 Kesler John N Automated generation of dynamic data entry user interface for relational database management systems
US7577907B2 (en) * 2004-11-15 2009-08-18 Sap, Aktiengesellschaft System and method for dynamically constructing synchronized business information user interfaces
US8364845B2 (en) * 2005-05-19 2013-01-29 Wyse Technology Inc. Method and system for thin client configuration
US20070078705A1 (en) * 2005-09-30 2007-04-05 Timothy Abels Virtualizing portals for electronic commerce
CN101772895A (zh) * 2007-05-03 2010-07-07 三维实验室公司 远程配置便携式设备的用户界面的方法
US7886050B2 (en) * 2007-10-05 2011-02-08 Citrix Systems, Inc. Systems and methods for monitoring components of a remote access server farm
US8850525B1 (en) * 2008-09-17 2014-09-30 United Services Automobile Association (Usaa) Access control center auto configuration
US8370509B2 (en) * 2009-04-09 2013-02-05 Alcatel Lucent Identity management services provided by network operator
US20100275200A1 (en) * 2009-04-22 2010-10-28 Dell Products, Lp Interface for Virtual Machine Administration in Virtual Desktop Infrastructure
US8468455B2 (en) * 2010-02-24 2013-06-18 Novell, Inc. System and method for providing virtual desktop extensions on a client desktop
US20130261611A1 (en) * 2010-03-19 2013-10-03 Siemens Healthcare Diagnostics Inc. Modular Diagnostic Instrument Workstation Architecture and Method
US9189228B2 (en) * 2011-07-01 2015-11-17 Adobe Systems Incorporated Systems and methods for developing and testing electronic content using multiple devices
US9143529B2 (en) * 2011-10-11 2015-09-22 Citrix Systems, Inc. Modifying pre-existing mobile applications to implement enterprise security policies
CN102438216B (zh) * 2011-12-26 2013-11-20 郑州信大捷安信息技术股份有限公司 增强智能手机短消息、电子邮件和语音通信安全性的方法
US20140108793A1 (en) 2012-10-16 2014-04-17 Citrix Systems, Inc. Controlling mobile device access to secure data
US20140122875A1 (en) * 2012-10-31 2014-05-01 Ubs Ag Container-based management at a user device
CN103812829B (zh) * 2012-11-08 2018-01-19 华为技术有限公司 一种提高远程桌面安全性的方法、远程桌面服务器及系统
US9355223B2 (en) * 2013-03-29 2016-05-31 Citrix Systems, Inc. Providing a managed browser
CN103810021B (zh) * 2014-02-19 2017-10-24 福建升腾资讯有限公司 一种vdi下基于宿主机的虚拟桌面显示方法及其系统

Also Published As

Publication number Publication date
KR20180002841A (ko) 2018-01-08
US20180123795A1 (en) 2018-05-03
HK1253010A1 (zh) 2019-06-06
US11115211B2 (en) 2021-09-07
EP3292475A1 (en) 2018-03-14
EP3292475B1 (en) 2020-07-08
EP3828718A1 (en) 2021-06-02
WO2016179536A1 (en) 2016-11-10
AU2016258176A1 (en) 2017-11-30
CN108027799A (zh) 2018-05-11
CA2985173A1 (en) 2016-11-10
EP3292475A4 (en) 2018-10-31

Similar Documents

Publication Publication Date Title
US11115211B2 (en) Secure container platform for resource access and placement on unmanaged and unsecured devices
JP6889785B2 (ja) 組み込みブラウザを介してｓａａｓアプリケーション呼び出しを傍受し、かつ強化するシステムおよび方法
US9521147B2 (en) Policy based application management
US8881229B2 (en) Policy-based application management
US9043480B2 (en) Policy-based application management
JP2020502616A (ja) フェデレーテッド・シングル・サインオン（ｓｓｏ）のための非侵入型セキュリティの実施
US20220174046A1 (en) Configuring network security based on device management characteristics
US20150295892A1 (en) Automatic certificate enrollment in a special-purpose appliance
US20200106699A1 (en) Systems and methods for multilink wan connectivity for saas applications
US11812273B2 (en) Managing network resource permissions for applications using an application catalog
JP6994607B1 (ja) Ｓａａｓアプリケーションのためのインテリセンスのためのシステムおよび方法
CA3216776A1 (en) Enterprise browser system