TW201447628A - 限制裝置上的企業應用與設定 - Google Patents

Abstract

在裝置上的安裝應用與設定配置。方法包括接收使用者輸入。使用者輸入指示使用者願意授予企業對裝置的控制層級。該方法進一步包括基於使用者輸入所指示的控制層級判定一組應用以允許安裝在裝置上。被允許安裝在裝置上的該組應用被使用者指示的控制層級所限制。該方法進一步包括授權裝置上該組應用的安裝，但使用者選擇使用者願意授予企業對裝置的不同控制層級而限制其他準授權應用的安裝。

Description

限制裝置上的企業應用與設定

本發明係關於限制裝置上的企業應用與設定。

電腦與計算系統幾乎影響到現代生活的各個態樣。電腦普遍用於工作、休閒、健康保健、運輸、娛樂、家務管理等。

此外，可以經由網路連接將一計算系統與其他計算系統互連而增進計算系統功能。網路連接可包括但不侷限於經由有線或無線的乙太網路、蜂巢式連接，或者甚至是透過串聯、並聯、USB或是其他連接的電腦到電腦之連接。該等連接允許計算系統存取在其他計算系統上之服務以及快速且有效率地接收自其他計算系統的應用資料。

現今網路允許許多新的與不同類型的裝置連上網路。近年來資訊科技(IT)的一大趨勢驅向「資訊科技消費化」，「資訊科技消費化」係形容消費性科技(從手機到個人電腦)如何以各種形式與方法湧入商業組織的一個名詞。而日益增加的裝置為員工所擁有與仰賴，而不是他們工作的 商業組織。這種趨勢在智慧型手機裝置類型中最為明顯，但近來平板與其他攜帶型裝置尺寸規格於工作場所中也日益增多。隨著組織接受消費化，IT必須考慮他們可以對於使用者的裝置施加多少控制，無論是個人持有或是企業所有的裝置，以及考慮多少裝置的管理才是「夠好」。

裝置可能被偷或是裝置可能主控一行動應用，而結果該行動應用是收集儲存密碼或收集鍵次登錄與其他資料的木馬。因此，對於控制哪些資料與應用可以被儲存在裝置上係有需求的。然而，因為裝置可被用於個人目的，而不只是企業目的，對於使用者部份具有不被企業控制的個人資料與應用也是有需求的。之前的解決方案要不是有手動繁瑣的管理與對使用者裝置採取全面的控制就是過於寬鬆的管理與防護而允許企業資源的使用者使用他們的裝置近乎無拘束地存取。

本發明之專利標的不侷限於解決任何缺陷或只在如前述環境中操作之實施例。而是，提供本技術領域只繪示本發明所述部份實施例可實施的一個示範技術領域。

本發明所繪示的一個實施例包括在裝置上安裝應用與設定配置的方法。該方法包括接收使用者輸入。使用者輸入指示使用者願意授予企業對裝置的控制層級。該方法進一步包括基於使用者所指示的控制層級來決定被允許安裝在裝置上的一組應用。被允許安裝在裝置上的該組應用被使用者所指示的控制層級所限制。該方法進一步包括授權裝置上該 組應用的安裝，但使用者選擇使用者願意授予企業對裝置的不同控制層級而限制其他準授權應用的安裝。

提供此發明內容以簡化形式介紹精選之概念，在下面的實施方式中對於該些概念有進一步的描述。此發明內容不會試圖去識別本申請專利標的之關鍵特徵或必要特徵，亦不會試圖用於協助界定本申請專利標的之範圍。

更多的特徵與優點將會在以下的說明書中闡明，且部份會從敘述中彰顯，或可藉由本發明教示之實作得以習知。可藉由所附申請專利範圍中特別提及之工具與結合得以了解與習得本發明之特徵與優點。本發明之特徵將從以下的說明書與所附申請專利範圍得以更為彰顯，或可藉由以下所闡明的本發明實作中得以習知。

102‧‧‧裝置

104‧‧‧代理

106‧‧‧作業系統

108‧‧‧管理基礎建設

110‧‧‧企業網路

112‧‧‧SSP

114‧‧‧側載鍵

116‧‧‧應用

118‧‧‧內容伺服器

120‧‧‧封閉應用市集

122‧‧‧應用

124‧‧‧應用

126‧‧‧使用者

128‧‧‧管理服務

130‧‧‧封包管理員

500‧‧‧方法

502‧‧‧動作

504‧‧‧動作

600‧‧‧方法

602‧‧‧動作

604‧‧‧動作

606‧‧‧動作

為了描述可以得到以上所述與其他優點和特徵之方法，藉由參考所附圖式繪示之特定實施例以呈現以上簡述的專利標的之更具體描述。了解這些圖式只繪示了典型實施例並不因此視為範圍之侷限，透過所附圖式之使用，實施例將有更具體與詳細之描述與解釋，其中：第1圖繪示了包括企業網路以及與企業網路連接的裝置之環境；第2圖繪示了用於認證使用者到企業網路的使用者界面；第3圖繪示了用於使用者選擇企業應用以在裝置上安裝的使用者界面； 第4圖繪示了用於在裝置上安裝企業應用的訊息流；第5圖繪示了在裝置上安裝應用的方法；及第6圖繪示了在裝置上安裝應用與設定配置的方法。

本發明所述之實施例包括用於管理裝置的功能，其中部分實施例可係在企業環境中使用的個人擁有之裝置。特定言之，裝置一般可由使用者控制而不是由企業控制，但仍然可在裝置上有適當的控制下而在企業環境中使用。特定言之，企業可對裝置的特定態樣施以控制，而允許使用者在沒有企業的干涉或侵擾下控制裝置的其他態樣。此管理方法平衡了滿足企業的防護需求，同時維持了使用者對於裝置的控制並將對裝置效能的任何影響最小化。實施例處理如何傳送使用者在企業環境中所需的配置與軟體，如任意裝置上的應用與資料存取，以足夠的IT控制以確保裝置係可靠的，同時避免洩漏使用者裝置上的使用者隱私。

各式實施例可展示各式態樣。例如，實施例可執行登入經驗，其中使用者可以通過內建作業系統組件與企業工作環境連接。或者或更甚者，實施例可展示一批限量的清單，該清單足以評估裝置的防護但不足以控制該裝置及入侵使用者隱私。或者或更甚者，實施例可按應用分配需求展示效能，其中使用通知服務啟動應用安裝。或者或更甚者，實施例可展示與企業斷接，而阻斷所有應用並(或)重置從企業取得 之設定。

企業裝置管理

隨著越來越多的人提供他們自己的硬體用於工作，「帶上你自己的裝置」(bring your own device，BYOD)變得習以為常而IT專家們想要具有他們可以支援追隨此趨勢的客戶之信心。BYOD的存在無法改變IT專家管理、防護以及負責組織的網路資產的需求。書面政策往往在執行企業政策上是低效的。

本發明繪示之實施例可包括用於藉由傳送使用者所需之設定與軟體用以管理企業中個人持有裝置的功能，如在任意裝置上的應用與資料存取，在足夠的IT控制以確保裝置係可靠的，而避免洩漏使用者個人裝置上的使用者隱私。理解到本發明所述之概念亦適用在用於企業設定的其他類型裝置，如企業擁有之裝置，使用者預期在該裝置上有關於選擇應用、資料與設定等的隱私。

現在參考第1圖，繪示了裝置102。裝置102可係計算裝置，如手機、個人數位助理(pda)、平板、筆電或是使用者可選擇連接到企業環境網路110的其他裝置。一些實施例整合輕管理元件(代理104)建置入裝置的作業系統106中，作業系統106可以與企業網路110中的管理基礎建設108溝通以傳送業務線(LOB)應用(applications，有時在口語上以及本發明中係用apps)給使用者。

管理方案具有兩個客戶端安裝部分：系統管理組件，系統管理組件在本發明中可稱為代理104；與使用者界 面，使用者界面可稱為自助服務入口網站(self-service portal)，或SSP 112，裝置使用者使用SSP 112以瀏覽並安裝LOB應用以供使用。SSP 112可以很多不同方式執行，如裝置102上的應用、在裝置102上的使用者瀏覽器執行的網頁(服務)，或其他界面。顯然地，裝置102之使用者的應用安裝要求不必源自裝置102本身。在某些實施例中，可自另一台機器執行。然而，在繪示的實施例中，安裝在客戶端的管理方案的兩個部份都可基於使用者經驗、電源管理(電池壽命)、網路意識(用於計量網路)及整體功能而設計成為行為良好的作業系統106成員。

代理104在客戶端裝置102上舉足輕重。代理104配置客戶端裝置102以與組織的管理基礎建設108溝通；或藉由管理基礎建設108的某些觸發機制定期地與管理基礎建設108同步以檢查是否有任何的LOB應用更新以及應用由IT配置針對裝置102的最新設定策略；以及處理使用者欲安裝的任何LOB應用之實際下載與安裝。最後，如果使用者或管理員選擇將裝置102從管理基礎建設108移除，清除了代理104本身的配置並將使用者從SSP 112安裝的任何LOB應用禁用或安全抹除。

以下現在繪示了關於將客戶端裝置102與管理基礎建設108連接的額外細節。在某些實施例中，客戶端裝置102與管理基礎建設108連接開始時IT管理員指定使用者群組，例如Active Directory®(AD)(可從微軟公司(Microsoft® Corporation of Redmond Washington)取得)群組網域使用 者經授權以將裝置108連接至企業網路110。管理員亦有指定每一使用者的最大裝置允許量或有關每一使用者註冊策略的其他限制之選擇。例如，其他每一使用者註冊策略考量可指定使用者只能在特定網路上時、以多因素認證、在一給定時間週期內等註冊。如第2圖所示，授權使用者選擇使用者界面200的公司應用連結202並提供他們的企業憑證204。接著代理104執行服務查詢以找出組織的管理基礎建設108。

一旦代理104找到正確的位址，代理104便建立與管理基礎建設108的安全連接並認證使用者。如果使用者被成功認證並被管理員授權以連接裝置(如裝置102)，企業網路110發布正確指令以配置代理104用以與管理基礎建設108正在進行的通訊。一旦完成，引導使用者安裝SSP 112，而同時代理104完成在背景中的連接。或者，SSP 112可在註冊時間由管理基礎建設自動安裝。雖然在繪示之示範例中，使用者被認證至管理基礎建設108，但在替代的或額外的實施例中，裝置本身可被認證至管理基礎建設。例如，裝置102可被重新導向至允許代表公司註冊裝置的管理服務。

下一步，代理104使用已取得之設定自動啟動與管理基礎建設108的對話。此對話與任何後續對話可在安全連接上執行。此初始對話藉由提供一些基本裝置資訊以完成在企業網路110上的裝置102註冊，該些基本裝置資訊諸如裝置102的製造商與型號、裝置102的作業系統版本、裝置性能，以及用於裝置102的其他硬體資訊。如此允許IT管理員監控哪些類型的裝置正與組織連接，因此他們可以改善他們 隨著時間傳送給使用者的應用與服務。

接著初始對話後，代理104在兩種情況下啟動與管理基礎建設108的通訊：

第一，作為在預設排程上執行的維護工作，或是從管理基礎建設觸發機制或者其他觸發機制，這些不會影響使用者體驗。在該些維護對話期間執行的活動著重於將更新後的硬體資訊報告至管理基礎建設108，套用變更到用於裝置102的設定策略，將合規性報告回管理基礎建設108，以及執行應用更新到LOB應用，或重試任何之前從SSP 112啟動的失敗LOB應用安裝。

第二，代理104將會在使用者從SSP 112啟動應用安裝的任意時間與管理基礎建設108通訊。在某些實施例中，這些使用者啟動的對話會獨自著重在應用安裝而不執行在第一種情況中所述的維護與管理活動。

不論對話是由排程維護工作自動啟動還是由使用者手動啟動，客戶端102裝置相對於裝置上的電池狀態與其當下的網路狀態持續有良好表現。

設定策略管理

如已經討論過的，存取LOB應用通常需要系統符合基本防護與資料保護策略。從管理基礎建設108，IT管理員可以在不嚴重影響到對於使用者裝置的使用者體驗下配置一組他們相信係重要的策略以給IT他們所需要的保證。特定言之，管理員可以強制執行密碼策略並關閉某些週邊。

除了以上所述的可配置策略之外，代理104也可以 用於自動配置其他設定，如網路設定、VPN設定、WiFi設定等，以便受管理之裝置102可以輕易地與企業網路110連接。最後，代理104也可以監控並報告裝置102與一組策略的合規性。

利用此合規性資訊，如果確定裝置存在危險時，IT管理員可以更有效率地控制對企業網路110上公司資源的存取。然而，使用者關於裝置的基本經驗與其個人隱私仍保持原樣無變化。

在某些實施例中，可以由企業或其他第三方強制執行的策略可由裝置102的使用者配置。例如，使用者可在拒絕接受企業所欲強制執行的其他策略之同時，而願意接受某些策略。因此，使用者可以接受使用者願意授予企業對裝置的控制層級。此由裝置102使用者指示的控制層級可影響企業自動配置在裝置102的設定以及企業願意允許安裝在裝置102上的應用。

例如，使用者不願接受企業所欲強制執行的全部策略，裝置102在被限制在裝置上安裝其他的應用時，可只被允許在裝置上安裝受限的一組應用。SSP 112可說明性地提供使用者界面以允許使用者選擇使用者願意接受的策略。例如，使用者界面可為策略清單提供一組使用者可以藉由核對核取方塊來選擇的核取方塊，其中的策略係使用者願意在裝置102上強制執行的。或者，可使用精靈界面或其他界面以獲取使用者願意在裝置102上強制執行的策略之資訊。

使用者可從中選擇之策略可包括如對裝置之限制。 例如，此等限制可包括如下之項目，要求裝置上的密碼、要求在裝置上安裝特定的應用或軟體、要求在裝置上特定的設定、限制裝置使用特定類型或特定網路等。

或者或更甚者，使用者可從中選擇的策略可包括與裝置102上資料存取控制相關的策略。例如，使用者可指示企業能夠完全鎖定裝置、抹除裝置上的全部資料、恢復到出廠設定、抹除裝置上的全部企業資料、抹除裝置上特定應用關聯的資料(如企業應用、郵件應用等)等。

LOB應用管理

前面所述著重於客戶端102與管理基礎建設108的機制以及IT管理員的需求。然而，以上的一重要態樣可以藉由啟用對終端使用者的LOB應用之存取權限以使終端使用者受益。

在SSP 112中，IT可以發佈幾種不同種類與類別的應用給使用者。例如，IT可以發佈：由企業研發的內部研發應用；由獨立軟體供應商製造的應用，該應用授權予組織用於內部分配；直接在瀏覽器中啟動網頁與基於網頁的應用之網路連結；到其他應用市集中應用清單的連結(這是一個方便的方法使IT讓使用者注意到公開可得的有用商業應用)；等。

由於使用者指定他或她的公司憑證作為與管理基礎建設108的初始連接之一部分，如第2圖所示，所以IT管理員可以接著指定哪個應用個別發佈到每個使用者。因此，使用者在SSP 112中只看到他們適用的那些應用。第3圖繪示了SSP 112使用者經驗的一個示範例，該示範例關於使用者 在SSP 112中瀏覽LOB應用，該SSP 112用於一個名為「樹林(Woodgrove)」的虛構企業。

顯然，實施例可在封閉應用市集環境中實施。在此環境中，典型的使用者情境係使用者只被允許從授權市集裡預先核准的一組可用應用中安裝應用。例如，使用從微軟公司(Microsoft® Corporation of Redmond Washington)取得的Windows Phone^TM，使用者一般只能安裝來自Microsoft®官方應用市集的應用，該Microsoft®官方應用市集提供已評估以及預先核准的應用，該已評估及預先核准的應用提供於官方應用市集中。在其他實施例中，封閉應用市集環境可係對於特定類型的應用封閉，但對其他類型的應用開放。例如，使用自微軟公司(Microsoft® Corporation of Redmond Washington)取得的Windows 8，使用者只能從Windows 8界面中的官方應用市集安裝視窗商店應用(Windows Store Apps)(如第3圖所示)，而其他應用可以在少限制或無限制下安裝在桌面界面中。

實施例可延伸以允許一般在封閉應用市集環境中提供一式樣或形式的應用，但一般沒有在封閉應用市集環境中提供的應用可以「側載」(side-loaded)以允許將沒有在封閉市集中提供的企業特定應用安裝在裝置102上。例如，Windows® Phone可以安裝不在官方應用市集中提供的應用。或者Windows® 8裝置可以安裝不在官方應用市集中取得的視窗商店應用。

在某些實施例中，只要側載鍵(side loading key)114 係有效的，可藉由在裝置102上安裝側載鍵114來完成啟用某些設定或管理功能，以允許裝置102從管理基礎建設的內容伺服器118側載(side load)應用116，其中應用116一般沒有在封閉應用市集120中提供，如應用122。

然而，雖然可以使用側載鍵114安裝的應用一般沒有在封閉應用市集120中提供，但在某些實施例中，應用116仍然必須由中央機構驗證與授權以在裝置上安裝。例如，只要裝置102具有有效的側載鍵114(或是將裝置授權以側載應用的其他指示)，驗證與授權封閉應用市集120中提供的應用之相同中央機構可驗證與授權企圖側載在裝置102上的應用。

側載鍵114可以很多種不同方法獲得。例如，在某些實施例中，側載鍵114可從封閉應用市集120購得。在其他實施例中，鍵可由企業從中央機構購得。在某些實施例中，單一側載鍵114可對裝置上安裝的特定次數有效。例如，可在任意給定時間將側載鍵安裝在多個不同裝置上。

在某些實施例中，當使用者選擇從SSP 112安裝應用時，將要求傳送到管理基礎建設108並提供下載連結到代理104。代理104接著下載應用，驗證內容的有效性，檢查簽章，並安裝應用。所有這些一般在幾秒鐘內發生而使用者一般看不到。在此過程的任意部分期間，如果發生錯誤(如內容的位址無法使用)，則代理104將應用佇列用以在其下次定期維護對話期間重試。在任一情況中，代理104將安裝狀態回報給管理基礎建設108。第4圖詳述此一互動。

特定言之，第4圖在402繪示了SSP 112從管理基礎建設108的管理服務128中取得目標應用清單。如在404所繪示，管理基礎建設108的管理服務128回傳應用清單到SSP 112，其中該應用清單包括可被裝置102安裝的應用列舉。如在406所繪示，使用者126與SSP 112互動並要求安裝應用。如在408所繪示，SSP 112要求使用者所要求的應用由管理服務128安裝。如在410所繪示，管理服務128確認該要求。如在412所繪示，SSP 112存數(poke)代理104以指示代理應該安裝使用者126所選擇的應用。如在414所繪示，代理104確認了給SSP 112的存數(poke)。如在416所繪示，代理104要求應用之細節並確認自使用者126至管理服務128之安裝要求。如在418所繪示，管理服務告知代理104收到應用要求。如在420所繪示，代理104要求從管理基礎建設108中內容服務118的應用內容。如在422所繪示，內容服務118將應用內容回報給在裝置102的代理104。如在424所繪示，代理104與裝置102的封包管理員130通訊以指示應用應該為使用者126添加應用。如在426所繪示，封包管理員130指示完成應用安裝。如在428所繪示，代理104通知管理服務128已經安裝應用。如在430所繪示，管理服務128為代理104確認使用者所選之應用安裝已被紀錄。

在某些替代實施例中，封閉應用市集120本身可具有只提供給帶有側載鍵之裝置的某些應用，該側載鍵安裝在裝置102上。例如，封閉應用市集120一般可提供一組應用122給裝置，但基於安裝在裝置上的側載鍵提供額外應用124 以安裝給裝置。可用於安裝的該額外應用可取決於安裝在裝置上的側載鍵。因此，封閉應用市集120可代表企業維護用於企業授權裝置上之安裝的一組應用。

作為定期維護對話的部分，代理104將編列現在所安裝的LOB應用清單並將該資訊回報給管理基礎建設108，使得IT管理員可以有效率地管理他們的LOB應用。在某些實施例中，只有經由SSP 112與客戶端裝置102安裝的應用包含於自裝置的清單中。在某些實施例中，一般從封閉應用市集安裝的可用應用不被報告為清單的一部份。在某些實施例中，代理104可被限制只能將企業應用116編列清單且不能將使用者安裝在裝置上作為個人使用的應用122編列清單。

IT管理員任何時候發佈用於企業授權裝置102上已安裝的應用之更新，代理104將在其下次定期維護對話期間自動下載並安裝更新。或者，在定期維護視窗期間管理基礎建設108可偵測可用且適用的更新，並因此通知使用者。

從管理基礎建設108斷線

現在詳述如何從管理基礎建設108斷線。斷線可由使用者在本地端啟動或是由使用者或IT管理員在遠端啟動。使用者可因任何理由選擇斷線，包括離開企業或是獲得新裝置且不再需要在舊裝置上存取他們的LOB應用。管理員可在使用者離開企業之後或是因為裝置經常性地不符組織的安全設定策略而選擇將使用者的裝置斷線。在另一替代實施例中，如果裝置沒有在特定的時間週期與企業網路110連接， 企業可自動將使用者裝置102斷線。

在斷線期間，代理104執行許多個動作(並(或)停止執行許多個動作)。例如，代理104移除使用者從企業獲得的對全部應用的存取權限。在某些實施例中，代理104可以阻斷對應用116的存取或是可以從裝置102完全移除應用116。代理104停止管理基礎建設108所施行的設定策略之執行。如果管理員啟動該程序，代理104將成功停用(deactivation)報告給管理基礎建設108。代理104移除代理104配置，包括排程維護任務。一旦完成，除非使用者將代理104重連到管理基礎建設108或另一個管理基礎建設，否則代理104維持休眠。

現在以下所述參照多個方法及可被執行的方法動作。雖然方法動作可依特定次序討論或如依特定發生次序繪示在流程圖中，但除非特別規定需要或因為一個動作取決於該動作執行前的另一個動作之需要，否則沒有特定次序。

現在參照第5圖，繪示了方法500。方法500包括用於在裝置上安裝應用的動作。該裝置經一般設置用於封閉市集環境中，該封閉市集環境只允許安裝該封閉市集的一般可用的應用。方法500包括決定裝置經授權以安裝一般可從封閉市集取得的一組應用之外的應用以及安裝從只提供給特定企業使用者的一組應用之外的應用(動作502)。例如，可執行方法500來決定裝置經授權以安裝一般可從封閉市集取得的一組應用之外的應用，包括決定側載鍵被安裝在該裝置上。第1圖藉由使用側載鍵114與裝置102繪示了此一示範 例。

方法500進一步包括決定非一般可從封閉市集取得的應用經中央機構驗證(動作504)。可實施方法500來決定非一般可從封閉市集取得的應用經中央機構驗證包括決定應用經負責封閉市集的中央機構驗證。例如，如果微軟(Microsoft®)經營一封閉市集，但應用不是由微軟公司經營的該封閉市集所提供，微軟公司還是可驗證該應用。例如，如第1圖所繪示，儘管應用116不在市集120中提供，負責維護市集120與驗證應用122的實體亦可驗證應用116。因此，從企業網路110取得之應用116具有到中央機構的授權鏈(authority chain)。

儘管裝置經一般配置以用於封閉市集環境中，方法500進一步包括在裝置上安裝應用(在506)。

方法500可進一步包括提供使用者界面給使用者以允許使用者從一組應用中選取一應用，該組應用可用於經授權而與特定企業連接之裝置；接收選擇應用的使用者輸入；向服務通知使用者已經選擇應用；從該服務接收可用於安裝的應用之通知；且其中以一種最小化干擾裝置的方式來執行裝置上的應用安裝。此功能的示範例繪示於第3圖與第4圖中。特定言之，第3圖繪示了使用者界面可呈現給使用者以允許使用者選擇用於安裝的應用。第4圖繪示了介於不同個體間的一通訊示範例以允許使用者指示使用者在該安裝應用程序中欲安裝的應用。在這些實施例中，當裝置決定其在對該裝置的使用者體驗沒有嚴重影響下具有足夠自由資源以安 裝應用時，應用可被安裝。

方法500可進一步包括保持一組應用的列舉，該組應用已安裝在裝置上只提供給特定企業的使用者。特定言之，清單(manifest)可保留在裝置102以及代理104中，代理104列舉已安裝於裝置102中的各種應用。如此可以用於向企業中央機構報告關於安裝在裝置102上的應用之資訊。

方法500可進一步包括提供報告給企業管理員。報告可包括在沒有於該報告中識別已安裝於裝置上的其他應用下，列舉只提供給特定企業使用者的該組應用中的全部應用。例如，報告可識別已安裝於裝置102上的任何應用116，但不會識別從已安裝於裝置102上的該組應用122中所選擇的任何應用。

方法500進一步包括用於將裝置102從企業網路100移除的各種動作。例如，方法500可包括將裝置取消授權，使得裝置可以不再從該組只提供給特定企業使用者的應用中安裝應用；將已安裝在裝置上的該組只提供給特定企業使用者的應用中的任意應用無效化或刪除；並讓資料不可擷取，該資料係與已安裝在裝置上的該組只提供給特定企業使用者的應用中的任意應用有關聯。在某些實施例中，可執行此動作以回應在一預定時間週期未與管理基礎建設接觸的裝置。在替代或額外的實施例中，可執行此動作以回應指示欲將裝置與企業斷線的使用者。在另一額外或替代實施例中，可執行此動作以回應指示欲將裝置與企業斷線的管理員。

現在參照第6圖，繪示了方法600。方法600包括 用於在裝置上安裝應用與設定配置的動作。方法600包括從裝置的使用者接收使用者輸入，使用者輸入指示使用者願意授予企業對裝置的控制層級(動作602)。可實施方法600，其中使用者輸入包含使用者指示企業可對裝置強制執行一或多個限制。例如，該一或多個限制可包括以下所述中的一或多個，要求密碼、要求在裝置上安裝特定應用、限制裝置對特定網路的存取、或類似動作。或者或更甚者，可實施方法600，其中使用者輸入包含使用者指示企業可控制對裝置上的資料存取。例如，使用者輸入可指示企業可執行以下所述中的一或多個，鎖定裝置、抹除裝置上的全部使用者資料、抹除裝置上的全部企業資料、將裝置回復到出廠設定、抹除與裝置上特定應用關聯的資料、或類似動作。可實施方法600，其中使用者輸入包含使用者從一預定清單選擇複數個項目，如核取方塊表單，其中該預定清單係使用者願意讓企業對裝置控制或限制的。

方法600進一步包括基於使用者指示之控制層級決定允許使用者安裝在裝置上的一組應用(動作604)。允許使用者安裝在裝置上的該組應用受限於使用者指示的控制層級。

方法600進一步包括授權裝置以安裝該組應用，同時使用者選擇使用者願意授予企業在裝置上不同的控制層級而限制裝置安裝其他準授權之應用(動作606)。例如，如裝置102的一裝置可被允許安裝某些應用，但基於使用者設定以及使用者願意允許企業對裝置102具有的控制層級而不被 允許安裝其他應用。在某些實施例中，可實施方法600，其中裝置經一般配置以用於封閉市集環境中，封閉市集環境只允許一般可該封閉市集取得的應用安裝在裝置上，但裝置經授權以安裝一般可從該封閉市集中取得的一組應用之外的應用且其中該組應用只提供給特定企業的使用者。

此外，方法可由包括一或多個處理器與電腦可讀取媒體(如電腦記憶體)的電腦系統實施。特定言之，電腦記憶體可儲存電腦可執行指令，當可執行指令由一或多個處理器執行時，使得各種功能被執行，如實施例中所述之動作。

本發明的實施例可包含或是使用包括電腦硬體的特定用途或通用電腦，如以下更詳細之討論。本發明範圍內的實施例亦包括用於攜帶或儲存電腦可執行指令與(或)資料結構的實體與其他電腦可讀取媒體。此等電腦可讀取媒體可以係可以被通用或特定用途之電腦系統存取的任意可用媒體。儲存電腦可執行指令的電腦可讀取媒體係實體儲存媒體。攜帶電腦可執行指令的電腦可讀取媒體係傳輸媒體。因此，舉例來說，但不作為限制，本發明實施例可以包括至少兩個明顯不同類型的電腦可讀取媒體：實體電腦可讀取儲存媒體與傳輸電腦可讀取媒體。

實體電腦可讀取媒體包括隨機存取記憶體(RAM)、唯讀記憶體(ROM)、電子可抹除可程式化唯讀記憶體(EEPROM)、唯讀光碟記憶體(CD-ROM)或其他光碟儲存(如CD、DVD等)，磁碟儲存或其他磁儲存裝置，或是其他任何可以用於以電腦可執行指令或資料結構之形式儲存需要 的程式碼方法的媒體以及可以藉由一般用或特定用途之電腦存取的媒體。

「網路」定義為使電腦系統與(或)模組與(或)其他電子裝置間的電子資料有效傳輸的一或多個資料連結。當資訊在網路或其他通訊連接上(不論是固線式、無線，或是固線式或無線的組合)被傳遞或提供時，電腦適當地將該連接視為一傳輸媒體。傳輸媒體可以包括可以用於以電腦可執行指令或資料結構之形式攜帶所需要的程式碼方法的網路與(或)資料連接以及可以藉由通用或特定用途之電腦存取的媒體網路與(或)資料連接。以上所述之組合亦可包括在電腦可讀取媒體的範圍內。

此外，一旦到達各種電腦系統組件，電腦可執行指令或資料結構形式的程式碼方法可以從傳輸電腦可讀取裝置傳遞到實體電腦可讀取儲存媒體(或反之亦然)。例如，網路或資料連結上所接收的電腦可執行指令或資料結構可以在網路界面模組中的RAM中緩衝(例如，「網路介面卡(NIC)」)，並接著最後被傳遞到電腦系統RAM以及(或)被傳遞到電腦系統中的低揮發性電腦可讀取實體儲存媒體。因此，電腦可讀取實體儲存媒體可以被包含於亦(或甚至係主要)使用傳輸媒體的電腦系統元件中。

電腦可執行指令包括如致使通用電腦、特定用途電腦、或特定用途處理裝置以執行特定功能或一組功能的指令與資料。電腦可執行指令可係如二元、如組合語言的中間格式指令、或甚至係原始碼。雖然本專利申請標的係以針對結 構特徵與(或)方法動作之語言描述，但可以了解到界定於所附專利申請範圍的申請標的不需侷限於所述特徵或以上所述之動作。反之，所述特徵與動作係揭露作為實施專利申請範圍的示範形式。

本發明所屬技術領域中具有通常知識者可將本發明實施於帶有多種電腦系統配置的網路計算環境中，包括，個人電腦、桌上型電腦、膝上型電腦、訊息處理器、手持式裝置、多處理器系統、基於微處理器或可程式消費性電子裝置、網路PC、迷你電腦、主機電腦、行動電話、個人數位助理(PDA)、呼叫器、路由器、交換器及類似物。本發明可實施於分散式系統環境，其中本地端與遠端電腦系統(經由網路連結(不論是經由固線式資料連結、無線資料連結，或是由固線式與無線資料連結之組合))皆可執行工作。在分散式系統環境中，程式模組可同時設於本地端與遠端記憶體儲存裝置。

或者或更甚者，本發明所述功能可以藉由一或多個硬體邏輯元件以至少部分執行。例如，在沒有限制下，可以使用之硬體邏輯元件的示範類型包括現場可程式閘陣列(FPGA)、程式特定積體電路(ASIC)、程式特定標準產品(ASSP)、單晶片系統(SOC)、複合可程式邏輯裝置(CPLD)等。

本發明可在不背離本發明之精神或特徵下以其他特定形式實施。所述實施例在所有方面只視為本發明之說明而不作為本發明之限制。因此，本發明範圍由所附專利申請範 圍界定而非由前面說明所指示。都在專利申請範圍的等效釋義中的所有變化應包含在本發明範圍之中。

102‧‧‧裝置

104‧‧‧代理

106‧‧‧作業系統

108‧‧‧管理基礎建設

110‧‧‧企業網路

112‧‧‧SSP

114‧‧‧側載鍵

116‧‧‧應用

118‧‧‧內容伺服器

120‧‧‧封閉應用市集

122‧‧‧應用

124‧‧‧應用

Claims (20)

1. 一種在一裝置上安裝應用與設定配置的方法，包括以下步驟：接收使用者輸入，該使用者輸入指示一使用者願意授予一企業對一裝置的一控制層級；基於該使用者輸入所指示的該控制層級決定被允許安裝在該裝置上的一組應用，其中被允許安裝在該裝置上的該組應用由該使用者指示的該控制層級所限制；及授權在該裝置上的該組應用之安裝，但該使用者選擇該使用者願意授予該企業在該裝置上一不同的控制層級而限制其他準授權應用之安裝。
2. 如專利請求項1所述之方法，其中該使用者輸入包括一使用者從一預定清單選擇複數個項目，該使用者願意讓該企業控制或限制在該裝置上的該預定清單。
3. 如專利請求項1所述之方法，其中該使用者輸入包括一使用者指示該企業可強制執行對該裝置的一或多個限制。
4. 如專利請求項3所述之方法，其中該一或多個限制包括以下所述中的一或多個：要求一密碼、要求在該裝置上安裝特定應用、限制該裝置對特定網路的存取、要求打開該裝置上的加密、要求安裝一防毒軟體、要求更新防毒軟體、要求該裝置達到一最低的作業系統版本、要求該裝置上的密碼具 有一特定的複雜程度、要求該裝置上的密碼具有一特定的歷史紀錄要求、要求該裝置的硬體經特定的方式配置、要求該裝置上的一攝影機禁用或要求該裝置上的藍芽禁用。
5. 如專利請求項1所述之方法，其中該使用者輸入包括一使用者指示該企業可控制對該裝置上的資料存取。
6. 如專利請求項5所述之方法，其中該使用者輸入指示該企業可執行以下所述中的一或多個：鎖定該裝置、抹除該裝置上的全部使用者資料、將該裝置恢復到出廠設定、抹除該裝置上的全部企業資料、或抹除與裝置上特定應用關聯的資料。
7. 如專利請求項1所述之方法，其中該裝置經一般配置以在一封閉市集環境中使用，該封閉市場環境只允許一般可從該封閉市場得到的應用安裝在該裝置上，但該裝置經授權以安裝一般可從該封閉市場得到的一組應用之外的應用，且其中該組應用只提供給該特定企業中的使用者。
8. 一種用於在一裝置上安裝應用與設定配置的系統，該系統包括：一或多個處理器；及 一或多個電腦可讀取媒體，其中該一或多個電腦可讀取媒體包含電腦可執行指令，當該等可執行指令執行時，該等處理器中的一或多個使得該系統執行以下步驟：接收使用者輸入，該使用者輸入指示一使用者願意授予一第三方對一裝置的一控制層級；基於該使用者輸入指示的該控制層級以決定允許安裝在該裝置上的一組應用，其中允許安裝在該裝置上的該組應用受該使用者所指示的該控制層級限制；及授權在該裝置上的該組應用之安裝，但該使用者選擇該使用者願意授予該第三方在該裝置上一不同的控制層級而限制其他準授權應用之安裝。
9. 如專利請求項8所述之系統，其中該使用者輸入包括一使用者從一預定清單中選擇複數個項目，該使用者願意讓該第三方在該裝置上控制或限制該預定清單。
10. 如專利請求項8所述之系統，其中該使用者輸入包括一使用者指示該第三方可強制執行對該裝置的一或多個限制。
11. 如專利請求項10所述之系統，其中該一或多個限制包括以下所述中的一或多個：要求一密碼、要求在該裝置上安裝特定應用、限制該裝置到特定網路的存取、要求打開該裝置上的加密、要求安裝防毒軟體、要求更新防毒軟體、要求該裝置達到一最低的作業系統版本、要求該裝置上的密碼具有 一特定的複雜程度、要求該裝置上的密碼具有一特定的歷史紀錄要求、要求該裝置的硬體經特定的方式配置、要求該裝置上的一攝影機禁用或要求該裝置上的藍芽禁用。
12. 如專利請求項8所述之方法，其中該使用者輸入包括一使用者指示該第三方可控制該裝置上的資料存取。
13. 如專利請求項12所述之系統，其中該使用者輸入指示該第三方可執行以下所述中的一或多個：鎖定該裝置、抹除該裝置上的全部使用者資料、回復該裝置到出廠設定、抹除該裝置上的全部企業資料、或抹除該裝置上與特定應用關聯的資料。
14. 如專利請求項8所述之系統，其中該裝置經一般配置以在一封閉市場環境中使用，該封閉市場環境只允許一般可從該封閉市場得到的應用安裝在該裝置上，但該裝置經授權以安裝一般可從該封閉市場得到的一組應用之外的應用，且其中該組應用只提供給該特定企業中的使用者。
15. 一種電腦可讀取儲存媒體包括電腦可執行指令，當該等電腦可執行指令執行時，致使執行以下步驟：接收用於一裝置的使用者輸入，該裝置經一般配置以使用於一封閉市場環境中，該封閉市場環境只允許一般可從該 封閉市場得到的應用由一使用者安裝，該使用者輸入指示該使用者願意授予一企業對該裝置的一控制層級；基於該使用者輸入指示的該控制層級以決定被允許安裝在該裝置上的一組應用，其中被允許安裝在該裝置上的該組應用受該使用者指示的該控制層級限制，且其中該組應用從該企業所提供的應用中選擇，其中該應用一般不係從該封閉市集取得，但由負責該封閉市集的中央機構驗證；及授權在該裝置上的該組應用之安裝，但該使用者選擇該使用者願意授予該企業在該裝置上一不同的控制層級而限制其他準授權應用之安裝。
16. 如專利請求項15所述之電腦可讀取儲存媒體，其中該使用者輸入包括一使用者從一預定清單中選擇複數個項目，該使用者願意讓該企業控制或限制在該裝置上的該預定清單。
17. 如專利請求項15所述之電腦可讀取儲存媒體，其中該使用者輸入包括一使用者指示該企業可在該裝置上強制執行一或多個限制。
18. 如專利請求項17所述之電腦可讀取儲存媒體，其中該一或多個限制包括以下所述中的一或多個：要求一密碼、要求在該裝置上安裝特定應用、或限制該裝置到特定網路的存取。
19. 如專利請求項15所述之電腦可讀取儲存媒體，其中該使用者輸入包括一使用者指示該企業可控制對該裝置上的資料存取。
20. 如專利請求項19所述之電腦可讀取儲存媒體，其中該使用者輸入指示該企業可執行以下所述中的一或多個：鎖定該裝置、抹除該裝置上的全部使用者資料、恢復該裝置到出廠設定、抹除該裝置上的全部企業資料、或抹除與該裝置上特定應用關聯的資料。