TWI470981B - 企業內網路的應用程序整合登錄方法及其驗證伺服器 - Google Patents

Description

企業內網路的應用程序整合登錄方法及其驗證伺服器

一種應用程序整合登錄方法及其驗證伺服器，特別係指一種提供位於企業外網路的企業用戶端透過整合登錄界面登入，經過驗證後可登錄至企業內網域中應用程序伺服器的應用程序整合登錄方法及其驗證伺服器。

企業內網路是一種因應企業內部管理及企業內共同消息發佈需求而產生的私人網路，透過內部區域網路的佈署，除了可以避免企業內部重要訊息輕易外流，也可以利用區域網路內的網路溝通機制快速發佈企業內專屬的消息或進行資料的交換與共用，因此近年來許多企業都採用企業內網路的建置方式架構其內部資訊系統。

由於企業內網路提升了共同資訊平台的存取效率，許多企業除了透過企業內網路發佈企業消息外，也透過在企業內網路建置如：企業內所購置的企業版公用軟體、企業內部管理系統、企業內部資訊交換系統…等提供不同應用程序的應用程序伺服器來提高資源的即時利用和管理效能。

然而，以內部區域網路建置的企業內網路因為採用虛擬網路協定(Virtual Internet Protocol,Virtual IP)，一般企業外網路的企業用戶端並無法存取企業內網域中的應用程序。雖然坊間存在某些企業內網域可提供企業外網路的企業用戶端進入到企業內網域中，但當企業外網路企業用戶端在存取該企業內網域的不同應用程序時，必須要重複進行企業內網域及應用程式伺服器的登入操作，往往造成使用者的不便，因此有必要提出改進的技術手段，來解決此一問題。

有鑒於先前技術存在的企業外網路企業用戶端在存取企業內網域的不同應用程序時，必須要重複進行企業內網域及應用程式伺服器的登入操作的問題，本發明遂揭露一種企業內網路的應用程序整合登錄方法及其驗證伺服器，其中：本發明所揭露之企業內網路的應用程序整合登錄方法，所述之方法包含下列步驟：透過驗證伺服器接收企業用戶端自企業網路所傳送的網域身份憑證並驗證企業用戶端是否具有企業內網域的登入權限；及當驗證伺服器判定企業用戶端具有企業內網域的登入權限時，執行下列步驟：驗證伺服器根據網域身份憑證到企業內網域中的至少一應用程序伺服器中比對，查找出企業用戶端已註冊的至少一應用程序，並產生與企業用戶端已註冊的各應用程序唯一且不重複對應的至少一令牌(token)；驗證伺服器儲存至少一令牌，並將企業用戶端已註冊的至少一應用程序的選項匯出至應用程序清單；驗證伺服器傳送應用程式清單至企業用戶端供企業用戶端選取執行的應用程序；及驗證伺服器接收企業用戶端選取執行的第一應用程序並擷取對應第一應用程序的令牌後，根據所述令牌將企業用戶端登入至第一應用程序伺服器，並刪除所述令牌。

本發明所揭露之驗證伺服器，其包含：網域用戶資料庫，用以預先儲存企業內網域的至少一企業用戶端的用戶資料；網域登入模組，用以接收企業用戶端自企業外網路所傳送的網域身份憑證，並根據網域身份憑證至網域用戶資料庫中比對企業用戶端是否具有企業內網域的登入權限；及程序存取管理模組，用以於判定該企業用戶端具有企業內網域的登入權限時執行企業用戶端對企業內網域中的至少一應用程序的存取操作，程序存取管理模組包含：整合單元，用以到應用程序伺服器中搜尋出企業用戶端已註冊的應用程序，並將企業用戶端已註冊的應用程序的選項匯出至應用程序清單，並將應用程序清單傳送至企業用戶端供企業用戶端選取執行的應用程序；及程序登入單元，用以於整合單元比對出企業用戶端已註冊的至少一應用程序時，產生並儲存與企業用戶端已註冊的各應用程序唯一且不重複對應的令牌(token)；及用以於整合單元接收到企業用戶端選取執行的第一應用程序時擷取對應第一應用程序的令牌，並根據所述令牌將企業用戶端登入至第一應用程序伺服器，並刪除所述令牌。

本發明所揭露之系統與方法如上，與先前技術之間的差異在於本發明具有於判斷企業外網路的企業用戶端具有企業內網域的登入權限時，產生對應企業用戶端於企業內網域可操作的至少一應用程序的清單供企業用戶端選取執行，並於接收到企業用戶端選取的應用程序時，將企業用戶端登錄至對應的應用程序伺服器的技術手段。

透過上述的技術手段，本發明可以達成使位於企業外網路企業用戶端登入企業內網域的應用程序伺服器時減少重複登入操作的技術功效。

以下將配合圖式及實施例來詳細說明本發明之實施方式，藉此對本發明如何應用技術手段來解決技術問題並達成技術功效的實現過程能充分理解並據以實施。

首先，請先參考「第1A圖」，為本發明企業內網路的應用程序整合登錄方法的流程圖，將用以說明本發明的實施流程。

本發明之企業內網路的應用程序整合登錄方法適用於企業用戶端透過企業外網路連接至企業內網域時，其中，企業內網域包含驗證伺服器及至少一應用程序伺服器。驗證伺服器，係用以提供企業外網路的企業用戶端執行企業內網路的應用程序整合登錄的伺服器。而應用程序伺服器，則係於該企業內網域中提供不同應用程序的伺服器。企業內網域中提供的應用程序可以是企業內所購置的企業版公用軟體、企業內部管理系統、企業內部資訊交換系統…等，此為熟悉此領域技藝者所得知，在此則不加贅述。

首先，驗證伺服器接收企業用戶端輸入的網域身份憑證(步驟110)。網域身份憑證可以是企業用戶端所輸入的帳戶名稱和密碼，也可以是企業用戶端儲存於本地端的某個憑證檔案，在此則不針對身份憑證的形式加以限定，只要可作為判別是否為企業內網域具有登入權限的憑證均在本發明所述之網域身份憑證的範疇中。

接著，驗證伺服器驗證企業用戶端是否具有企業內網域的登入權限(步驟120)，當企業用戶端具有登入權限時，驗證伺服器根據網域身份憑證至所有應用程序伺服器中比對出企業用戶端已註冊的應用程序，並產生與已註冊的各應用程序唯一且不重複對應的至少一令牌(步驟130)。

步驟130中驗證伺服器判別企業用戶端已註冊的應用程序係先由驗證伺服器對各個應用程序伺服器發出連線請求，以便一一造訪該企業內網域的所有應用程序伺服器並比對各應用程序伺服器中企業用戶端的註冊記錄。當驗證伺服器與某一應用程序伺服器的連線無法建立時，驗證伺服器將會產生對應該應用程序對應的連線失敗記錄，以便將來在提供企業用戶端目前可以使用的應用程序的清單時，可以一併將企業內網域可使用但目前暫停服務或連線失敗的應用程序輸出，藉此提示企業用戶端各應用程序的目前狀態。

當驗證伺服器與應用程序伺服器的連線建立時，驗證伺服器將會根據網域身份憑證至企業內網域所提供的所有應用程序伺服器當中搜尋應用程序伺服器中是否存在對應的註冊記錄。由於不同的企業用戶端雖然可能同樣具有登入企業內網域的登入權限，但每個企業用戶端對於同一應用程序卻可能具有不同的使用權限，因此為了方便管理，應用程序伺服器當中一般僅儲存有已註冊該應用程序的企業用戶端的註冊記錄。當比對出應用程序伺服器中具有對應網域身份憑證的註冊記錄時，驗證伺服器將會判定該應用程序為企業用戶端已註冊的應用程序，並產生一個唯一且不重複的令牌(token)作為自動登入的依據，當驗證伺服器造訪完所有應用程序伺服器後，驗證伺服器將會儲存所有令牌，並將企業用戶端已註冊的所有應用程序的選項匯出至應用程序清單(步驟140)，然後再由驗證伺服器傳送應用程式清單至企業用戶端，供企業用戶端選取執行的應用程序(步驟150)。最後，驗證伺服器接收企業用戶端選取執行的應用程序並擷取對應的該令牌後，根據該令牌將企業用戶端登入至該應用程序伺服器並刪除該令牌(步驟160)。

值得一提的是，令牌(token)當中可以包含一個唯一且不重複的識別號、應用程序名稱、企業用戶端資訊及創建時間等資料項，藉由這些資料項，當企業用戶端選取執行某個應用程序時，可以快速取用對應的令牌(token)，以令牌(token)直接將用戶登錄到該應用程序伺服器中。

接著，請參考「第1B圖」，同樣為本發明企業內網路的應用程序整合登錄方法的流程圖，「第1B圖」為「第1A圖」中步驟120後，企業用戶端被判定為不具登入權限時的處理步驟。與「第1A圖」的差別在於當企業用戶端被判定為不具登入權限時，驗證伺服器產生未授權登入記錄並傳送未授權提示至企業用戶端輸出(步驟132)。藉此日後在維修驗證伺服器時可以檢視未授權登入記錄，判別是否有非企業用戶端惡意存取或企業用戶端不正常登入的情況。

接下來，請參考「第2圖」，為本發明驗證伺服器執行企業內網路的應用程序整合登錄的架構示意圖，將搭配一實施例來說明本發明的詳細實施方式。

首先，本發明用以執行企業內網路的應用程序整合登錄方法之驗證伺服器300，其適用於對外透過企業外網路201與企業用戶端210連接，對內透過企業內網路301與至少一應用程序伺服器302～304連接形成企業內網域時，其中每一應用程序伺服器302～304係用以提供不同的應用程序。

企業內網路301，指的是企業內部所使用的私人內部網路，採用的是企業內部的虛擬網路協定進行網路封包的交換，與企業外網路201的差別在於企業外網路201為網路提供業者所提供的廣域網路。

本發明之驗證伺服器300其包含：網域用戶資料庫310、網域登入模組320及程序存取管理模組330。

網域用戶資料庫310，用以預先儲存該企業內網域的至少一企業用戶端的用戶資料。假設本實施例中的企業為“A公司”，則網域用戶資料庫310中儲存的即為“A公司”員工的用戶資料。

網域登入模組320，用以接收企業用戶端210輸入的網域身份憑證，並根據網域身份憑證至網域用戶資料庫310中比對企業用戶端210是否具有企業內網路的登入權限。需要說明的是，網域身份憑證可以是企業用戶端所輸入的帳戶名稱和密碼，也可以是企業用戶端儲存於本地端的某個憑證檔案，在此則不針對身份憑證的形式加以限定，只要可作為判別是否為企業內網域具有登入權限的憑證均在本發明所述之網域身份憑證的範疇中。

網域登入模組320當中包含一個記錄單元322，用以於判定企業用戶端210不具有企業內網路301的登入權限時產生一個未授權登入記錄並傳送未授權提示至企業用戶端210輸出。

假設“A公司”的員工作為一企業外網路201的企業用戶端210欲登入企業內網路301並存取第一應用程序，則此時網域登入模組320將會接收企業用戶端210輸入的網域身份憑證，並根據網域身份憑證至網域用戶資料庫310中比對企業用戶端210是否具有企業內網路的登入權限。若“A公司”的某一個離職員工已經不具有登入權限時，記錄單元322將會產生一個未授權登入記錄並傳送未授權提示至該離職員工端輸出。所產生的未授權登入記錄係用以供日後維修驗證伺服器時可以檢視未授權登入記錄，判別是否有非企業用戶端惡意存取或企業用戶端不正常登入的情況。

當網域登入模組320判斷企業用戶端210具有登入權限時，此時程序存取管理模組330將會執行企業用戶端210對企業內網路301中至少一應用程序的存取操作。

程序存取管理模組330中包含整合單元332及程序登入單元334。整合單元332用以至應用程序伺服器302～304中比對出企業用戶端210已註冊的至少一應用程序，並將企業用戶端210已註冊的至少一應用程序的選項匯出至一應用程序清單。需要特別說明的是，整合單元332至應用程序伺服器302～304中比對註冊記錄前，首先會對應用程序伺服器302～304發出連線請求，當無法建立連線時，整合單元332將會產生與無法建立連線的應用程序對應的連線失敗記錄，以便日後輸出服務錯誤提示告知企業用戶端210企業內網域可使用但目前暫停服務或連線失敗的應用程序為哪一應用程序。

程序登入單元334，用以於整合單元332比對出企業用戶端210已註冊的應用程序時，產生並儲存分別與企業用戶端210已註冊的各應用程序唯一且不重複對應的令牌。除此之外，程序登入單元334也用以於整合單元332接收到企業用戶端210選取執行的應用程序時擷取對應的令牌，並根據該令牌將企業用戶端210登入至對應的應用程序伺服器，並刪除該令牌。

舉例來說，假設目前驗證伺服器300與應用程序伺服器302～304的連線已建立，且企業用戶端210已註冊的應用程序為第一應用程序伺服器302所提供的第一應用程序及第二應用程序伺服器303所提供的第二應用程序，則此時由於第一應用程序伺服器302及第二應用程序伺服器303中儲存有企業用戶端的註冊記錄，則程序登入單元334將會產生第一應用程序及第二應用程序的令牌(token)。假設企業用戶端210選取執行第一應用程序時，程序登入單元334將會擷取第一應用程序的令牌，並將企業用戶端210登入至第一應用程序伺服器302當中。

藉此，企業用戶端210在透過企業外網路201存取企業內網路301中的應用程序伺服器302～304時，便無須重複以手動的方式輸入網域身份憑證，驗證伺服器200可以提供一個單一的整合登錄界面，企業用戶端210只要登入企業內網路301中，便可以同時登錄至已註冊的應用程序伺服器當中。

綜上所述，可知本發明與先前技術之間的差異在於具有於判斷企業外網路的企業用戶端具有企業內網域的登入權限時，產生對應企業用戶端於企業內網域可操作的至少一應用程序的清單供企業用戶端選取執行，並於接收到企業用戶端選取的應用程序時，將企業用戶端登錄至對應的應用程序伺服器的技術手段，藉由此一技術手段可以解決先前技術所存在的問題，進而達成減少企業外網路企業用戶端重複登入操作的技術功效。

雖然本發明所揭露之實施方式如上，惟所述之內容並非用以直接限定本發明之專利保護範圍。任何本發明所屬技術領域中具有通常知識者，在不脫離本發明所揭露之精神和範圍的前提下，可以在實施的形式上及細節上作些許之更動。本發明之專利保護範圍，仍須以所附之申請專利範圍所界定者為準。

201．．．企業外網路

210．．．企業用戶端

300．．．驗證伺服器

301．．．企業內網路

302．．．第一應用程序伺服器

303．．．第二應用程序伺服器

304．．．第三應用程序伺服器

310．．．網域用戶資料庫

320．．．網域登入模組

322．．．記錄單元

330．．．程序存取管理模組

332．．．整合單元

334．．．程序登入單元

步驟110　驗證伺服器接收企業用戶端輸入的網域身份憑證

步驟120　驗證伺服器驗證企業用戶端是否具有企業內網域的登入權限

步驟130　驗證伺服器根據網域身份憑證至所有應用程序伺服器中比對出企業用戶端已註冊的應用程序，並產生與已註冊的各應用程序唯一且不重複對應的至少一令牌

步驟132　驗證伺服器產生未授權登入記錄並傳送未授權提示至企業用戶端輸出

步驟140　驗證伺服器儲存所有令牌並將企業用戶端已註冊的所有應用程序的選項匯出至應用程序清單

步驟150　驗證伺服器傳送應用程式清單至企業用戶端供企業用戶端選取執行的應用程序

步驟160　驗證伺服器接收企業用戶端選取執行的應用程序並擷取對應的該令牌後，根據該令牌將企業用戶端登入至該應用程序伺服器並刪除該令牌

第1A圖及第1B圖為本發明企業內網路的應用程序整合登錄方法的流程圖。

第2圖為本發明中驗證伺服器執行企業內網路的應用程序整合登錄的架構示意圖。

201．．．企業外網路

210．．．企業用戶端

300．．．驗證伺服器

301．．．企業內網路

302．．．第一應用程序伺服器

303．．．第二應用程序伺服器

304．．．第三應用程序伺服器

310．．．網域用戶資料庫

320．．．網域登入模組

322．．．記錄單元

330．．．程序存取管理模組

332．．．整合單元

334．．．程序登入單元

Claims (6)

1. 一種企業內網路的應用程序整合登錄方法，該方法包含下列步驟：透過一驗證伺服器接收一企業用戶端自一企業外網路所傳送的一網域身份憑證並驗證該企業用戶端是否具有該企業內網域的登入權限；及當該驗證伺服器判定該企業用戶端具有該企業內網域的登入權限時，執行下列步驟：該驗證伺服器判斷與一企業內網域中的至少一應用程序伺服器的連線是否建立，當連線無法建立時，該驗證伺服器產生與該應用程序對應的一連線失敗記錄；該驗證伺服器判斷與該企業內網域中的該至少一應用程序伺服器的連線是否建立，當連線建立時，該驗證伺服器根據該網域身份憑證到該企業內網域中的該至少一應用程序伺服器中比對，查找出該企業用戶端已註冊的至少一應用程序，並產生與該企業用戶端已註冊的各該應用程序唯一且不重複對應的至少一令牌(token)；該驗證伺服器儲存該至少一令牌，並將該企業用戶端已註冊的該至少一應用程序的選項匯出至一應用程序清單；該驗證伺服器傳送該應用程式清單至該企業用戶端供該企業用戶端選取執行的應用程序；及該驗證伺服器接收該企業用戶端選取執行的一第一應用程序並擷取對應該第一應用程序的該令牌後，根據該 令牌將該企業用戶端登入至該第一應用程序伺服器，並刪除該令牌。
2. 如申請專利範圍第1項所述之企業內網路的應用程序整合登錄方法，其中該方法於該驗證伺服器判定該企業用戶端不具有該企業內網域的登入權限時，更包含該驗證伺服器產生一未授權登入記錄並傳送一未授權提示至該企業用戶端輸出的步驟。
3. 如申請專利範圍第1項所述之企業內網路的應用程序整合登錄方法，其中該方法中該驗證伺服器儲存該至少一令牌，並將該企業用戶端已註冊的該至少一應用程序的選項匯出至該應用程序清單的步驟中更包含同時將對應有該連線失敗記錄的該至少一應用程序的一服務錯誤提示匯出至該應用程序清單的步驟。
4. 一種驗證伺服器，其包含：一網域用戶資料庫，用以預先儲存一企業內網域的至少一企業用戶端的用戶資料；一網域登入模組，用以接收一企業用戶端自一企業外網路所傳送的一網域身份憑證，並根據該網域身份憑證至該網域用戶資料庫中比對該企業用戶端是否具有該企業內網域的登入權限；及一程序存取管理模組，用以於判定該企業用戶端具有該企業內網域的登入權限時執行該企業用戶端對該企業內網域中的至少一應用程序的存取操作，該程序存取管理模組包含：一整合單元，用以判斷該驗證伺服器與該至少一應用 程序伺服器的連線是否建立，當存在連線無法建立的該至少一應用程序伺服器時，該整合單元更用以產生與該應用程序對應的一連線失敗記錄，當存在連線建立的該至少一應用程序伺服器時，到該至少一應用程序伺服器中搜尋出該企業用戶端已註冊的至少一應用程序，並將該企業用戶端已註冊的該至少一應用程序的選項匯出至一應用程序清單，並將該應用程序清單傳送至該企業用戶端供該企業用戶端選取執行的應用程序；及一程序登入單元，用以於該整合單元比對出該企業用戶端已註冊的該至少一應用程序時，產生並儲存與該企業用戶端已註冊的各該應用程序唯一且不重複對應的至少一令牌(token)；及用以於該整合單元接收到該企業用戶端選取執行的一第一應用程序時擷取對應該第一應用程序的該令牌，並根據該令牌將該企業用戶端登入至該第一應用程序伺服器，並刪除該令牌。
5. 如申請專利範圍第4項所述之驗證伺服器，其中該網域登入模組更包含一記錄單元，用以於判定該企業用戶端不具有該企業內網域的登入權限時產生一未授權登入記錄並傳送一未授權提示至該企業用戶端輸出。
6. 如申請專利範圍第4項所述之驗證伺服器，其中該整合單元更用以將對應有該連線失敗記錄的該至少一應用程序的一服務錯誤提示匯出至該應用程序清單。