專利名稱：不進(jìn)行密碼共享情況下的安全系統(tǒng)訪問(wèn)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明一般地涉及改進(jìn)的數(shù)據(jù)處理裝置和方法，更具體地說(shuō)，本發(fā)明涉及用于由請(qǐng)求用戶在不共享證書(shū)所有者的密碼的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的裝置。
背景技術(shù)：
公司為工作和/或管理目的將系統(tǒng)(更一般地說(shuō)，資源)分配給一名或多名員工。 公司可將對(duì)資源的超級(jí)用戶權(quán)限授予一位所有者。超級(jí)用戶或所有者可持有授權(quán)其訪問(wèn)資源的證書(shū)(credential)。常見(jiàn)的證書(shū)包括用戶名和密碼。用戶名可以是私密的或公開(kāi)的； 但是密碼在多數(shù)情況下應(yīng)該是秘密的并且只有超級(jí)用戶權(quán)限所有者知道。當(dāng)需要時(shí)，所有者以外的用戶可能需要訪問(wèn)資源。如果所有者距離該用戶很近，所有者可以輸入用戶名和密碼以允許該用戶訪問(wèn)資源。或者，超級(jí)用戶權(quán)限所有者可以與該用戶共享密碼來(lái)允許其訪問(wèn)。在諸如軟件開(kāi)發(fā)之類的一些情況下，用戶可能偶爾需要使用資源。所有者可能不總是在跟前來(lái)允許該用戶訪問(wèn)資源，因此，通常會(huì)發(fā)生密碼共享。在這種情況下，會(huì)危及密碼的完整性，所有者必須頻繁地更改密碼。這就需要所有者在嚴(yán)苛的環(huán)境中跟蹤不斷改變的密碼并保護(hù)密碼的私密性，從而給所有者帶來(lái)負(fù)擔(dān)。

發(fā)明內(nèi)容
在一個(gè)示例性實(shí)施例中，在數(shù)據(jù)處理系統(tǒng)中提供了一種用于執(zhí)行安全系統(tǒng)訪問(wèn)的方法。所述方法包括識(shí)別系統(tǒng)信息數(shù)據(jù)庫(kù)中的用于共享系統(tǒng)的項(xiàng)。所述項(xiàng)包括主機(jī)標(biāo)識(shí)符、 協(xié)議、所有者標(biāo)識(shí)符和證書(shū)。所述方法進(jìn)一步包括將訪問(wèn)請(qǐng)求發(fā)送到與所有者關(guān)聯(lián)的客戶機(jī)，以及響應(yīng)于所有者授權(quán)請(qǐng)求用戶訪問(wèn)共享系統(tǒng)，使用協(xié)議和證書(shū)打開(kāi)與主機(jī)的會(huì)話。在其他示例性實(shí)施例中，提供了一種包括具有計(jì)算機(jī)可讀程序的計(jì)算機(jī)可用或可讀介質(zhì)的計(jì)算機(jī)程序產(chǎn)品。所述計(jì)算機(jī)可讀程序當(dāng)在計(jì)算設(shè)備上執(zhí)行時(shí)，可使所述計(jì)算設(shè)備執(zhí)行上面根據(jù)示例性方法實(shí)施例列出的各個(gè)操作以及這些操作的組合。在又一示例性實(shí)施例中，提供一種系統(tǒng)/裝置。所述系統(tǒng)/裝置包括一個(gè)或多個(gè)處理器以及與所述一個(gè)或多個(gè)處理相連的存儲(chǔ)器。所述存儲(chǔ)器可包括指令，所述指令當(dāng)由所述一個(gè)或多個(gè)處理器執(zhí)行時(shí)，使得所述一個(gè)或多個(gè)處理器執(zhí)行上面根據(jù)示例性方法實(shí)施例列出的各個(gè)操作以及這些操作的組合。本發(fā)明的上述以及其他特征和優(yōu)點(diǎn)將在下面對(duì)本發(fā)明的示例性實(shí)施例的詳細(xì)說(shuō)明中進(jìn)行描述，并且通過(guò)所述描述，上述以及其他特征和優(yōu)點(diǎn)對(duì)于本領(lǐng)域的技術(shù)人員而言將是顯而易見(jiàn)的。


當(dāng)結(jié)合附圖閱讀下面對(duì)示例性實(shí)施例的詳細(xì)說(shuō)明時(shí)，可以最佳地理解發(fā)明本身及其優(yōu)選使用方式和進(jìn)一步的目標(biāo)和優(yōu)點(diǎn)，在這些附圖中
圖1示出其中可以實(shí)現(xiàn)示例性實(shí)施例的方面的分布式數(shù)據(jù)處理系統(tǒng)示例的圖形表不；圖2是其中可以實(shí)現(xiàn)示例性實(shí)施例的方面的數(shù)據(jù)處理系統(tǒng)示例的方塊圖；圖3是示出根據(jù)示例性實(shí)施例沒(méi)有密碼共享的安全系統(tǒng)訪問(wèn)的圖表；圖4是示出根據(jù)示例性實(shí)施例所有者客戶機(jī)在不進(jìn)行密碼共享的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的操作示例的流程圖；以及圖5是示出根據(jù)示例性實(shí)施例請(qǐng)求者客戶機(jī)在不進(jìn)行密碼共享的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的操作示例的流程圖。
具體實(shí)施例方式示例性實(shí)施例提供了一種由請(qǐng)求用戶在不共享證書(shū)所有者的密碼的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的裝置。數(shù)據(jù)庫(kù)存儲(chǔ)資源的系統(tǒng)信息。資源的超級(jí)用戶權(quán)限所有者將系統(tǒng)信息提供給所述數(shù)據(jù)庫(kù)，其中包括用于訪問(wèn)資源的證書(shū)。當(dāng)用戶希望訪問(wèn)系統(tǒng)時(shí)，請(qǐng)求者的客戶機(jī)軟件將訪問(wèn)請(qǐng)求發(fā)送到所有者的客戶機(jī)軟件。所有者的客戶機(jī)軟件提示所有者授權(quán)或拒絕訪問(wèn)。響應(yīng)于所有者授權(quán)訪問(wèn)，所有者的客戶機(jī)軟件將授權(quán)返回到請(qǐng)求者的客戶機(jī)軟件，請(qǐng)求者然后使用系統(tǒng)信息數(shù)據(jù)庫(kù)中的證書(shū)訪問(wèn)資源。請(qǐng)求者的客戶機(jī)軟件不緩存或存儲(chǔ)證書(shū)，也不向用戶呈現(xiàn)證書(shū)。因此，可以在包括分布式數(shù)據(jù)處理環(huán)境、單個(gè)數(shù)據(jù)處理設(shè)備等的許多不同類型的數(shù)據(jù)處理環(huán)境中使用示例性實(shí)施例。為了提供描述示例性實(shí)施例的特定元素和功能的上下文，下面提供了圖1和2作為其中可以實(shí)現(xiàn)示例性實(shí)施例的方面的環(huán)境示例。盡管對(duì)圖1和 2的描述主要著重于分布式數(shù)據(jù)處理環(huán)境，但這只是一個(gè)示例，并非旨在聲明或暗示對(duì)本發(fā)明特征的任何限制。相反，示例性實(shí)施例旨在還包括單個(gè)數(shù)據(jù)處理設(shè)備實(shí)現(xiàn)。現(xiàn)在參考附圖，尤其是圖1和2，它們提供了其中可以實(shí)現(xiàn)本發(fā)明的示例性實(shí)施例的數(shù)據(jù)處理環(huán)境的示例圖。應(yīng)該理解，圖1和2僅為示例，并非旨在宣稱或暗示對(duì)其中可以實(shí)現(xiàn)本發(fā)明的各方面或?qū)嵤├沫h(huán)境的任何限制。可以在不偏離本發(fā)明范圍的情況下，對(duì)所述環(huán)境做出許多修改。現(xiàn)在參考附圖，圖1示出其中可以實(shí)現(xiàn)示例性實(shí)施例的方面的分布式數(shù)據(jù)處理系統(tǒng)示例的圖形表示。分布式數(shù)據(jù)處理系統(tǒng)100包括其中可以實(shí)現(xiàn)示例性實(shí)施例的方面的計(jì)算機(jī)的網(wǎng)絡(luò)。分布式數(shù)據(jù)處理系統(tǒng)100包含至少一個(gè)網(wǎng)絡(luò)102，網(wǎng)絡(luò)102是用于提供分布式數(shù)據(jù)處理系統(tǒng)100內(nèi)連接在一起的各種設(shè)備和計(jì)算機(jī)之間的通信鏈路的介質(zhì)。網(wǎng)絡(luò)102包括諸如有線、無(wú)線通信鏈路或光纜之類的連接。在所述示例中，服務(wù)器104和服務(wù)器106連同存儲(chǔ)裝置108與網(wǎng)絡(luò)102相連。此外，客戶機(jī)110、112和114也與網(wǎng)絡(luò)102相連。這些客戶機(jī)110、112和114可以例如是個(gè)人計(jì)算機(jī)、網(wǎng)絡(luò)計(jì)算機(jī)或類似的設(shè)備。在所述示例中，服務(wù)器104將諸如引導(dǎo)文件、操作系統(tǒng)映像以及應(yīng)用之類的數(shù)據(jù)提供給客戶機(jī)110、112和114。在所述示例中，客戶機(jī)110、112 和114是服務(wù)器104的客戶機(jī)。分布式數(shù)據(jù)處理系統(tǒng)100可包括其他服務(wù)器、客戶機(jī)以及其他未示出的設(shè)備。在所述示例中，分布式數(shù)據(jù)處理系統(tǒng)100是因特網(wǎng)，其中網(wǎng)絡(luò)102代表全球范圍內(nèi)使用傳輸控制協(xié)議/網(wǎng)際協(xié)議(TCP/IP)協(xié)議套來(lái)相互通信的網(wǎng)絡(luò)和網(wǎng)關(guān)的集合。在因特
4網(wǎng)的核心是主節(jié)點(diǎn)或主機(jī)之間的高速數(shù)據(jù)通信線路的主干，它包括數(shù)以千計(jì)的路由數(shù)據(jù)和消息的商業(yè)、政府、教育以及其他計(jì)算機(jī)系統(tǒng)。當(dāng)然，分布式數(shù)據(jù)處理系統(tǒng)100也可以被實(shí)現(xiàn)為包括若干不同類型的網(wǎng)絡(luò)，例如內(nèi)部網(wǎng)、局域網(wǎng)(LAN)、廣域網(wǎng)(WAN)等。如上所述，圖 1旨在作為一個(gè)示例，并非旨在作為對(duì)本發(fā)明的不同實(shí)施例的體系結(jié)構(gòu)限制，因此，圖1中示出的特定元素不應(yīng)被視為對(duì)其中可實(shí)現(xiàn)本發(fā)明的示例性實(shí)施例的環(huán)境進(jìn)行限制。服務(wù)器104，例如，可以控制對(duì)諸如服務(wù)器104上存儲(chǔ)裝置108內(nèi)的數(shù)據(jù)庫(kù)、硬件資源或軟件資源之類的資源的訪問(wèn)?？蛻魴C(jī)110處的用戶，例如，可以是資源的超級(jí)用戶權(quán)限的所有者?？蛻魴C(jī)112處的用戶，例如，可能希望訪問(wèn)資源。因此，為了允許訪問(wèn)，客戶機(jī) 110處用戶會(huì)移動(dòng)到客戶機(jī)112處來(lái)輸入證書(shū)，或者與客戶機(jī)112處的用戶共享證書(shū)。根據(jù)示例性實(shí)施例，所有者可通過(guò)存儲(chǔ)包括資源訪問(wèn)證書(shū)的系統(tǒng)信息，在系統(tǒng)信息數(shù)據(jù)庫(kù)內(nèi)將資源注冊(cè)為系統(tǒng)。系統(tǒng)信息數(shù)據(jù)庫(kù)可以存儲(chǔ)在例如，存儲(chǔ)裝置108內(nèi)。客戶機(jī)112上的客戶機(jī)軟件可向客戶機(jī)110處的所有者發(fā)送請(qǐng)求。客戶機(jī)110上的客戶機(jī)軟件然后可提示所有者授權(quán)或拒絕對(duì)資源的訪問(wèn)。如果所有者授權(quán)訪問(wèn)，則客戶機(jī)110可將授權(quán)發(fā)送到客戶機(jī)112?？蛻魴C(jī)112上的客戶機(jī)軟件然后可以使用來(lái)自系統(tǒng)信息數(shù)據(jù)庫(kù)的證書(shū)訪問(wèn)資源，而不存儲(chǔ)、緩存或在外部呈現(xiàn)證書(shū)?，F(xiàn)在參考圖2，圖2示出了其中可以實(shí)現(xiàn)示例性實(shí)施例的方面的數(shù)據(jù)處理系統(tǒng)示例的方塊圖。數(shù)據(jù)處理系統(tǒng)200是計(jì)算機(jī)(如圖1中的客戶機(jī)110)的示例，實(shí)現(xiàn)本發(fā)明的示例性實(shí)施例的過(guò)程的計(jì)算機(jī)可用代碼或指令可以位于其中。在所示示例中，數(shù)據(jù)處理系統(tǒng)200采用包括北橋及內(nèi)存控制中心(NB/MCH) 202和南橋及輸入/輸出(I/O)控制中心(SB/ICH)204的中心體系結(jié)構(gòu)。處理單元206、主存儲(chǔ)器208以及圖形處理器210與NB/MCH 202相連。圖形處理器210可以通過(guò)加速圖形端口 (AGP)與 NB/MCH 202 相連。在所示示例中，局域網(wǎng)(LAN)適配器212與SB/ICH 204相連。音頻適配器216、鍵盤(pán)和鼠標(biāo)適配器220、調(diào)制解調(diào)器222、只讀存儲(chǔ)器(ROM) 224、硬盤(pán)驅(qū)動(dòng)器(HDD) 226 WD-ROM 驅(qū)動(dòng)器230、通用串行總線(USB)端口和其他通信端口 232、以及PCI/PCIe設(shè)備234通過(guò)總線238和總線240與SB/ICH 204相連。PCI/PCIe設(shè)備可以包括，例如，以太網(wǎng)適配器、外接卡以及用于筆記本計(jì)算機(jī)的PC卡。PCI使用卡總線控制器，而PCIe不使用。ROM 2 可以是，例如，閃速基本輸入/輸出系統(tǒng)(BIOS)。HDD 226 和 CD-ROM 驅(qū)動(dòng)器 230 通過(guò)總線 240 與 SB/ICH 204 相連。HDD 226 和 CD-ROM驅(qū)動(dòng)器230可以使用，例如，集成驅(qū)動(dòng)器電子設(shè)備(IDE)或串行高級(jí)技術(shù)附件 (SATA)接口。超級(jí)I/0(SI0)設(shè)備236可以與SB/ICH 204相連。操作系統(tǒng)在處理單元206上運(yùn)行。操作系統(tǒng)協(xié)調(diào)并提供對(duì)圖2中的數(shù)據(jù)處理系統(tǒng) 200內(nèi)的各種組件的控制。作為客戶端，操作系統(tǒng)可以是諸如Microsoft Windows XP (Microsoft和Windows是MicrosoftCorporation在美國(guó)、其他國(guó)家或兩者的商標(biāo))之類的商業(yè)上可獲得的操作系統(tǒng)。諸如Java 編程系統(tǒng)之類的面向?qū)ο蟮木幊滔到y(tǒng)可以與操作系統(tǒng)一起運(yùn)行并從在數(shù)據(jù)處理系統(tǒng)200上執(zhí)行的Java 程序或應(yīng)用提供對(duì)操作系統(tǒng)的調(diào)用 (Java是Sun Microsystems, Inc.在美國(guó)、其他國(guó)家或兩者的商標(biāo))。作為服務(wù)器，數(shù)據(jù)處理系統(tǒng)200可以是，例如，運(yùn)行Advancedlnteractive Executive ( AIX )操作系統(tǒng)或LINUX 操作系統(tǒng)的IBM eServer System P 計(jì)算機(jī)系統(tǒng)(必erverjystem ρ和AIX是國(guó)際商業(yè)機(jī)器公司在美國(guó)、其他國(guó)家或兩者的商標(biāo)， 而LINUX是Linus Torvalds在美國(guó)、其他國(guó)家或兩者的商標(biāo))。數(shù)據(jù)處理系統(tǒng)200可以是在處理單元206中包括多個(gè)處理器的對(duì)稱多處理器(SMP)系統(tǒng)?；蛘撸梢圆捎脝翁幚砥飨到y(tǒng)。操作系統(tǒng)、面向?qū)ο蟮木幊滔到y(tǒng)以及應(yīng)用或程序的指令位于諸如HDD2^5之類的存儲(chǔ)設(shè)備上，并可以加載到主存儲(chǔ)器208中以便由處理單元206來(lái)執(zhí)行。本發(fā)明的示例性實(shí)施例的過(guò)程可以由處理單元206使用計(jì)算機(jī)可用程序代碼來(lái)執(zhí)行，所述程序代碼可以位于諸如主存儲(chǔ)器208、ROM 204之類的存儲(chǔ)器之中，也可以位于例如一個(gè)或多個(gè)外圍設(shè)備226 和230中。諸如圖2中示出的總線238或總線240之類的總線系統(tǒng)可以包括一條或多條總線。當(dāng)然，總線系統(tǒng)可使用在與通信結(jié)構(gòu)或體系結(jié)構(gòu)相連的不同組件或設(shè)備之間提供數(shù)據(jù)傳輸?shù)娜魏晤愋偷耐ㄐ沤Y(jié)構(gòu)或體系結(jié)構(gòu)來(lái)實(shí)現(xiàn)。諸如圖2中的調(diào)制解調(diào)器222或網(wǎng)絡(luò)適配器212之類的通信單元可以包括一個(gè)或多個(gè)用于傳輸和接收數(shù)據(jù)的設(shè)備。存儲(chǔ)器可以是， 例如，主存儲(chǔ)器208、ROM 224或諸如在圖2的NB/MCH 202中找到的高速緩存。本領(lǐng)域中的技術(shù)人員將理解，圖1和2中的硬件可以根據(jù)實(shí)施方式而不同。除了圖1和2中所示的硬件以外，或替代圖1和2中所示的硬件，還可以使用諸如閃存、等效的非易失性存儲(chǔ)器或光盤(pán)驅(qū)動(dòng)器之類的其他內(nèi)部硬件或外圍設(shè)備。而且，除了上述SMP系統(tǒng)之外，示例性實(shí)施例的各過(guò)程還可以應(yīng)用于多處理器數(shù)據(jù)處理系統(tǒng)，而不偏離本發(fā)明的范圍。此外，數(shù)據(jù)處理系統(tǒng)200可采取包括客戶機(jī)計(jì)算設(shè)備、服務(wù)器計(jì)算設(shè)備、平板計(jì)算機(jī)、膝上型計(jì)算機(jī)、電話或其他通信設(shè)備、個(gè)人數(shù)字助理(PDA)等在內(nèi)的若干不同數(shù)據(jù)處理系統(tǒng)中的任何一個(gè)的形式。在某些示例性示例中，數(shù)據(jù)處理系統(tǒng)200可以是便攜式計(jì)算設(shè)備，例如，它可以具備閃存來(lái)提供用于存儲(chǔ)操作系統(tǒng)文件和/或用戶產(chǎn)生的數(shù)據(jù)的非易失性存儲(chǔ)。本質(zhì)上，數(shù)據(jù)處理系統(tǒng)200可以是任何已知或?qū)?lái)開(kāi)發(fā)的沒(méi)有任何體系結(jié)構(gòu)限制的數(shù)據(jù)處理系統(tǒng)。圖3是示出根據(jù)示例性實(shí)施例在不進(jìn)行密碼共享的情況下的安全系統(tǒng)訪問(wèn)的圖表。請(qǐng)求者客戶機(jī)330和所有者客戶機(jī)340包括多個(gè)通信協(xié)議，例如，Secure Shell (SSH)、 Telnet、終端服務(wù)(TS)等?？蛻魴C(jī)330和客戶機(jī)340可包括位于客戶端計(jì)算機(jī)上能夠?qū)崿F(xiàn)不同系統(tǒng)訪問(wèn)機(jī)制的專用客戶機(jī)軟件。客戶機(jī)330和客戶機(jī)340在瀏覽共享系統(tǒng)、請(qǐng)求訪問(wèn)共享系統(tǒng)訪問(wèn)、以及允許或拒絕訪問(wèn)共享系統(tǒng)的過(guò)程期間處于活動(dòng)狀態(tài)并且與用戶進(jìn)行交互。在一個(gè)實(shí)施例實(shí)施中，客戶機(jī)330和客戶機(jī)340可嵌入諸如Sametime 之類的公司消息傳遞工具中?！癝AMETIME”是國(guó)際商業(yè)機(jī)器公司在美國(guó)、其他國(guó)家或兩者的商標(biāo)。所有者客戶機(jī)340通過(guò)在數(shù)據(jù)庫(kù)320中存儲(chǔ)系統(tǒng)信息注冊(cè)系統(tǒng)或資源。所述系統(tǒng)信息可包括，例如，主機(jī)標(biāo)識(shí)符、用于訪問(wèn)主機(jī)的協(xié)議以及用于訪問(wèn)系統(tǒng)的證書(shū)。所述證書(shū)可包括，例如，用戶名和密碼。此外，所述系統(tǒng)信息可包括將由請(qǐng)求者客戶機(jī)使用來(lái)發(fā)送訪問(wèn)請(qǐng)求的所有者標(biāo)識(shí)符。客戶機(jī)330處的請(qǐng)求者可以瀏覽系統(tǒng)信息數(shù)據(jù)庫(kù)320中的系統(tǒng)。所述系統(tǒng)包括數(shù)據(jù)庫(kù)、服務(wù)器應(yīng)用等。當(dāng)請(qǐng)求者識(shí)別到需要訪問(wèn)的共享系統(tǒng)時(shí)，請(qǐng)求者客戶機(jī)330將訪問(wèn)請(qǐng)求發(fā)送到所有者客戶機(jī)340。所述訪問(wèn)請(qǐng)求可包括業(yè)務(wù)需求(用戶希望訪問(wèn)系統(tǒng)的原因)。 這在訪問(wèn)跟蹤中是非常有用的信息?？蛻魴C(jī)340然后提示所有者向請(qǐng)求者授權(quán)或拒絕訪問(wèn)。響應(yīng)于所有者授權(quán)訪問(wèn)，客戶機(jī)340將授權(quán)通知或消息返回到客戶機(jī)330。如果所有者拒絕訪問(wèn)，客戶機(jī)340將拒絕通知返回到客戶機(jī)330。響應(yīng)于收到授權(quán)通知，客戶機(jī)330使用主機(jī)ID、協(xié)議和證書(shū)訪問(wèn)服務(wù)器310上的系統(tǒng)。服務(wù)器310可包括位于服務(wù)器計(jì)算機(jī)上能夠與客戶機(jī)通信的專用服務(wù)器軟件。服務(wù)器 310可向客戶機(jī)330、340提供共享的系統(tǒng)瀏覽功能和共享的系統(tǒng)證書(shū)?？蛻魴C(jī)330打開(kāi)與服務(wù)器310的會(huì)話，而不緩存或存儲(chǔ)證書(shū)，也不向外部提供證書(shū)。也就是說(shuō)，使用用戶名和密碼打開(kāi)會(huì)話對(duì)于請(qǐng)求用戶而言是透明的。在一個(gè)示例性實(shí)施例中，系統(tǒng)信息數(shù)據(jù)庫(kù)320包括當(dāng)所有者不可用時(shí)可被提示進(jìn)行授權(quán)的人員的擴(kuò)大列表。擴(kuò)大列表可包括另一所有者、團(tuán)隊(duì)領(lǐng)導(dǎo)者、管理人員、二線管理人員等。因此，當(dāng)客戶機(jī)340在預(yù)定時(shí)間內(nèi)無(wú)法得到授權(quán)或拒絕，訪問(wèn)請(qǐng)求可被客戶機(jī)340 轉(zhuǎn)發(fā)，或被客戶機(jī)330再次發(fā)送到擴(kuò)大列表中的下一人員。在另一示例性實(shí)施例中，共享系統(tǒng)信息數(shù)據(jù)庫(kù)320不存儲(chǔ)密碼。當(dāng)用戶請(qǐng)求訪問(wèn)系統(tǒng)時(shí)，服務(wù)器310可訪問(wèn)并創(chuàng)建偽(dummy)用戶，該偽用戶具有必要的對(duì)于共享系統(tǒng)的權(quán)限，例如，root、db2adm等。然后，當(dāng)請(qǐng)求用戶不再需要訪問(wèn)時(shí)，服務(wù)器310便刪除偽用戶。在進(jìn)一步的實(shí)施例中，共享系統(tǒng)所有者可以設(shè)置被授權(quán)的請(qǐng)求用戶可以使用共享系統(tǒng)的時(shí)間窗口?？蛻魴C(jī)340可將該時(shí)間窗口通知服務(wù)器310。在所述時(shí)間窗口結(jié)束時(shí)，服務(wù)器310可自動(dòng)將用戶從系統(tǒng)中退出。服務(wù)器310可以將此時(shí)間窗口應(yīng)用于客戶機(jī)330處使用所有者證書(shū)的用戶，或?qū)⒋藭r(shí)間窗口應(yīng)用于針對(duì)請(qǐng)求用戶創(chuàng)建的偽用戶。本領(lǐng)域的技術(shù)人員將理解，本發(fā)明可以實(shí)現(xiàn)為系統(tǒng)、方法或計(jì)算機(jī)程序產(chǎn)品。因此，本發(fā)明可以采取完全硬件實(shí)施例、完全軟件實(shí)施例(包括固件、駐留軟件、微代碼等) 或組合了軟件和硬件方面的實(shí)施例的形式，所有這些軟件和硬件方面在此通常被稱為“電路”、“模塊”或“系統(tǒng)”。此外，本發(fā)明可以采取體現(xiàn)在任何有形的表現(xiàn)介質(zhì)(在介質(zhì)中包含計(jì)算機(jī)可用程序代碼)中的計(jì)算機(jī)程序產(chǎn)品的形式?？梢允褂靡粋€(gè)或多個(gè)計(jì)算機(jī)可用或計(jì)算機(jī)可讀介質(zhì)的任意組合。所述計(jì)算機(jī)可用或計(jì)算機(jī)可讀介質(zhì)可以是(例如但不限于)電、磁、光、電磁、紅外線或半導(dǎo)體系統(tǒng)、裝置、設(shè)備或傳播介質(zhì)。計(jì)算機(jī)可讀介質(zhì)的更具體的示例(非窮舉列表)可以包括以下項(xiàng)具有一條或多條線的電連接、便攜式計(jì)算機(jī)軟盤(pán)、硬盤(pán)、隨機(jī)存取存儲(chǔ)器(RAM)、只讀存儲(chǔ)器(ROM)、 可擦寫(xiě)可編程只讀存儲(chǔ)器(EPR0M或閃存)、光纖、便攜式光盤(pán)只讀存儲(chǔ)器(CDROM)、光存儲(chǔ)設(shè)備、諸如那些支持因特網(wǎng)或內(nèi)聯(lián)網(wǎng)的傳輸介質(zhì)或磁存儲(chǔ)設(shè)備。要指出的是，所述計(jì)算機(jī)可用或計(jì)算機(jī)可讀介質(zhì)甚至可以是程序被打印在其上的紙張或其他適合的介質(zhì)，因?yàn)樗龀绦蚩梢酝ㄟ^(guò)例如光掃描所述紙張或其他介質(zhì)被電子地捕獲，然后被編譯、解釋或以其他適合的方式被處理(如果必要)，然后被存儲(chǔ)在計(jì)算機(jī)存儲(chǔ)器中。在本文檔的上下文中，計(jì)算機(jī)可用或計(jì)算機(jī)可讀介質(zhì)可以是任何能夠包含、存儲(chǔ)、傳送、傳播或傳輸由指令執(zhí)行系統(tǒng)、 裝置或設(shè)備使用或與所述指令執(zhí)行系統(tǒng)、裝置或設(shè)備關(guān)聯(lián)的程序的介質(zhì)。計(jì)算機(jī)可用介質(zhì)可以包括其中包含計(jì)算機(jī)可用程序代碼(在基帶中或作為載波的一部分)的傳播數(shù)據(jù)信號(hào)?？梢允褂萌魏芜m當(dāng)?shù)慕橘|(zhì)(包括但不限于無(wú)線、線纜、光纜、射頻(RF)等)來(lái)傳輸計(jì)算機(jī)可用程序代碼。用于執(zhí)行本發(fā)明的操作的計(jì)算機(jī)程序代碼可以使用一種或多種編程語(yǔ)言的任意組合來(lái)編寫(xiě)，所述編程語(yǔ)言包括諸如Java 、Smalltalk , C++或類似語(yǔ)言之類的面向?qū)ο蟮木幊陶Z(yǔ)言以及諸如“C”編程語(yǔ)言或類似的編程語(yǔ)言之類的常規(guī)過(guò)程編程語(yǔ)言。所述程序代碼可以作為獨(dú)立的軟件包完全地在用戶計(jì)算機(jī)上執(zhí)行，部分地在用戶計(jì)算機(jī)上執(zhí)行，部分地在用戶計(jì)算機(jī)上并部分地在遠(yuǎn)程計(jì)算機(jī)上執(zhí)行，或者完全地在遠(yuǎn)程計(jì)算機(jī)或服務(wù)器上執(zhí)行。在后者的情況中，所述遠(yuǎn)程計(jì)算機(jī)可以通過(guò)包括局域網(wǎng)(LAN)或廣域網(wǎng)(WAN)的任何類型網(wǎng)絡(luò)與用戶的計(jì)算機(jī)相連，也可以與外部計(jì)算機(jī)進(jìn)行連接(例如，使用因特網(wǎng)服務(wù)提供商通過(guò)因特網(wǎng)連接)。下面參考根據(jù)本發(fā)明的示例性實(shí)施例的方法、裝置(系統(tǒng))和計(jì)算機(jī)程序產(chǎn)品的流程圖和/或方塊圖對(duì)示例性實(shí)施例進(jìn)行描述。將理解，所述流程圖和/或方塊圖的每個(gè)方塊以及所述流程圖和/或方塊圖中的方塊的組合可以由計(jì)算機(jī)程序指令來(lái)實(shí)現(xiàn)。這些計(jì)算機(jī)程序指令可以被提供給通用計(jì)算機(jī)、專用計(jì)算機(jī)或其他可編程數(shù)據(jù)處理裝置的處理器以產(chǎn)生機(jī)器，以便通過(guò)所述計(jì)算機(jī)或其他可編程數(shù)據(jù)處理裝置的處理器執(zhí)行的所述指令產(chǎn)生用于實(shí)現(xiàn)在一個(gè)或多個(gè)流程圖和/或方塊圖方塊中指定的功能/操作的裝置。這些計(jì)算機(jī)程序指令也可以被存儲(chǔ)在引導(dǎo)計(jì)算機(jī)或其他可編程數(shù)據(jù)處理裝置以特定方式執(zhí)行功能的計(jì)算機(jī)可讀介質(zhì)中，以便存儲(chǔ)在所述計(jì)算機(jī)可讀介質(zhì)中的所述指令產(chǎn)生一件包括實(shí)現(xiàn)在所述一個(gè)或多個(gè)流程圖和/或方塊圖方塊中指定的功能/操作的指令裝置的制品。所述計(jì)算機(jī)程序指令還可被加載到計(jì)算機(jī)或其他可編程數(shù)據(jù)處理裝置，以導(dǎo)致在所述計(jì)算機(jī)或其他可編程裝置上執(zhí)行一系列操作步驟以產(chǎn)生計(jì)算機(jī)實(shí)現(xiàn)的過(guò)程，從而在所述計(jì)算機(jī)或其他可編程裝置上執(zhí)行的指令提供用于實(shí)現(xiàn)在一個(gè)或多個(gè)流程圖和/或方塊圖方塊中指定的功能/操作的過(guò)程。附圖中的流程圖和方塊圖示出了根據(jù)本發(fā)明的各種實(shí)施例的系統(tǒng)、方法和計(jì)算機(jī)程序產(chǎn)品的可能實(shí)施方式的架構(gòu)、功能和操作。在此方面，所述流程圖或方塊圖中的每個(gè)方塊都可以表示代碼的模塊、段或部分，所述代碼包括用于實(shí)現(xiàn)指定的(一個(gè)或多個(gè))邏輯功能的一個(gè)或多個(gè)可執(zhí)行指令。還應(yīng)指出，在某些備選實(shí)施方式中，在方塊中說(shuō)明的功能可以不按圖中說(shuō)明的順序發(fā)生。例如，示為相繼的兩個(gè)方塊可以實(shí)際上被基本同時(shí)地執(zhí)行，或者某些時(shí)候，取決于所涉及的功能，可以以相反的順序執(zhí)行所述方塊。還應(yīng)指出，所述方塊圖和/或流程圖的每個(gè)方塊以及所述方塊圖和/或流程圖中的方塊的組合可以由執(zhí)行指定功能或操作的基于專用硬件的系統(tǒng)或?qū)Ｓ糜布陀?jì)算機(jī)指令的組合來(lái)實(shí)現(xiàn)。圖4是示出根據(jù)示例性實(shí)施例所有者客戶機(jī)在不進(jìn)行密碼共享的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的操作示例的流程圖。操作開(kāi)始，系統(tǒng)所有者在系統(tǒng)信息數(shù)據(jù)庫(kù)中注冊(cè)共享系統(tǒng)(方塊40 。所有者客戶機(jī)判定是否存在退出條件(方塊404)。例如，如果所有者客戶機(jī)關(guān)閉或所有者終止共享系統(tǒng)，則可存在退出條件。如果退出條件存在，操作結(jié)束。如果在方塊404退出條件不存在，則所有者客戶機(jī)判定是否收到訪問(wèn)請(qǐng)求(方塊 406)。如果未收到訪問(wèn)請(qǐng)求，則操作返回方塊404判定是否存在退出條件。如果所有者客戶機(jī)在方塊406判定收到訪問(wèn)請(qǐng)求，則所有者客戶機(jī)提示所有者授權(quán)或拒絕請(qǐng)求者訪問(wèn)共享系統(tǒng)(方塊408)。然后，所有者客戶機(jī)判定所有者授權(quán)還是拒絕請(qǐng)求者訪問(wèn)共享系統(tǒng)(方塊 410)。如果所有者授權(quán)訪問(wèn)共享系統(tǒng)，則所有者客戶機(jī)將授權(quán)通知返回到請(qǐng)求客戶機(jī) (方塊412)。操作返回方塊404判定是否存在退出條件。如果在方塊410所有者拒絕訪問(wèn)
8共享系統(tǒng)，則所有者客戶機(jī)將拒絕通知返回給請(qǐng)求者(方塊414)，并且操作返回方塊404判定是否存在退出條件。圖5是示出根據(jù)示例性實(shí)施例請(qǐng)求者客戶機(jī)在不進(jìn)行密碼共享的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的操作示例的流程圖。操作開(kāi)始，用戶瀏覽在系統(tǒng)信息數(shù)據(jù)庫(kù)中注冊(cè)的共享系統(tǒng)(方塊502)。當(dāng)用戶瀏覽共享系統(tǒng)時(shí)，請(qǐng)求者客戶機(jī)保持諸如用戶名和密碼之類的證書(shū)信息的私密性。當(dāng)用戶找到希望訪問(wèn)的共享系統(tǒng)時(shí)，請(qǐng)求者客戶機(jī)將訪問(wèn)請(qǐng)求發(fā)送到所有者客戶機(jī)(方塊504)。然后，請(qǐng)求者客戶機(jī)判定所有者是否可用(方塊506)。請(qǐng)求者客戶機(jī)可通過(guò)判定所有者客戶機(jī)是否返回不可用通知或通過(guò)使用超時(shí)機(jī)制來(lái)執(zhí)行此判定。如果所有者不可用，則請(qǐng)求者客戶機(jī)判定訪問(wèn)請(qǐng)求被發(fā)送到的所有者是否是被授權(quán)準(zhǔn)許對(duì)共享資源的訪問(wèn)的用戶的擴(kuò)大列表中的最后一位所有者(方塊508)。例如，超級(jí)用戶權(quán)限所有者可以授權(quán)一組其他用戶來(lái)準(zhǔn)許對(duì)共享資源的訪問(wèn)。然后，該所有者可將這些用戶列在系統(tǒng)信息數(shù)據(jù)庫(kù)中的擴(kuò)大列表中。這些用戶可包括團(tuán)隊(duì)領(lǐng)導(dǎo)者、管理人員、二線管理人員等。如果在方塊508判定該所有者不是最后一位被授權(quán)準(zhǔn)許對(duì)共享資源的訪問(wèn)的用戶，則請(qǐng)求者客戶機(jī)將訪問(wèn)請(qǐng)求發(fā)送到擴(kuò)大列表中的下一人員(方塊510)，然后操作返回方塊506判定該下一人員(所有者)是否可用。如果在508判定當(dāng)前的所有者是擴(kuò)大列表中的最后一位所有者，則請(qǐng)求者客戶機(jī)向請(qǐng)求用戶顯示拒絕通知(方塊512)，操作結(jié)束。如果在方塊506判定所有者可用，則請(qǐng)求者客戶機(jī)判定所有者客戶機(jī)是否返回授權(quán)通知或拒絕通知(方塊514)。如果所有者客戶機(jī)返回拒絕通知，則操作繼續(xù)到方塊512 向用戶顯示拒絕通知。然后操作結(jié)束。如果在方塊514請(qǐng)求者客戶機(jī)判定所有者客戶機(jī)返回授權(quán)通知，則請(qǐng)求者客戶機(jī)使用系統(tǒng)信息和證書(shū)打開(kāi)與主機(jī)的會(huì)話(方塊516)，然后操作結(jié)束。因此，示例性實(shí)施例提供了用于由請(qǐng)求用戶在不共享證書(shū)所有者的密碼的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的機(jī)制。數(shù)據(jù)庫(kù)存儲(chǔ)資源的系統(tǒng)信息。資源的超級(jí)用戶權(quán)限所有者將系統(tǒng)信息提供給所述數(shù)據(jù)庫(kù)，其中包括用于訪問(wèn)資源的證書(shū)。當(dāng)用戶希望訪問(wèn)系統(tǒng)時(shí)，請(qǐng)求者的客戶機(jī)軟件將訪問(wèn)請(qǐng)求發(fā)送到所有者的客戶機(jī)軟件。所有者的客戶機(jī)軟件提示所有者授權(quán)或拒絕訪問(wèn)。響應(yīng)于所有者授權(quán)訪問(wèn)，所有者的客戶機(jī)軟件將授權(quán)返回到請(qǐng)求者的客戶機(jī)軟件，請(qǐng)求者然后使用系統(tǒng)信息數(shù)據(jù)庫(kù)中的證書(shū)訪問(wèn)資源。請(qǐng)求者的客戶機(jī)軟件不緩存或存儲(chǔ)證書(shū)，也不向用戶呈現(xiàn)證書(shū)。因此，不存在密碼共享。訪問(wèn)是在逐會(huì)話的基礎(chǔ)上控制的，有可能跟蹤每個(gè)訪問(wèn)。此外，不需要所有者的物理位置與請(qǐng)求者的物理位置距離很近來(lái)提供對(duì)共享系統(tǒng)或資源的訪問(wèn)。如上所述，應(yīng)該理解，示例性實(shí)施例可以采取完全硬件實(shí)施例、完全軟件實(shí)施例或同時(shí)包含硬件和軟件元素的實(shí)施例的形式。在一個(gè)實(shí)施例示例中，示例性實(shí)施例的裝置在軟件或程序代碼中實(shí)現(xiàn)，所述軟件或程序代碼包括但不限于固件、駐留軟件、微代碼等。適合于存儲(chǔ)和/或執(zhí)行程序代碼的數(shù)據(jù)處理系統(tǒng)將包括至少一個(gè)通過(guò)系統(tǒng)總線直接或間接連接到存儲(chǔ)器元件的處理器。存儲(chǔ)器元件可以包括在程序代碼的實(shí)際執(zhí)行期間使用的本地存儲(chǔ)器、大容量存儲(chǔ)裝置以及提供至少某些程序代碼的臨時(shí)存儲(chǔ)以減少必須在執(zhí)行期間從大容量存儲(chǔ)裝置檢索代碼的次數(shù)的高速緩沖存儲(chǔ)器。輸入/輸出或I/O設(shè)備(包括但不限于鍵盤(pán)、顯示器、指點(diǎn)設(shè)備等)可以直接或通過(guò)中間I/O控制器與系統(tǒng)相連。網(wǎng)絡(luò)適配器也可以被連接到系統(tǒng)以使所述數(shù)據(jù)處理系統(tǒng)能夠通過(guò)中間專用或公共網(wǎng)絡(luò)變得與其他數(shù)據(jù)處理系統(tǒng)或遠(yuǎn)程打印機(jī)或存儲(chǔ)設(shè)備相連。調(diào)制解調(diào)器、線纜調(diào)制解調(diào)器和以太網(wǎng)卡只是幾種當(dāng)前可用的網(wǎng)絡(luò)適配器類型。
出于說(shuō)明和描述目的給出了對(duì)本發(fā)明的描述，并且所述描述并非旨在是窮舉的或是將本發(fā)明限于所公開(kāi)的形式。許多修改和變化對(duì)于本領(lǐng)域的技術(shù)人員來(lái)說(shuō)都將是顯而易見(jiàn)的。實(shí)施例的選擇和描述是為了最佳地解釋本發(fā)明的原理、實(shí)際應(yīng)用，并且使得本領(lǐng)域的其他技術(shù)人員能夠理解本發(fā)明的適合于所構(gòu)想的特定使用的具有各種修改的各種實(shí)施例。
權(quán)利要求
1.一種與請(qǐng)求用戶關(guān)聯(lián)的客戶機(jī)中的用于執(zhí)行安全系統(tǒng)訪問(wèn)的方法，所述方法包括 識(shí)別系統(tǒng)信息數(shù)據(jù)庫(kù)中的用于共享系統(tǒng)的項(xiàng)，其中所述項(xiàng)包括主機(jī)標(biāo)識(shí)符、協(xié)議、所有者標(biāo)識(shí)符和證書(shū)；將訪問(wèn)請(qǐng)求發(fā)送到與所有者關(guān)聯(lián)的客戶機(jī)；以及響應(yīng)于所有者授權(quán)請(qǐng)求用戶訪問(wèn)共享系統(tǒng)，使用協(xié)議和證書(shū)打開(kāi)與主機(jī)的會(huì)話。
2.如權(quán)利要求1中所述的方法，其中所述與請(qǐng)求用戶關(guān)聯(lián)的客戶機(jī)不向所述請(qǐng)求用戶呈現(xiàn)證書(shū)。
3.如權(quán)利要求1中所述的方法，其中所述與請(qǐng)求用戶關(guān)聯(lián)的客戶機(jī)不存儲(chǔ)或緩存證書(shū)。
4.如權(quán)利要求1中所述的方法，其中所述證書(shū)包括用戶名和密碼。
5.如權(quán)利要求1中所述的方法，其中所述項(xiàng)進(jìn)一步包括被授權(quán)準(zhǔn)許對(duì)共享系統(tǒng)的訪問(wèn)的用戶的擴(kuò)大列表。
6.如權(quán)利要求5中所述的方法，進(jìn)一步包括響應(yīng)于所有者不可用，將訪問(wèn)請(qǐng)求發(fā)送到與所述擴(kuò)大列表中的下一用戶關(guān)聯(lián)的客戶機(jī)。
7.如權(quán)利要求1中所述的方法，其中所述與所有者關(guān)聯(lián)的客戶機(jī)提示所有者授權(quán)或拒絕請(qǐng)求用戶訪問(wèn)共享系統(tǒng)。
8.如權(quán)利要求1中所述的方法，其中所有者通過(guò)在系統(tǒng)信息數(shù)據(jù)庫(kù)中創(chuàng)建項(xiàng)來(lái)注冊(cè)共享系統(tǒng)。
9.一種包括內(nèi)含計(jì)算機(jī)可讀程序的計(jì)算機(jī)可讀介質(zhì)的計(jì)算機(jī)程序產(chǎn)品，其中所述計(jì)算機(jī)可讀程序當(dāng)在計(jì)算設(shè)備上執(zhí)行時(shí)，包括當(dāng)所述程序在計(jì)算機(jī)上執(zhí)行時(shí)用于執(zhí)行根據(jù)權(quán)利要求1至8中任一權(quán)利要求的方法步驟的編程代碼指令。
10.一種裝置，包括 處理器；以及與所述處理器相連的存儲(chǔ)器，其中所述存儲(chǔ)器包括當(dāng)在所述處理器上執(zhí)行時(shí)，可使所述處理器執(zhí)行以下操作的指令識(shí)別系統(tǒng)信息數(shù)據(jù)庫(kù)中的用于共享系統(tǒng)的項(xiàng)，其中所述項(xiàng)包括主機(jī)標(biāo)識(shí)符、協(xié)議、所有者標(biāo)識(shí)符和證書(shū)；將訪問(wèn)請(qǐng)求發(fā)送到與所有者關(guān)聯(lián)的客戶機(jī)，以及響應(yīng)于所有者授權(quán)請(qǐng)求用戶訪問(wèn)共享系統(tǒng)，使用協(xié)議和證書(shū)打開(kāi)與主機(jī)的會(huì)話。
11.如權(quán)利要求17中所述的裝置，其中所述與請(qǐng)求用戶關(guān)聯(lián)的客戶機(jī)不向請(qǐng)求用戶呈現(xiàn)證書(shū)，并且其中所述與請(qǐng)求用戶關(guān)聯(lián)的客戶機(jī)不存儲(chǔ)或緩存證書(shū)。
12.如權(quán)利要求17中所述的裝置，其中所述證書(shū)包括用戶名和密碼。
13.如權(quán)利要求17中所述的裝置，其中所述項(xiàng)進(jìn)一步包括被授權(quán)準(zhǔn)許對(duì)共享系統(tǒng)的訪問(wèn)的用戶的擴(kuò)大列表。
全文摘要
提供了一種用于由請(qǐng)求用戶在不共享證書(shū)所有者的密碼的情況下執(zhí)行安全系統(tǒng)訪問(wèn)的裝置。數(shù)據(jù)庫(kù)存儲(chǔ)資源的系統(tǒng)信息。資源的超級(jí)用戶權(quán)限所有者將系統(tǒng)信息提供給所述數(shù)據(jù)庫(kù)，其中包括用于訪問(wèn)資源的證書(shū)。當(dāng)用戶希望訪問(wèn)系統(tǒng)時(shí)，請(qǐng)求者的客戶機(jī)軟件將訪問(wèn)請(qǐng)求發(fā)送到所有者的客戶機(jī)軟件。所有者的客戶機(jī)軟件提示所有者授權(quán)或拒絕訪問(wèn)。響應(yīng)于所有者授權(quán)訪問(wèn)，所有者的客戶機(jī)軟件將授權(quán)返回到請(qǐng)求者的客戶機(jī)軟件，請(qǐng)求者然后使用系統(tǒng)信息數(shù)據(jù)庫(kù)中證書(shū)訪問(wèn)資源。請(qǐng)求者的客戶機(jī)軟件不緩存或存儲(chǔ)證書(shū)，也不向用戶提供證書(shū)。
文檔編號(hào)H04L29/06GK102265579SQ200980152565
公開(kāi)日2011年11月30日 申請(qǐng)日期2009年11月24日 優(yōu)先權(quán)日2009年1月5日
發(fā)明者A·哈格, A·斯格羅, 科特 G·德拉, L·吉安法納, S·博爾蓋蒂 申請(qǐng)人:國(guó)際商業(yè)機(jī)器公司