[發明專利]遠程資源單點登錄

有效

• 申請號: 201110307938.4
• 申請日: 2011-09-29
• 公開（公告）號: CN102404314A
• 公開（公告）日: 2012-04-04
• 發明（設計）人: S·A·庫辛;A·葉廖緬科;I·本-沙哈爾;A·候賽因;J·貝克;R·M·雷斯庫西吉
• 申請（專利權）人: 微軟公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L9/32
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 陳斌

技術領域

本發明涉及單點登錄，尤其涉及遠程資源單點登錄。

背景技術

虛擬機平臺通過在每一操作系統自己的虛擬機內運行該操作系統來啟用多個客操作系統在物理機上的同時執行。可以在虛擬機中提供的一個示例性服務是虛擬桌面會話。虛擬桌面會話在本質上是在虛擬機內運行的將其用戶界面發送到遠程計算機的個人計算機環境。這一體系結構類似于遠程桌面環境，但改為使多個用戶同時連接到操作系統，在虛擬桌面會話中每一用戶能夠訪問在虛擬桌面環境中的虛擬機中執行的他們自己的操作系統。

單點登錄是跨相關但不同的計算機系統的訪問控制的性質。有了單點登錄，用戶可以登錄一次并獲得對多個獨立的計算機系統的訪問。與其中用戶只需要向服務器證明他們的身份就能獲得訪問權的大多數場景不同，在訪問遠程呈現會話服務器，即虛擬桌面服務器或遠程桌面服務器時，用戶憑證實際上需要被發送到該遠程呈現會話服務器以進行確認。這一要求需要對憑證可被發送到的遠程資源進行嚴格限制，尤其是在無需用戶同意就發送憑證的情況下，因為單點登錄通常是這種情況。通常，這樣的遠程資源的列表由域策略來管制并且在將憑證發送給每一遠程資源之前該資源必須被認證。在這樣的遠程資源的集合是大型的并且持續變化的環境中，維護這樣的策略變成管理員的巨大負擔。在遠程資源是在進行中為用戶創建的情況下，維護這樣的策略是不可能的。

因此，用于允許用戶單點登錄到服務器被動態地添加到數據中心的環境中的遠程呈現會話和/或用于允許用戶簡化這樣的域策略的維護的技術是合乎需要的。

發明內容

一示例性實施例描述了用于實現用于遠程呈現會話的單點登錄的系統。在所示實施例中，該系統可包括但不限于，被配置成使用由第二服務器生成的唯一的加密密鑰來加密從客戶機接收到的用戶憑證并將經加密的用戶憑證發送給客戶機的第一服務器。在該示例實施例中，第二服務器可被配置成解密從客戶機接收到的經加密的用戶憑證的副本；使與該用戶憑證的經解密的副本相關聯的用戶登錄到操作系統；以及與客戶機進行遠程呈現會話。除以上之外，權利要求書、具體實施方式和附圖中描述了其他技術。

除了系統之外，一示例性實施例提供了一種包括用于實現用于遠程呈現會話的單點登錄的可執行指令的計算機可讀存儲介質。在該示例中，該計算機可讀存儲介質包括但不限于各個指令，這些指令在執行時使得處理器：生成加密密鑰并將其與唯一標識符相關聯；將該加密密鑰和該唯一標識符發送給被配置成使用該加密密鑰來加密用戶憑證的副本的第二服務器；從客戶機接收用戶憑證的經加密的副本和唯一標識符；將與用戶憑證相關聯的用戶解密到虛擬桌面會話；使與用戶憑證相關聯的用戶登錄到虛擬桌面會話；與客戶機進行虛擬桌面會話。除以上之外，權利要求書、具體實施方式和附圖中描述了其他技術。

在又一示例實施例中，提供了一種單點登錄方法，該方法包括但不限于：將用戶憑證發送給第一服務器；從第一服務器接收第二服務器的網絡標識符和由第二服務器所生成的加密密鑰來加密的用戶憑證的經加密的副本；將用戶憑證的經加密的副本發送給第二服務器的網絡標識符；接收指示用戶憑證被驗證并被用于使客戶機的用戶登錄到第二服務器上的遠程呈現會話的信號；以及顯示指示遠程呈現會話的用戶界面圖形。除以上之外，權利要求書、具體實施方式和附圖中描述了其他技術。

本領域技術人員將理解，此處所描述的一個或多個方面可包括但不限于用于實現此處所引用的方面的電路和/或編程；該電路和/或編程實質上可以是配置成實現本文所引用方面的硬件、軟件和/或固件的任何組合，這取決于系統設計者的設計選擇。

以上是概述，并且因此必然包含細節的簡化、一般化及省略。本領域技術人員將明白，本概述只是說明性的并且決不旨在是限制性的。

附圖說明

圖1描述了示例計算機系統。

圖2描繪了描述示例性虛擬化平臺的操作環境。

圖3描繪了描述示例性虛擬化平臺的操作環境。

圖4描繪了遠程桌面服務器的高級框圖。

圖5描繪了虛擬桌面服務器的高級框圖。

圖6描繪了數據中心的高級框圖。

圖7描繪了操作過程。

圖8描繪了圖7的操作過程的替換實施例。

圖9描繪了操作過程。

圖10描繪了圖9的操作過程的替換實施例。

圖11描繪了操作過程。

圖12描繪了圖11的操作過程的替換實施例。

具體實施方式