《保护计算设备中的数据使用.pdf》由会员分享，可在线阅读，更多相关《保护计算设备中的数据使用.pdf（21页珍藏版）》请在专利查询网上搜索。
1、(10)申请公布号 CN 102999730 A (43)申请公布日 2013.03.27 CN 102999730 A *CN102999730A* (21)申请号 201210342376.1 (22)申请日 2012.09.14 13/233,032 2011.09.15 US G06F 21/62(2013.01) (71)申请人 微软公司 地址 美国华盛顿州 (72)发明人 DJ布伦南 A德塞 R拉玛纳坦 (74)专利代理机构 上海专利商标事务所有限公 司 31100 代理人 杨洁 (54) 发明名称 保护计算设备中的数据使用 (57) 摘要 本发明涉及保护计算设备中的数据使用。将 。
2、策略应用到指定数据而不是包含指定数据的整个 计算设备。对指定数据的访问由利用各种口令或 其它认证凭证要求、 选择性数据高速缓存、 数据传 输、 临时数据存储， 和或指定数据要被擦除或呈 现为不能访问的预定义条件的策略来控制。策略 可被管理员定义并推送到移动计算设备， 在此策 略被实施。 (30)优先权数据 (51)Int.Cl. 权利要求书 2 页 说明书 10 页 附图 8 页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书 2 页 说明书 10 页 附图 8 页 1/2 页 2 1. 一种其上存储有计算机可读指令的计算机存储介质， 所述指令在由计算机执行时致 使所述。
3、计算机 ： 接收策略的定义， 所述策略被配置来控制对计算设备上的数据的访问 ； 储存所述策略 ； 以及 将所述策略发送到所述计算设备， 其中所述计算设备被配置来根据所述策略访问所述 数据。 2. 如权利要求 1 所述的计算机存储介质， 其特征在于， 所述策略包括以下之一 ： 包括指定一个或多个锁定层面的指令的锁定策略， 所述锁定层面的每一个响应于对有 效认证凭证的接收而允许对数据或其一部分的访问 ； 包括指定一个或多个锁定层面的指令的锁定策略， 所述锁定层面的每一个响应于计算 设备位于特定位置而允许对数据或其一部分的访问 ； 或 包括规定计算设备上的数据的存储的指令的存储控制策略。 3. 如权。
4、利要求 2 所述的计算机存储介质， 其特征在于， 所述存储控制策略包括指示所 述数据是否能够被高速缓存在所述计算设备上的指令。 4. 如权利要求 3 所述的计算机存储介质， 其特征在于， 所述存储控制策略还包括指示 所述数据能够被高速缓存在所述计算设备上多久的指令。 5. 如权利要求 2 所述的计算机存储介质， 其特征在于， 所述存储控制策略还包括指示 所述数据能够被储存在所述计算设备上多久的指令。 6. 如权利要求 2 所述的计算机存储介质， 其特征在于， 所述存储控制策略包括至少一 个或多个条件的指令， 在所述一个或多个条件下数据要被擦除或或呈现为不能访问。 7. 如权利要求 1 所述的计。
5、算机存储介质， 其特征在于， 所述策略在所述计算设备的移 动数字证书中定义。 8. 一种其上存储有计算机可读指令的计算机存储介质， 所述指令在由计算设备执行时 致使所述计算设备 ： 接收策略 ； 接收对与所述策略相关联的指定数据的请求 ； 以及 根据所述策略允许或拒绝对所述指定数据的访问。 9. 如权利要求 8 所述的计算机存储介质， 其特征在于所述策略包括以下之一 ： 包括指定一个或多个锁定层面的指令的锁定策略， 所述锁定层面的每一个响应于对有 效认证凭证的接收而允许对数据或其一部分的访问 ； 包括指定一个或多个锁定层面的指令的锁定策略， 所述锁定层面的每一个响应于计算 设备位于特定位置而允。
6、许对数据或其一部分的访问 ； 或 包括指示以下之一的指令的存储控制策略 ： 所述数据是否能够被高速缓存在所述计算机上， 以及， 如果所述数据能够被高速缓存， 所述数据能够被高速缓存多久 ； 所述数据能够被储存在所述计算设备上多久 ； 或 一个或多个条件， 在所述一个或多个条件下数据要被擦除或或呈现为不能访问， 所述 一个或多个条件包括至少一个位置。 10. 一种移动计算设备， 包括 ： 权 利 要 求 书 CN 102999730 A 2 2/2 页 3 处理器 ； 以及 与所述处理器通信的存储器， 所述存储器包括储存在其上的指令， 当由所述处理器执 行时， 所述指令使得所述处理器 ： 储存与。
7、所述移动计算设备的用户相关联的私人数据 ； 储存与企业相关联的企业数据 ； 储存一个或多个策略， 每个策略包括控制对所述企业数据的访问和所述企业数据的处 理的至少之一的指令 ； 接收对于所述企业数据的至少一部分的数据请求 ； 以及 根据所述一个或多个策略， 选择性地允许对所述企业数据的所述部分的访问， 无需约 束对所述私人数据的访问。 权 利 要 求 书 CN 102999730 A 3 1/10 页 4 保护计算设备中的数据使用 技术领域 0001 本发明涉及数据保护， 尤其涉及保护计算设备中的数据使用。 背景技术 0002 当前的计算趋势已经显示了从传统台式计算机到移动计算设备的潮流。 诸。
8、如膝上 型计算机、 上网本、 平板和移动电话的移动计算设备， 提供了便携性和性能的便利， 能够执 行包括电子邮件、 Web 浏览、 字处理、 照片编辑、 内容消费等常见任务。然而， 这些设备的移 动本质相比于台式计算机而言提出了独特的挑战。 0003 移动计算设备通常存储敏感数据或允许对敏感数据的访问， 诸如与企业相关的数 据。 例如， 对于个人而言将移动计算设备既用于私人任务也用于企业相关任务越来越常见。 随着个人行进 （例如， 去工作从工作返回） ， 敏感企业数据可能被暴露给多个通信网络， 包 括蜂窝网络和 Wi-Fi 网络， 其中某些可能不安全。归因于企业数据在远离企业网络时被移 动计算。
9、设备不经意地或故意地共享的可能性， 这可能对企业提出安全威胁。 0004 常常实现移动设备的数据安全策略和控制以努力消除或至少减轻上述和其它安 全相关的问题。这些安全策略和控制使用全部或没有 （all or nothing） 的方法来实现。如 果允许， 许多用户选择没有 （nothing） 的方法， 因为由扫描 （sweep） 策略施加的额外开销常 常不利地影响他们的设备对私人数据的可用性。 然而， 通常， 这些安全策略和控制以降低关 于对私人数据访问的可用性为代价而被实施。 0005 此处所做出的公开正是关于这些和其他考虑事项而提出的。 发明内容 0006 在此描述了用于保护计算设备中的数据。
10、使用的概念和技术。 根据此处公开的概念 和技术， 安全策略和控制被应用到特定数据而不是包含数据的整个设备。该特定数据可以 是任何类型的数据， 包括， 但不限于， 企业数据和私人数据。这个方法提供了企业对安全和 数据控制的需求以及私人数据的使用和控制便捷的需求之间的平衡。此外， 这个方法允许 用户选择性地设置他或她的用于访问与各种消费者服务相关联的私人数据的数据访问策 略。例如， 用户可建立用于访问电子邮件服务的口令提示， 但对于访问图片、 音乐或一些其 它数据不需要口令或其它认证机制。 根据此处公开的概念和技术， 利用各种口令要求、 选择 性数据高速缓存、 数据传输、 临时数据存储， 和或数据。
11、要被擦除或呈现为不能访问的预定 义条件， 提供对敏感数据的控制。 0007 根据一个方面， 计算机被配置以接收对策略的定义、 存储该策略， 并将该策略发送 到计算设备， 该策略被配置以控制对计算设备上的数据的访问， 在此对数据的访问根据策 略来控制。 在一些实施例中， 策略包括锁定策略， 锁定策略包括指定一个或多个锁定层面的 指令， 每一个响应于对有效认证凭证的接收而允许对数据或其一部分的访问。在一些实施 例中， 策略包括存储控制策略， 存储控制策略包括规定计算设备上的数据的存储的指令。 存 储控制策略可指示数据是否可被高速缓存在计算设备上、 可指示数据可被高速缓存在计算 说 明 书 CN 1。
12、02999730 A 4 2/10 页 5 设备上多久、 可指示数据可被储存在计算设备上多久、 数据何时可被传输到设备或从设备 传输以及如何可被传输到设备或从设备传输， 或者可指示一个或多个条件， 在该一个或多 个条件下数据要被擦除或呈现为不可访问。 0008 根据另一方面， 计算机， 诸如移动计算设备， 被配置为接收策略、 接收对与策略相 关联的特定数据的请求， 并根据策略允许或拒绝对特定数据的访问。策略可以是如上所述 的锁定策略或存储控制策略。 0009 根据又一方面， 移动计算设备被配置以存储与移动计算设备的用户相关联的私人 数据、 存储与企业相关联的企业数据、 存储控制对企业数据的访问。
13、的一个或多个策略、 接收 对企业数据的至少一部分的数据请求， 并根据一个或多个策略选择性地允许对企业数据的 一部分的访问而无需约束对私人数据的访问。 0010 应当理解， 上述主题可被实现为计算机控制的装置、 计算机进程、 计算系统或诸如 计算机可读存储介质之类的制品。通过阅读下面的详细描述并审阅相关联的附图， 这些及 各种其他特征将变得显而易见。 0011 提供本发明内容以便以简化形式介绍将在以下详细描述中进一步描述的一些概 念。本发明内容并不旨在标识所要求保护的主题的关键特征或必要特征， 也不旨在将本发 明内容用来限制所要求保护的主题的范围。此外， 所要求保护的主题不限于解决在本公开 的任。
14、一部分中所提及的任何或所有缺点的实现。 附图说明 0012 图 1 是示出用于此处公开的各实施例的示例性操作环境的系统图。 0013 图 2 是示出根据一示例性实施例的企业文档存储分层结构的图。 0014 图 3 是示出根据示例性实施例的移动计算设备存储分层结构的图。 0015 图 4 是示出根据一示例性实施例的用于创建和管理策略的方法的各方面的流程 图。 0016 图 5 是示出根据一示例性实施例的用于在数据服务器处执行策略的方法的各方 面的流程图。 0017 图 6 是示出根据一示例性实施例的用于向移动计算设备提供数据和相关联的策 略的方法的各方面的流程图。 0018 图 7 是示出根据一。
15、示例性实施例的用于在移动计算设备处执行策略的方法的各 方面的流程图。 0019 图 8 是示出能够实现此处所提出的实施例的各方面的计算系统的示例性计算机 硬件和软件架构的计算机架构图。 具体实施方式 0020 以下详细描述针对用于保护计算设备中的数据使用的概念和技术。根据此处描 述的概念和技术， 安全策略和控制被应用到特定数据而不是包含数据的整个设备。更具体 地， 根据此处公开的概念和技术， 利用各种口令要求、 选择性数据高速缓存、 临时数据存储， 和或数据要被擦除或呈现为不可访问的预定义条件， 提供对敏感数据的控制。此处公开 的概念和技术， 有时， 在对企业数据的访问控制的上下文中描述。 然。
16、而， 应当理解， 此处公开 说 明 书 CN 102999730 A 5 3/10 页 6 的概念和技术可另外地或另选地被用于控制对其它类型数据的访问。 0021 尽管在结合计算机系统上的操作系统和应用程序的执行而执行的程序模块的一 般上下文中提出了本文描述的主题， 但是本领域技术人员将认识到， 其他实现可以结合其 他类型的程序模块来执行。一般而言， 程序模块包括执行特定任务或实现特定抽象数据类 型的例程、 程序、 组件、 数据结构和其他类型的结构。此外， 本领域技术人员将明白， 可以利 用其他计算机系统配置以实施本文描述的主题， 这些计算机系统配置包括手持式设备、 多 处理器系统、 基于微处。
17、理器的或可编程消费电子产品、 小型计算机、 大型计算机等等。 0022 在以下详细描述中， 参考了构成详细描述的一部分并作为说明示出了各具体实施 方式或示例的附图。现在参考附图 （全部若干附图中相同的标号表示相同的元素） ， 将提出 用于保护数据使用的计算系统、 计算机可读存储介质和计算机实现的方法的各方面。 0023 现在参考图 1， 将描述用于本文所提出的各实施例的一个操作环境 100 的各方面。 图 1 中示出的操作环境 100 包括移动计算设备 102， 诸如， 但不限于膝上型计算机、 上网本、 平板、 个人数字助理、 移动视频游戏系统、 电子阅读器， 或移动电话。移动计算设备 102。
18、 被示 为与第一接入网络 104（诸如蜂窝网络、 WIFI 网络、 WIMAX 网络， 或包括其它无线网络或有 线网络的另一网络） 通信。第一接入网络 104 方便了对互联网 106 的访问， 通过它移动计算 设备 102 可访问服务器计算机 108。第一接入网络 104 可以另外提供对移动计算设备 102 的语音接入。例如， 第一接入网络 104 可向移动计算设备 102 提供蜂窝语音或网际协议语 音 （ “VOIP” ） 接入。 0024 移动计算设备 102 还另外地或另选地建立与第二接入网络 110（其也可以是蜂窝 网络、 WIFI 网络、 WIMAX 网络， 或包括其它无线网络或有线。
19、网络的另一网络） 的通信。第二 访问网络 110 可以另外提供对移动计算设备 102 的语音接入。 0025 在一些实施例中， 接入网络104、 110对于移动计算设备102是同时可用的， 诸如当 接入网络 104、 110 之一是蜂窝网络而另一个是 WIFI 或 WIMAX 网络。在一些实施例中， 可替 换地， 接入网络 104、 110 物理地分开， 使得移动计算设备 102 不能够同时与接入网络 104、 110两者通信。 例如， 第一接入网络104可以是用户家的WIFI网络或其它网络， 而第二接入 网络 110 是用户工作处的 WIFI 网络或其它网络。可以构想， 移动计算设备 102。
20、 可被配置以 同时维护与接入网络 104、 110 两者的连接。此外， 通过在移动计算设备 102 上可用的一个 或多个设置， 移动计算设备 102 可通过接入网络 104、 110 之一来区分相对于另一个的数据 访问优先级。 0026 在所示的实施例中， 第二接入网络 110 方便对企业内联网 112 的访问， 进而与企 业策略服务器计算机 114、 企业服务器计算机 116 通信， 并通过防火墙 118 与互联网 106 通 信。企业策略服务器计算机 114 包括操作系统 120、 策略创建应用 122、 策略管理应用 124， 和策略 126。操作系统 120 是用于控制企业策略服务器计。
21、算机 114 的操作的计算机程序。 策略创建应用 122 和策略管理应用 124 执行在操作系统 120 的顶部以提供此处描述的各种 功能。策略创建应用 122 是用户 （例如管理员） 可通过其创建并配置策略 126 的应用程序。 策略管理应用 124 是用户通过它可以管理策略 126 的应用程序。策略创建应用 122 和策略 管理应用 124 被示为不同的应用程序， 然而应该理解， 在一些实施例中， 这些应用的功能被 组合。 0027 在一些实施例中， 策略 126 由与企业内联网 112 相关联的企业管理员通过企业策 说 明 书 CN 102999730 A 6 4/10 页 7 略服务器。
22、计算机 114 的策略创建应用 122 来创建。在其它实施例中， 策略 126 被远程地创 建并被发送到企业策略服务器计算机 114 或由企业策略服务器计算机 114 导入用于存储。 在任何情况下， 企业策略服务器计算机 114 被配置以将策略 126 的一个或多个分发到企业 服务器计算机 116、 服务器计算机 108、 或另一数据资源， 诸如文档储存库、 文件共享、 网站 服务器、 电子邮件服务器， 或一些其它数据源， 使得数据源可通过移动计算设备 102 控制对 其上存储的数据的访问。企业策略服务器计算机还被配置以将策略 126 的一个或多个分发 到移动计算设备 102， 使得对至少临时。
23、储存在移动计算设备 102 上的数据的访问可被控制。 0028 策略 126 通常包括定义访问锁定和或数据的存储控制的指令， 该数据与企业相 关联并且可以被移动计算设备102访问和或储存在移动计算设备102中。 该数据可包括， 但不限于， 联系人、 电子邮件、 文档、 图片、 视频、 应用和或 Web 内容。包括定义访问锁定的 指令的策略在此被称为 “锁定策略” 。包括定义存储控制的指令的策略在此被称为 “存储控 制策略” 。 应该理解， 任何给定数据片段可以与一个或多个锁定策略和或一个或多个存储 控制策略相关联， 并且因此被一个或多个锁定策略和或一个或多个存储控制策略控制。 0029 锁定策。
24、略包括指定一个或多个锁定层面的指令， 每个锁定层面允许对已经被定义 为在那个特定锁定层面可访问的数据或数据的一部分的访问。用户可能需要提供认证机 制， 诸如口令、 个人识别号 （ “PIN” ） 、 生物测定数据、 射频标识 （ “RFID” ） 、 定位 （例如， GPS、 三 角测量， 或辅助GPS） 、 附连网络， 或任何组合的其它形式的认证， 以访问特定锁定层面。 在一 些实施例中， 锁定策略能够指定用户需要位于特定位置 （例如， 通过 GPS 或其它位置确定技 术来确定） 以访问特定数据。在一些实施例中， 锁定策略指定用户设备需要被连接到特定网 络以访问特定数据。在一些实施例中， 锁。
25、定策略指定用户需要利用特定认证机制授权访问 来访问指定数据。 在一些实施例中， 更高层面的锁定足够锁定位于更低层面的文档， 无需通 过相同或不同认证机制的进一步的认证。 另选地， 在解锁全部锁定层面之前， 可能在每个锁 定层面或特定数量的锁定层面需要认证。 0030 存储控制策略包括规定移动计算设备 102 上的数据存储的指令。在一些实施例 中， 存储控制策略包括指示特定数据是否可被高速缓存在移动计算设备 102 上的指令， 并 且还可包括指示数据可被高速缓存在移动计算设备 102 上多久的指令。在一些实施例中， 存储控制策略包括指示特定数据可被存储在移动计算设备 102 上多久的指令。在一些。
26、实施 例中， 存储控制策略包括指示一个或多个条件， 在这一个或多个条件下特定数据要被擦除 或呈现为不可访问。 0031 在一些实施例中， 在移动数字证书中定义策略 126 的一个或多个。例如， 当向企业 登记诸如移动计算设备 102 的设备时， 设备可被分配一个移动数字证书， 移动数字证书接 着被设备使用以访问通过企业内联网 112 提供的数据。通过策略管理应用 124 可方便将移 动计算设备 112 登记到企业的登记过程。 0032 在一些实施例中， 策略 126 的一个或多个被创建为由服务器 （例如企业服务器计 算机 116） 应用到文档读者 （诸如驻留在移动计算设备 102 上的， 被配。
27、置以读取并且， 在一些 示例中， 修改特定数据类型的应用） 的信息权限管理 （ “IRM” ） 或数字权限管理 （ “DRM” ） 的一 部分。 0033 在一些实施例中， 策略 126 的一个或多个被创建来启用对来自移动计算设备 102 的特定数据的远程擦除。应该理解， 远程擦除允许私人数据和其它企业数据保留在移动计 说 明 书 CN 102999730 A 7 5/10 页 8 算设备 102 上。 0034 在一些实施例中， 一个或多个策略 126 被创建以控制特定数据可何时被传输和 或接收。例如， 策略可指定敏感企业数据仅可从一个或多个指定网络发送和或从一个或 多个指定网络接收， 诸如。
28、仅企业内联网 112， 而不是在任何其它诸如蜂窝网络或家庭 WIFI 接入网络上。 0035 在一些实施例中， 一个或多个策略 126 被创建以指定特定数据不在移动计算设备 126 上， 或更一般地， 可改变其位置的任何设备上被访问。 0036 在一些实施例中， 一个或多个策略 126 被创建以指定特定数据在地理位置 X 在时 间 Y 期间是有效的， 之后该特定数据就不再有效。 0037 可以构想， 锁定策略和或存储控制策略可至少部分地基于移动计算设备 102 的 一个或多个特征或组件来实施。例如， 策略可基于 （例如， 通过全球定位系统和或三角测 量确定的） 位置、 时间、 和或基于移动计算。
29、设备 102 上的特定功能或应用的使用来选择性 地实施。 0038 各种策略的任何前述实施例可以以各种配置组合， 使得不同保护层面适合于特定 数据。 例如， 第一策略可指定一个或多个位置， 在那里仅当用户能够成功提供诸如根据第二 策略访问数据的通行码或 PIN 的认证凭证时才授予对数据的访问。 0039 在一些实施例中， 策略 126 的一个或多个被发送到企业服务器计算机 116、 服务器 计算机 108， 和或移动计算设备 102。企业服务器计算机 116 被配置来将所接收的策略的 一个示例储存为用于应用到企业服务器数据 130 的企业服务器策略 128。企业服务器数据 130 是企业服务器。
30、计算机 116 通过企业内联网 112 和接入网络 110 向移动计算设备 102 储 存和供应的数据。服务器计算机 108 被配置来将所接收的策略的一个实例储存为用于应用 到服务器数据 134 的服务器策略 132。服务器数据 134 是服务器计算机 108 通过企业内联 网 106 和接入网络 104 向移动计算设备 102 储存和供应的数据。移动计算设备 102 被配置 以将所接收的策略的实例存储为用于应用到移动设备数据 138 的移动设备策略 136。移动 设备数据 138 可包括企业服务器数据 130 或其部分的实例、 服务器数据 134 或其部分的实 例， 和或在移动计算设备 10。
31、2 上本地地创建的数据， 一个或多个策略 126 对其可用。 0040 根据各实施例， 企业策略服务器计算机 114、 企业服务器计算机 116， 和或服务 器计算机 108 是个人计算机 （ “PC” ） ， 诸如台式、 平板、 或膝上计算机系统。企业策略服务器 计算机114、 企业服务器计算机116， 和或服务器计算机108可包括其它类型的计算系统， 包括， 但不限于， 服务器计算机、 手持式计算机、 上网本计算机、 平板计算机、 嵌入式计算机 系统、 个人数字助理、 移动电话、 智能手机、 或其它计算设备。 0041 应该理解， 操作环境 100 的一些实现包括多个企业策略服务器计算机 。
32、114、 多个企 业服务器计算机 116、 多个服务器计算机 108、 多个移动计算设备 102、 多于两个的接入网络 104、 110、 多个互联网 106、 多个企业内联网 112、 和或多个防火墙 118。也应该理解， 多个 操作系统 120、 多个策略创建应用 122、 多个策略管理应用 124、 和或用于储存策略 126 的 多个储存库可由企业策略服务器计算机 114 使用， 和或这些组件的一个或多个可由另一 个企业服务器计算机 （未示出） 提供。此外， 尽管图 1 中未示出， 企业服务器计算机 116、 服 务器计算机 108、 和移动设备 102 每一个可连同操作系统和一个或多个。
33、应用程序来被配置， 一个或多个应用程序被配置以在操作系统之上执行以提供此处描述的各个功能。因此， 所 说 明 书 CN 102999730 A 8 6/10 页 9 示实施例应该被理解为示例性的， 并且不应该被解释为以任何方式构成限制。 0042 现在转到图2， 将描述示出示例性企业文档存储分层结构200的图。 企业文档存储 分层结构 200 包括根层 202。在一些实施例中， 根层 202 是控制对企业内联网 112 的访问的 锁定层面。认证到根层 202 的用户具有对企业内联网 112 的访问， 但是可能有或可能没有 对企业内联网 112 内的额外资源的访问， 这取决于规定在根层 202 。
34、的访问的一个或多个策 略的定义。在所示实施例中， 这些资源包括电子邮件平台 204、 协作平台层 206， 和文件共享 层208， 其中每一个是用于控制对企业内联网112中的指定资源的访问的锁定层面。 应当理 解， 可将锁定层面给予与企业相关联的任何平台、 计算机系统， 或移动计算设备， 并且可以 或可以不基于规定其访问的变化的锁定层面来与一个或多个其它平台、 计算机系统， 和 或计算设备被分层地组织。 0043 电子邮件平台层 204 是用于控制对与企业的电子邮件平台相关的资源的访问的 锁定层面。电子邮件平台， 在一些实施例中， 是服务器侧的协作性电子邮件应用程序， 诸如 从华盛顿州雷蒙德市。
35、的微软公司获得的 MICROSOFTEXCHANGE， 尽管可以构想其它电子邮件 平台。电子邮件平台层 204 包括邮箱层 210、 一个或多个邮箱文档 212、 公用文件夹层 214， 和一个或多个公用文档 216。 0044 邮箱层 210 是用于控制对电子邮件平台上可用的邮箱的访问的锁定层面。邮箱可 能是企业内用户或工作组特有的。邮箱文档 212 包括电子邮件文档或与特定邮箱相关联的 其它文档。在邮箱层 210 下的邮箱文档 112 可以是， 单独地或共同地， 经由一个或多个策略 访问受限的。 公用文件夹层214是用于控制对一个或多个公用文档216的访问的锁定层面。 公用文档 216 与。
36、公用文件夹层 214 相关联。 0045 返回协作性平台层 206， 该层是用于控制对与企业的协作性平台相关的资源的访 问的锁定层面。协作性平台， 在一些实施例中， 是协作性 Web 应用程序， 诸如从华盛顿州雷 蒙德市的微软公司获得的 MICROSOFT SHAREPOINT， 尽管可以构想其它的协作性 Web 应用程 序。协作性平台层 206 包括站点层 218， 文档库层 220， 和一个或多个文档 222。站点层 218 是控制对协作性平台上可用的一个或多个站点的访问的锁定层面。这些站点可被配置为， 例如， SHAREPOINT（共享点） 站点。站点层 218 可用的站点可， 进而， 。
37、包括位于一个或多个文 档库层 220 的一个或多个文档库。文档库层 220 是控制对一个或多个文档 222 的访问的锁 定层面。 0046 返回文件共享层 208， 该层是用于控制对与企业的文件共享平台相关的资源的访 问的锁定层面。文件共享层 208 是包括一个或多个在目录层 2243 的目录的锁定层面。目 录层 224 是控制对一个或多个文档 226 的访问的锁定层面。 0047 应该理解， 上述企业文档存储分层结构 200 示出策略可应用于何处。可在每个层 面， 在文档层， 指定用于移动数据锁定、 高速缓存、 数据传输、 和数据保存的策略， 并且可从 或可不从另一层面 （例如父层面） 继承。
38、上述策略。然而， 一般而言， 对于给定文档， 最严格的 策略可通过组合来自任何文档 216、 222、 226（在它们各自路径上向上朝着根层 202） 的策 略来应用。 对于锁定策略， 较高的锁定层面可足够锁定较低层面的文档， 无需在每个层面认 证。 0048 现在转到图3， 将描述示出示例性移动计算设备存储分层结构300的图。 移动计算 设备存储分层结构 300 包括移动设备层 302， 其进而包括联系人层 304、 电子邮件层 306， 和 说 明 书 CN 102999730 A 9 7/10 页 10 文档层 308。联系人层 304、 电子邮件层 306， 和文档层 308 与私人数。
39、据 310 和企业数据 312 相关联。 可在联系人层304、 电子邮件层306， 文档层308， 和或为企业数据312应用策略。 0049 尽管私人数据 310 和企业数据 312 的数据类型 （例如联系人、 电子邮件， 和文档） 可 被合并到被配置为利用各种数据类型的应用和用户界面中， 策略被应用到企业数据312。 私 人数据310可保持在移动计算设备102的所有者和或用户的控制之下无需被策略的实施 约束。 0050 现在转到图 4， 将描述用于创建和管理策略的方法 400 的各方面。应该理解， 不一 定按任何特定次序来呈现此处公开的方法的操作， 并且构想了用替换次序来执行部分或全 部操作。
40、是可能的。为了易于描述和说明， 按所示次序来呈现各操作。可以添加、 省略和 / 或 同时执行操作， 而不脱离所附权利要求书的范围。 0051 还应当理解， 所示方法可以在任何时候结束并且不必完整地执行。方法的操作中 的部分或全部和 / 或基本上等价的操作可以通过执行计算机存储介质上包括的计算机可 读指令来执行， 如以下所定义的。如在说明书和权利要求书中使用的术语计算机可读指令 摂及其变型在本文中被广泛地使用， 以包括例程、 应用、 应用模块、 程序模块、 程序、 组件、 数 据结构、 算法等等。 计算机可读指令可以在各种系统配置上实现， 包括单处理器或多处理器 系统、 小型计算机、 大型计算机。
41、、 个人计算机、 手持式计算设备、 基于微处理器的可编程消费 电子产品、 其组合等等。 0052 因此， 应该理解， 本文所述的逻辑操作被实现为 ： (1) 一系列计算机实现的动作或 运行于计算系统上的程序模块 ； 和/或(2)计算系统内的互连的机器逻辑电路或电路模块。 取决于计算系统的性能及其他要求， 该实现是设计问题。 因此， 此处描述的逻辑操作被不同 地称为状态、 操作、 结构设备、 动作或模块。 这些操作、 结构设备、 动作和模块可以用软件、 固 件、 专用数字逻辑、 及其任何组合来实现。 0053 方法 400 在操作 402 开始， 在那里企业策略服务器计算机 114 接收策略的定。
42、义来 控制对指定数据的访问。策略定义可由管理员通过策略创建应用 122 来提供。从操作 402， 方法400前进到操作404， 在那里企业策略服务器计算机114将与指定数据相关联的策略储 存为策略 126 之一。管理员可能希望向一个或多个服务器提供策略并且可指定利用策略管 理应用 124 要向哪些服务器发送策略。例如， 在操作 406， 管理员可引导企业策略服务器计 算机 114 将策略发送到企业服务器计算机 116 和或服务器计算机 108。方法 400 在操作 408 处结束。 0054 现在转到图5， 将描述用于在诸如企业服务器计算机116或服务器计算机108的数 据服务器处实施策略的方。
43、法500。 为了便于描述而非限制， 企业服务器计算机116将被描述 为执行方法 500 的操作。 0055 方法 500 在操作 502 开始， 在那里企业服务器计算机 116 从企业策略服务器计算 机 114 接收策略。从操作 502， 方法 500 前进到操作 504， 在那里企业服务器计算机 116 将 与指定数据相关联的策略储存为企业服务器策略130之一。 方法500接着前进到操作506， 在那里企业服务器计算机116从移动计算设备102接收对与所储存的策略相关联的指定数 据的请求。在操作 508， 响应于接收该请求， 企业服务器计算机 116 根据策略允许或拒绝移 动计算设备 102。
44、 对指定数据的访问。方法 500 在操作 510 处结束。 0056 现在转到图 6， 将描述用于向移动计算设备 102 提供数据和相关联策略的方法 说 明 书 CN 102999730 A 10 8/10 页 11 600。为了便于描述而非限制， 企业服务器计算机 116 将被描述为执行方法 600 的操作。 0057 方法 600 在操作 602 开始， 在那里企业服务器计算机 116 从企业策略服务器计算 机 114 接收策略。从操作 602， 方法 600 前进到操作 604， 在那里企业策略服务器计算机 114 将与指定数据相关联的策略储存为企业服务器策略 130 之一。方法 600。
45、 接着前进到操作 606， 在那里企业服务器计算机116从移动计算设备102接收对与所储存的策略相关联的指 定数据的请求。 在操作608， 响应于接收到请求， 企业服务器计算机116向移动计算设备102 发送指定数据和相关联策略， 在此根据策略实施对指定数据的访问。方法 600 在操作 610 处结束。 0058 现在转到图 7， 将描述在移动计算设备 102 实施策略的方法 700。方法 700 在操作 702 开始， 在那里移动计算设备 102 接收策略。在一些实施例中， 响应于移动技术设备 102 生成并发送到服务器的数据请求或策略请求， 移动计算设备 102 从诸如服务器计算机 108。
46、、 企业策略服务器计算机 114、 或企业服务器计算机 116 的服务器接收策略。在一些实施例 中， 移动计算设备 102 响应于管理员指令， 通过策略管理应用 124、 企业策略服务器计算机 114， 从服务器接收策略， 以将策略推送的移动计算设备 102。 0059 从操作 702， 方法 700 前进到操作 704， 在那里移动计算设备 102 接收对与所接收 的策略相关联的指定数据的请求。在操作 706， 响应于接收数据请求， 移动计算设备 102 提 示用户根据策略进行认证。如果响应于认证提示由用户提供的认证凭证是有效的， 则方法 700 前进到操作 710， 在那里移动计算设备 1。
47、02 允许用户访问指定数据。方法 700 随后行进 至操作 712， 在那里方法 700 结束。但是， 如果响应于认证提示由用户提供的认证凭证不是 有效的， 则方法700前进到操作714， 在那里移动计算设备102拒绝访问指定数据。 方法700 随后行进至操作 712， 在那里方法 700 结束。 0060 图 8 示出了能够执行此处所描述的用于保护移动技术设备中的数据使用的软件 组件的设备的示例性计算机体系结构 800。因此， 图 8 中所示的计算机体系结构 800 示出 了用于服务器计算机、 移动电话、 PDA、 智能电话、 台式计算机、 上网本计算机、 平板计算机和 / 或膝上型计算机的。
48、体系结构。计算机体系结构 800 可用于执行此处所呈现的针对此处所 描述的任何计算机系统 （诸如移动计算设备 120、 企业策略服务器计算机 114、 企业服务器 计算机 116， 和服务器计算机 108） 的软件组件的任何方面。 0061 图 8 所示的计算机架构 800 包括中央处理单元 802 （ “CPU” ） 、 包括随机存取存储器 806（ “RAM” ） 和只读存储器 （ “ROM” ） 808 的系统存储器 804、 以及将存储器 804 耦合至 CPU 802 的系统总线 810。基本输入 / 输出系统被存储在 ROM 808 中， 该系统包含帮助诸如在启 动期间计算机体系结。
49、构 800 中的元件之间传递信息的基本例程。计算机体系结构 800 还包 括用于储存， 如果合适的话， 操作系统 120（或其它操作系统） 、 策略配置应用 122、 策略管理 应用124、 策略126、 企业服务器策略128、 服务器策略132、 移动计算设备策略136、 企业服务 器数据 130、 服务器数据 134， 和移动计算设备数据 138 的大容量存储设备 812。 0062 大容量存储设备 812 可以通过连接到系统总线 810 的大容量存储控制器 （未示出） 连接到 CPU802。大容量存储设备 812 及其相关联的计算机可读介质为计算机体系结构 800 提供非易失性存储。虽然对此处包含的计算机可读介质的描述引用了诸如硬盘或 CD-ROM 驱动器之类的大容量存储设备， 但是本领域的技术人员应该明白， 计算机可读介质可以是 可由计算机体系结构 800 访问的任何可用计算机存储介质或通信介质。 说 明 书 CN 102999730 A 11 9/10 页 12 006。