CN104854561A - 用于应用程序管理框架的应用程序封装 - Google Patents

Abstract

本文描述了用于开发、修改和分布用于企业***的软件应用程序的方法和***。软件组件，诸如本地移动应用程序或模板应用程序，可被修改成受管移动应用程序，且与受管移动应用程序相关联的元数据可被产生。受管应用程序和相关联的元数据可被提供给一个或多个应用程序商店，诸如公共应用程序商店和/或企业应用程序商店。可通过计算设备从公共应用程序商店和/或企业应用程序商店检索受管应用程序和/或相关联的元数据，并可作为受管应用程序在企业***中执行。

Description

用于应用程序管理框架的应用程序封装

相关申请的交叉引用

本申请要求于2013年5月20日提交的序列号为61/825,384且标题为“Application Development,Distribution,and Execution”的美国临时专利申请的优先权益，并要求于2012年10月16日提交的序列号为61/714,469且标题为“Policy-Based Control of a Managed Application Derived from anUnmanaged Application”的美国临时专利申请的优先权益，通过引用其中每一个申请其整体地并入本公开内容。

技术领域

本文描述的方面通常涉及用于移动设备和其它计算设备的软件应用程序。更具体地，本文中所描述的某些方面提供了用于开发、分配和执行应用程序的方法。

背景

移动设备，诸如智能电话、个人数字助理、平板计算机、其它类型的移动计算设备，正变得越来越流行。移动设备用于各种目的个人和商业设置中。移动设备的用户可能希望他们的设备是个人的和交互式的，且适合既作为个人消费设备又作为商业设备，并通常通过安装适合其目的的各种移动软件应用程序来定制他们的移动设备。开发和分配来自各种不同来源的移动软件应用程序，诸如公司为他们的员工开发的移动商务应用程序，或独立软件供应商(ISV)为大众消费者开发的移动消费应用程序。可通过应用程序商店(诸如，公共应用程序商店或非公共的企业应用程序商店)发布和分配软件应用程序。

概述

下文呈现本文所述的各个方面的简要概述。该概述并非广泛综述，且并不旨在标识关键的或重要的元素。以下概述仅仅呈现简化形式中的一些概念，作为对以下提供的更详细描述的介绍前言。

为了克服以上描述的现有技术中的限制，以及克服将在阅读和理解本说明书时明显的其它限制，本文描述的方面针对将软件组件(诸如本地移动应用程序或模板应用程序)修改为受管移动应用程序。可产生与受管移动应用程序相关联的元数据，且可经由一个或多个应用程序商店向用户提供受管移动应用程序和相关联的元数据。在某些实例中，可通过确定本地移动应用程序的结构，并***代码到本地移动应用程序，以及重构本地移动应用程序，而将本地移动应用程序修改成受管移动应用程序。在一些实例中，模板应用程序，诸如web应用程序模板或托管的企业应用程序模板，也可被修改成受管移动应用程序，并为了具体用途和目的而定制。

根据其它方面，可向第一应用程序商店(诸如公共应用程序商店)提供受管移动应用程序，且可向第二应用程序商店(诸如企业应用程序商店)提供与受管移动应用程序相关联的元数据。根据另外的方面，可通过移动设备从一个或多个应用程序商店(诸如公共应用程序商店和企业应用程序商店)检索(例如，下载)受管移动应用程序和/或相关联的元数据。在某些实例中，移动设备可从企业应用程序商店检索与受管移动应用程序相关联的元数据，并可使用元数据来从公共应用程序商店检索受管移动应用程序。

根据一个或多个方面，可产生操作***(OS)应用程序接口(API)调用的代理的存根(stub)。策略执行逻辑可***到OS API调用的代理的存根。可解析应用程序的代码，以识别对应于OS API调用的一个或多个调用。对应于OS API调用的一个或多个调用可替换为OS API调用的代理的存根的引用。在一些实施方案中，至少一部分应用程序的代码和包括策略执行逻辑的代码可合并到共同的文件中。

在一些实施方案中，解析应用程序的代码以识别对应于OS API调用的一个或多个调用可包括解析应用程序的字节码，以识别对应于OS API调用的应用程序的字节码的一个或多个部分。应用程序的字节码可被配置用于由在OS上运行的过程虚拟机执行。

在一些实施方案中，OS API调用可以是对OS API方法的调用，且用于OS API调用的代理可包括对应于OS API方法的调用。在这种实施方案中，策略执行逻辑可包括用于确定是否应激活对应于OS API方法的调用的一个或多个条件。OS API调用的代理的存根，可具有对应于OS API调用的返回类型的返回类型和/或对应于OS API调用的参数的一个或多个参数。应用程序可激活对OS API调用的代理的存根的引用。可从应用程序接收对应于OS API调用的参数的一个或多个参数的每一个的值。运行OS和应用程序的设备可执行策略执行逻辑，以确定是否应激活对应于OS API方法的调用。响应于确定应激活对应于OS API的方法的调用，可激活对应于OS API的方法的调用。可传递对应于OS API调用的参数的一个或多个参数的每一个的值到OS API的方法，且可从OS API的方法接收OS API调用的返回类型的值。OS API调用的返回类型的值可通过OS API调用的代理返回给应用程序。响应于确定不应激活对应于OS API的方法的调用，可能激活对应于OS API的方法的调用，对应于OS API调用的参数的一个或多个参数的每个的值可能无法传递到OS API的方法，且OS API调用的返回类型的预定值可通过OS API调用的代理返回给应用程序。

在一些实施方案中，OS API调用可以是对OS API的类的调用，且用于OS API调用的代理可包括对扩展OS API的类的类的调用。应用程序可激活对OS API调用的代理的存根的引用，且可实例化扩展OS API类的类的实例。扩展OS API的类可包括OS API的类的实例和策略执行逻辑。策略执行逻辑可包括一个或多个条件，用于确定是否应激活对OS API的类的实例的方法的调用。运行OS和应用程序的设备可执行策略执行逻辑，以确定是否应激活对OS API的类的实例的方法的调用。响应于确定应激活对OS API的类的实例的方法的调用，可激活OS API的类的实例的方法。响应于确定不应激活对OS API类的实例的方法的调用，可能无法激活OSAPI类的实例的方法。

在一些实施方案中，策略执行逻辑可包括用于策略执行类的一个或多个调用，该策略执行类包括用于确定是否应激活通过应用程序对OS API的调用的一个或多个方法。用于确定是否应激活通过应用程序对OS API的调用的方法可包括用于确定是否应激活通过应用程序对OS API的调用，该调用用于从OS的剪贴板剪切、复制或粘贴数据或将数据剪切、复制或粘贴到OS的剪贴板的方法。此外或可选地，确定是否应激活通过应用程序对OS API的调用的方法可包括：用于确定是否应激活通过应用程序对OS API的调用以浏览指定的统一资源定位符(URL)的方法，用于确定是否应激活通过应用程序对OS API的调用以用于OS可访问的地理位置信息、OS可访问的相机数据、或OS可访问的麦克风数据的方法，和/或用于确定是否应激活通过应用程序对OS API的调用以编写电子邮件消息或短消息服务(SMS)消息的方法。

结合下面更详细地公开的内容的益处，将理解这些和其它方面。

附图的概要描述

可通过参照下面附图考虑的描述获得本文描述的方面和其优势的更完整的理解，其中相似的参考数字表示相似的特征，且其中：

图1描述了可根据本文描述的一个或多个说明性方面来使用的说明性计算机***架构。

图2描述了可根据本文描述的一个或多个说明性方面来使用的说明性远程访问***架构。

图3描述了根据本文描述的一个或多个说明性方面的说明性企业移动性管理***。

图4描述了根据本文描述的一个或多个说明性方面的另一个说明性企业移动性管理***。

图5是根据本文所描述的一个或多个说明性方面，示出创建和分配受管移动应用程序和相关联的元数据到一个或多个应用程序商店的示例性过程的示意图。

图6是根据本文所描述的一个或多个说明性方面，说明建立和分配受管移动应用程序和相关联的元数据到一个或多个应用程序商店的示例性过程的流程图。

图7是根据本文所描述的一个或多个说明性方面，示出提供受管移动应用程序到移动设备的示例性过程的示意图。

图8和9是根据本文所描述的一个或多个说明性方面，示出示例性计算环境和将受管移动应用程序提供到移动设备的过程的示意图。

图10是根据本文所描述的一个或多个说明性方面，说明用于封装用于应用程序管理框架的应用程序的示例性过程的流程图。

详细描述

在各种实施方案的以下描述中，对以上识别的附图进行参考，且其形成本文的一部分，且其中以实例说明的方法展示各种实施方案，其中可实践本文描述的方面。应该理解的是，可利用其它实施方案，且可进行对结构和功能的修改而不脱离本文中所描述的范围。各个方面能够用于其它实施方案且能够以各种不同方式实践或执行。

作为对在以下更详细描述的主题的一般性介绍，本文中所描述的方面针对关于企业***的软件应用程序的开发、修改和分配。软件组件，诸如本地移动应用程序或模板应用程序，可修改成受管移动应用程序，且与受管移动应用程序相关联的元数据可被生成。可给受管移动应用程序和相关联的元数据提供各种应用程序商店，诸如公共应用程序商店和/或企业应用程序商店。从应用程序商店，可被移动设备检索受管移动应用程序和/或相关联的元数据，并可作为在企业***中受管应用程序来执行。

应当理解的是，本文使用的措辞和术语是用于描述的目的，而不应被视为限制。相反，本文使用的短语和术语应给予其最宽泛的解释和含义。使用“包括(including)”和“包含(comprising)”及其变型是指包括其后列出的项目和其等同物以及其它项目及其等同物。术语“安装(mounted)”、“连接(connected)”、“耦合(coupled)”、“定位(positioned)”、“占用(engaged)”和相似的短语的使用，指包括直接和间接安装、连接、耦合、定位和占用。

计算架构

可在各种不同的***环境中利用计算机软件、硬件和网络，不同的***环境包括单机的、联网的、远程访问的(也叫做，远程桌面)、虚拟的、和/或基于云的环境，等等。图1示出了***架构和数据处理设备的一个实例，其被用于在单机环境和/或网络环境中执行本文描述的一个或多个说明性方面。各种网络节点103、105、107和109可经由广域网(WAN)101(诸如互联网)互联。也可以或可选地使用其它网络，包括私有内联网、企业网、LANs、城域网(MAN)、无线网络、个人网络(PAN)，等等。网络101用于说明目的，且可用更少的或其它计算机网络替换。局域网(LAN)可具有任何已知的LAN拓扑的一个或多个，并可使用各种不同的协议的一个或多个，诸如以太网。可经由双绞线、同轴电缆、光纤、无线电波或其它通信介质连接设备103、105、107、109和其它设备(未示出)到一个或多个网络。

如本文使用的和在附图中所描绘的术语“网络”指的不仅是在其中经由一个或多个通信路径耦合在一起的远程存储设备的***，而且也指可耦合的单机设备，偶尔指，具有存储能力的这种***。因此，术语“网络”不但包括“物理网络”，而且包括“内容网络”，其含有归属于单一实体的、驻留在所有物理网络的数据。

该组件可包括数据服务器103、web服务器105和客户端计算机107、109。数据服务器103提供对数据库和控制软件的全面访问、控制和管理，用于执行本文描述的一个或多个说明性方面。可连接数据服务器103到web服务器105，通过该服务器用户按照请求与数据交互并获得数据。可选地，数据服务器103本身可充当web服务器，并可直接连接到互联网。经由直接或间接的连接，或经由某一其它网络，数据服务器103可通过网络101(例如，互联网)连接到web服务器105。用户可使用远程计算机107、109与数据服务器103交互，例如，使用web浏览器经由web服务器105托管一个或多个外部暴露的网站连接到数据服务器103。客户端计算机107、109可用于与数据服务器103协调以访问其中存储的数据，或可用于其它目的。例如，从客户端设备107，用户可使用互联网浏览器访问web服务器105，如本领域已知的，或通过执行通过计算机网络(例如互联网)与web服务器105和/或数据服务器103进行通信的软件应用程序。

服务器和应用程序可组合在相同的物理机上，并保留分离的虚拟或逻辑地址，或可驻留在分离的物理机上。图1仅示出一个可使用的网络架构的实例，且本领域那些技术人员将理解，所使用的特定的网络架构和数据处理设备可变化，且是它们提供的功能辅助，如本文进一步描述的。例如，通过web服务器105和数据服务器103提供的服务可在单个服务器上进行组合。

每个组件103、105、107、109可以是任何类型的已知计算机、服务器或数据处理设备。例如，数据服务器103可包括控制速率服务器103的整体操作的处理器111。数据服务器103还可包括RAM 113、ROM 115、网络接口117、输入/输出接口119(例如，键盘、鼠标、显示器、打印机等)、以及存储器121。I/O 119可包括各种用于读、写、显示、和/或打印数据或文件的接口单元和驱动器。存储器121还可存储用于控制数据处理设备103的整体操作的操作***软件123，用于指令数据服务器103以执行本文描述的方面的控制逻辑125，以及提供辅助、支持、和/或其它可用于或不可用于与本文描述的方面结合使用的功能的其它应用程序软件127。在本文中，控制逻辑还可称为数据服务器软件125。数据服务器软件的功能可涉及操作或决策，这些操作或决策基于编码到控制逻辑的规则自动地进行、由用户提供输入到***手动进行、和/或基于用户输入的自动处理的组合(例如，查询、数据更新等)。

存储器121还可存储在本文描述的一个或多个方面的性能中使用的数据，包括第一数据库129和第二数据库131。在一些实施方案中，第一数据库可包括第二数据库(例如，作为分离的表、报告等)。即，该信息可存储在单个数据库中，或分离成不同的逻辑、虚拟或物理数据库，其取决于***设计。设备105、107、109可具有如关于设备103描述的类似的或不同的架构。本领域的那些技术人员将理解，如本文描述的数据处理设备103(或设备105、107、109)的功能可分布在多个数据处理设备中，例如，在多台计算机上分配处理负载，以基于地理位置、用户访问级别、服务质量(QoS)等分离处理。

一个或多个方面可体现在计算机可用或可读的数据和/或计算机可执行指令中(诸如在一个或多个程序模块中)，由一个或多个计算机或如本文所述的其它设备执行。一般而言，程序模块包括例程、程序、对象、组件、数据结构等，这些当在计算机或其它设备中通过处理器执行时，执行特定任务或执行特定抽象数据类型。该模块可写入随后编译用于执行的源代码编程语言，或可写入脚本语言，诸如(但不限于)HTML或XML。该计算机可执行指令可存储在计算机可读介质中，诸如非易失性存储设备。可使用任何合适的计算机可读存储介质，包括硬盘、CD-ROM、光存储设备、磁存储设备、和/或它们的任意组合。此外，代表如本文所述的数据或事件的各种传输(非存储)介质，可在源和目的之间穿过信号传导介质(诸如金属线、光纤)和/或无线传输介质(例如，空气和/或空间)以电磁波的形式传输。本文描述的各个方面可体现为方法、数据处理***、或计算机程序产品。因此，各种功能可整体或部分地体现在软件、固件和/或硬件或硬件等同物，诸如集成电路、现场可编程门阵列(FPGA)，等等。特定的数据结构可用于更有效地执行本文所述的一个或多个方面，且预期这种数据结构在本文所述的计算机可执行指令和计算机可用数据的范围内。

进一步参考图2，可在远程访问环境中实施本文所述的一个或多个方面。图2描绘了示例性的***架构，包括在说明性计算环境200中的通用计算设备201，其可根据本文所述的一个或多个说明性方面来使用。例如，在配置以为客户端访问设备提供虚拟机的单个服务器或多个服务器的桌面虚拟化***(例如，远程访问或云***)中，通用计算设备201可用作服务器206a。通用计算设备201可具有处理器203，以用于控制服务器及其相关联组件的整体操作，包括随机存取应用程序商店器(RAM)205、只读存储器(ROM)207、输入/输出(I/O)模块209和存储器215。

I/O模块209可包括鼠标、键盘、触摸屏、扫描仪、光学读取器、和/或指示笔(或其它输入设备)，通用计算设备201的用户可通过其提供输入，且还可包括用于提供音频输出的一个或多个扬声器，以及用于提供文本、视听和/或图形输出的视频显示设备。软件可存储在存储器215和/或其它存储中，以提供指令给处理器203用于配置通用计算设备201为专用计算设备，以便执行如本文所述的各种功能。例如，存储器215可存储计算设备201使用的软件，诸如操作***217、应用程序219、和相关的数据库221。

计算设备201可在支持连接到一个或多个远程计算机(诸如终端240(也称为客户端设备))的网络化环境中运行。终端240可以是个人计算机、移动设备、笔记本计算机、平板计算机、或服务器，其包括以上描述的关于通用计算设备103或201的许多或全部元素。在图2中描述的网络连接包括局域网(LAN)225和广域网(WAN)229，但也可包括其它网络。当在LAN联网环境中使用时，计算设备201可通过网络接口或适配器223连接到LAN 225。当在WAN联网环境中使用时，计算设备201可包括调制解调器227或用于建立在WAN229(诸如计算机网络230(例如，互联网))上的通信的其它广域网接口。应理解的是，所示的网络连接是说明性的，且可使用在计算机之间建立通信链接的其它手段。计算设备201和/或终端240也可以是移动终端(例如，移动电话、智能电话、PDA、笔记本计算机等)，包括各种其它组件，例如电池、扬声器和天线(未示出)。

还可用许多其它通用或专用计算***环境或配置操作本文中所述的方面。可适合于结合本文所述的方面使用的其它计算***、环境和/或配置的实例，包括，但不限于，个人计算机、服务器计算机、手持或笔记本设备、多处理器***、基于微处理器的***、机顶盒、可编程消费电子产品、网络PC、小型计算机、大型计算机、包括以上任何***或设备的分布式计算环境，等等。

如图2所示，一个或多个客户端设备240可与一个或多个服务器206a-206n(在本文中通常称为“服务器206”)通信。在一个实施方案中，计算环境200可包括服务器206和客户端机器240之间安装的网络装置。该网络装置可管理客户端/服务器连接，并在某些情况下可负载平衡多个后端服务器206之间的客户端连接。

在一些实施方案中，可称客户端机器240为单个客户端机器240或单组客户端机器240，而可称服务器206为单个服务器206或单组服务器206。在一个实施方案中，单个客户端机器240与多于一个的服务器206通信，而在另一个实施方案中，单个服务器206与多于一个的客户端机器240通信。在另一个实施方案中，单个客户端机器240与单个服务器206通信。

在一些实施方案中，下列非穷举术语的任何一个可引用客户端机器240：客户端机器；客户端；客户端计算机；客户端设备；客户端计算设备；本地机器；远程机器；客户端节点；端点；或端点节点。在一些实施方案中，下列非穷举术语的任何一个可引用服务器206：服务器；本地机器；远程机器；服务器群；或主机计算设备。

在一个实施方案中，客户端机器240可以是虚拟机。虚拟机可以是任何虚拟机，而在一些实施方案中虚拟机可以是由类型1或类型2的管理程序所管理的任何虚拟机，例如，由Citrix Systems、IBM、VMware开发的管理程序，或任何其它管理程序。在一些方面中，虚拟机可由管理程序管理，而在其它方面中虚拟机可由在服务器206上执行的管理程序或在客户端240上执行的管理程序管理。

一些实施方案包括客户端设备240，其显示由在服务器206上远程执行的应用程序或由其它本地化机器上远程执行的应用程序生成的应用程序输出。在这些实施方案中，客户端设备240可执行应用程序管理代理(或客户端代理程序或应用程序)，以在应用程序窗口、浏览器、或其它输出窗口显示输出。在一个实例中，应用程序是桌面，而在其它实例中应用程序是生成或呈现桌面的应用程序。桌面可包括提供用于操作***的实例的用户接口的图形壳，其中可集成本地和/或远程应用程序。如本文所使用的，应用程序为装载操作***(和任选地，还有桌面)的实例之后执行的程序。

在一些实施方案中，服务器206使用远程呈现协议或其它程序将数据发送到瘦客户端或在客户端上执行的远程显示应用程序，以呈现通过服务器206上执行的应用程序产生的显示输出。瘦客户端或远程显示协议可以是以下协议的非穷举列表中的任意一个：由佛罗里达的劳德代尔堡的Citrix Systems公司开发的独立计算架构(ICA)协议；或由华盛顿的雷德蒙的Microsoft Corporation制造的远程桌面协议(RDP)。

远程计算环境可包括多于一个的服务器206a-206n，使得，例如在云计算环境中，服务器206a-206n逻辑组合在一起成服务器群206。服务器群206可包括地理上分散而同时逻辑分组在一起的服务器206，或位于彼此接近同时在逻辑上分组在一起服务器206。在一些实施方案中，在服务器群206中地理上分散的服务器206a-206n使用WAN(广域网)、MAN(城域网)、或LAN(局域网)通信，其中不同的地理区域可表征为：不同大陆；大陆的不同区域；不同的国家；不同的州；不同的城市；不同的校区；不同的房间；或前述地理位置的任何组合。在一些实施方案中，服务器群206可作为单个实体管理，而在其它实施方案中，服务器群206可包括多个服务器群。

在一些实施方案中，服务器群可包括服务器206，其执行基本上类似类型的操作***平台(例如，WINDOWS、UNIX、LINUX、iOS、ANDROID、SYMBIAN，等)。在其它实施方案中，服务器群206可包括执行第一类型的操作***平台的一个或多个服务器的第一组，以及执行第二类型的操作***平台的一个或多个服务器的第二组。

服务器206可根据需要配置成任何类型的服务器，例如，文件服务器、应用程序服务器、web服务器、代理服务器、装置、网络装置、网关、应用程序网关、网关服务器、虚拟服务器、部署服务器、SSL VPN服务器、防火墙、网络服务器、应用程序服务器或作为主应用程序服务器、执行活动目录的服务器、或执行提供防火墙功能的应用程序加速程序的服务器、应用程序功能、或负载平衡功能。也可使用其它类型的服务器。

一些实施方案包括，从客户端机器240接收请求的第一服务器206a，将请求发送到第二服务器206b，并随着来自第二服务器206b的响应，响应由客户端机器240产生的请求。第一服务器206a可取得可用于客户端机器240的应用程序的枚举，以及与承载在应用程序枚举中指定的应用程序的应用程序服务器206相关联的地址信息。然后，第一服务器206a可使用web接口呈现对客户端请求的响应，并直接与客户端240通信以给客户端240提供对所识别的应用程序的访问。一个或多个客户端240和/或一个或多个服务器206可在网络230(例如网络101)上发送数据。

图2示出高级别架构，其可以是说明桌面虚拟化***。如图所示，桌面虚拟化***可以是单个服务器或多个服务器***、或云***，包括配置以给一个或多个客户端访问设备240提供虚拟桌面和/或虚拟应用程序的至少一个虚拟化服务器206。如本文所用的，桌面指图形环境或空间，其中可托管和/或执行一个或多个应用程序。桌面可包括提供用于操作***的实例的用户接口的图形壳，其中可集成本地和/或远程应用程序。应用程序可包括装载了操作***(和任选地，还有桌面)的实例之后执行的程序。操作***的每个实例可以是物理的(例如，每个设备一个操作***)或虚拟的(例如，运行在单个设备上的OS的多个实例)。可在本地设备上执行或在本地设备上远程地执行(例如，远程的)每个应用程序。

当在桌面虚拟化***中使用时，服务器206可被配置作为在虚拟化环境中的虚拟化服务器，例如，单一服务器、多个服务器、或云计算环境。在这种实施方案中，虚拟化服务器206可包括硬件层，其包括一个或多个物理磁盘、物理设备、物理处理器、和物理存储器。虚拟化服务器206的存储器215可包括固件、操作***、以及被配置来创建和管理任意数量的虚拟机是管理程序(例如，1型或2型管理程序)。虚拟机是一组可执行指令，当由处理器执行时，其模拟物理计算机的操作，使得虚拟机可更像物理计算设备那样执行程序和过程。管理程序可提供物理硬件、存储器、处理器和可用于该虚拟机的其它***资源的虚拟视图给每个虚拟机。

本文所描述的一些方面可在基于云的环境中实施。在这种环境中，客户端设备204可与一个或多个云管理服务器206通信，以访问云***的计算资源(例如，主机服务器、存储资源、和网络资源)。云管理服务器206可管理各种计算资源，包括云硬件和软件资源，并可提供用户接口，云运营商和云客户可通过用户接口与云***交互。例如，管理服务器206可提供一组API和/或一个或多个带用户接口的云运营商控制台应用程序(例如，基于web的应用程序或单机应用程序)，以允许云运营商管理云资源、配置虚拟化层、管理客户账户、并执行其它云管理任务。管理服务器206还可包括一组API和/或一个或多个客户控制台应用程序，其带有被配置为经由客户端计算机240从终端用户接收云计算请求的用户接口，例如，请求创建、修改或注销在云中的虚拟机。客户端计算机240可经由互联网或其它通信网络连接到管理服务器206，并可请求访问由管理服务器206所管理的一个或多个计算资源。响应于客户端请求，管理服务器206可包括资源管理器，其配置以基于客户端的请求在云***的硬件层选择和提供物理资源。例如，可配置云***的管理服务器206和其它组件提供、创建和管理虚拟机和它们的操作环境(例如，管理程序、存储资源、由网络元件提供的服务等)以用于在客户端计算机240为客户，通过网络(例如，互联网)为客户提供计算资源、数据存储服务、网络性能、以及计算机平台和应用程序支持。还可配置云***以提供各种特定服务，包括安全***、开发环境、用户接口，等等。

云计算环境还可包括带有被配置以创建和管理虚拟机的其它硬件和/或软件资源的虚拟化层，并使用云中的物理资源给客户提供其它服务。虚拟化层可包括管理程序，如上所述，连同提供网络虚拟化、存储虚拟化等的其它组件。虚拟化层可作为与物理资源层相分离的层，或可共享一些或全部相同硬件和/或带物理资源层的软件资源。

企业移动性管理架构

图3表示的是用于在BYOD环境中使用的企业移动性技术架构300。该架构使移动设备302的用户能够从移动设备302访问企业或个人资源并使用用于个人使用的移动设备302。用户可使用移动设备302访问这种企业资源304或企业服务308，其中移动设备302由用户购买或由企业提供给用户。用户可利用仅用于商业使用，或用于商业和个人使用的移动设备302。移动设备可运行iOS操作***、Android操作***、和/或类似的。企业可选择实施策略以管理移动设备304。以这种移动设备可被识别、保护或安全验证、以及被提供对企业资源的选择性的或全部的访问的方式，可通过防火墙或网关植入该策略。策略可以是移动设备管理策略、移动应用程序管理策略、移动数据管理策略、或移动设备、应用程序和数据管理策略的某些组合。通过移动设备管理策略的应用程序管理的移动设备304可称为登记设备或受管设备。

在一些实施方案中，移动设备的操作***可分成受管分区310和非受管分区312。受管分区310可具有施用于其的策略，以保护受管分区中运行的应用程序和存储的数据。在其它实施方案中，所有的应用程序可根据从应用程序单独接收的一组一个或多个策略文件执行，且当该应用程序在设备上执行时，其定义一个或多个安全参数、特征、资源的限制、和/或其它由移动设备管理***执行的访问控制。通过根据它们各自的策略文件进行操作，每个应用程序可被允许或限制与一个或多个其它应用程序和/或资源的通信，从而创建虚拟分区。因此，如本文所用，分区可指存储器的物理分区部分(物理分区)，存储器的逻辑分区部分(逻辑分区)，和/或创建的虚拟分区，作为如本文描述的跨多个应用程序一个或多个策略和/或策略文件执行的结果(虚拟分区)。换句话说，通过在受管应用程序上强制执行策略，这些应用程序可只限于能够与其它受管应用程序和值得信赖的企业资源通信，从而创建非受管应用程序和设备不能通过的虚拟分区。

在受管分区上运行的应用程序可以是安全应用程序。安全应用程序可以是电子邮件应用程序、web浏览应用程序、软件即服务(SaaS)访问应用程序、Windows Application访问应用程序，等等。安全应用程序可以是安全本地应用程序314，由安全应用程序启动器318执行的安全远程应用程序322，由安全应用程序启动器318执行的虚拟化应用程序326，等等。安全本地应用程序314可由安全应用程序封装器320封装。当安全本地应用程序在设备上执行时，安全应用程序封装器320可包括在移动设备302上执行的综合策略。安全应用程序封装器320可包括元数据，其指引在移动设备302上运行的安全本地应用程序314到在企业托管的资源，其中安全本地应用程序314可在安全本地应用程序314执行时要求完成请求的任务。通过安全应用程序启动器318执行的安全远程应用程序322可在安全应用程序启动器应用程序318内执行。由安全应用程序启动器318执行的虚拟化应用程序326可利用移动设备302、企业资源304等等的资源。由安全应用程序启动器318执行的虚拟化应用程序326在移动设备302上使用的资源，可包括用户交互资源、处理资源，等等。用户交互资源可用于收集和传输键盘输入、鼠标输入、摄像机输入、触觉输入、音频输入、可视化输入、手势输入，等等。处理资源可用来呈现用户接口、从企业资源304接收的过程数据，等等。由安全应用程序启动器318执行的虚拟化应用程序326在企业资源304上使用的资源可包括用户接口生成资源、处理资源，等等。用户接口生成资源可用于组装用户接口、修改用户接口、刷新用户接口，等等。处理资源可用于创建信息、读取信息，更新信息、删除信息，等等。例如，虚拟化应用程序可记录与GUI相关联的用户交互，并将它们传送到服务器应用程序，其中服务器应用程序将使用用户交互数据作为到在服务器上运行的应用程序的输入。在这种布置中，企业可选择维护服务器端的应用程序以及与应用程序相关联的数据、文件等。而企业可按照本文原则，通过保护其用于在移动设备上部署，选择“调动”一些应用程序，这种布置也可选择用于某些应用。例如，尽管可保护用于在移动设备上使用的一些应用程序，对于在移动设备上的部署，其它应用程序可能没有准备或是不合适的，所以企业可选择通过虚拟化技术给移动用户提供对未准备的应用程序的访问。作为另一实例，企业可具有带有大量和复杂的数据集的大型复杂的应用程序(例如，材料资源计划应用程序)以定制用于移动设备的应用程序，这将是非常困难的或是不期望的，所以企业可选择提供通过虚拟化技术对应用程序的访问。作为另一个实例，企业可具有维持被企业视为对即使安全的移动环境也过于敏感的高度安全数据(例如，人力资源数据、客户数据、工程数据)的应用程序，所以企业可选择使用虚拟化技术以允许移动访问这种应用程序和数据。企业可选择提供在移动设备上完全安全和全功能的应用程序，以及虚拟化应用程序以允许对被认为更适合在服务器端运行的应用程序的访问。在实施方案中，虚拟化应用程序可在安全存储位置之一的移动电话上存储一些数据、文件等。例如，企业可选择允许在电话上存储某些信息，而不允许存储其它信息。

如本文所述，在与虚拟化应用程序的连接中，移动设备可具有被设计以呈现GUI且然后记录用户与GUI的交互的虚拟化应用程序。该应用程序可传送用户交互到服务器端，以被作为用户与应用程序交互的服务器端应用程序使用。作为响应，在服务器端的应用程序可发送新GUI返回到移动设备。例如，新GUI可以是静态页面、动态页面、动画，等等。

安全应用程序可访问存储在移动设备的受管分区310中的安全数据容器328中的数据。在安全数据容器中保护的数据可由以下应用程序访问，安全封装的应用程序314、由安全应用程序启动器322执行的应用程序、由安全应用程序启动器322执行的虚拟化应用程序326，等等。存储在安全数据容器328中的数据可包括文件、数据库，等等。存储在安全数据容器328中的数据可包括限定到特定安全应用程序330的数据，在安全应用程序332中共享的数据，等等。限制到安全应用程序的数据可包括安全通用数据334和高度安全数据338。安全通用数据可使用强的加密形式，诸如AES 128位加密等等，而高度安全数据338可使用非常强的加密形式，诸如AES 256位加密。在接收来自设备管理器324的命令时，可从设备删除存储在安全数据容器328中的数据。安全应用程序可具有双模式选项340。双模式选项340可向用户呈现在非安全模式中运行安全应用程序的选项。在非安全模式中，安全应用程序可访问存储在移动设备302的非受管分区312的非安全数据容器342中的数据。存储在非安全数据容器中的数据可以是个人数据344。存储在非安全数据容器342中的数据，也可由在移动设备302的非受管分区312上运行的非安全应用程序348访问。当存储在安全数据容器328中的数据从移动设备302中删除时，存储在非安全数据容器342中的数据可保持在移动设备302上。企业可能希望从移动设备中删除选择的或所有数据、文件，和/或企业(企业数据)拥有的、许可的或控制的应用程序，而留下的或以其它方式保留的个人数据、文件和/或由用户(个人数据)拥有的、许可的或控制的应用程序。该操作可称为选择性擦除。根据本文所描述的方面安排的企业和个人数据，企业可执行选择性擦除。

移动设备可连接到在企业的企业资源304和企业服务308，公共互联网348，等等。移动设备可通过虚拟私有网络连接来连接到企业资源304和企业服务308。虚拟私有网络连接(也称为微VPN或应用程序专用VPN)可以是特定于移动设备上的特定应用程序350中、特定设备、特定安全区域，等等(例如，352)。例如，在手机的安全区域的每个封装的应用程序可通过应用程序专用VPN访问企业资源，使得基于与应用程序相关联的属性，可能与用户或设备属性信息结合，将被授权对VPN的访问。虚拟私有网络连接可携带Microsoft Exchange流量、Microsoft Active Directory流量、HTTP流量、HTTPS流量、应用程序管理流量，等等。虚拟私有网络连接可支持并实现单点登录认证过程354。单点登录过程可允许用户提供单独一组认证凭证，然后其由认证服务358验证。然后，认证服务358可授予用户访问多个企业资源304，而无需用户提供认证凭证到每个单个的企业资源304。

虚拟私有网络连接可由接入网关360建立和管理。接入网关360可包括性能增强特征，其管理、加速和提高企业资源304到移动设备302的输送。接入网关也可重新路由从移动设备302到公众互联网348的流量，使得移动设备302能够访问公共互联网348上运行的公共可用的和不安全的应用程序。移动设备可经由传输网络362连接到接入网关。传输网络362可以是有线网络、无线网络、云网络、局域网、城域网、广域网、公共网络、私有网络，等等。

企业资源304可包括电子邮件服务器、文件共享服务器、SaaS应用程序、Web应用程序服务器、Windows应用服务器，等等。电子邮件服务器可包括Exchange服务器、Lotus Notes服务器，等等。文件共享服务器可包括ShareFile服务器，等等。SaaS应用程序可包括Salesforce，等等。Windows应用程序服务器可包括被构建以提供旨在本地Windows操作***上运行的应用程序的任何应用程序服务器，等等。企业资源304可以是基于前提的资源、基于云的资源，等等。可通过移动设备302直接地或通过接入网关360访问企业资源304。可经由传输网络362由移动设备302访问企业资源304。传输网络362可以是有线网络、无线网络、云网络、局域网、城域网、广域网、公共网络、私有网络，等等。

企业服务308可包括认证服务358、威胁检测服务364、设备管理器服务324、文件共享服务368、策略管理器服务370、社交集成服务372、应用程序控制器服务374，等等。认证服务358可包括用户认证服务、设备认证服务、应用程序认证服务、数据认证服务，等等。认证服务358可使用证书。该证书可由企业资源304等等存储在移动设备302上。存储在移动设备302上的证书可存储在移动设备上的加密位置中，该证书可暂时存储在认证时使用的移动设备302上，等等。威胁检测服务364可包括入侵检测服务，未经授权访问尝试检测服务，等等。未经授权访问尝试检测服务可包括未授权尝试访问设备、应用程序、数据，等等。设备管理服务324可包括配置、供应、安全、支持、监测、报告和退出服务。文件共享服务368可包括文件管理服务、文件存储服务、文件协作服务，等等。策略管理器服务370可包括设备策略管理服务、应用程序策略管理器服务、数据策略管理器服务，等等。社交集成服务372可包括接触集成服务、协作服务、社交网络集成，诸如Facebook、Twitter和LinkedIn，等等。应用程序控制器服务374可包括管理服务、供应服务、部署服务、分配服务、撤销服务、封装服务，等等。

企业移动性技术架构300可包括应用程序商店378。应用程序商店378可包括未封装的应用程序380、预封装的应用程序382，等等。应用程序可位于来自应用程序控制器374的应用程序商店378。可由移动设备302通过接入网关360、通过公共互联网348，等等访问应用程序商店378。应用程序商店可设置有直观和易于使用的用户接口。应用程序商店378可提供对软件开发工具包384的访问。软件开发工具包384可给用户提供保护由用户通过如在本说明书中先前描述的封装应用程序而选择的应用程序的能力。然后，使用软件开发工具包384封装的应用程序可用于通过使用应用程序控制器374将其置于应用程序商店378中的移动设备302。

企业移动技术架构300可包括管理和分析能力。管理和分析能力可提供与资源如何使用，资源被多久使用一次，等等相关的信息。资源可包括设备、应用程序、数据，等等。如何使用资源可包括哪些设备下载哪些应用程序，哪些应用程序访问哪些数据，等等。资源被多久使用一次可包括应用程序多久被下载一次，一组特定的数据被应用程序访问了多少次，等等。

图4是另一个说明性的企业移动性管理***400。参考图3上述描述的管理***300的一些组件，为简便起见，已经被省略。图4所示的***400的架构在许多方面与以上参考图3描述的***300的架构相似，并可包括上面未提到的其它特征。

在这种情况下，左手边表示带有客户端代理404的登记的/受管移动设备402，其与网关服务器406(其包括接入网关和应用程序控制器功能)交互以访问各种企业资源408和服务409，诸如，如以上右手边所示的交换、Sharepoint、PKI资源、Kerberos资源、和证书发布服务。虽然没有具体示出，但是移动设备402还可与用于应用程序选择和下载的应用程序商店交互。

客户端代理404充当UI(用户接口)媒介，用于在企业数据中心托管的Windows应用程序/桌面，其使用远程显示协议来访问，诸如但不限于ICA协议。客户端代理404还支持移动设备402上的本地应用程序的安装和管理，诸如本地iOS或Android应用程序。例如，在以上图中所示的受管应用程序410(邮件、浏览器、封装的应用程序)全都是在设备上本地执行的本地应用程序。客户端代理404和这种架构的应用程序管理框架(AMF)用于提供驱动管理能力和特征的策略，诸如连接和SSO(单点登录)到企业资源/服务408。客户端代理404处理主要用户到企业的认证，通常到带有到其它网关服务器组件的SSO的接入网关(AG)的认证。客户端代理404从网关服务器406获得策略，以控制移动设备402上的AMF受管应用程序410的行为。

本地应用410和客户端代理404之间的安全IPC链接412表示管理通道，其允许客户端代理提供策略以通过应用程序管理框架414“封装”每个应用程序而被执行。IPC通道412还允许客户端代理404提供实现连接和SSO到企业资源408的凭证和认证信息。最后，IPC通道412允许应用程序管理框架414来调用由客户端代理404实现的用户接口功能，诸如在线和离线认证。

客户端代理404和网关服务器406之间的通信基本上是从封装每个本地管理应用程序410的应用程序管理框架414的管理信道的扩展。应用程序管理框架414从客户端代理404请求策略信息，客户端代理404依次从网关服务器406请求它。应用程序管理框架414请求认证，且客户端代理404登录到网关服务器406(也称为NetScaler Access Gateway)的网关服务部分。客户端代理404还可调用网关服务器406上的支持服务，其可产生输入材料以导出用于本地数据仓库416的加密密钥，或提供客户端证书，其可实现对PKI保护资源的直接认证，如下面更充分地解释的。

更具体地，应用程序管理框架414“封装”每个受管应用程序410。这可经由明确的构建步骤或经由构建后的处理步骤合并。该应用程序管理框架414可与在应用程序410的第一启动上的客户端代理404“配对”，以初始化安全IPC通道并获得用于该应用程序的策略。应用程序管理框架414可强制执行本地应用的策略的相关部分，诸如客户端代理登录依赖性和限制可如何使用本地OS服务的一些遏制策略，或它们可如何与应用程序410交互。

应用程序管理框架414可使用在安全IPC通道412上的客户端代理404提供的服务，以方便认证和内部网络访问。对于私有和共享数据仓库416(容器)的密钥管理还可由在受管应用程序410和客户端代理404之间的适当的相互作用进行管理。只有经过在线认证后仓库416可以是可用的，或如果策略允许，可在离线认证后可用。第一次使用仓库416可需要在线认证，且离线访问可被限制在再次需要在线认证之前的大多数策略刷新时段。

可发生直接从个人受管应用程序410通过接入网关406对内部资源的网络访问。应用程序管理框架414负责策划代表每个应用程序410的网络访问。客户端代理404可通过提供以下在线认证获得的次级凭证限制的合适的时间来促进这些网络连接。可以使用网络连接的多种模式，诸如反向web代理连接和端到端的VPN式隧道418。

邮件和浏览器受管应用程序410具有特定的状态，并可使用通常可能不可用于任意封装的应用程序的设施。例如，邮件应用程序可使用专用后台网络访问机制，该专用后台网络访问机制允许其访问在延长的时间周期的交换，而无需完整的AD登录。浏览器应用程序可使用多个私有数据仓库来隔离不同类型的数据。

该架构支持各种其它安全特征的结合。例如，网关服务器406(包括其网关服务)在某些情况下，将不需要验证AD密码。其可给企业判断AD密码在某些情况下是否被用作一些用户的认证因素。如果用户是在线或离线(即，连接或不连接到网络的)，则可使用不同的认证方法。

加强认证是一种特征，其中网关服务器406可识别被允许访问需要强认证的高级别分类的数据的受管本地应用程序410，并确保在执行适当的认证后才允许对这些应用程序的访问，即使这意味着在事先弱级别的登录之后用户需要重新认证。

这种解决方案的另一个安全特征是对移动设备402上的数据仓库416(容器)的加密。可加密仓库416，使得所有在设备上的数据，包括文件、数据库和配置，得到保护。对于在线仓库，密钥可存储在服务器(网关服务器406)上，且对于离线仓库，可由用户密码保护密钥的本地副本。当数据本地存储在安全容器416中的设备402上时，优选的是使用AES 256位加密算法的最小化。

还可实现其它安全容器的特征。例如，可包括记录特征，其中应用程序410内部发生的所有安全事件被记录并报告给后端。可支持数据擦除，诸如，如果应用程序410检测到篡改，关联的加密密钥可用随机数据写覆盖，在用户数据销毁的文件***上不留下痕迹。截图保护是另一特征，其中应用程序可防止任何数据以截图方式存储。例如，密钥窗口的隐藏属性可设置为YES。这可导致当前显示在屏幕上的无论是什么内容都将被隐藏，造成空白屏幕截图，其中任何内容正常驻留。

本地数据传输可被防止，例如通过防止任何数据在应用程序容器之外本地传送，例如，通过复制其或将其发送到外部应用程序。键盘缓存特征可操作以禁用敏感文本字段的自动更正功能。SSL证书验证可以是可操作的，所以应用程序具体验证服务器SSL证书，而不是其被存储在密钥链中。可使用加密密钥生成特征，使得使用由用户提供的通行码产生在设备上用于加密数据的密钥(如果需要离线访问)。如果不需要离线访问，其可以是带有随机生成并存储在服务器端的另一个密钥的逻辑异或。密钥导出功能可运行，使得由用户密码产生的密钥使用KDF(密钥导出功能，特别是PBKDF2)，而不是创建它的加密哈希。后者使得密钥易受暴力或字典攻击。

此外，一个或多个初始向量可用于加密方法中。初始化向量将导致相同的加密数据的多个副本，以产生不同的密文输出，防止重放和密码攻击。即使偷走加密密钥如果不知道用于加密数据的初始化向量，这也将阻止攻击者解密任何数据。此外，然后可使用认证解密，其中仅当用户在应用程序中已经验证之后，才解密应用程序数据。另一个特征可涉及在存储器中的敏感数据，只有当需要它时其可保持在存储器中(而不是在磁盘中)。例如，登录后登录凭证可从存储器中擦除，且不存储加密密钥和objective-C实例变量内的其它数据，因为可它们可容易地引用。相反，可为这些手动分配存储器。

可实现不活动超时，其中在不活动的策略定义的周期之后，终止用户会话。

可用其它方式防止数据从应用程序管理框架414泄漏。例如，当应用程序610置于后台时，可在预定的(可配置的)时间周期之后清空存储器。当后台运行时，可采取应用程序的最后显示屏幕的快照以紧固前台处理。该截图可包含机密数据，且因此应被清除。

另一个安全特征涉及OTP(一次性口令)420的使用，而无需用于访问一个或多个应用程序的AD(活动目录)422密码的使用。在一些情况下，一些用户不知道(或不允许知道)他们的AD密码，所以这些用户可使用OTP 420认证，诸如通过使用类似于SecurID的硬件OTP***(OTPs还可由不同的供应商来提供，诸如Entrust或Gemalto)。在某些情况下，在用户与用户ID认证之后，用OTP 420发送文本到用户。在某些情况下，这仅可被实施用于在线使用，其中提示为单字段。

可实施用于这些应用程序410的离线认证的离线密码，其中经由企业策略允许离线使用。例如，企业可希望以这种方式访问企业应用程序商店。在这种情况下，客户端代理404可要求用户设定定制的离线密码，且不使用AD密码。网关服务器406可提供策略以控制和执行关于最小长度、字符类组合和密码寿命的密码标准，诸如由标准Windows Server密码复杂性要求所描述的，尽管这些要求可能被修改。

另一个特征涉及用于某些应用程序410的客户端证书的启用，作为第二凭证(用于经由微VPN特征访问PKI保护的web资源的目的)。例如，应用程序，诸如WorkMail，可利用这种证书。在这种情况下，可支持使用ActiveSync协议的基于证书的认证，其中来自客户端代理404的证书可由网关服务器406检索，并在密钥链中使用。每个受管应用程序可具有一个相关联的客户端证书，通过在网关服务器406中定义的标签识别。

网关服务器406可与企业专用web服务进行交互，以支持客户端证书的发布，允许相关的受管应用程序来认证内部PKI保护的资源。

可增强客户端代理404和应用程序管理框架414，以支持获取和使用客户端证书，以用于认证到内部PKI保护的web资源。可支持多于一个的证书，诸如以匹配各种安全等级和/或分离的要求。该证书可由邮件和浏览器受管应用程序使用，并最终由任意封装的应用程序使用(提供的这些应用程序使用web服务类型的通信模式，其中应用程序管理框架介入HTTPS请求是合理的)。

在iOS上的客户端证书支持可依靠导入PKCS 12BLOB(二进制大对象)到使用的每个周期的每个受管应用程序中的iOS密钥链。客户端证书支持可使用具有私有存储器内的密钥存储的HTTPS实施方式。客户端证书将不会存在于iOS的密钥链中，并不会被存留，除非可能在强保护的“仅在线”数据值中。

共同的SSL还可通过请求将移动设备402认证到企业来进行实施以提供额外的安全性，并且反之亦然。也可实现认证到网关服务器406的虚拟智能卡。

有限的和全部的Kerberos支持可以是额外的特征。全部的支持特征涉及一种能力，该能力使全部Kerberos登录到AD 422，使用AD密码或信任的客户端证书，并获得Kerberos服务标签来响应HTTP协商认证挑战。有限的支持特征涉及在AGEE中的约束授权，其中AGEE支持调用Kerberos协议过渡，因此其可获取和使用Kerberos服务标签(针对于受约束的授权)以响应于HTTP协商认证挑战。当HTTP(而不是HTTPS)连接在VPN和微VPN模式下被代理时，这种机制在反向网络代理(又名CVPN)模式下工作。

另一个特征涉及应用程序容器的锁定和擦除，其在越狱或根检测时可自动发生，并作为来自管理控制台的推送的命令，并可包括远程擦除功能，即使当应用程序410没有运行时。

可支持企业应用程序商店和应用程序控制器的多站点架构或配置，允许从失败情况下的几个不同位置之一服务用户。

在一些情况下，可允许受管应用程序410经由API(例如OpenSSL)访问证书和私有密钥。企业的可信的受管应用程序410可被允许以执行具有应用程序客户端证书和私有密钥的特定公共密钥操作。可相应地识别和处理各种使用情况，诸如当应用程序行为类似于浏览器且不需要证书访问时，当应用程序读取了“我是谁”的证书时，当应用程序使用证书来建立安全会话记号时，以及当应用程序使用用于重要数据数字签名(例如，交易日志)或用于临时数据加密的私有密钥时。

应用程序开发、分布和执行

图5-7和下面的部分，示出的是关于开发、部署、分布和执行受管应用程序的各种实施方案和实例。参***的移动应用程序描述了一些实例，诸如移动电话、个人数字助理(PDA)、平板计算机和笔记本计算机。例如，图5-6示出了开发和分布移动应用程序的示例性过程，且图7示出了从应用程序商店给移动设备提供受管移动应用程序的过程。然而，应该理解的是，本文描述的概念不局限于移动应用程序和移动设备，也可应用于其它类型的计算设备。例如，使用以下描述的用于移动应用程序和移动设备的相似(或相同)的技术，可为个人台式计算机和其它非移动计算设备开发和分布软件应用程序。使用以下描述的用于移动应用程序和移动设备的相似的或相同的技术(例如，软件开发和修改工具、经由应用程序商店的分布，等)，还可为在其它软件平台上的设备开发和分布应用程序，诸如基于电视的平台(例如，用于GOOGLE TV的ANDROID应用程序，等)、基于汽车或基于车辆的软件平台，等等。

现在参考图5，示出了建立受管移动应用程序包和分布包的组件到一个或多个应用程序商店的过程的说明性的示意图。以下参考图5描述的特征和方法可由计算设备或设备的组合执行，诸如在图1和2中所示的各种计算设备和***，并可在各种不同类型的企业***和其它计算***内执行，诸如在图3和4中所示的说明性的移动性管理***。

在图5中所示的说明性构建过程接受移动应用程序代码501和企业受管应用程序软件工具502。在本实例中的移动设备应用程序代码501可对应于一个或多个可执行的软件组件，或对应于尚未构建到可执行组件的应用程序代码。例如，移动应用程序代码501可以是可执行的本地移动应用程序，其由在组织内使用的组织构建，或由独立软件供应商(ISV)构建和分布。在这种情况下，移动应用程序代码501可对应于先前公布的可执行应用程序，其已经签署和验证，用于通过一个或多个应用程序商店进行分布。可选地，移动应用程序代码501可以是未构建的软件代码，例如，应用程序开发过程中的代码。此外，如下面所讨论的，移动应用程序代码501可对应于模板应用程序，诸如可配置的存根应用程序，其被设计为允许用户容易地创建用于企业***的受管移动应用程序。这种模板的应用程序本身可以是可执行的应用程序(例如，通用或存根web浏览器应用程序，通用或存根单会话客户端执行环境应用程序，等等)，或可采用被分解到二进制软件开发工具包(SDK)的模板应用程序的形式。

在图5中的企业受管应用程序软件工具502可以是被提供给组织、ISV或其它软件应用程序开发商的软件工具包。在一些实例中，软件工具包502可包括头文件和库，以允许应用程序开发商创建用于企业***的受管移动应用程序。该工具包502库可包括用面向C的编程语言或其它合适的编程语言编写的应用程序编程接口。在某些情况下，该软件工具502可包括命令行可执行工具502，以生成应用程序包(例如，用于APPLE移动设备的可执行的.IPA、用于GOOGLE ANDROID移动设备的可执行.APK等)，以及关联的元数据文件。在其它实例中，软件工具502可包括向导502或其它用户界面屏幕，以允许用户指定用于应用程序的受管应用程序特征和用于发布应用程序的元数据。在其它实例中，软件工具502不需要包括命令行工具或向导，而是(或除了)可作为服务执行。例如，含有更新或转换移动软件应用程序到受管移动应用程序的功能的服务502，可集成到移动应用程序的发布流。

在图5中说明的代码修改和构建过程503期间，在构建(或重建)代码成为可执行的受管移动应用程序之前，企业受管应用程序工具502可用来修改移动应用程序代码501。如上所述，移动应用程序代码501可对应于可执行的软件组件(例如，本地移动应用程序、模板应用程序、二进制SDK等)或对应于未构建的和不可执行的软件代码。因此，如果移动应用程序代码501是可执行的应用程序，则修改和建立过程503可包括打开现有的应用程序、通过***代码修改应用程序代码501以实现对各种受管应用程序特征的支持(例如，用于监测和控制***相互作用的代码)，并***各种资源到代码中(例如，证书、秘密、管理应用程序的资源等)。与此相反，如果移动应用程序代码501是未构建的和不可执行的软件代码，例如，如果移动应用程序代码501，如果在由与企业***相关联的ISV或组织开发下，则管理代码和/或配置代码可被***到代码而无需先打开可执行的(如，二进制)应用程序包。此外，如果移动应用程序代码501是模板应用程序(例如，通用或存根应用程序，或对应于通用或存根应用程序的二进制SDK)，则实现各种受管应用程序特征的代码可能会或可能不会已经被包含在模板中。如以下所讨论，某些模板应用程序可预配置为受管移动应用程序，但可用特定的参数来配置以定义受管应用程序的限制和策略，以及额外的参数以定制应用程序的用户接口和其它特征。

在修改和构建过程503期间，可配置企业受管应用程序工具502以增加在封装的移动应用程序中发现的一些或全部功能。例如，可配置软件工具502以增加用于企业用户认证的功能(例如，经由应用程序管理代理和接入网关)到移动应用程序代码501。还可配置软件工具502以经由应用程序管理代理增加用于认证应用程序的功能(例如，包括应用程序枚举、订阅、下载和安装)。可配置工具502以增加应用程序策略执行功能，并增加锁定和擦除功能到应用程序代码501。还可配置软件工具502以增加用于微VPN和相关联的策略的支持，以及应用程序牵制及相关联的策略(例如，受管OpenIn、安全纸板、定位服务、照相机、和在封装的应用程序中所支持的所有其它应用程序牵制特征)到移动应用程序代码501。此外，可配置软件工具502以增加数据加密支持和相关联的策略(例如，SQL数据库加密、文件加密等)到应用程序代码501。还可配置软件工具502以增加对移动应用程序和应用程序管理代理之间的安全通信的支持到移动应用程序代码501。

代码修改和建立过程503可由一个或多个软件工具502自动地执行，或可包括涉及用户输入和/或用户交互的一个或多个步骤。在一些实例中，软件工具502可对应于命令行实体或服务，其能够接收应用程序代码501(在一个或多个二进制可执行和/或源代码的形式)，修改应用程序代码501，和构建可执行的受管移动应用程序，全部不需要任何用户交互或输入。在这种实例中，构建工具502(例如，命令行实体或软件服务)可实现一组应用程序管理特性和功能，诸如以上描述的那些，包括定义在企业***中如何监测和控制应用程序的预定的约束和策略。这种约束和策略的实例包括控制应用程序将被允许访问什么***资源和设备硬件，控制应用程序将被要求使用的什么安全协议或其它网络通信策略，控制应用程序将被要求使用的数据加密，等等。

在一些实例中，在使用软件工具502修改应用程序代码501和构建受管移动应用程序的过程503期间，可接收和使用用户输入和/或用户交互。例如，命令行实体502可允许用户指定控制将被***到应用程序代码501的应用程序管理特征和功能的变元(argument)，并指定将被实现以控制在企业***中的应用程序的约束和策略(例如，数据加密策略、安全通信策略、资源访问约束等)。软件工具502还可包括向导502或其它用户接口以接收来自用户的输入(例如，应用程序开发商或经销者，或转换移动应用程序为受管应用程序的企业***用户)，该用户指定将被施加到受管应用程序的应用程序管理特征和功能，包括将在企业***中控制应用程序的约束和策略。另外，如在下面更详细地讨论的，用户输入和/或用户交互讨论可用于进一步定制在构建过程期间的移动应用程序。例如，用户输入可被接收并用于定制功能的特征、外观和感觉，以及基于模板应用程序产生的应用程序的发布信息(例如，基于web的应用程序和客户端执行环境应用程序)。

修改应用程序代码501后，使用一个或多个编译和构建软件工具(例如，用于开发iOS应用程序的XCODE套件)，可编译和构建该代码(或在本地移动应用程序的情况下重新编译和重构，等等)。图5中说明的构建过程可包括测试/验证阶段，其中在应用程序封装过程可执行的期间正常完成一些或全部测试。在构建代码(或重建)为可执行应用程序之前，这种测试和验证可在软件源代码上执行，和/或可在编译/构建过程之后在可执行应用程序上执行。在一些实例中，可执行附加的测试和验证以确保受管移动应用程序505与一个或多个企业***兼容。例如，如果受管移动应用程序旨在由企业***提供和支持，则可在构建过程503期间或之后使用测试实体，以确认该应用程序与接入网关和/或期望的企业***的基础设施兼容。如果受管移动应用程序不与期望的企业***兼容，则***可确定应用程序必须进一步被修改和被重建，或应用程序应列在企业应用程序商店508中或由企业***支持。

如图5中所示，修改和构建503应用程序代码的过程可产生受管移动应用程序包504。受管移动应用程序包504可包括用于应用程序505的一个或多个可执行复体(例如，用于APPLE移动设备的.IPA文件、用于GOOGLE ANDROID移动设备的.APK文件等)，以及与应用程序相关联的一个或多个元数据文件507。在一些实例中，描述或涉及应用程序的元数据507可用于发布和策略控制。元数据文件507(例如，XML文件、文本文件、或其它元数据格式)可自动地从应用程序代码501或在构建过程503期间获得，和/或可包括在修改和建立过程503期间接收的用户输入。例如，可基于移动应用程序代码501的自动检查和/或可执行的创建，通过构建503确定某些元数据507。此外，元数据507可包括描述或涉及移动应用程序的用户输入信息，诸如应用程序名称，兼容的OS版本。在一些实例中，元数据507可包括用于在应用程序商店(例如，企业应用程序商店508)中广告和发布的应用程序。例如，元数据507可包括关于应用程序的图标和屏幕截图、描述应用程序并允许反馈和应用程序评级的HTML内容，使得应用程序可在应用程序商店中发布。此外，元数据507可包括一个或多个统一资源定位符(URL)，其识别用于在一个或多个应用程序商店中的应用程序的下载位置(例如，公共应用程序商店506)。

在某些实施方案中，用于受管移动应用程序505的可执行的复体，和与应用程序相关联的元数据507，可被提供给不同的应用程序商店。例如，如图5中所示，可执行的应用程序可被发送到公共的应用程序商店506(例如，APPLE APP STORE、GOOGLE PLAY APP STORE等)，而元数据507被发送到企业应用程序商店507。企业应用程序商店507可以是商业或组织企业***的非公共应用程序商店。如以上讨论的，企业应用程序商店507(例如，应用程序商店378)可通过应用程序控制器374来放置企业应用程序，包括安全应用程序和企业专门的应用程序。

在一些实施方案中，可执行的复体和用于受管移动应用程序的元数据可被提供给同一应用程序商店，其可以是公共应用程序商店506或企业应用程序商店508。此外，单个移动应用程序的多个不同版本可被提供给应用程序商店，例如，本地移动应用程序和相应的受管移动应用程序。

现在参考图6，示例性方法被示出为从本地应用程序或模板应用程序生成受管移动应用程序，并提供受管移动应用程序和相关联的元数据到一个或多个应用程序商店。

步骤601-602涉及实施方案，其中基于本地移动应用程序创建受管移动应用程序。例如，本地移动应用程序可以是由公司开发的应用程序，供员工经由公司的企业基础设施使用，或可以是由独立软件供应商(ISV)开发的消费者应用程序。在步骤601中，本地移动应用程序将被重建成受管移动应用程序，该本地移动应用程序可通过命令行实体(例如，作为变元)、向导(例如，由用户输入识别的)、或其它软件工具502来接收。在某些实例中，在本地应用程序的开发流或发布流期间，步骤601可由在线服务自动地执行。例如，当消费者移动应用程序或企业移动应用程序发布在应用程序商店中时(例如，公共应用程序商店506)，在线服务502可在发布流中调用，其被配置以产生匹配用于企业***的受管应用程序。

在步骤602，在步骤601中接收的本地移动应用程序可通过***代码修改，以允许本地移动应用程序被企业***控制。如以上关于修改和构建过程503所描述的，本地应用程序可通过打开现有的本机应用程序和***代码到实施特征、策略和约束来修改，其可允许应用程序作为企业***中的移动设备上的受管应用程序来执行。为了***代码，软件工具502首先可确定本地移动应用程序的结构和应该***代码的位置。与某些移动平台相关联的应用程序包可具有特定的预定结构，其可被用于确定应用程序如何和在哪里可被打开以***代码。一些应用程序包还可用证书签署，并可具有配置文件以允许应用程序的管理。因此，所确定的应用程序结构(基于移动平台要求)和配置文件可允许软件工具502打开本地应用程序，并增加代码以对应用程序进行所期望的修改。为了在步骤602修改本机应用程序，可重写应用程序文件以增加各种功能和特征(例如，用于监测和控制***交互、实施策略等的代码)，并***各种资源到代码中(例如，证书、秘密、管理应用的资源等)。在步骤602修改本地应用程序后，在步骤606中修改的应用程序可重新构建为受管移动应用程序，如下面讨论的。

步骤603-605涉及实施方案，其中修改并配置模板应用程序以创建受管移动应用程序。在该实例中，代替接收和修改现有的本地应用程序(如在步骤601-602)，软件工具502可用于通过修改和配置模板应用程序创建新的受管应用程序。在步骤603，软件工具502可接收用户输入，其识别该用户想要创建的应用程序的一般类型。例如，应用程序的一般类型可以是包装的网络应用程序，或托管在企业数据中心的应用程序(例如，使用HDX/ICA或其它显示远程协议访问的应用程序)，或可创建应用程序模板的一般应用程序(例如，通用或存根应用程序)的其他类型的一般应用程序。

各种不同的软件工具502可被用于在步骤603接收用户输入。例如，命令行实体502可接受对应于用户希望创建的一般类型的应用程序变元，或向导502或其它用户接口可呈现给用户支持创建一般应用程序类型的一组应用程序模板选择(例如，经由下拉列表)。在其它实例中，用户不需要选择应用程序类型，而是可为新的应用程序选择一个或多个应用程序特征和/或所希望的功能，且软件工具502可确定最合适的应用程序模板以提供由用户选择的特征和功能。

在步骤604，基于在步骤603中识别的应用程序类型，模板应用程序可由软件工具502检索。应用程序模板(其可以是通用的应用程序或存根应用程序)可包括被设计用于指定类型的应用程序(例如，web应用程序、托管的企业应用程序，等等)的应用程序代码，其作为单独受管移动应用程序可方便地进行配置、构建和部署。例如，应用程序模板可以是带底层代码的单一用途的应用程序(例如，单一标签的web浏览器应用程序、单一会话托管的企业应用程序等)作为受管移动应用程序来执行，并带有可被改变以修改应用程序的功能的一组默认的配置参数。例如，应用程序模板的配置参数可限定应用程序的特征和功能(例如，可在企业***中应用以控制应用程序的约束和策略)，应用程序用户接口的外观和感觉(例如，应用程序的皮肤、文本、所支持的特征等)，以及应用程序发布的数据(例如，应用程序名称、图标等)。可设计和编写模板应用程序，使得这种配置参数可容易地由软件工具502在模板内***和/或修改。如下面讨论的，在一些实例中，用户可输入配置参数作为元数据，其可用于将模板应用程序定制成适合于用户的目的的定制的应用程序。

因此，模板应用程序可以是到用于创建受管应用程序504的软件工具502的输入。在一些实例中，软件工具502可对应于提供给组织、ISV、或其它软件应用程序开发商的软件工具包502。在这种情况下，一个或多个模板应用程序，可连同软件工具包502一起被提供，或可以是可从单独位置下载的。在其它实例中，模板应用程序可能对开发商并不直接可用，但经由软件工具502(诸如命令行工具、向导、或者其它用户接口软件工具)间接可用。例如，用户可与软件向导502交互，以选择模板应用程序并提供元数据/配置参数，其中软件向导502可根据由用户提供的元数据/配置参数检索和修改底层应用程序模板。

例如，模板应用程序可以是web应用程序模板(或web浏览器模板应用程序)。在一些情况下，web应用程序模板可以是浏览器应用程序存根，或可以是分解为二进制SDK的web浏览器应用程序。web应用程序模板可基于由移动平台(诸如iOS web浏览器或ANDROID web浏览器)支持的本地web浏览器应用程序，且因此可包括传统的web浏览功能。web应用程序模板还可包括打包为受管应用程序的代码，使得web浏览支持可使用由企业框架提供的安全控制来执行(例如，经由微VPN的网络连接)，以允许web浏览器应用程序访问内网资源以及互联网资源。

在一些实例中，web应用程序模板可能没有典型的导航控件、地址栏、菜单、或web浏览器使用的其它用户界面特征，使得从模板生成的web应用程序可具有定制的应用程序的外观和感觉而不是标准的web浏览器。在web应用程序模板的各种实施方式中，各种不同的用户界面组件(例如，菜单、导航控件、滚动条等)可被包括在或不被包括在模板中，以提供用于创建web应用程序的不同的选择。

作为另一实例，模板应用程序可以是托管的企业应用程序模板。托管的企业应用程序模板可以是基于被配置以提供托管在企业数据中心的应用程序的用户接口的客户端执行环境应用程序。例如，托管的企业应用程序模板可包括来自客户端执行环境引擎的代码，连同用于客户端执行环境会话视图的用户接口显示控制器。可配置根据托管的企业应用程序模板生成的应用程序，以使用例如，HDX/ICA显示远程协议，来访问企业数据中心，从而可通过企业***的网关进行部署(例如，云网关406)，正如在移动设备上的其它应用程序。在一些实例中，可配置托管的企业应用程序模板以仅在单个会话上运行，而不支持多会话的应用程序，使得根据模板生成的托管的企业应用程序可具有单定制的应用程序的外观和感觉。

在步骤605，接收应用程序配置参数以配置在步骤604中检索的模板应用程序。如上所述，模板应用程序可包括基本的底层功能(例如，web浏览、连接和来自企业数据中心的托管等)，但可能不包括用户期望的定制的应用程序的具体内容或配置。因此，在步骤605，软件工具502，诸如命令行工具、向导、或其它软件工具，可接收指定具体内容的用户输入或配置参数，其可用于定制应用程序模板为将被部署的受管应用程序。在步骤605中接收的配置参数可被用于配置应用程序的功能(例如，特征、行为等)，定制应用程序的外观(例如，定制外观和感觉，提供发布的应用程序的名称和图标等)，并且也可配置在企业***内将如何进行管理/控制应用程序(例如，安全特征、约束和策略等)。

对于web应用程序模板，例如，在步骤605中接收的应用程序配置参数可以是web应用程序的名称，用于发布的web应用程序的图标，和限定或限制定制web应用程序可能被用于的一组网页/网络资源的一组统一资源定位符(URL)。被接收以定制web应用程序的一组URL可采用URL列表形式，或由用户经由命令行参数、向导、输入数据文件、或在步骤605中的其它用户接口输入的一组基础URL模式。被接收用于web应用程序模板的应用程序配置参数还可包括用于安全/管理策略控制的参数，诸如web应用程序是否将被允许通过网络隧穿返回，web应用程序是否将支持内部地和在其它应用程序之间的复制和粘贴功能，以及web应用程序将访问的移动设备硬件和设施(例如，在移动设备上的GPS***、麦克风、或其它传感器)的列表。

在托管的企业应用程序模板的实例中，在步骤605中接收的应用程序配置参数可包括应用程序的、对应于受管移动应用程序(例如，当将创建定制的单会话的受管应用程序时)的指定的托管的企业应用程序名称和图标、对应于托管的企业应用程序的安全/管理策略控制的参数、和配置托管的企业应用程序的用户接口的参数。如在上面的实例中，经由命令行参数、向导、输入数据文件、或在步骤605中的其它用户接口，可在步骤605接收配置参数，作为用户输入。

在步骤606，基于(1)修改的本地应用程序(参见步骤601-602)，或修改的模板应用程序(参见步骤603-605)，产生受管移动应用程序。在一些实例中，步骤606可类似于以上讨论的构建过程503。例如，利用编译和构建软件工具，诸如用于开发iOS应用程序的XCODE套件，可在步骤606生成对应于受管移动应用程序(例如，用于APPLE移动设备的.IPA文件、用于GOOGLE ANDROID移动设备的.APK文件等)的一个或多个可执行的复体。

在修改本地移动应用程序的情况下(步骤601-602)，步骤606中的构建可包括重建、重新密封、和重新验证应用程序包。在一些情况下，修改的本地应用程序可利用证书重签，该证书符合在其上将部署应用程序的操作***的要求，例如，应用程序包可用其原始证书(例如，来自ISV、企业***的客户，等)重新认证以允许部署修改的本地应用程序。在根据模板应用程序构建受管应用程序的情况下(步骤603-605)，步骤606中的构建过程可与在某些情况下类似，且甚至更容易。如以上所讨论的，可设计模板应用程序，使得步骤605中由用户输入的配置信息输入可容易地增加到应用程序，例如，如在配置数据文件的条目，以允许应用程序容易地重建和重新认证。

在步骤607中，可生成与受管移动应用程序相关联的一个或多个元数据文件。如以上所讨论的，与受管移动应用程序相关联的元数据文件(例如，XML文件、文本文件、或其它元数据格式)可包括描述应用程序的元数据。修改和/或构建受管应用程序的过程期间(例如，步骤606)，可自动导出某些元数据，而其它元数据在配置/修改过程期间(例如，步骤602和/或605)可经由用户输入而被接收，或可在单独过程中从外部数据源检索到。元数据可被用于多种目的，包括在应用程序商店中广告和发布应用程序，给应用程序二进制文件的当前版本提供链接，并提供关于应用程序的特征和功能的信息，包括在企业***中关于应用程序的管理和控制的信息。因此，为了广告和发布应用程序，在步骤607中生成的元数据文件可包括应用程序的名称、图标、支持的OS版本、一般的HTML描述和应用程序的截屏、用户评级和评论，等等。元数据还可包括一个或多个URL以(例如，从公共应用程序商店506)下载应用程序二进制文件，允许受管应用程序在不同的位置中将被发布/广告。

在步骤607中生成的元数据还可包括关于在企业***中的应用程序的控制和管理的信息，诸如将被应用到受管应用程序的安全特征、约束、和策略。这种元数据可包括策略和约束，其关于数据加密、安全通信策略、对设备硬件和其它资源的访问、和本文描述的任何其它安全和应用程序管理功能。

如以上所讨论的，关于在企业***中应用程序的控制和受管类似信息，包括策略和约束，也可直接***到应用程序代码(例如，步骤602和/或605)并构建为受管应用程序(例如，步骤606)。因此，在一些实例中，此信息可能不被包括在元数据中。在其它情况下，在允许受管应用程序以企业***上的受管应用程序被下载和/或执行之前，类似的(或相同的)信息可被包括在元数据中，使得企业***可评估元数据以确保受管应用程序与企业网关和***的安全性/管理策略兼容。

在其它实例中，某些应用程序管理和控制信息可被包括在元数据中，但不需要被构建为应用程序的可执行二进制文件。一些受管移动应用程序可被构建以包括内置的应用程序管理支持，但没有配置和控制受管应用程序的运行的某些特定参数，诸如限定受管web应用程序的特定一组URL、受管应用程序可访问的具体设备硬件和特征，等。在这些实例中，具体的配置参数可被包括在元数据中，并在受管应用程序安装在移动设备上并首次执行之后，可配置应用程序的可执行二进制文件来从元数据检索该数据(例如，从企业应用程序商店)。以这种方式，单个受管应用程序(例如，在公共应用程序商店中)可在不同的企业***基础设施中不同地执行，这取决于在不同企业***的相应元数据中的配置参数。

在步骤608中，受管移动应用程序可被提供给公共应用程序商店，且在步骤609中相关联的元数据可被提供给企业应用程序商店。如以上参照图5中描述的，在本实例中受管移动应用程序可包括用于受管移动应用程序的可执行的二进制文件，其可由公共应用程序商店(诸如APPLE APPSTORE、GOOGLE PLAY APP STORE、和/或其它公共应用程序商店)发布或从其分布。企业应用程序商店可对应于在商业或组织的控制下的在企业***基础设施内的非公共应用程序商店。

在图6所示的实例中，受管移动应用程序和相关联的元数据被提供给不同的应用程序商店。然而，在其它实例中，受管移动应用程序(例如，可执行的二进制代文件)和相关联的元数据可被提供给公共应用程序商店和/或企业应用程序商店。在一些情况下，受管移动应用程序的单个统一副本可被提供给公共应用程序商店，且相关联的元数据的各种不同版本可被提供给不同的企业应用程序商店。在这种实例中，可为每个不同的企业***生成元数据的不同的/定制的副本，当基于特定企业***的偏好定制受管移动应用程序的实施方式时，允许不同的企业***提供它们的用户(例如，雇员)。

现在参考图7，示出示意图说明通过移动设备703接收和使用受管移动应用程序的示例性过程。如本实例所示的，移动设备703可从第一应用程序商店701(例如，公共的应用程序商店)下载受管移动应用程序，并可从第二应用程序商店702(例如，企业应用程序商店)下载与受管移动应用程序相关联的元数据。然而，在其它实例中，受管移动应用程序和相关联的元数据都可通过单一的应用程序商店701或701分布并从其下载。此外，在一些情况下，相关联的元数据不需要被下载到移动设备703。例如，元数据可仅由移动设备703进行访问以确定用于受管移动应用程序的下载URL，或可根本不被移动设备703访问。在其它情况下，受管移动设备应用程序704，在被下载到移动设备703之后，可被配置以从企业应用程序商店702检索元数据。

在一些实施方案中，与受管移动应用程序相关联的元数据连同一些其它应用程序的元数据可被存储在企业应用程序商店702内的目录702a中。例如，企业应用程序商店702中的目录702a可具有来源于多个不同应用程序的元数据，且在企业***中的移动设备703的用户可登录到企业应用程序商店702以检索对于企业***是可用的/被核准的受管应用程序的列表。在在企业应用程序商店702上的目录702a中列出应用程序之前，应用程序可由企业***进行评估以确保其与企业网关、基础设施、和/或企业***的安全性和管理策略兼容。例如，这种评价可包括，接入网关集成测试。如果在某些方面应用程序不与企业***兼容，该***可确定应用程序不应在目录702a中列出，即使应用程序可经由公共应用程序商店701用于下载获得。

如以上所讨论的，与受管移动应用程序相关联的元数据可包括可从其下载应用程序二进制文件的一个或多个URL。因此，在一些情况下，移动设备703的用户可登录到企业应用程序商店702，并可使用该应用程序元数据，以从公共应用程序商店701中检索应用程序二进制文件704。在该实例中，企业应用程序商店702可自动地从公共应用程序商店701中检索应用程序二进制文件704，并将它们提供给移动设备703。可选地，企业应用程序商店702可将URL提供给移动设备703，且移动设备703可连接到公共应用程序商店701以下载应用程序704。在任何一种情况下，这些过程对于移动设备703的用户可以是透明的，使得呈现给用户的是应用程序704仅从企业商店702下载而无需访问公共应用程序商店701。

在其它实例中，用户可登录到公共应用程序商店701并下载应用程序704，而不需要首先访问在企业应用程序商店702中的目录702a。因此，移动设备703的用户不需要具有与企业应用程序商店702的任何交互或对其的感知。在一些情况下，应用程序从公共应用程序商店701下载后，移动设备可自动地连接到企业应用程序商店702(例如，应用程序704的下载之后，或应用程序704的首次执行期间)以确定与应用程序704相关联的元数据是否存在于目录702a中，且如果可用，下载元数据。

当在公共应用程序商店701中更新应用程序时，例如，受管移动应用程序704的更新版本，在目录702a中的元数据也可或不可被更新。在一些实例中，软件工具502(例如，用于ISV的工具包502)可被设计成具有灵活性，以允许ISV和其他开发商来更新在公共应用程序商店701中的应用程序，而不更新在目录702a中的相应的元数据。在这些实例中，移动设备703可从公共应用程序商店701直接下载应用程序二进制文件704的较新版本，且即使其可与具有在目录702a中过时的数据的企业帐户相关联，应用程序的新应用程序版本也应该正确地工作。

在某些实施方案中，移动应用程序704，其包括内置的应用程序管理支持，诸如使用以上参考图5-6所讨论的技术产生的受管移动应用程序，可在移动设备703上以任何一种受管模式(即，其中应用程序行为类似受管应用程序)或非受管模式(即，其中应用程序行为不类似于受管应用程序)执行。例如，如果应用程序管理代理705未安装在移动设备703上，和/或如果移动设备用户没有登录到企业应用程序商店702并登记应用程序704，则受管移动应用程序704可在非受管模式下执行。因此，用户可将受管移动应用程序704下载到他们的设备703并运行这些应用程序，即使应用程序管理代理705不存在，或如果用户/移动设备703没有接收到适当的授权以运行来自企业***(例如，应用程序管理代理705和/或企业网关)的应用程序704。与此相反，如果发布了应用程序704并登记了与企业应用程序商店702相关联应用程序，则应用程序704可以受管模式执行，并可表现得类似于在移动设备703上的受管应用程序。

此外，某些企业***可提供用于受管移动应用程序704的双模支持。当提供双模式的支持时，应用程序最初可以第一模式运行(例如，受管或非受管)，并随后以第二模式运行(例如，受管或非受管)以响应于移动设备用户的请求和/或基于某些条件。例如，在应用程序管理代理705被安装在移动设备703上之后，用户登录到企业商店702，并订阅应用程序704，最初在非受管模式下运行的应用程序704可开始以受管模式运行。在这一点上，应用程序704与用户/移动设备703的企业帐户相关联，且应用程序704将表现类似于受管应用程序。使用这种方法，某些应用程序开发商(例如，ISV和其它第三方应用程序开发商)可选择上传他们应用程序的两个版本(例如，个人版本和企业版本)，或可选择上传的他们应用程序的单一集成版本。在某些实施方案中，可仅允许应用程序704从非受管模式转换到受管模式，而不允许从受管模式转换到非受管模式。在其它实例中，应用程序704可两个方向转换。

相对于受管移动应用程序704的双模式支持，在某些实例中，多个不同的应用程序类型可支持控制在受管模式和非受管模式中的应用程序704的某些行为。在某些情况下，当使用以上参考图5-6所讨论的技术产生受管移动应用程序(例如，修改的和重建的)时，可确定双模式支持的应用程序类型。例如，被配置以修改和重建移动应用程序的一个或多个软件工具502可被配置以接受应用程序类型输入(例如，作为命令行可变无或到向导、数据文件、或其它用户接口等的输入)。在一些实例中，提供给ISV和其它应用程序开发商的软件工具包502可包括API，其允许ISV或开发商定义用于将被产生的受管移动应用程序的应用程序类型。

双模式支持的应用程序类型可支配在受管模式和非受管模式下执行的各种特征，以及应用程序模式间转换的条件和要求。例如，某些应用程序类型可被设计成专门针对企业用户，且开发商可更喜欢这些应用程序在受管模式下运行。在这类应用程序与企业账户相关联之前，它们可被允许在非受管模式下运行，但当在非受管模式下运行时应用程序可利用在模板文件中由开发商(例如，ISV)定义的一组默认的管理策略来运行。因此，通过设置应用程序类型和配置默认管理策略，ISV和其它开发商可控制某些应用程序的行为，而没有应用程序和企业账户之间的任何关联。相比之下，可允许其它类型的应用程序在非受管模式而非任何默认受管策略下运行。

作为另一个实例，与双模式支持相关的应用程序类型可需要移动设备用户在应用程序704从非受管模式转换为受管模式之前，提供手动确认(例如，经由对话框或其它用户提示)。在本实例中，仅在从非管理转换到受管全部其它条件已经满足之后(例如，应用程序管理代理705存在于移动设备703中，从应用程序管理代理705至少登录到企业帐户一次，应用程序704授权给来自企业帐户的用户，和/或用户已经订阅应用程序704)，可给用户提供对话框或其它提示。在这种情况下，即使所有的其它条件得到满足，只要用户确认应用程序704将从非受管模式转换到受管模式。相比之下，其它类型的应用程序可自动地从非受管模式转换到受管模式，而无需用户确认。在另外的实例中，关于双模式的应用程序类型可需要应用程序704在特定的模式下运行(例如，非受管或受管)，或当应用程序在模式之间转换时可设置支配的条件。

如以上所讨论的，受管移动应用程序704可经由企业应用程序商店702或直接从公共应用程序商店701下载到移动703。此外，某些受管移动应用程序704可在存在或不存在应用程序管理代理705和/或其它企业基础设施下执行。此外，可支持多个执行模式(例如，受管和非受管)，且基于各种条件可实现应用程序类型和相应的规则以控制应用程序704的执行行为。虽然以上单独讨论，但这些概念在许多场景中可组合运行。下面实例进一步说明这些关于在移动设备703上的受管移动应用程序704的首次执行的这些概念的组合。

在某些实例中，在下载受管移动应用程序704之前(例如，使用用户的个人帐户经由公共应用程序商店701)，移动设备用户可安装并登录到应用程序管理代理705。在这种情况下，用户可登录到应用程序管理代理705以从公共应用程序商店701订阅和下载受管移动应用程序704，并然后启动应用程序704。在本实例中，应用程序704可发起握手协议和与应用程序管理代理705的认证握手过程以建立安全的进程间通信(IPC)。执行期间，当要求移动设备用户输入凭证以登录到应用程序管理代理705时，应用程序704可开启应用程序管理代理。

在其它实例中，在安装和/或登录到应用程序管理代理705之前，移动设备用户可从公共应用程序商店701下载受管移动应用程序704。例如，如果在应用程序管理代理705被安装在移动设备703上之前，用户安装和启动受管移动应用程序704，则受管移动应用程序704可在非受管模式下运行，如以上所讨论的。

在其它实例中，如果应用程序管理代理705被安装在移动设备703上之后，但在用户登录到应用程序管理代理之前，用户首次启动受管移动应用程序704，则可配置受管移动应用程序704以检测在移动设备703上安装了应用程序管理代理705并自动启动应用程序管理代理705。启动应用程序管理代理705且用户用企业帐户登录后，可配置应用程序管理代理705以列举在企业应用程序商店702中用户订阅的应用程序。在这种情况下，可配置应用程序704以检查由应用程序管理代理705列举的该组应用程序。如果订阅了应用程序704，则应用程序704可在受管模式下启动，且如果未订阅应用程序704，应用程序704可在非受管模式下启动。在另外的实例中，如以上所讨论的，在从非受管模式转换到受管模式之前，应用程序704可提示用户确认。

来源于非受管应用程序的受管应用程序的基于策略的控制

图8和9，以及下面的部分，说明了关于来源于非受管应用程序的受管应用程序的基于策略的控制的各种实施方案和实例。如在以上的实例中，参***(诸如移动电话、个人数字助理(PDA)、平板计算机和笔记本计算机)的移动应用程序描述了受管应用程序的一些实例。例如，图8-9示出了示例性过程，其中非受管移动应用程序接收自应用程序源801或901，并经由应用程序转换组件802或902转换成受管移动应用程序。然后受管移动应用程序可被提供给应用程序分发服务器803或903，从该应用程序分发服务器803或903受管移动应用程序可被移动设备804或904下载。然而，应该理解的是，本文描述的概念不局限于移动应用程序和移动设备，也可应用于其它类型的计算设备。例如，使用以下描述的用于移动应用程序和移动设备的相似(或相同)的技术，可为个人台式计算机和其它非移动计算设备开发和分布受管软件应用程序。使用以下描述的用于移动应用程序和移动设备的相似的或相同的技术(例如，软件开发和修改工具、经由应用程序商店的分布，等)，还可为在其它软件平台(诸如基于电视的平台(例如，用于GOOGLE TV的ANDROID应用程序，等)、基于汽车或基于车辆的软件平台，等等)上的设备开发和分布受管应用程序。

参考图8，示意图被示出为，其说明示例计算环境和提供受管移动应用程序到移动设备804的示例性过程。如示例中所示，应用程序源801，诸如公共应用程序商店、企业应用程序商店、软件开发商等，可包括非受管应用程序(例如，不在本地策略控制下的应用程序)库。

应用程序转换组件802可接收来自应用程序源801的非受管应用程序，反编译非受管应用程序，用基于一组策略增强控制的一组指令增强非受管应用程序，且然后重新编译非受管应用程序以形成受管应用程序。然后，可通过应用程序源(例如，相同的应用程序源801或不同的应用程序商店，或应用程序分发服务器803，诸如企业应用程序服务器等)提供用于由移动设备804使用的受管应用程序。

一旦受管应用程序安装在移动设备804上，受管应用程序可访问一组的策略，并可根据其运行，该组策略分离地保存在移动设备804上。此外，受管应用程序可从应用程序源(例如，应用程序源801，应用程序分发服务器803等)请求更新的一组策略，并根据随着时间更新的该组策略并以常规方式运行。

参考图9，示意图被示出为，其说明另一个示例计算环境和提供受管移动应用程序到移动设备904的示例性过程。在本实例中，图9中示出的电子环境包括应用程序源901、运行专用软件工具902的软件转换设备、应用程序商店服务器903和移动设备904(例如，智能电话、平板计算机等)。

在图8和9中，虽然应用程序源801和901、转换组件802和902、以及应用程序分发服务器803和903在这些实例中被示为单独的装置，应该理解的是任何两个或这三个全部都可在不同的实例中作为相同的装置来实施。例如，在一些布置中，移动设备904的用户可从应用程序商店服务器903购买受管应用程序，其运行作为用于分发受管应用程序的运载工具以及用于分发控制受管应用程序在移动设备904上如何运行的策略的策略服务器。

此外，应当理解的是，本文示出的计算环境的各种装置可计算机化，并经由电子信号进行通信。例如，每台计算机化的装置801-804和901-904可包括通信接口以连接到通信介质，诸如计算机网络、高速缓存和/或永久地存储信息的存储器、和执行操作***和本地应用程序的处理电路，包括以上参照图1和2讨论的一些或全部组件。

再次参考图9，在运行期间，转换装备902可运行从软件源901接收非受管应用程序905的专用软件实体(参见步骤1)。例如，当根据专门的软件实体运行时，转换设备902可反编译非受管应用程序905为人类可读的源代码。然后，转换装备902可修改源代码以包括(例如，嵌入)各种策略控制特征。例如，转换设备902可被构造和安排以分析(例如，扫描和识别)活动和适当的位置以注入基于策略的控制指令到非受管应用程序的软件源代码。然后，转换装备902可重新编译源代码以形成受管应用程序906。

在该实例中，应用程序商店服务器903可从转换装备902接收并加载受管应用程序(参见步骤2)，从而使得受管应用程序可用于经由应用程序商店服务器903而分发到消费者设备。在一些情况下，管理员可提供控制受管应用程序906运行的策略，且这种策略可存储在应用程序商店服务器903上并被使得可用于经由应用程序商店服务器903的分发。

在某些实施方案中，移动设备904的用户可经由安装在移动设备904上的客户端应用程序907(例如，应用程序商店应用程序)浏览由应用程序商店服务器903提供的应用程序。例如，当移动设备904的用户希望获得受管应用程序(例如，购买、或经由免费下载)，用户可引导移动设备904上的应用程序商店客户端应用程序907请求受管应用程序(参见步骤3)。应用程序商店服务器903可通过提供受管应用程序到移动设备904响应用程序请求(参见步骤4)。然后，移动设备用户可在移动设备904上安装受管应用程序(参见步骤5)。这种安装可由应用程序商店应用程序907自动触发，例如，应用程序商店应用程序907可自动地引导移动设备904的操作***安装受管应用程序。在其它实例中，受管应用程序的安装可由移动设备904的用户手动进行协调。

当用户最初调用安装在移动设备904上的受管应用程序906时，受管应用程序906可与应用程序商店应用程序907通信以获得一组策略(参见步骤6)。在一些实例中，在受管应用程序906购买和/或下载期间，该组策略可被从应用程序商店服务器903提供到应用程序商店应用程序907。在其它情况下，控制策略最初可能不存在于移动设备904上。在这种情况下，应用程序商店应用程序907可发送策略请求到应用程序商店服务器903以获得该组策略(参见步骤7)。响应于策略请求，应用程序商店服务器903可提供该组策略到移动设备(步骤8)。在不同的实例中，该组控制策略和受管应用程序906可以是单独的软件构造或可被组合成单一软件对象。

受管应用程序906和控制策略可用于(例如，安装在)移动设备904之后，受管应用程序可根据该组控制策略运行，使得移动设备用户执行有用的工作(参见步骤9)。在一些实例中，该组控制策略可指示一次或更多次，其中将配置受管应用程序906来请求更新的一组控制策略。例如，该组控制策略可引导受管应用程序906以便每天、每隔两三天、每周、每月、等等获得新的一组控制策略。当受管应用程序906需要新的一组控制策略时，受管应用程序906可发信号给应用程序商店应用程序907以从应用程序商店服务器903检索该新的一组策略(再次参见步骤6)。也就是说，应用程序商店应用程序907可作为代理运行以从代表受管应用程序906的应用程序商店服务器903获得新的控制策略组。在一些情况下，可配置移动设备904以安装和运行多个受管应用程序906。在这种情况下，可配置相同的应用程序商店应用程序907以与代表每个受管应用程序906a-n的应用程序商店服务器903通信，或不同的应用程序商店应用程序907可被安装在对应于每个受管应用程序906a-n的移动设备904上。

说明来源于非受管应用程序的受管应用程序的基于策略的控制的某些实施方案，可包括根据非受管应用程序905产生的受管应用程序906的各种方法。这种实施方案可包括，由一个或多个计算设备和/或处理电路从应用程序源901接收非受管应用程序905，构建和安排在移动设备上执行的非受管应用程序905。这些实施方案还可包括，通过计算设备和/或处理电路，反编译非受管应用程序905为非受管(例如，可读的和/或可编辑的)源代码。这种实施方案还可包括通过计算设备和/或处理电路增加一组基于策略的控制指令到非受管源代码，以形成受管源代码，其中可构造和安排该组基于策略的控制指令以提供基于策略的控制。这种实施方案还可包括，通过计算设备和/或处理电路，编译受管源代码，以形成受管应用程序906，其当在移动设备904执行时，可被配置为按照可单独地存储在移动设备904上的一组策略来进行访问和操作。

在其上可执行各种实施例时，计算设备和/或处理电路的实例可包括特定的硬件和/或各种软件开发平台，诸如包括以上参考图1-2所讨论的组件的一部分或全部的服务器、通用计算机、客户端工作站，等等。这种平台可配备有各种软件开发工具，包括，例如，编译器、链接器、库、编辑器、调试器、其它运行环境和测试工具，等等。

说明来源于非受管应用程序的受管应用程序的基于策略的控制的某些其它实施方案，可包括操作移动电子设备(例如智能手机、笔记本计算机、平板计算机等)的各种方法。这种实施方案可包括，在第一通信期间使用移动设备904的硬件和/或软件，从应用程序服务器903接收受管应用程序906，构造和安排受管应用程序906以根据一组控制策略进行访问和操作。这种实施方案还可包括通过移动设备904在不同于第一通信的第二通信期间从应用程序服务器903接收一组控制策略，其中该组控制策略可被与受管应用程序906分离地存储在移动设备904上。这种实施方案还可包括，通过移动设备904运行受管应用程序906，该受管应用程序906可根据与受管应用程序906分离地存储在移动设备904上的该组控制策略被访问和操作。

说明了来源于非受管应用程序的受管应用程序的基于策略的控制的其它各种实施方案，可被引入到电子***和装置、处理电路、计算环境、计算机程序产品，等等。某些实施方案可引导到各种处理、电子组件和电路，其涉及产生、部署和操作来源于非受管应用程序的受管应用程序。

如以上所讨论的，移动设备904可允许用户从外部网站或服务(其可称为应用程序商店服务器903)购买和下载用于它们设备904的应用程序。被配置以与应用程序商店服务器903和/或浏览应用程序商店服务通信的应用程序可以是应用程序商店应用程序907。在一些情况下，可配置应用程序商店应用程序907以下载和安装受管应用程序906，且然后可停止该应用程序的管理。正在进行的条件下，可或不可维护或执行对应用程序的授权的这种损失，或对被允许的应用程序的用途的更改。因此，在一些情况下，一旦受管应用程序906被安装在移动设备904上，分布其的企业或组织可失去控制对受管应用程序906访问的能力。

可从来源于非受管应用程序的受管应用程序的基于策略的控制的各种实施方案实现某些优势。例如，公司员工、客户、或其它组织成员可更愿意使用他们自己的设备，并可能不希望在移动设备管理(MDM)***服务中注册他们的设备。本文讨论的各种技术提供一种手段，通过该手段公司或其它组织可增加对应用程序的管理并分发这些应用程序到非受管设备，诸如移动设备904或公司员工、客户或组织的成员。

其它的实施方案和技术可包括用于增加对将要分发到非受管设备(诸如移动设备904)的应用程序管理的***和/或方法。这种***可包括移动设备904上运行的应用程序，其中移动设备作为用于从充当应用程序商店的一个或多个站点或服务(例如，应用程序商店服务器903)下载和安装其他应用程序的应用程序商店应用程序907。这种***还可包括软件工具，其可被配置为作为非受管应用程序905的输入并利用额外增加的管理软件作为受管应用程序906输出相同的应用程序。这种***还可包括一组安全策略和/或规则，其控制受管应用程序906如何在移动设备904上运行。

其它实施方案和技术可包括涉及通过将非受管应用程序905提交到硬件和/或软件工具来产生受管应用程序906的方法，诸如应用程序转换组件802或转换装备902。这种实施方案可包括将原应用程序反编译成字节码或可读的源代码的软件工具，并还可包括通过注入各种管理软件和组件来修改的字节码或可读的源代码。这种实例可包括，将修改的应用程序重新编译为应用程序906的新的和受管版本，并还可包括提供受管应用程序906到应用程序分发服务器(例如，应用程序商店服务器903)，并使得可用于被运行在移动设备904上的客户端应用程序(例如，应用程序商店应用程序907)下载和安装。这种实例还可包括受管应用程序906，其周期性地接触应用程序商店应用程序907以确认授权和刷新安全策略。

各种实施方案可包括用于组织(例如，企业)的技术，以提供受管应用程序到非受管设备，诸如雇员或顾客移动设备904，而无需将设备登记到移动设备管理***。本文描述的实施方案提供技术，通过该技术组织可分发和控制对不在组织直接控制下的移动设备上的专用应用程序和数据的访问，即使最初这些应用程序被编写为不包括管理软件。因此，一些实施方案可包括被配置以动态地注入管理代码到现有非受管应用程序的一个或多个软件实体。因此，即使最初开发为没有任何管理软件的软件应用程序可潜在地被加入到被企业和其它组织使用的受管应用程序的列表。

另外，在一些实例中，应用程序商店应用程序907可充当认证和安全策略管理应用程序，从而允许对非受管设备上的具体应用程序的管理。因此，不是通过将整个设备登记到管理***来执行设备管理，或用被添加作为应用程序的核心设计的一部分的专用管理组件来重写非受管应用程序，本文描述的各种实例可允许经过策略受管应用程序控制被加强和动态升级，该策略被本地部署到移动设备以引导和控制的受管应用程序的运行。

图10是根据本文所描述的一个或多个说明性方面，说明用于封装用于应用程序管理框架的应用程序的示例性过程的流程图。参照图10，在步骤1002，可生成用于OS API调用的代理的存根。在一些实施方案中，OSAPI调用可以是对OS API方法的调用，且用于OS API调用的代理可包括对应于OS API方法的调用。例如，表T1和T2分别描绘了用于非静态和静态ANDROID API方法调用的说明性的伪代码。

表T1

表T2

在一些实施方案中，OS API调用可以是对OS API的类的调用。在这种实施方案中，OS API调用的代理可包括对扩展OS API类的类的调用。例如，表T3描述了用于扩展ANDROID API类的类的说明性的伪代码。

表T3

与应用程序相关联的类可使其超级类名称被改变为扩展OS API类的类名称，并可重命名任何相关联的方法。例如，表T4示出了用于重命名与应用程序相关联的类为表T3说明的类的说明性伪代码。

表T4

在步骤1004，策略执行逻辑可被***到OS API调用的代理的存根。例如，面向切面的编程(AOP)扩展(例如，AspectJ)可用于创建和/或***策略执行逻辑。表T5描述了策略执行逻辑的说明性的伪代码，且表T6描述了在应用程序子类中封装的方法的说明性伪代码。

表T5

表T6

如以上指出的，在一些实施方案中，OS API调用可以是对OS API方法的调用，且用于OS API调用的代理可包括对应于OS API方法的调用。在这种实施方案中，策略执行逻辑可包括用于确定是否应激活对应于OSAPI方法的调用的一个或多个条件。OS API调用的代理的存根可具有对应于OS API调用的返回类型的返回类型和/或用于OS API调用的代理的存根可具有对应于OS API调用的参数的一个或多个参数。如果应用程序激活对OS API调用的代理的存根的引用，则可从应用程序接收对应于OS API调用的参数的一个或多个参数中的每一个的值，且运行OS和应用程序(例如，移动设备904)的设备可执行该策略执行逻辑以决定是否应该激活对应于OS API的方法的调用。响应于确定应激活对应于OS API的方法的调用，可激活对应于OS API的方法的调用，对应于OS API的参数的一个或多个参数中的每一个的值可被传递到OS API的方法，且OS API调用的返回类型的值可从OS API的方法接收到。该值可通过OS API调用的代理而被返回到应用程序。响应于确定不应激活对应于OS API的方法的调用，可能无法激活对应于OS API的方法的调用，对应于OS API调用的参数的一个或多个参数中的每一个的值可能无法被传递到OS API的方法，且OSAPI调用的返回类型的预定值可通过OS API调用的代理被返回给应用程序。

此外或可选地，OS API调用可以是对OS API的类的调用，且OS API调用的代理可包括对扩展OS API的类的类的调用。在这种实施方案中，如果应用程序调用对OS API调用的代理的存根的引用，可实例化扩展了OS API类的类的实例。扩展OS API类的类的实例可包括OS API类的实例和策略执行逻辑。策略执行逻辑可包括用于确定是否应激活对OS API类的实例的方法的调用的一个或多个条件。运行OS和应用程序的设备(例如，移动设备904)可执行策略执行逻辑，以确定是否应激活对OS API的类的实例的方法的调用。响应于确定应激活对OS API类的实例的方法的调用，可激活OS API的类的实例的方法。响应于确定不应激活对OS API的类的实例的方法的调用，可能无法激活对OS API类的实例的方法。

在一些实施方案中，应用程序可激活对触发OS API的一个或多个运行的OS API的一个或多个调用。在这种实施方案中，API的一个或多个调用可经由扩展OS API类的类而被识别。在运行时，扩展OS API类的类，在策略执行逻辑下，可执行OS API或其代理的一个或多个运行的功能。例如，表T7描述了用于执行OS API的运行的代理的说明性的伪代码。

表T7

如表T7所说明的，可返回服务对象的代理。因此，可利用策略执行逻辑以确定是进行还是忽略对潜在的(或“实际的”)服务对象的调用。

在一些实施方案中，扩展OS API类的类可包括对OS的更早版本中不可用的一个方法或多个方法的一个或多个调用。在这种实施方案中，可包括“虚构”类或“placeholder”类以防止类装载器抛出类未找到异常，以响应遭遇一个或多个调用。表T8描述了用于这种“虚构”类或“placeholder”类的说明性伪代码(例如，在ANDROID中的onActionMode调用)。

表T8

在一些实施方案中，策略执行逻辑可包括对策略执行类的一个或多个调用，所述策略执行类包括用于确定是否应激活通过应用程序对OS API的调用的一个或多个方法。用于确定是否应激活通过应用程序对OS API的调用的方法，可包括用于确定是否应激活通过应用程序对OS API的调用以剪切、复制或粘贴数据到OS的剪贴板或从OS的剪贴板剪切、复制或粘贴数据的方法。此外或可选地，确定是否应激活通过应用程序对OSAPI的调用的方法可包括，用于确定是否应激活通过应用程序到OS API的调用以浏览指定的统一资源定位符(URL)的方法，用于确定是否应激活通过应用程序对OS API的调用以用于OS可访问的地理位置信息、OS可访问的相机数据、或OS可访问的麦克风数据的方法，和/或用于确定是否应激活通过应用程序对OS API的调用以用于编写电子邮件消息或短消息服务(SMS)消息的方法。

在步骤1006，可解析应用程序的代码，以确定对应于OS API调用的一个或多个调用。在一些实施方案中，应用程序的代码可包括被配置用于由在OS(例如，ANDROID的DALVIK)上运行的过程虚拟机执行的应用程序的字节码，且解析应用程序的代码以识别对应于OS API调用的一个或多个调用，可包括解析应用程序的字节码以识别对应于OS API调用的应用程序的字节码的一个或多个部分。在步骤1008，对应于OS API调用的一个或多个调用可被替换为对OS API调用的代理的存根的引用。在一些实施方案中，应用程序的代码的至少一部分(例如，应用程序的字节码)可与包括策略执行逻辑的代码(例如，字节码)合并成普通文件。

虽然已经用具体到结构特征和/或方法逻辑的动作的语言描述了主题，但是应该理解的是，在所附权利要求中定义的主题并不一定限于以上所述的具体特征或动作。相反，以上所述的具体特征和动作，是以面权利要求的示例性实施方式进行描述的。已以其说明性的实施方案的术语，描述了本公开内容的方面。从本公开内容的查阅中，对于本领域的普通技术人员而言，将能想到落入所附权利要求的范围和精神内的许多其它实施方案、修改和变化。例如，本领域的一个普通技术人员将理解，可用除了所引用的顺序之外的顺序执行本文所描述的和/或说明的步骤，且可根据本公开内容的方面，所说明的一个或多个步骤是可选择的。修改可以进行的，特别是着眼于前述教导。例如，上述各实施方案的每个元素可单独使用或以与其它实施方案的元素的组合或子组合的方式使用。还应理解和明白的是，可进行修改，且并不脱离本文中所描述的方面的精神和范围。

示例实施方案

本公开内容的示例实施方案包括：

1.一种方法，包括：

通过计算平台的至少一个处理器，产生操作***(OS)应用程序接口(API)调用的代理的存根；

通过所述至少一个处理器，***策略执行逻辑到所述OS API调用的代理的存根中；

通过所述至少一个处理器，解析应用程序的代码以识别对应于所述OSAPI调用的一个或多个调用；以及

通过所述至少一个处理器，用所述OS API调用的代理的存根的引用来替代对应于所述OS API调用的一个或多个调用。

2.根据声明1所述的方法，其中所述OS API调用包括对所述OS API的方法的调用，其中所述OS API调用的代理包括对应于所述OS API的方法的调用，且其中所述策略执行逻辑包括用于确定是否应激活对应于所述OS API的方法的调用的一个或多个条件。

3.根据声明2所述的方法，其中所述OS API调用的代理的存根包括对应于所述OS API调用的返回类型的返回类型和对应于所述OS API调用的参数的一个或多个参数，所述方法包括：

通过所述应用程序，激活对所述OS API调用的代理的存根的引用，其中激活对所述OS API调用的代理的存根的引用包括，从所述应用程序接收对应于所述OS API调用的参数的所述一个或多个参数中的每一个的值；以及

通过运行所述OS和所述应用程序的设备，执行所述策略执行逻辑，以确定是否应激活对应于所述OS API的方法的调用。

4.根据声明3所述的方法，包括：

响应于确定应激活对应于所述OS API的方法的调用，激活对应于所述OS API的方法的调用，其中激活所述对应于所述OS API的方法的调用包括：

传送对应于所述OS API调用的参数的一个或多个参数中的每一个的值到所述OS API的方法；和

根据所述OS API的方法，接收所述OS API调用的返回类型的值；以及

通过所述OS API调用的代理，将所述OS API调用的返回类型的值返回到所述应用程序。

5.根据声明3所述的方法，包括：

响应于确定不应激活对应于所述OS API的方法的所述调用：

无法激活对应于所述OS API的方法的所述调用；

无法将对应于所述OS API调用的参数的所述一个或多个参数中的每一个的值传送到所述OS API的方法；以及

通过所述OS API调用的代理，将所述OS API调用的返回类型的预定值返回到所述应用程序。

6.根据声明1的所述方法，其中所述OS API调用包括对所述OS API的类的调用，且其中用于所述OS API调用的代理包括对扩展所述OS API类的类的调用。

7.根据声明6所述的方法，包括：

通过所述应用程序，激活对所述OS API调用的代理的存根的引用；以及

实例化扩展所述OS API类的类的实例，其中所述扩展所述OS API的类包括所述OS API类的实例和所述策略执行逻辑。

8.根据声明7的所述方法，其中所述策略执行逻辑包括用于确定是否应激活对所述OS API类的实例的方法的调用的一个或多个条件，所述方法包括，通过运行所述OS和所述应用程序的设备，执行所述策略执行逻辑以确定是否应激活对所述OS API类的实例的方法的调用。

9.根据声明8的所述方法，包括响应于确定应激活对所述OS API类的实例的方法的所述调用，激活所述OS API类的实例的方法。

10.根据声明8的所述方法，包括响应于确定不应激活对所述OS API类的实例的方法的所述调用，无法激活所述OS API类的实例的方法。

11.根据声明1的所述方法，包括将所述应用程序的代码的至少一部分和包括所述策略执行逻辑的代码合并到共同文件中。

12.根据声明1的所述方法，其中解析所述应用程序的代码以识别对应于所述OS API调用的一个或多个调用包括解析所述应用程序的字节码，以识别对应于所述OS API调用的所述应用程序的字节码的一个或多个部分。

13.根据声明12的所述方法，其中所述应用程序的字节码被配置为通过在所述OS上运行的过程虚拟机来执行。

14.根据声明1的所述方法，其中所述策略执行逻辑包括对包括一个或多个方法的策略执行类的一个或多个调用，所述一个或多个方法用于确定是否应激活通过所述应用程序对所述OS API的调用。

15.根据声明14的所述方法，其中用于确定是否应激活通过所述应用程序对所述OS API的调用的所述一个或多个方法，其包括用于确定是否应激活通过所述应用程序对所述OS API的调用以用于剪切、复制或粘贴数据到所述OS的剪贴板或从所述OS的剪贴板剪切、复制或粘贴数据的至少一种方法。

16.根据声明14的所述方法，其中用于确定是否应激活通过所述应用程序对所述OS API的调用的所述一个或多个方法，包括用于确定是否应激活通过所述应用程序对所述OS API的调用以浏览指定的统一资源定位符(URL)的至少一种方法。

17.根据声明14的所述方法，其中用于确定是否应激活通过所述应用程序对所述OS API的调用的所述一个或多个方法，包括用于确定是否应激活通过所述应用程序对所述OS API的调用以用于所述OS可访问的地理位置信息、所述OS可访问的照相机数据或所述OS可访问的麦克风数据的至少一种方法。

18.根据声明14的所述方法，其中用于确定是否应激活通过所述应用程序对所述OS API的调用的所述一个或多个方法，包括用于确定是否应激活通过所述应用程序对所述OS API的调用以用于编写电子邮件消息或短消息服务(SMS)消息的至少一种方法。

19.一种***，包括：

至少一个处理器；和

存储器，所述存储器存储指令，当所述指令由所述至少一个处理器执行时促使所述***执行以下操作：

产生操作***(OS)应用程序接口(API)调用的代理的存根；

将策略执行逻辑***到所述OS API调用的代理的存根；

解析应用程序的代码以识别对应于所述OS API调用的一个或多个调用；以及

利用对所述OS API调用的代理的存根的引用替换对应于所述OS API调用的所述一个或多个调用。

20.一种或多种其上存储有指令的非暂时性计算机可读介质，当所述指令被一个或多个计算机执行时促使所述一个或多个计算机执行以下操作：

产生操作***(OS)应用程序接口(API)调用的代理的存根；

将策略执行逻辑***到所述OS API调用的代理的存根；

解析应用程序的代码以识别对应于所述OS API调用的一个或多个调用；以及

利用对所述OS API调用的代理的存根的引用替换对应于所述OS API调用的所述一个或多个调用。

Claims (20)

1.一种方法，包括：

通过计算设备，将软件组件修改为受管应用程序；

通过所述计算设备，产生与所述受管应用程序相关联的元数据；以及通过所述计算设备，将所述受管应用程序和所述元数据提供给一个或多个应用程序商店。

2.根据权利要求1所述的方法，其中所述软件组件包括本地移动应用程序，且其中，将所述软件组件修改为受管应用程序包括：

接收所述本地移动应用程序；

确定所述本地移动应用程序的结构；

将代码***到所述本地移动应用程序中，以允许所述本地移动应用程序被应用程序管理框架控制；以及

将所述本地移动应用程序重建为受管应用程序。

3.根据权利要求2所述的方法，其中，产生与所述受管应用程序相关联的所述元数据包括：

使用软件工具以自动地从所述本地移动应用程序获得信息；

提供用户接口以促使用户输入关于所述本地移动应用程序的附加信息；以及

基于所述自动获得的信息和经由所述用户接口接收的用户输入，产生所述元数据。

4.根据权利要求1所述的方法，其中，将所述软件组件修改为受管应用程序包括：

接收识别受管应用程序类型的用户输入；以及

基于所述用户输入，检索模板应用程序。

5.根据权利要求1所述的方法，其中所述软件组件包括web应用程序模板，且其中，将所述软件组件修改为受管应用程序包括：

检索所述web应用程序模板；

接收对应于一个或多个统一资源定位符URL的用户输入；

接收对应于用于所述受管应用程序的定制的用户接口的用户输入；以及

使用所述web应用程序模板，将所述受管应用程序构建为web应用程序，其中所述web应用程序被配置为支持对应于所述URL的一组网站，并被配置为提供所述定制的用户接口。

6.根据权利要求1所述的方法，其中所述软件组件包括托管的企业应用程序模板，且其中，将所述软件组件修改为受管应用程序包括：

检索所述托管的企业应用程序模板；

接收对应于用于所述受管应用程序的定制的用户接口的用户输入；以及

使用所述托管的企业应用程序模板，将所述受管应用程序构建为定制的托管的企业应用程序，其中所述定制的托管的企业应用程序被配置为提供所述定制的用户接口。

7.根据权利要求1所述的方法，其中，将所述受管应用程序和所述元数据提供给一个或多个应用程序商店包括：

产生包括所述受管应用程序和与所述移动应用程序相关联的所述元数据的包；以及

将所述包发送到所述应用程序商店。

8.根据权利要求1所述的方法，其中，将所述受管应用程序和所述元数据提供给一个或多个应用程序商店包括：

将所述受管应用程序提供给第一公共应用程序商店；以及

将与所述受管应用程序相关联的元数据提供给第二非公共企业应用程序商店。

9.根据权利要求8所述的方法，其中，提供给所述第一公共应用程序商店的所述受管应用程序被配置为：当应用程序管理代理不存在时在非受管执行模式下运行，并且当所述应用程序管理代理存在时在受管执行模式下运行。

10.根据权利要求1所述的方法，其中，将所述软件组件修改为所述受管应用程序包括：

通过所述计算设备，解析所述软件组件的代码，以识别对应于操作***OS应用程序接口API调用的一个或多个调用；以及

通过所述计算设备，利用对所述OS API调用的代理的存根的引用替换对应于所述OS API调用的所述一个或多个调用。

11.一种或多种包括计算机可执行指令的非暂时性计算机可读介质，当所述计算机可执行指令在计算设备上被执行时促使所述计算设备执行以下操作：

将软件组件修改为受管移动应用程序；

产生与所述受管移动应用程序相关联的元数据；以及

将所述受管移动应用程序和所述元数据提供给一个或多个应用程序商店。

12.根据权利要求11所述的一种或多种非暂时性计算机可读介质，其中所述软件组件包括本地移动应用程序，且其中，将所述软件组件修改为受管移动应用程序包括：

接收所述本地移动应用程序；

确定所述本地移动应用程序的结构；

将代码***到所述本地移动应用程序中，以允许所述本地移动应用程序被应用程序管理框架控制；以及

将所述本地移动应用程序重建为所述受管移动应用程序。

13.根据权利要求12所述的一种或多种非暂时性计算机可读介质，其中产生与所述受管移动应用程序相关联的所述元数据包括：

使用软件工具，以自动地从所述本地移动应用程序获得信息；

提供用户接口以促使用户输入关于所述本地移动应用程序的附加信息；以及

基于所述自动获得的信息和经由所述用户接口接收的用户输入，产生所述元数据。

14.根据权利要求11所述的一种或多种非暂时性计算机可读介质，其中，将所述软件组件修改为受管移动应用程序包括：

接收识别受管移动应用程序类型的用户输入；以及

基于所述用户输入，检索模板应用程序。

15.根据权利要求11所述的一种或多种非暂时性计算机可读介质，其中所述软件组件包括web应用程序模板，且其中，将所述软件组件修改为受管移动应用程序包括：

检索所述web应用程序模板；

接收对应于一个或多个统一资源定位符URL的用户输入；

接收对应于用于所述受管移动应用程序的定制的用户接口的用户输入；以及

使用所述web应用程序模板，将所述受管移动应用程序构建为web应用程序，其中所述web应用程序被配置为支持对应于所述URL的一组网站，并被配置为提供所述定制的用户接口。

16.根据权利要求11所述的一种或多种非暂时性计算机可读介质，其中所述软件组件包括托管的企业应用程序模板，且其中，将所述软件组件修改为受管移动应用程序包括：

检索所述托管的企业应用程序模板；

接收对应于用于所述受管移动应用程序的定制的用户接口的用户输入；以及

使用所述托管的企业应用程序模板，将所述受管移动应用程序构建为定制的托管的企业应用程序，其中所述定制的托管的企业应用程序被配置为提供所述定制的用户接口。

17.一种方法，包括：

通过计算设备，访问第一企业应用程序商店；

通过所述计算设备，在第一通信中从所述第一企业应用程序商店检索与受管应用程序相关联的元数据；

通过所述计算设备，访问第二公共应用程序商店；以及

通过所述计算设备，在第二通信中从所述第二公共应用程序商店检索所述受管应用程序。

18.根据权利要求17所述的方法，其中，从所述第一企业应用程序商店检索的所述元数据包括统一资源定位符URL，所述URL对应于用于从所述第二公共应用程序商店下载所述受管应用程序的地址。

19.根据权利要求17所述的方法，其中，从所述第二公共应用程序商店检索的所述受管应用程序被配置为：当在所述计算设备上不存在应用程序管理代理时在非受管执行模式下运行，并且当在所述计算设备上存在所述应用程序管理代理时在受管执行模式下运行。

20.根据权利要求17所述的方法，还包括：

通过所述计算设备，接收与所述受管应用程序相关联的一组控制策略，其中所述一组控制策略在不同于所述第二通信的第三通信中被接收；

在所述计算设备上，与所述受管应用程序的存储分离地存储所述一组控制策略；以及

执行所述受管应用程序，其中所述受管应用程序被配置为访问所述一组控制策略，并根据所述一组控制策略运行。