CN109873834B - 一种基于云计算的企业级云化移动应用一体化平台及*** - Google Patents

Abstract

本发明公开了一种基于云计算的企业级云化移动应用一体化平台及***，包括基础设施层、云化支撑层、移动应用管理层、安全接入层、客户端层和移动安全管理层；采用云计算技术作为支撑，利用DCOS技术实现移动前置数据中心统一管理，实现一个全面云化的移动应用智能前置区。前置区支持资源池动态扩缩容，解决企业级应用服务端压力大、部署困难、资源分配不均、稳定性差与可用性低等问题，另外，将数字证书与VPN认证方式进行融合，使得VPN网络通道的建立、用户身份认证、以及多***身份登录授权都以数字证书为基准，实现企业移动应用的统一登录、统一认证和统一授权管理。

Description

一种基于云计算的企业级云化移动应用一体化平台及***

技术领域

本发明涉及到一种企业级云化移动应用一体化平台及***，特别涉及一种基于云计算的企业级云化移动应用一体化平台及***。

背景技术

在全球信息化时代，信息量呈***式增加，随着网络技术的不断发展以及三网融合在实际生活中的深入，人们迫切需要能够在任何时间、任何地点都可以从互联网上获取所需要的服务以及信息，移动互联网应运而生，移动应用的使用从人们的日常生活动走到了企业经营活动中来，大型的企业都已经建设或已经有了自己的移动应用，方便企业员工随时随地开展工作，但是存在安全审计严格，登录速度稍慢；多重的验证机制，密码重置稍微复杂。

发明内容

本发明的目的在于提供一种基于云计算的企业级云化移动应用一体化平台及***，具有提升企业移动应用的安全性，保障企业数据安全，有效避免了企业数据的泄露，为提升移动应用的安全性和便利性带来了巨大的影响的优点，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：一种基于云计算的企业级云化移动应用一体化平台及***，包括基础设施层、云化支撑层、移动应用管理层、安全接入层、客户端层和移动安全管理层；

所述的基础设施层利用现有资源池，构建逻辑独立的移动前置数据中心，前置数据中心包含了IDC区域资源和DMZ区域资源，移动前置数据中心中的IDC到DMZ区域的数据交换，同样使用内外网安全交换平台；

所述的云化支撑层在基础设施上，构建了云化的支撑层，采用PaaS层的主要技术和设计理念，构建云化运行支撑层，并构建了部署、监控、弹性调度等云化管理服务，同时也构建了推送、文件、待办、流程、消息五个支撑开发的业务服务，帮助开发商进行快速开发，实现统一的标准化；

所述的移动应用管理层主要用于统一管理移动客户端的全生命周期，包括上架、下架、申请、审核等流程，流程支持分级管理，有效满足省、地两级管理需要，同时支持分级权限管理；

所述的安全接入层利用PKI/CA体系和4A体系构建用户身份识别，使用软证书方式保证移动客户端的唯一性及安全性，同时满足公司对于终端安全的管理；

所述的客户端层采用统一的移动门户客户端，作为应用的统一入口，同时保证每个移动应用的独立性；

所述的移动安全管理层纵向统一考虑移动安全问题，主要采用沙箱隔离运行数据，传输进行加密，保证移动应用的安全。

进一步地，云化支撑层分为两个逻辑层，基础层采用云计算PaaS主要理念和技术，构建全面分布式的运行及管理层，具备轻量级运行容器、分布式协调服务、分布式服务调用框架、分布式状态检测几个核心模块，实现移动后端服务界面化配置，配置完成实现一键上传和部署，利用DCOS技术实现移动前置数据中心统一，构建公共的技术、业务服务。

进一步地，移动管理层主要提供版本管理、终端管理、widget管理。通过版本管理开发者无需关心各版本差异，开发着测试通过后，通过云打包服务，可形成各终端平台APP版本，并推送到移动门户管理端，管理端负责后续发布工作；终端管理实现代码编译时，形成不同终端app版本，并对终端提供管理API。

进一步地，安全接入层通过构建一个统一的接入组件并提供一个统一的接入入口是一个有效的解决途径。统一接入通过整合外网2G/3G/4G/Wi-Fi、APN等多种网络接入方式到一个统一的接入组件中，同时平台端与VPN***、数字证书***、4A***等集成，从而为移动应用接入提供统一的接入入口。

进一步地，客户端层为用户提供统一认证服务，用户只需要通过移动门户发起使用申请，授信的用户即可通过平台向获取授权码，移动门户将根据授权码自动下载用户的移动数字证书。通过数字证书，即可打通用户以往登录APP需要的各种VPN登录、门户登录、子***登录等繁琐的过程。同时，移动数字证书实现了数据传递双方的信息完整性和防篡改，保障了移动数据传输的高安全性。

进一步地，移动安全管理层通过采用移动设备安全管理、移动应用安全管理、移动内容安全管理、移动用户安全管理和移动应用运行监控等多种安全防护和安全管理手段，从终端、网络、平台三个方面构建移动安全管控平台，实现安全、可靠、经济适用的移动安全管控功能。

与现有技术相比，本发明的有益效果是：

本基于云计算的企业级云化移动应用一体化平台及***，采用云计算技术作为支撑，利用DCOS技术实现移动前置数据中心统一管理，实现一个全面云化的移动应用智能前置区。前置区支持资源池动态扩缩容，解决企业级应用服务端压力大、部署困难、资源分配不均、稳定性差与可用性低等问题。统一智能前置区同时可以避免每个企业移动应用单独申请前置机的繁琐工作，通过管理后台可以实现移动应用前端和后端的部署、升级、授权、推送。

以4A用户信息为基准数据，结合数字证书，解决用户的统一身份认证，从数字证书的申请、下发、更新和吊销等关键环节进行管控。同时，对数字证书采用非对称加密技术进行安全存储，保证数字证书的安全。另外，将数字证书与VPN认证方式进行融合，使得VPN网络通道的建立、用户身份认证、以及多***身份登录授权都以数字证书为基准，实现企业移动应用的统一登录、统一认证和统一授权管理。

附图说明

图1为本发明的整体框图；

图2为本发明的云化支撑层；

图3为本发明的移动应用管理层；

图4为本发明的安全接入层；

图5为本发明的移动安全管理层。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚；完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，一种基于云计算的企业级云化移动应用一体化平台及***，包括基础设施层、云化支撑层、移动应用管理层、安全接入层、客户端层和移动安全管理层。

基础设施层利用现有资源池，构建逻辑独立的移动前置数据中心，前置数据中心包含了IDC区域资源和DMZ区域资源，移动前置数据中心中的IDC到DMZ区域的数据交换，同样使用内外网安全交换平台。

请参阅图2，云化支撑层在基础设施上，构建了云化的支撑层，采用PaaS层的主要技术和设计理念，构建云化运行支撑层，并构建了部署、监控、弹性调度等云化管理服务，同时也构建了推送、文件、待办、流程、消息五个支撑开发的业务服务，帮助开发商进行快速开发，实现统一的标准化，云化支撑层分为两个逻辑层，基础层采用云计算PaaS主要理念和技术，构建全面分布式的运行及管理层，具备轻量级运行容器、分布式协调服务、分布式服务调用框架、分布式状态检测几个核心模块，实现移动后端服务界面化配置，配置完成实现一键上传和部署，利用DCOS技术实现移动前置数据中心统一，构建公共的技术、业务服务，应用功能架构分为终端层、平台层、开发层、集成层、业务层，其中终端层包括移动应用门户和应用运行环境；平台层包括接入管理、设备管理、应用管理、运营管理、内容管理、基础服务管理、基础服务库等；开发层包括开发环境、开发组件、平台引擎、开发运营管理、质量管理工具、测试管理等；集成层实现移动应用平台与业务***的集成对接；业务层指的各个IT***，包括6+1***。

请参阅图3，移动应用管理层主要用于统一管理移动客户端的全生命周期，包括上架、下架、申请、审核等流程，流程支持分级管理，有效满足省、地两级管理需要，同时支持分级权限管理，移动管理层主要提供版本管理、终端管理、widget管理。通过版本管理开发者无需关心各版本差异，开发着测试通过后，通过云打包服务，可形成各终端平台APP版本，并推送到移动门户管理端，管理端负责后续发布工作；终端管理实现代码编译时，形成不同终端app版本，并对终端提供管理API。

请参阅图4，安全接入层利用PKI/CA体系和4A体系构建用户身份识别，使用软证书方式保证移动客户端的唯一性及安全性，同时满足公司对于终端安全的管理，安全接入层通过构建一个统一的接入组件并提供一个统一的接入入口是一个有效的解决途径。统一接入通过整合外网2G/3G/4G/Wi-Fi、APN等多种网络接入方式到一个统一的接入组件中，同时平台端与VPN***、数字证书***、4A***等集成，从而为移动应用接入提供统一的接入入口。

外网接入：移动智能终端通过2G/3G/4G/外网Wi-Fi网络接入时，通过VPN结合移动数字证书的方式进行身份验证，并使用SSL安全隧道进行加密连接。

APN接入：移动智能终端通过APN专用通道接入时，通过APN接入权限验证结合移动数字证书身份验证的方式进行安全连接，在数据传输上使用平台自身的数据加密算法加密后传输。

内网接入：移动智能终端通过企业内部Wi-Fi接入时，通过移动数字证书验证用户身份并进行安全连接。

一方面，多样化的认证方式会给用户造成不便。另一方面，不同子应用使用不同的认证方式不便于管理，也会扩大移动端的信息安全威胁。因此，需要构建一套可把控的统一认证体系。为了保证移动端的接入安全，基于数字证书认证体系，构建一套统一的用户移动证书申请、下载、认证流程和体系是一种较为可靠、安全的解决方案。通过统一的数字证书认证，即可避免用户以往登录APP需要的VPN登录、门户登录、子***登录等繁琐的过程，也保障了移动数据传输的高安全性。

移动数字证书申请：为避免用户申请硬件数字证书的繁琐流程又要保证用户认证的安全性，通过梳理现有数字证书申请和认证流程，结合PC端4A平台认证体系，并通过移动数字证书门户与PKICA***对接，可构建一套整合4A平台、PKICA***、VPN***和移动接入平台的移动数字证书申请及下载解决方案。

移动数字证书认证：提供多种网络环境下的统一认证功能，通过移动数字证书门户***与PKICA***对接，并与VPN***集成，为用户在2G/3G/4G/外网WIFI/内网WIFI环境下，提供统一的移动数字证书认证功能。

移动数字证书保护：数字证书下载到用户移动设备中，对数字证书的存储位置加密，避免证书被导出使用。

为避免移动应用的多次登陆，为移动门户APP提供用户的统一用户身份信息、认证信息是一个有效的解决作答。用户登录移动门户APP后，可根据用户登录账号加载该用户拥有权限的所有子***。同时，通过用户账号的统一，用户打开子***时，无需再次输入用户名和密码。

统一帐号管理：通过与现有4A平台集成，同步4A组织和用户数据，移动门户和移动子应用与4A关联账户既可实现统一用户账号管理。

单点登录支持：用户登陆一次移动门户后，通过传递登录用户帐号信息，实现用户打开子***无需再次输入用户名和密码。

在接入层面，还需要根据接入的终端BYOD或COPE不同、接入的用户群体不同，制定不同的安全接入管理策略。多种策略可进行组合，实现丰富的访问控制功能。

接入终端不同：根据接入终端不同，可制定不同的接入控制策略。如未注册设备只能访问接入域，可与移动接入平台对接，进行设备注册；COPE可访问重要业务；BYOD可以访问一般业务。

接入用户不同：根据接入用户不同，可制定不同的接入控制策略。高层领导可访问核心业务；普通用户可访问重要业务；访客可访问一般业务；合作伙伴可访问有限业务；不安全用户可访问隔离区；非法用户拒绝访问。

.接入网络不同：根据接入的网络方式不同，可制定不同的接入控制策略。APN接入、内网接入可访问核心业务；外网接入可访问普通业务。

客户端层采用统一的移动门户客户端，作为应用的统一入口，同时保证每个移动应用的独立性，客户端层为用户提供统一认证服务，用户只需要通过移动门户发起使用申请，授信的用户即可通过平台向获取授权码，移动门户将根据授权码自动下载用户的移动数字证书。通过数字证书，即可打通用户以往登录APP需要的各种VPN登录、门户登录、子***登录等繁琐的过程。同时，移动数字证书实现了数据传递双方的信息完整性和防篡改，保障了移动数据传输的高安全性。

请参阅图5，移动安全管理层纵向统一考虑移动安全问题，主要采用沙箱隔离运行数据，传输进行加密，保证移动应用的安全，移动安全管理层通过采用移动设备安全管理、移动应用安全管理、移动内容安全管理、移动用户安全管理和移动应用运行监控等多种安全防护和安全管理手段，从终端、网络、平台三个方面构建移动安全管控平台，实现安全、可靠、经济适用的移动安全管控功能。

移动设备安全管理（MDM）：对移动设备进行全生命周期的安全管控，从设备注册管理、设备配置管理、设备运行管理、设备安全检查、设备远程管理、证书管理等环节进行全面安全管控。

移动设备管理对移动设备常规参数进行采集及管理。实现自动设备注册、设备账号绑定、设备状态管理、挂失（锁定/解锁）、强制设置开机密码、远程数据擦除等功能。

自助服务为用户提供自助服务，支持设备注册、设备信息查看、密码重置、挂失（锁定/解锁）、设备解绑、定位、远程数据擦除等常规功能，可有效减轻维护人员工作量。

应用访问控制访问控制，可以根据需要对某些移动设备禁止某些功能的使用，实现控制相机、摄像头使用，控制蓝牙使用，控制是否允许访问有关隐私的内容，如通讯录、定位、日历、照片等；应用控制，可对设备上已安装的应用进行卸载，可大批量对移动终端进行软件安装

移动应用安全管理（MAM）：建立企业自有软件超市APPStore，用于企业应用的发布、下载，实现对企业应用的统一管理。应用访问权限与4A平台对接，实现统一管理。当移动开发平台发布应用时，对应用进行安全检查，检查通过之后，才能进行使用。

移动内容安全管理（MCM）：沙箱数据隔离技术，可有效隔离个人和企业数据，所有企业应用均运行于安全沙箱内。支持离线应用，当***离线时，亦能提供安全沙箱，供应用运行。支持数据压缩、数据加密、断点续传，并为各移动应用提供组件。

实现用户账号管理、认证管理、授权管理和安全审计来源于4A平台，在此基础上还需支持动态令牌的认证。为IOS、Android操作***客户端提供身份认证SDK组件，提供统一认证服务，为移动门户客户端提供身份认证服务，为各移动应用提供身份令牌token的验证，具备对移动终端接入、短信网关发送状态（发送失败和成功的比率）、短信网关可用率，防火墙连接数、移动应用使用、APN网络流量、VPN网络流量等进行监控，并具备异常告警能力；移动门户、移动应用、管理***、服务应具备数据防篡改、防SQL注入、防跨站脚本攻击、WEB防篡改能力。

采用云计算技术作为支撑，利用DCOS技术实现移动前置数据中心统一管理，实现一个全面云化的移动应用智能前置区。前置区支持资源池动态扩缩容，解决企业级应用服务端压力大、部署困难、资源分配不均、稳定性差与可用性低等问题。统一智能前置区同时可以避免每个企业移动应用单独申请前置机的繁琐工作，通过管理后台可以实现移动应用前端和后端的部署、升级、授权、推送。

移动接入平台在Android和iOS操作***中，注册***网络感知权限，以服务和通知的方式，实时监控移动设备网络状态变化情况，网络模式主要包括APN专网通道、VPN加密隧道、2G/3G/4G蜂窝网络、外网WIFI以及飞行模式，当网络模式变化时，做出及时的智能判断和处理，根据网络环境，自动调用操作***的接口，首先进行网络通道的切换，然后自动重连服务器，做到用户无感知的网络变化处理，解决电力企业用户在使用终端应用时，自适应多种复杂环境。

以4A用户信息为基准数据，结合数字证书，解决用户的统一身份认证。从数字证书的申请、下发、更新和吊销等关键环节进行管控。同时，对数字证书采用非对称加密技术进行安全存储，保证数字证书的安全。另外，将数字证书与VPN认证方式进行融合，使得VPN网络通道的建立、用户身份认证、以及多***身份登录授权都以数字证书为基准，实现企业移动应用的统一登录、统一认证和统一授权管理。

终端设备安全管控主要包括移动设备管理、移动应用管理、移动内容管理。移动安全管控平台分别基于Android和iOS操作***，获得设备的管理权限，使用不同的指令控制技术，结合操作***的推送服务，数字证书用户信息，将指令消息推送至移动终端设备。指令的下发，采用SSL加密通道传输，设备终端收到指令消息，首先进行消息解密和解析，根据指令命令，执行相应的逻辑操作，最终将执行的结果反馈至服务端。通过该手段，当移动设备丢失、更换、退回时，可以对设备做数据擦除、锁屏、禁止应用功能、恢复出厂等措施，确保了移动设备的安全，企业数据不外泄。

企业级云化移动应用一体化平台基于PaaS技术开发移动应用门户、移动应用管理平台、移动应用开发平台、移动应用云服务中心，并且***采用分布式部署，提供移动应用发布、更新、升级、授权、运营全生命周期管控。移动应用开发平台，通过全面的数据集成技术和丰富的跨平台客户端展现能力开发移动应用，实现了企业内原有各应用***的大集成，告别信息孤岛时代。应用平台和集成平台的云化，将有利于企业建立统一集中的服务环境，消除架构差异，以更节约的方式实现应用和服务开发、测试、部署和运维工作。而移动接入平台则分别基于Android和iOS操作***中，通过APN、VPN、2G\3G\4G等多种网络模式来实现自动感知、识别和智能切换的功能，解决电力企业用户在使用终端应用时，自适应多种复杂环境。同时，还以4A用户信息为基准数据，结合数字证书，解决用户的统一身份认证。实现企业移动应用的统一登录、统一认证和统一授权管理。并使用不同的指令控制技术，结合操作***的推送服务，数字证书用户信息，将指令消息推送至移动终端设备。提升企业移动应用的安全性，保障企业数据安全，有效避免了企业数据的泄露，为提升移动应用的安全性和便利性带来了巨大的影响

综上所述，本基于云计算的企业级云化移动应用一体化平台及***，采用云计算技术作为支撑，利用DCOS技术实现移动前置数据中心统一管理，实现一个全面云化的移动应用智能前置区。前置区支持资源池动态扩缩容，解决企业级应用服务端压力大、部署困难、资源分配不均、稳定性差与可用性低等问题。统一智能前置区同时可以避免每个企业移动应用单独申请前置机的繁琐工作，通过管理后台可以实现移动应用前端和后端的部署、升级、授权、推送。

以4A用户信息为基准数据，结合数字证书，解决用户的统一身份认证。从数字证书的申请、下发、更新和吊销等关键环节进行管控。同时，对数字证书采用非对称加密技术进行安全存储，保证数字证书的安全。另外，将数字证书与VPN认证方式进行融合，使得VPN网络通道的建立、用户身份认证、以及多***身份登录授权都以数字证书为基准，实现企业移动应用的统一登录、统一认证和统一授权管理。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，根据本发明的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明的保护范围之内。

Claims (3)

1.一种基于云计算的企业级云化移动应用一体化平台及***，其特征在于，包括基础设施层、云化支撑层、移动应用管理层、安全接入层、客户端层和移动安全管理层；

所述的基础设施层利用现有资源池，构建逻辑独立的移动前置数据中心，前置数据中心包含了IDC 区域资源和 DMZ 区域资源，移动前置数据中心中的IDC到DMZ 区域的数据交换，同样使用内外网安全交换平台；

所述的云化支撑层在基础设施上，构建了云化的支撑层，采用PaaS 层的主要技术和设计理念，构建云化运行支撑层，并构建了部署、监控、弹性调度三个云化管理服务，同时也构建了推送、文件、待办、流程、消息五个支撑开发的业务服务，帮助开发商进行快速开发，实现统一的标准化；云化支撑层分为两个逻辑层，基础层采用云计算PaaS理念和技术，构建分布式的运行及管理层，具备轻量级运行容器、分布式协调服务、分布式服务调用框架、分布式状态检测核心模块，实现移动后端服务界面化配置，配置完成一键上传和部署，利用DCOS技术实现移动前置数据中心统一，构建公共的技术、业务服务；构成一个云化的移动应用智能前置区，所述前置区支持资源池动态扩缩容；

所述的移动应用管理层用于统一管理移动客户端的全生命周期，包括上架、下架、申请、审核流程，流程支持分级管理，有效满足省、地两级管理需要，同时支持分级权限管理；

所述的安全接入层利用 PKI/CA 体系和 4A 体系构建用户身份识别，使用软证书方式保证移动客户端的唯一性及安全性，同时满足公司对于终端安全的管理；

所述的客户端层采用统一的移动门户客户端，作为应用的统一入口，同时保证每个移动应用的独立性；

所述的移动安全管理层纵向统一考虑移动安全问题，采用沙箱隔离运行数据，传输进行加密，保证移动应用的安全，移动安全管理层通过采用移动设备安全管理、移动应用安全管理、移动内容安全管理、移动用户安全管理和移动应用运行监控进行安全防护和安全管理，从终端、网络、平台三个方面构建移动安全管控平台；

所述采用沙箱隔离运行数据，具体为隔离个人和企业数据，企业数据应用运行于安全沙箱内；当***离线时，提供安全沙箱供应用运行，实现数据压缩、数据加密、断点续传，并为移动应用提供组件；

客户端层为用户提供统一认证服务，用户只需要通过移动门户发起使用申请，授信的用户即可通过平台获取授权码，移动门户将根据授权码自动下载用户的移动数字证书，通过数字证书，即可打通用户以往登录 APP 需要的VPN 登录、门户登录、子***登录繁琐的过程，同时，移动数字证书实现了数据传递双方的信息完整性和防篡改，保障了移动数据传输的高安全性；所述统一认证服务包括移动数字证书申请、以及移动数字证书认证；

所述的移动数字证书申请：通过梳理现有数字证书申请和认证流程，结合PC端4A平台认证体系，并通过移动数字证书门户与PKI/CA***对接；

所述的移动数字证书认证：通过移动数字证书门户***与PKI/CA***对接，并与VPN***集成。

2.根据权利要求 1 所述的一种基于云计算的企业级云化移动应用一体化平台及***，其特征在于：移动管理层提供版本管理、终端管理、widget 管理，通过版本管理开发者无需关心各版本差异，开发者测试通过后，通过云打包服务，形成各终端平台 APP 版本，并推送到移动门户管理端，管理端负责后续发布工作；终端管理实现代码编译时，形成不同终端 app 版本，并对终端提供管理 API。

3.根据权利要求 1 所述的一种基于云计算的企业级云化移动应用一体化平台及***，其特征在于：安全接入层通过构建一个统一的接入组件以提供一个统一的接入入口,统一接入通过整合外网2G/3G/4G/Wi-Fi、APN 多种网络接入方式到一个统一的接入组件中，同时平台端与 VPN ***、数字证书***、4A ***集成，从而为移动应用接入提供统一的接入入口。

Images