一种多云适配国产信创云桌面主机自动纳管方法及系统与流程

本发明属于云桌面纳管，具体涉及一种多云适配国产信创云桌面主机自动纳管方法及系统。

背景技术：

1、当前很多行业都大规模部署国产云桌面系统，涉及华为云、中兴云、紫光云等多个主流云桌面厂商，各厂商均提供各自的管理接口，接口风格、数据结构、认证方式各不相同。现有终端纳管系统主要针对物理机和移动终端设计，缺乏对云桌面主机的统一纳管能力，导致以下突出问题：

2、1、管理孤岛：各厂商云桌面平台相互独立，管理员需登录多个控制台进行主机管理，操作繁琐，效率低下。

3、2、开发重复：不同云桌面主机加域、用户认证方式各异，应用系统需为每个平台单独开发对接模块，研发成本高、周期长。

4、3、安全风险：各平台接口安全强度不一，缺乏统一的身份标识和权限管控，难以追溯调用来源，存在非法接入和数据泄露风险。

5、4、审计缺失：多云环境下，接口调用记录分散，无法形成统一的审计日志，难以满足合规要求。

6、5、用户体验割裂：用户登录云桌面客户端后，进入操作系统仍需再次输入密码；进入操作系统后访问第三方应用又需再次认证，使用体验较差。

技术实现思路

1、本发明的目的在于提供一种多云适配国产信创云桌面主机自动纳管方法及系统，从系统架构层面解决了多云环境下云桌面主机的统一纳管问题，并引入应用级授权与鉴权机制和双层次单点登录，确保接入安全、可审计及卓越用户体验。

2、为了实现上述目的，本发明的技术方案是这样的：

3、一种多云适配国产信创云桌面主机自动纳管方法，包括：

4、s1、构建统一的开放api服务，作为云桌面主机纳管的唯一入口；

5、s2、在开放api服务中设计应用授权与鉴权机制，在纳管平台上创建应用时为应用授权可访问的api接口，供外部调用，调用时进行鉴权，鉴权通过后形成标准化请求；

6、s3、设置业务逻辑实现平台，负责包括终端管理、用户管理、策略管理、任务管理的核心业务，将开放api服务的标准化请求转化为对云桌面主机的管控指令；

7、s4、业务逻辑实现平台通过主机心跳与部署在云桌面主机内的代理模块交互，实现管控指令的下发和执行。

8、进一步的，步骤s1中所述开放api服务，除了应用授权与鉴权机制，还包括：

9、路由功能：接收并解析外部调用请求，根据请求路径和http方法将请求进行分发；

10、审计日志：异步记录每次外部调用请求的详细信息，包括每次api调用的应用标识、时间、接口、结果，实现可追溯性和审计要求；

11、转发功能：将通过应用授权与鉴权机制验证的请求参数封装后，通过内部接口转发给业务逻辑实现平台。

12、进一步的，步骤s2所述应用授权与鉴权机制包括：

13、应用管理：用于创建、编辑、启用/禁用应用，并为每个应用生成唯一的身份标识，包括appid和appsecret；

14、权限配置：为应用授予基于路径和http方法的api接口访问权限；

15、鉴权：在请求处理前验证请求中携带的appid和appsecret的有效性，并检查应用是否有权限访问当前接口。

16、进一步的，步骤s3所述策略管理包括：

17、业务逻辑实现平台定义统一的策略模型，包括登录时段、ip限制、密码策略、脚本任务、控制面板、安全管控；

18、将策略进行动态绑定，绑定到指定主机、用户组或组织；

19、通过主机心跳响应将策略下发给云桌面主机，并接收云桌面主机的策略执行结果，实现集中管控。

20、进一步的，步骤s4所述代理模块部署在云桌面主机内，在云桌面主机发放后成功后由云厂商平台将业务逻辑实现平台的地址、加域管理员账号及密码传输给代理模块，代理模块与业务逻辑实现平台交互，执行云桌面主机自动加域，接收管控指令并执行，定期上报云桌面主机状态。

21、更进一步的，所述代理模块执行云桌面主机自动加域，利用预先接收的加域管理员账号及密码执行自动加域模块，所述自动加域模块与业务逻辑实现平台交互，将云桌面主机加入业务逻辑实现平台所管理的域，成为域成员，从而被云桌面主机纳入统一管控。

22、更进一步的，所述代理模块执行单点登录；所述单点登录包括系统级单点登录和应用级单点登录；系统级单点登录是在用户通过客户端登录业务逻辑实现平台生成临时令牌，通过临时令牌将账号密码加密传递给云桌面主机的代理模块进行验证，验证通过后用户直接进入云桌面主机；应用级单点登录是用户进入云桌面主机后访问第三方业务系统时，通过临时令牌实现账号密码的验证并直接登录第三方业务系统。

23、本发明另一方面还提出了一种多云适配国产信创云桌面主机自动纳管系统，包括：

24、开放api服务层：构建统一的开放api服务，作为云桌面主机纳管的唯一入口；开放api服务层中设计应用授权与鉴权中间件，在纳管平台上创建应用时为应用授权可访问的api接口，供外部调用，调用时进行鉴权，鉴权通过后形成标准化请求；

25、业务逻辑实现平台：负责包括终端管理、用户管理、策略管理、任务管理的核心业务，将开放api服务的标准化请求转化为对云桌面主机的管控指令；业务逻辑实现平台通过主机心跳与部署在云桌面主机内的代理模块交互，实现管控指令的下发和执行。

26、进一步的，开放api服务层还包括：

27、路由层：接收并解析外部调用请求，根据请求路径和http方法将请求进行分发；

28、审计日志模块：异步记录每次外部调用请求的详细信息，包括每次api调用的应用标识、时间、接口、结果，实现可追溯性和审计要求；

29、转发模块：将通过应用授权与鉴权机制验证的请求参数封装后，通过内部接口转发给业务逻辑实现平台。

30、进一步的，所述代理模块部署在云桌面主机内，在云桌面主机发放后成功后由云厂商平台将业务逻辑实现平台的地址、加域管理员账号及密码传输给代理模块，代理模块与业务逻辑实现平台交互，执行云桌面主机自动加域，接收管控指令并执行，定期上报云桌面主机状态。

31、与现有技术相比，本发明具有如下的有益效果：

32、本发明将开放api模式、应用授权鉴权机制、业务逻辑实现平台、主机心跳下发机制、自动加域以及系统级、应用级双层次单点登录集成为一个完整的系统方案，从系统架构层面解决了多云环境下云桌面主机的统一纳管问题。

33、本发明引入应用级授权与鉴权机制和双层次单点登录，通过应用级身份标识实现了api调用的可追溯性和安全审计，通过主机心跳实现了策略的集中下发，通过双层次单点登录显著提升了用户体验，确保接入安全、可审计及卓越的用户体验。

1.一种多云适配国产信创云桌面主机自动纳管方法，其特征在于，包括：

2.根据权利要求1所述的多云适配国产信创云桌面主机自动纳管方法，其特征在于，步骤s1中所述开放api服务，除了应用授权与鉴权机制，还包括：

3.根据权利要求1所述的多云适配国产信创云桌面主机自动纳管方法，其特征在于，步骤s2所述应用授权与鉴权机制包括：

4.根据权利要求1所述的多云适配国产信创云桌面主机自动纳管方法，其特征在于，步骤s3所述策略管理包括：

5.根据权利要求1所述的多云适配国产信创云桌面主机自动纳管方法，其特征在于，步骤s4所述代理模块部署在云桌面主机内，在云桌面主机发放后成功后由云厂商平台将业务逻辑实现平台的地址、加域管理员账号及密码传输给代理模块，代理模块与业务逻辑实现平台交互，执行云桌面主机自动加域，接收管控指令并执行，定期上报云桌面主机状态。

6.根据权利要求5所述的多云适配国产信创云桌面主机自动纳管方法，其特征在于，所述代理模块执行云桌面主机自动加域，利用预先接收的加域管理员账号及密码执行自动加域模块，所述自动加域模块与业务逻辑实现平台交互，将云桌面主机加入业务逻辑实现平台所管理的域，成为域成员，从而被云桌面主机纳入统一管控。

7.根据权利要求5所述的多云适配国产信创云桌面主机自动纳管方法，其特征在于，所述代理模块执行单点登录；所述单点登录包括系统级单点登录和应用级单点登录；系统级单点登录是在用户通过客户端登录业务逻辑实现平台生成临时令牌，通过临时令牌将账号密码加密传递给云桌面主机的代理模块进行验证，验证通过后用户直接进入云桌面主机；应用级单点登录是用户进入云桌面主机后访问第三方业务系统时，通过临时令牌实现账号密码的验证并直接登录第三方业务系统。

8.一种多云适配国产信创云桌面主机自动纳管系统，其特征在于，包括：

9.根据权利要求8所述的多云适配国产信创云桌面主机自动纳管系统，其特征在于，开放api服务层还包括：

10.根据权利要求8所述的多云适配国产信创云桌面主机自动纳管系统，其特征在于，所述代理模块部署在云桌面主机内，在云桌面主机发放后成功后由云厂商平台将业务逻辑实现平台的地址、加域管理员账号及密码传输给代理模块，代理模块与业务逻辑实现平台交互，执行云桌面主机自动加域，接收管控指令并执行，定期上报云桌面主机状态。