设备的安全管理的制作方法

设备的安全管理


背景技术：

1.在世界各地的组织内，针对信息技术(it)管理方的共同需求是跨组织管理多种类型的设备和网络的便捷能力。通常，组织可以希望在与该组织相关联的设备上实施某些规则或要求。然而，每个设备可以需要唯一的信息，以便与组织的网络一起工作，这可能需要it管理方手动配置每台设备作为供应过程的一部分。此外，由于组织使用的各种设备可以需要不同的配置，it管理方无法轻松地依赖配置模板来设置设备，从而在将设备配置为可用状态的过程中导致附加的费用和时间。因此，以便捷的方式快速供应设备仍然存在困难。
附图说明
2.具体实施方式参考附图被描述。在图中，附图标记最左边的数字标识附图标记首次出现的图。在描述和图中的不同实例中使用类似的附图标记可以指示类似或相同的项目。
3.图1示出了与本构思的一些实现一致的示例系统。
4.图2示出了与本构思的一些实现一致的示例图形用户界面。
5.图3示出了与本构思的一些实现一致的示例系统。
6.图4示出了与本构思的一些实现一致的示例处理流程。
7.图5示出了与本构思的一些实现一致的示例方法或技术。
具体实施方式
8.概览
9.在各种组织中，it管理方通常被委任在整个组织中部署设备，并且确保这些设备被充分配置各种设置，以确保组织的网络保持安全和稳定。例如，组织可能需要锁定发给该组织的员工的任何设备，以使员工无法安装新的应用或者修改设备的设置。备选地，组织可以限制向被管理设备安装应用，以使用户只能安装某些受信任的应用。然而，组织可以部署的各种各样的设备可能会使这些设备的管理变得困难，因为每个设备可以需要不同的配置值以确保遵守组织的安全要求。
10.在某些实例中，it管理方可以利用企业移动性管理(emm)服务，该emm可以提供一组服务和技术，这些服务和技术可以辅助供应和保护组织的设备。例如，组织可以部署多个设备，并且在设备通电后或在设备的部署生命周期期间周期性地，设备可以与emm交互以接收用于供应的必要配置数据。这种配置数据可以包括，例如，安全策略、无线密码、所需应用和各种管理方工具以及其他设置。emm通常可以针对设备的配置提供一些灵活性，因为利用emm的一个组织可以与利用该emm的不同组织具有截然不同的要求。因此，emm可以用于辅助定义要被应用于与组织相关联的已部署设备的各种配置设置。
11.然而，即使使用了emm，it管理方可能仍然需要基于正被部署的设备的类型提供数个不同的配置简档。例如，在给员工部署智能手机和笔记本电脑后，针对两个设备的配置设置可以迥然不同，这可能需要it管理方确定用于配置设备的多组配置设置。因此，这会在整
个组织中部署各种类型的设备的过程中导致大量工作。
12.此外，在某些实例下，组织可以需要从一种emm改变为不同的emm，诸如当组织在用于设备的操作系统之间转移时。由于每个emm利用不同的方法来管理设备，因此it管理方可以通常需要通过重新定义与被组织利用的不同类型的设备相关联的各种配置简档来启动新的emm服务。而且，每个设备可以需要被格式化并且重新供应，以便利用新的emm服务可操作。
13.因此，本文公开的构思可以通过提供平台管理服务器来提供用于实现设备的便捷部署的技术解决方案，该平台管理服务器可以充当一个或多个emm与各种已部署设备之间的中介。平台管理服务器可由emm的用户利用，以根据针对所有设备可以利用的公共配置模板在被管理设备上应用各种配置设置和资源。配置模板可以借助emm指定要应用于设备的各种配置，包括安全设置和安装要求。在已部署设备通电后，设备可以签入平台管理服务器，该平台管理服务器可以包括发现服务，发现服务可以辅助设备发现设备是否应该由平台管理服务器管理以及哪个特定emm应该管理设备。
14.一旦设备确定其将由平台管理服务器管理，平台管理服务器可以应用与设备相关联的由emm提供的具体配置模板。在某些实现中，配置模板可以包括用于附加配置数据值的一个或多个占位符，诸如秘密密码或组织可能不想平台管理服务器共享或查看的其他此类敏感数据。在这种情况下，平台管理服务器可以向emm发出回调以提供秘密值，该秘密值可以在emm处被加密并以加密状态透传到设备，使得平台管理服务器无法识别数据的详情。在接收到加密数据后，设备可以对数据进行解密，并在设备的配置期间应用秘密值。
15.在设备的初始通电后，在设备签入之前，平台管理服务器可以附加地预计算由配置模板指定的各种配置设置和应用。例如，平台管理服务器可以预计算出，针对由组织利用的某些智能手机设备，在安装组织可以首选的应用之前，智能手机上的某些应用可能需要被移除。此外，平台管理服务器可以确定it管理方提供的模板是否有潜在的冲突要求，并且可以经由emm解决并向管理方报告此类冲突。
16.应当意识到，本文中对配置数据的任何引用可以包括可用于配置设备的多种类型的数据，诸如，软件应用、策略设置、密码、预共享密钥、一次性秘密、令牌、唯一标识符、校验和值、密文随机数、或者如下的任何其他类型的数据，该数据可以在设备的配置中被利用以用于使设备能够使用网络。这种配置数据可以与配置分组相关联，该配置分组可以借助平台管理服务器被提供给设备，在平台管理服务器中设备可以应用与配置分组相关联的各种设置和应用。
17.示例系统
18.参考图1，提供了用于根据本文公开的技术执行已部署设备的安全管理的示例系统100。如图1所描绘的，系统100可以包括平台管理服务器102，其可用于管理一个或多个被管理设备104的供应，这些被管理设备可以包括，例如，台式机或笔记本电脑设备104(1)或者便携式设备104(2)。被管理设备104的管理可以由管理方106发起，管理方106可以与一个或多个企业服务108交互，以定义要被用于供应被管理设备的配置模板，并且可以监测供应过程的状态。企业服务108可以是emm，并且可以包括多个不同类型的emm，诸如emm 108(1)，其可以是由具体服务提供方提供的emm，而emm 108(2)可以是由不同的服务提供方提供的emm。例如，企业服务108可以是以下任何或所有：microsoftvmware by
或者以及其他此类emm服务。
19.平台管理服务器102、被管理设备104、管理方106、以及企业服务108都可以借助网络110(例如，互联网或内联网)通信地耦合。然而，应当意识到，尽管系统100中描绘的各种实体可以通信地耦合到网络110，但并不是所有的实体都必须彼此通信。例如，在一些实现中，管理方106可以仅与企业服务108通信，而不具有与平台管理服务器102通信的直接能力。类似地，企业服务108可以不具有直接与被管理设备104通信的能力，因为平台管理服务器102可以负责与被管理的设备通信。
20.平台管理服务器102和被管理设备104可以各自包括处理器112和存储器114。存储器114可以具有各种软件模块，该软件模块可由处理器112执行用于执行本文公开的过程。存储器114可以包括持久性存储资源(诸如磁性或固态驱动器)和易失性存储(诸如一个或多个随机访问存储器设备)。在一些情况下，本文描述的与存储器114相连接的模块可以作为可执行指令被提供，这些指令被存储在持久性存储设备中，加载到随机访问存储器(ram)中，并且由处理器从ram读取以用于执行。
21.与平台管理服务器102相关联的存储器114(1)可以包括或访问管理模块116，管理模块116可以是由处理器112可执行的软件程序，用于执行与配置被管理设备104相关联的各种管理任务。存储器114(1)还可以包括可以被暴露以提供由企业服务108使用的编程接口的api 118，以及可以与已部署的设备交互的发现模块120和签入模块122。
22.在一种实现中，企业服务108可以包括由管理方106可使用的软件应用，该软件应用可以包括用于显示组织内被管理设备的视觉描绘的图形用户界面(gui)，并且企业服务108可以向管理方106呈现关于用于借助模板配置设备的各种选项的信息，这些模板可应用于平台管理服务器102提供的设备。特别地，企业服务108的gui可以通过使用api 118进行编程调用来与管理模块116交互，以拉取关于管理模块116的配置能力的某些信息，并且以适合于由管理模块116处理的形式提供接收到的模板数据。这样的模板数据可以存储在例如平台管理服务器102的数据库124中。
23.在一些实现中，管理模块116可以仅允许在模板中指定的某些配置数据，而不考虑利用平台管理服务器102来管理设备的具体emm。通过仅针对具体类型的信息提供api调用，平台管理服务器102可以确保由管理方106经由企业服务108应用的配置设置不会超出预定义模板的界限。例如，虽然平台管理服务器102利用的模板可以包括各种数据字段的大量列表，但emm将不能指定模板中模板化字段之外的附加秘密值。这可以确保管理模块116可以适当地预计算用于被管理设备104的配置分组，而不会遇到如何处理未知数据的问题，该问题可能会导致系统不稳定。
24.在向企业服务108提供定义用于由多种类型的被管理设备104使用的配置数据的能力时，管理模块116可以抽象出配置如何被应用于每个被管理设备的细节，因为一旦设备签入，管理模块最终可以预计算必要的指定设备的配置步骤，而不管其是什么类型的设备。因此，管理方106可以通过填入由配置模板指定的任何相关数据，而不考虑设备实现，来经由企业服务108提供通用配置数据，以及将数据分配给具体设备。模板到具体设备的分配可以利用灵活分配系统，该系统可以轻易允许管理方106在组织的各种已部署设备中指定某些设备。例如，灵活分配系统可以提供分类功能，在该功能中可以将所有与组织内的具体组相关联的设备作为目标，诸如营销(marketing)组，并且在下面关于图2进一步详细描述。
25.图2描绘了分配系统的示例图形用户界面(gui)200，其可以被显示给管理方106，用于将配置模板分配给某些已部署的设备。图2描绘了示例gui 200，其中gui 200可以借助企业服务108显示给管理方106。示例gui 200描绘了管理页面，管理方106可以借此针对具体的被管理设备或设备组进行搜索，并且可以向设备应用配置模板。gui 200还可以向管理方106提供关于设备上模板应用的信息。
26.具体地，gui 200描绘了示例用户界面，该界面可以被管理方106用来创建、搜索、分类、或者过滤各种可以部署的被管理设备。gui 200可以与数据库124交互，以便提取可以显示的相关信息，并且在从管理方106接收数据后，可以更新数据库124以反映由管理方所做的改变。gui 200可以包括各种菜单选项，包括新设备按钮202，该按钮可以允许管理方106定义新设备或设备的分组，并且设备或组数据可以被存储在平台管理服务器102的数据库124中。在一种实现中，可以基于设备的序列号或其他此类标识特征来标识设备。gui 200可以进一步包括模板视图按钮204，其可以显示当前被存储在数据库124中的模板列表，允许添加、删除、或者修改可以与设备相关联的模板。
27.gui 200还可以包括选择具体设备并将模板分配给设备的多种灵活方式。例如，gui 200可以包括搜索字段206，允许开发方插入针对具体设备的查询，并且数据库124中可以已知的现有设备可以基于接收到的查询来搜索。当设备可以与已经存在的个体用户或组相关联时，搜索字段206可以特别有用，从而允许管理方106相对迅速地标识感兴趣的被管理设备。gui 200可以进一步包括用户过滤字段208、组过滤字段210、以及类型过滤字段212，这允许基于各种以下输入过滤现有设备：诸如具体用户的姓名，与管理方106相关联的组织内的组名，或者组织内的设备类型，诸如智能手机或笔记本电脑设备。这些字段可以是文本输入字段、下拉菜单等等。
28.gui 200可以进一步包括字段214，该字段包括用于现有被管理设备的数行，其中每一行可以与相应的设备或设备组相对应。每个设备可以具有相关的描述(该描述可以指定用户以及/或者组名)、与指定设备或组相关联的模板(其可以借助从数据库124填充的下拉菜单进行修改)、设备关于模板的状态、以及从设备或组中的设备接收的最后报告的记录。
29.字段214中显示的各种设备描述可以由管理方106个体地选择。在选择描述后，可以生成显示与所选设备或组相关联的信息的用户界面，该信息描绘与所选训练对话相关联的特定对话流。例如，可以描绘图形用户界面，该界面显示与设备相关联的当前硬件，以及用以修改与组织相关联的被管理网络中的设备的注册的选项。应当理解，行中的信息被阐明为辅助管理方106区分各种被管理设备并且依据应用的模板来确定它们的适当状态，但是图2中描绘的信息并不旨在反映可以呈现的唯一信息，并且应当理解，可以辅助管理方106管理设备的任何合适类型的信息被预期。
30.再次参考图1，在接收到配置模板和设备分配后(诸如借助gui 200)，管理模块116可以将配置模板和任何关联的分配存储到数据库124中，并且还可以预计算可以提供给被管理设备104的各种安装参数，以便应用在配置模板中指定的设置。此外，可以用确保某些配置数据的安装不会导致与设备上的其他数据冲突的方式使安装参数优先。例如，在被管理设备104签入后，管理模块116可以确定要应用于设备的适当模板，并且由于管理模块116在第一次从管理方106接收配置模板时已经预计算了针对设备的安装参数，安装参数可以
立即提供给被管理设备104，而不必等待管理模块116即时计算以发现必要的参数。
31.发现模块120可以被用于处理与被管理设备104相关联的初始发现任务。在某些实施中，被管理设备104最近可以被部署到一个位置或用户处，并且在设备通电后，该设备可以被预配置为访问发现模块120，以便允许该设备确定什么emm应该认证并管理该设备的配置。一旦发现模块120确定被管理设备应该关联的适当emm，可以向被管理设备提供设备签入后将要使用的证书，该证书可以辅助定义要与设备一起使用的具体模板。已经接收到用于签入的具体证书，然后被管理设备104可以与签入模块122交互，在此平台管理服务器102可以开始确定设备的当前状态的过程。
32.图3更详细地描绘了与平台管理服务器102相关联的存储器114(1)以及各种模块。如上所述，管理模块116可以预计算可以提供给被管理设备104的各种安装参数，以便应用在配置模板中指定的设置。在一种实现中，安装参数的预计算可以结合清单(inventory)服务302来执行，该清单服务302可以包括对各种软件清单的引用，这些软件清单可以根据配置模板被包括以作为被管理设备104的配置的一部分。清单服务302还可以具有指定用于具体设备的默认配置的记录，因此，管理模块116可以参考这些记录，以便确定某些软件是否可以通常地被安装在这些设备上，并且是否应该根据由管理方106提供的配置从设备移除。
33.例如，一旦设备从原始设备制造方(oem)运出，已部署设备可以利用某个web浏览器自动成像，管理方106可以希望卸载该web浏览器，诸如归因于潜在安全风险。在这种情况下，清单服务302可以具有可以指示从oem运出的设备是否预配置有web浏览器的记录，并且管理模块116因此可以包括卸载该web浏览器的步骤。在另一实现中，清单服务302可以确定应当与具体的被管理设备相关联的某些软件的适当版本。例如，虽然新的操作系统可用于各种被管理设备，但管理方106可以出于兼容性目的希望某些设备保留操作系统的旧版本。因此，清单服务302可以在被请求时返回用于设备的适当软件版本。
34.管理模块116还可以包括冲突服务304，该冲突服务304可以辅助使与被管理设备的配置相关联的安装参数优先。冲突服务304可以用确保某些配置数据的安装不会导致与设备上其他数据冲突的方式使某些软件的安装或配置设置的应用优先，并且可以确保在安装之前满足任何依存性。例如，某些软件应用的安装可以需要在被管理设备104上存在某些配置设置，因此，冲突服务304可以确定配置设置应该在安装软件之前应用。备选地，冲突服务304可以确定接收的用于设备的模板可以指定某些软件应用的安装，而该模板也可以稍后指示该软件应用应该被卸载。在这种情况下，冲突服务304可以解决冲突，并且提供关于冲突解决的信息。
35.在一些实现中，冲突解决信息可以被提供给报告服务306，该报告服务306可以为管理方106生成关于被管理设备104的供应状态的信息。具体地，报告服务306可以提供关于供应过程的每个步骤以及某些安装步骤成功或失败的详细信息。一旦被管理设备104的供应完成，报告服务306可以进一步生成概述报告，并且该概述报告可以借助管理模块116提供给管理方106。
36.在一些实现中，发现模块120可以包括发现服务308和注册服务310。在新设备的签入后，平台管理服务器102可以发现哪个(如果有的话)emm应该管理该设备。因此，如前面所讨论的，在设备通电后，设备可以被预配置为访问发现服务308，以便允许设备确定该设备是否应该与emm相关联，以及利用哪个特定emm来进行注册。发现服务308可以与数据库124
交互，以便确定数据库是否包含将设备指定为由平台管理服务器102管理的设备的信息。此外，数据库124可以包含关于可以管理设备的特定emm的数据。在确定设备将由平台管理服务器102管理后并且在确定被管理设备应当与之关联的适当emm后，注册服务310可以与数据库124交互，以便发出将要用于设备签入的适当证书，该证书可以辅助定义将与设备一起使用的具体模板。
37.在接收到证书后，被管理设备104可以借助签入模块122执行签入过程，该签入模块122可以确定什么配置数据当前位于设备本地，以及根据配置模板什么配置数据理应位于设备上。签入模块122可以包括各种os和/或设备特定的服务，这些服务可以实现不同配置的被管理设备的正确配置。例如，签入模块122可以包括windows服务312、ios/macos服务314、linux服务316、以及android服务318，并且这些服务中的每一种服务都可以在操作期间利用转换层320。
38.这些服务可以包括被管理设备的正确配置所必须的特定安装参数，取决于其操作系统配置，并且与每个服务相关联的转换层320可以适当地将通用指令转换为针对设备上不同类型的被管理设备以及/或者操作系统可以必须的特定供应命令。然而，应当意识到，附加服务可以作为签入模块122的一部分被利用，诸如用于可以位于被管理设备上的不同硬件的服务(例如，基于arm的指令集、x86指令集等)。一旦签入模块122确定设备的当前状态与配置模板中阐明的期望配置之间的差异，可以向被管理设备提供配置分组，该配置分组可以包括配置模板以及实现由配置模板所定义的设备状态所必须的数据。签入过程更详细描述将在下文参考图4更详细地描述。
39.再次参考图1，在向被管理设备104发出配置分组后，配置分组可以被存储在与被管理设备104相关联的持久性存储区域126中。持久性存储区域126还可以存储针对设备的初始出厂设置状态的图像，如果设备的供应遇到困难，该图像可以用作对设备执行操作系统的清洁安装的备份。
40.然后，编排器模块128可以处理配置分组中提供的配置数据的解包和应用。在一些实现中，配置分组可以包含对外部模板的一个或多个引用，编排器模块128可以协调返回平台管理服务器102的通信，以便下载外部模板。
41.此外，基于包含在来自平台管理服务器102的配置分组中的指令，或者备选地，编排器模块128可以自主地进一步关于被管理设备104的当前配置状态执行周期性的状态确定。也就是说，由于配置分组被接收并存储在持久性存储区域126中，编排器模块128可以周期性地确定设备的当前配置状态是否与配置模板中指定的配置要求相匹配。因此，即使被管理设备104当前没有连接到网络110，编排器模块128也可以自己在被管理设备上维护给定配置。
42.针对设备签入的示例过程
43.图4描绘了根据一种实现的被管理设备104签入并且从平台管理服务器102接收配置模板的示例过程400。如图4所描绘的，在步骤402，被管理设备104可以向平台管理服务器102发出用以签入的请求。如前所讨论的，被管理设备104可初始地配置为在设备初始通电后向平台管理服务器102发出签入请求。然而，在一些实现中，可能在先前已经部署的旧设备可以不包括用于设备签入到平台管理服务器102所必须的配置数据，而是替代地可以向标识管理器发出请求。在这种情况下，标识管理器可以被配置为要么将请求重定向到平台
管理服务器102，要么向设备提供指示其未来与平台管理服务器102通信的更新。
44.来自被管理设备104的签入请求可以包括详述设备现有状态的设备信息，诸如通过包括用设备包括的硬件上的信息、操作系统版本、文档/应用列表、以及指示与设备相关联的用户或组标识的令牌。由于被管理设备在其部署的过程中可以多次签入，设备信息还可以包括关于设备上所应用的模板的版本信息，以及任何应用模板的状态(例如，模板应用成功、模板导致差错等)。设备信息可以通过编排器模块128收集，并且在签入期间提供。
45.在接收到包括用签入请求包括的设备信息后，在步骤404，平台管理服务器102可以更新存储在数据库124中的当前客户端状态。至少基于当前客户端状态，平台管理服务器102可以进一步确定是否针对被管理设备执行某些行动。例如，如果当前客户端状态指示被管理设备之前未签入，可以向设备提供附加的介绍性模板，该模板可以针对设备的用户显示一些介绍性消息。备选地，如果管理方106已经指示具体设备应该借助企业服务108取消注册，则可以跳过某些签入步骤。
46.此外，在步骤406，管理模块116可以利用包含在签入请求中的设备信息访问数据库124，以便定位用于设备的配置模板。例如，管理模块116可以访问设备信息内包含的令牌，该令牌指定与设备相关联的具体用户或组标识并且与请求中提供的硬件信息相耦合，并且管理模块116可以访问数据库124以便确定是否已经由企业服务108定义并存储了将以该特定用户和设备为目标的配置模板。在确定配置模板存在于数据库中后，管理模块116可以提取该模板并且与模板相关联的预计算安装参数。
47.在步骤408，平台管理服务器102可以向企业服务108提供通知，以便提醒管理方106已经从被管理设备接收到签入请求。此类通知可以由报告服务306生成。此外，通知还可以指示与请求相关联的用户和设备组合，并且可以指示平台管理服务器102旨在应用于被管理设备的配置模板。在某些实现中，管理方106可以具有取消将模板应用于设备的能力，或者可能能够通过在这个阶段精修模板来补充供应过程。
48.例如，管理方106可以在过去已经定义了用于被管理设备的配置模板，并且可以正处于修改应安装在被管理设备上的应用集的过程。在这种情况下，管理方106可以修改配置模板，或者可以允许将配置模板应用于被管理设备104，但是可以被告知该具体的被管理设备可能需要配置模板更新。
49.在步骤410，管理方106可以可选择地确认签入并向平台管理服务器102提供关于通知的任何即时响应，诸如通过指示所选配置模板不应该被应用于被管理设备104。在某些实现中，步骤410可以是可选的，因为平台管理服务器102可以默认在没有来自企业服务108的任何传入响应的情况下自动地进行到应用所选配置模板。
50.在步骤412，管理模块116可以过滤某些配置设置，诸如通过确定与被管理设备104相关联的配置模板是否可以包括不适用于特定目标设备的某些配置。例如，虽然可以针对组织中营销组内的智能手机的所有用户定义配置模板，但是智能手机上可以运行有不同的操作系统。因此，配置模板中指定的某些设置可以仅适用于操作系统高于某个版本的智能手机。在这种情况下，管理模块116可以确定针对设备的任何预计算配置设置是否可以被过滤掉。因此，管理模块116可以随着设备的状态随时间改变时，而即时修改将要应用于该设备的配置。
51.接下来，在步骤414，管理模块116可以解决由配置模板呈现的任何冲突。由于管理
模块116可以基于由企业服务108接收的配置模板预计算各种配置设置，管理模块116可以基于与设备相关联的主要用户知道设备配置应该是什么，并确保设备配置和用户的特定配置之间的冲突信息被解决。
52.具体地，在一些情况下，被管理设备104可以向平台管理服务器102发出签入请求，但是与被管理设备相关联的主要用户可以尚未登录到该设备。在这种情况下，与设备相关联的配置可以潜在地偏离于与用户相关联的配置。例如，管理方106可以向与组织相关联的每个笔记本电脑发出默认配置模板，该模板指示某个应用应该被移除。然而，管理方106也可以提供特定于笔记本电脑之一的用户的配置模板，该配置模板允许应用保持安装，因为用户的工作要求可以涉及该应用。在这种情况下，由于设备的主要用户没有登录，设备将不能在签入请求中报告与设备相关联的用户，并且该应用可以在配置模板被应用时最终从被管理设备被移除。
53.替代地，由于管理模块116可以提前预计算配置设置，因此管理模块116可以确定主要用户的配置是否应该应用于设备，而与主要用户是否登录到设备无关。因此，管理模块116可以避免由于从设备接收有限的信息而使设备状态翻转(即，当在签入请求中没有提供用户标识信息时)。
54.在步骤416，平台管理服务器102可以将在步骤414期间可能已经发现的任何冲突传达给企业服务108，呈现冲突和冲突的潜在解决方案。在一些实现中，通知可以指示潜在的解决方案可以作为默认方案应用，并且管理方106不需要采取任何行动以解决冲突。备选地，在步骤418，管理方106可以通过经由企业服务108发出解决行动来确认冲突。
55.在步骤420，管理模块116可以计算为了使被管理设备104实现配置模板中指定的状态所必须的改变。改变计算可以基于设备在初始签入请求中报告了什么，并且可以将状态与存储在数据库124中的配置模板进行比较。在某些实现中，管理模块116已经根据步骤412和414过滤了任何不适用的配置并且解决了任何冲突。
56.具体地，管理模块116可以将配置关联到以下三个可能类别中的一个：1)要添加的配置，2)要移除的配置，以及3)未分配或不适用、但未从被管理设备移除的配置。如果管理模块116确定被管理设备104包含未在配置模板中指定的某些配置，并且也确定这些设置不与设备上的任何其他设置冲突或干扰，则可以使用第三类别。例如，被管理设备104可以包括与设备的主要用户相关联的家庭网络的无线密码，该密码可以不在配置模板中提供。然而，由于移除无线密码可能影响设备的使用，管理模块116可以指定在配置模板的应用期间不应移除无线密码。此外，在某些实现中，如果配置落入第三类(即，未分配的/不适用的配置)，则该配置可以在将来潜在地变得适用于设备。然而，由于配置保留在设备上，因此设备不必从平台管理服务器102取回新模板以便应用所需配置。
57.在步骤422，由于配置模板中占位符的存在，管理模块116可以向企业服务108发出用以取回秘密值的请求。如前所述，可以存在管理方106可能希望保密的某些信息，并且因此可以在提供给平台管理服务器102的配置模板中定义占位符。因此，管理模块116可以协调秘密信息从企业服务108到被管理设备104的传递。
58.在步骤424，企业服务108可以向平台管理服务器102发出所请求的秘密值。在一些实现中，可以加密从企业服务108发出的秘密值，以便保护秘密值的机密性。可以将加密的秘密值提供给平台管理服务器102，用于与可以提供给被管理设备104的配置模板一起封
装。然后，一旦应用了配置模板，加密的秘密值就可以由被管理设备104解密，从而保护秘密值不会变为被平台管理服务器102所知。
59.在步骤426，管理模块116可以协调向被管理设备104发出最终配置模板(包括任何加密的秘密值)作为配置分组。然后，被管理设备104可以应用配置模板，并且解密任何包括的加密秘密值，以便完成设备的供应。管理模块116可以将配置模板连同任何必要的文件和文档一起直接发送至被管理设备104，或者在一些实现中，可以向服务器上传配置分组，并且可以向被管理设备104提供下载链接，配置分组可以位于该链接处。
60.在步骤428，被管理设备104可以基于对配置模板进行应用来报告其当前状态，包括在设备供应期间可能发生的任何差错。在步骤430，管理模块116可以将当前设备状态存储到数据库124中。
61.最后，在步骤432，管理模块116可以向企业服务108发出指示被管理设备104的供应结果的概述报告，以便管理方106可以做出任何必要的改变。该报告可以包括以下信息：诸如什么配置被应用于设备、发现并解决的任何冲突、以及供应期间失败的配置。
62.应当意识到，除了图4中指定的步骤之外，还可以提供备选的或附加的步骤。例如，如果管理模块116确定针对已经签入的设备尚不存在配置模板，则针对配置模板的请求可以被发给企业服务108，以便提供相关信息。
63.示例设备管理方法
64.以下讨论呈现了可以提供上述管理功能的功能的概览。图5示出了与本构思一致的示例方法500。方法500可以由单个设备(例如，平台管理服务器102)实现，或者可以分布在一个或多个服务器、客户端设备等之上。此外，方法500可以由一个或多个模块执行，例如管理模块116、发现模块120、签入模块122和/或编排器模块128。
65.首先，在块502，该方法可以接收配置模板。在一种实现中，管理方106可以利用企业服务108以提供用于管理设备104的配置模板。配置模板可以由平台管理服务器102接收并且存储在数据库124内。配置模板可以与已部署设备的具体类别相关联，并且在一些情况下，可以与某些已部署设备的具体用户相关联。
66.在块504，该方法可以至少基于配置模板来预计算设备配置设置。在一种实现中，管理模块116可以分析配置模板以确定模板中提供了什么通用配置设置。然后，管理模块116可以基于目标设备确定设备特定的配置设置，使得通用配置能够被转换为适用于配置模板所针对的设备的设备特定的设置。一旦管理模块116预计算出各种配置设置，这些设置可以被存储在数据库124中，用于一旦设备签入到平台管理服务器则进行访问。
67.在块506，可以从被管理设备接收签入请求。例如，被管理设备104可以在部署位置新通电，并且可以被配置为在初始启动后向平台管理服务器102发出签入请求。
68.在块508，该方法可以发现与被管理设备104相关联的企业服务。在一种实现中，平台管理服务器102可以与多个企业服务相关联，但是平台管理服务器102可以发现被管理设备104将由单个企业服务管理，并且因此可以阻止其他企业服务与被管理设备通信，这可以确保被管理设备不被恶意终端管理。
69.在块510，该方法可以选择与被发现的企业服务相关联并且与被管理设备相对应的设备模板。在一种实现中，平台管理服务器102可以选择适当的设备模板。该设备模板可以存储在例如数据库124中，并且管理模块116可以基于签入请求中提供的设备信息以及关
于管理设备的企业服务的信息从数据库中提取相关设备模板。如上所述，在一些实现中，设备模板可以包含占位符，该占位符可以用来指定将用于配置设备的秘密值。由于平台管理服务器102不具有秘密值，其可以由与被管理设备相关联的企业服务提供。
70.因此，在块512，该方法可以从企业服务中取回与占位符相关联的附加配置数据。具体地，平台管理服务器102可以向企业服务108指示模板中存在需要秘密值的占位符。企业服务108可以对秘密值进行加密，并且将加密数据提供回平台管理服务器102，用于透传到被管理设备104。由于平台管理服务器102不能解密该加密数据，因此即使数据透传经过平台管理服务器102，秘密值也可以保持秘密。
71.最后，在块514，该方法可以向被管理设备应用配置发出网络设置。具体地，管理模块116可以准备配置分组，用于向被管理设备104传输应用分组中指定的配置的指令。编排器模块128可以对解封装配置分组和被管理设备的正确供应进行协调，包括解密由企业服务108提供的加密数据，以便应用秘密值。在一些实现中，配置分组中阐明的配置可以包括网络设置、供应设置已经/或者应与被管理设备关联的软件。
72.设备实现
73.如上文关于图1所述，系统100可以包括数个设备，包括平台管理服务器102、被管理设备104、以及企业服务108。还注意到，无法示出所有的设备实现，并且根据上面和下面的描述，其他设备实现对于本领域技术人员应该是明显的。
74.本文中可能使用的术语“设备”、“计算机”、“计算设备”、“客户端设备”、“服务器”、和/或“服务器设备”可以指具有一定的硬件处理能力和/或硬件存储/存储器能力的任何类型的设备。处理能力可由一个或多个硬件处理器(例如，硬件处理单元/内核)提供，其可执行计算机可读指令以提供功能。计算机可读指令和/或数据可以存储在持久性存储或易失性存储器上。本文中使用的术语“系统”可以指代单个设备、多个设备等。
75.存储器114可以是与其相关联的任何相应设备的内部或外部的存储资源。存储器114可以包括以下一个或多个：易失性或非易失性存储、硬盘驱动器、闪速存储设备、以及/或者光存储设备(例如，cd、dvd等)等。如本文所使用的，术语“计算机可读介质”可以包括信号。相反，术语“计算机可读存储介质”则排除信号。“计算机可读存储介质”包括“计算机可读存储设备”。计算机可读存储设备的示例包括易失性存储介质，诸如ram，以及可以构成存储器114的非易失性存储介质，诸如硬盘驱动器、光盘和闪速存储器等。
76.在某些情况下，设备配置有通用硬件处理器和存储资源。在其他情况下，设备可以包括片上系统(soc)类型的设计。在soc设计实现中，设备提供的功能可以集成在单个soc或多个耦合到soc上。一个或多个相关联的处理器可以被配置为协调共享资源(诸如存储器、存储等)和/或一个或多个专用资源(诸如被配置为执行特定功能的硬件块)。因此，本文中使用的术语“处理器”、“硬件处理器”或“硬件处理单元”也可以指代中央处理单元(cpu)、图形处理单元(gpu)、控制器、微控制器、处理器核心、或者适用于在传统计算架构以及soc设计中实现的其他类型的处理设备。
77.备选地或附加地，本文所述的功能可以至少部分地由一个或多个硬件逻辑部件执行。例如，非限制性地，可使用的示例性类型的硬件逻辑部件包括现场可编程门阵列(fpga)、专用集成电路(asic)、专用标准产品(assp)、片上系统(soc)、复杂可编程逻辑器件(cpld)等。
78.在一些配置中，本文讨论的任何模块/代码可以在软件、硬件、以及/或者固件中实现。在任何情况下，模块/代码可在设备制造期间提供或者由准备将设备销售给最终用户的中介提供。在其他情况下，最终用户稍后可以安装这些模块/代码，诸如通过下载可执行代码并且在相应设备上安装可执行代码。
79.还需要注意，设备通常可以具有输入和/或输出功能。例如，计算设备可以具有各种输入机制，诸如键盘、鼠标、触摸板、语音识别、手势识别(例如，使用深度相机，诸如立体或飞行时间相机系统、红外相机系统、rgb相机系统、或者使用加速计/陀螺仪、面部识别等)。设备还可以具有各种输出机制，诸如打印机、监测器等。
80.还需要注意，本文中所描述的设备可以独立或合作的方式起作用，以实现所描述的技术。例如，本文描述的方法可以在单个计算设备上执行，并且/或者跨在一个或多个网络上通信的多个计算设备(诸如iot设备)分布。非限制性地，这样的一个或多个网络可以包括一个或多个局域网(lan)、广域网(wan)、互联网等。
81.上面描述了各种示例。下面描述了附加示例。一个示例包括管理服务器，该管理服务器包括处理器和存储有指令的计算机可读存储介质，当该指令被处理器执行时，使管理服务器通过如下来配置被管理设备：接收与被管理设备相关联的配置模板，该配置模板包括用于附加配置数据的占位符、从被管理设备接收签入请求、至少基于签入请求确定与被管理设备相关联的企业服务、从与被管理设备相关联的企业服务请求附加配置数据、以及向被管理设备应用包括附加配置数据的配置模板。
82.另一示例可以包括上面以及/或者下面示例中的任何一个，在示例中管理服务进一步包括从企业服务接收附加配置数据。
83.另一示例可以包括上面以及/或者下面的任何示例，在示例中，从企业服务接收的附加配置数据是加密的。
84.另一示例可以包括上面以及/或者下面的任何示例，在示例中，附加配置数据在被应用于被管理设备时被解密。
85.另一示例可以包括上面以及/或者下面的任何示例，在示例中，管理服务器进一步包括：在接收签入请求之前，根据用于被管理设备的配置模板预计算配置设置。
86.另一示例可以包括上面以及/或者下面的任何示例，在示例中，配置模板一般性地定义配置数据，而不考虑设备实现。
87.另一示例可以包括上面以及/或者下面的任何示例，在示例中，预计算配置设置包括设备特定的配置设置。
88.另一示例可以包括上面以及/或者下面的任何示例，在示例中，签入请求指示被管理设备的当前状态。
89.另一示例可以包括上面以及/或者下面的任何示例，在示例中，其中管理服务器进一步包括：计算被管理设备的当前状态与配置模板所定义的状态之间的改变。
90.另一示例可以包括上面以及/或者下面的任何示例，在示例中，被管理设备的当前状态被周期性地与配置模板所定义的状态进行比较。
91.另一示例可以包括上面以及/或者下面的任何示例，在示例中，企业服务从多个企业服务之中被确定。
92.另一示例包括一种方法，该方法包括：接收涉及设备的签入请求、发现与设备相关
联的企业服务、选择与将要被应用于设备的企业服务相关联的设备模板，该设备模板包含用于秘密值的占位符；从企业服务取回与占位符相关联的数据；以及向设备应用与设备模板相关联的配置数据，该配置数据包括与秘密值相关联的数据。
93.另一示例可以包括上面以及/或者下面的任何示例，在示例中，与秘密值相关联的数据是加密的。
94.另一示例可以包括上面以及/或者下面的任何示例，在示例中，与秘密值相关联的数据由设备解密。
95.另一示例可以包括上面以及/或者下面的任何示例，在示例中，签入请求包括设备的设备状态。
96.另一示例可以包括上面以及/或者下面的任何示例，在示例中，方法进一步包括周期性地将设备状态与设备模板进行比较，并且在设备状态与设备模板不同时更新设备以匹配设备模板。
97.另一示例可以包括上面以及/或者下面的任何示例，在示例中，方法进一步包括：当设备未连接到网络时，指示设备周期性地将设备状态与设备模板进行比较。
98.另一示例可以包括上面以及/或者下面的任何示例，在示例中，设备状态被周期性地与设备模板进行比较，而与登录到设备的用户无关。
99.另一示例包括一种系统，该系统包括处理器和存储器，该存储器存储有计算机可读指令，当该指令被处理器执行时，使平台管理服务器：从设备接收签入请求；至少基于签入请求中的数据，从多个企业服务之中确定企业服务，该企业服务被配置为管理设备的配置；以及从企业服务接收配置模板，该配置模板包含配置数据和指示的秘密值至少一个占位符，秘密值将要在模板向设备的应用后从企业服务被取回。
100.另一示例可以包括上面以及/或者下面的任何示例，在示例中，从企业服务接收的配置数据是通用配置数据，并且平台管理服务器预计算与设备相对应的设备特定的配置设置。
101.结论
102.尽管已经用特定于结构特征以及/或者方法动作的语言描述了技术方案，但是应当理解，所附权利要求中定义的技术方案不一定限于上述特定特征或动作。相反，上述特定特征和动作被公开为实现权利要求的示例形式，并且本领域技术人员将认识到的其他特征和动作旨在落入权利要求的范围内。