CN113508379A - 分布式系统中的多向信任形成 - Google Patents

Abstract

在一些示例中，与第一站点相关联的第一计算设备可以接收与不同于第一站点的第二站点相关联的第二计算设备的证书。第一计算设备可以向第二计算设备发送与第二站点相关联的用户的凭证。另外，第一计算设备可以向第二计算设备发送第一计算设备的证书。此外，至少基于第二计算设备对用户凭证的认证，可以在第一计算设备和第二计算设备之间建立受信任通信。

Description

分布式系统中的多向信任形成

技术领域

本公开涉及安全通信技术领域。

背景技术

在两个或多个计算机系统之间创建安全通信信道可能具有挑战性。例如，用于保护两个计算机系统之间通信安全的典型技术包括在系统之间交换密码密钥。在一些常规技术中，在两个计算机系统之间建立双向信任可能需要在两个方向上交换令牌、或密码密钥等。此外，现有技术可能需要管理员手动干预以在每个站点上传密钥，或者可能包括实现集中式密钥管理服务器。集中式密钥管理服务器存在缺点，例如会造成单点故障，而手动跨站点密钥上传对于系统管理员或其他用户来说可能是一项繁琐的任务。

发明内容

一些实现方式包括在两个或更多个计算设备之间建立受信任通信关系。在一些示例中，与第一站点相关联的第一计算设备可以接收与不同于第一站点的第二站点相关联的第二计算设备的证书。第一计算设备可以向第二计算设备发送与第二站点相关联的用户的凭证。另外，第一计算设备可以向第二计算设备发送第一计算设备的证书。此外，至少基于第二计算设备对用户凭证的验证，可以在第一计算设备和第二计算设备之间建立受信任通信。

附图说明

参考附图阐述详细描述。在图中，附图标记最左边的数字表示该附图标记第一次出现的图。在不同的图中使用相同的附图标记表示相似或相同的项或特征。

图1示出了根据一些实现方式的分布式计算系统的示例架构。

图2是示出根据一些实现方式在分布式计算系统中的两个单独系统之间建立受信任通信的示例配置的框图。

图3是示出根据一些实现方式将用于受信任通信的两个计算系统加入到例如联合(federation)中的示例的序列图。

图4是示出根据一些实现方式将附加计算系统加入到两个计算系统的现有联合的示例的序列图。

图5是示出根据一些实现方式的联合系统的示例配置的框图。

图6是示出根据一些实现方式用于建立受信任通信的示例过程的流程图。

图7示出了可以用于实现本文描述系统的至少一些功能的服务计算设备的选择性示例组件。

具体实施方式

本文的一些实现方式涉及用于以最小化管理员干预并且不采用集中式密钥管理服务器的方式建立用于保护多个计算系统之间通信安全的信任的技术和装置。例如，该多个计算系统可以物理上位于不同的地点，或者以其他方式可以是单独的计算系统，并且可以相互通信以形成计算系统的联合，使得单独的计算系统能够相互安全地通信，例如交换数据、元数据和其他类型的通信。本文的技术避免要求各方让管理员上传其他各方的公钥并且无需集中式密钥管理系统。在本文的一些情况下，信任建立过程可以被简化以包括仅在多计算机系统联合中的一个站点上上传公共证书。

作为一个示例，来自单个位置的单个用户(例如管理员)可以在两个独立集群或其他自主计算站点之间建立安全双向通信信道，例如用于形成联合。例如，该两个单独的计算集群能够通过不安全的广域网(例如互联网)进行通信，以形成单个地理上分散的较大集群或联合系统。

最初，假设第一站点的第一系统和第二站点的第二系统是使用相同身份提供者的单独的系统，并且用户想要在第一站点和第二站点之间建立受信任通信。从第一站点到第二站点的通信真实性可以通过在第一站点下载例如来自公共证书机构的第二站点的公共证书，并由第一站点发送第二站点的公共证书到第二站点来建立。此时，第一站点的真实性向第二站点得到证明，但在第一站点从第二站点接收的通信真实性未被证明。当第一站点的真实性得到证明，第二站点就可以放心地向第一站点发送信息，但反之则不然。此时，如果第一站点和第二站点连接到同一个身份提供者，则用户可以发送应该在第一站点和第二站点都发挥作用的用户名和密码。如果用户名和密码在第一站点通过了认证，那么第二站点的真实性就得以向第一站点证明。因此建立了双向信任，并且第一站点随后可以向第二站点提供其公共证书。随后，这两个站点可以使用基于公共证书的加密通信进行通信。

在本文的实现方式中，涉及两个方面，例如，身份验证方面和密钥管理方面。该身份可以仅用于认证初始对话以提供证书，在此之后不再需要该身份，因为后续通信可以基于可从相应站点接收的交换公共证书，而不是从证书机构或诸如此类接收的证书。因为在建立单向信任之前，用户名和密码不会发送到第一站点，所以不存在将用户名和密码暴露给不受信任的系统的风险。为了使第一站点信任第二站点，第一站点可以基于提供的用户名和密码来认证和信任通信。通过这种方式，可以实现双向信任，并且交换的证书可以被信任。

此外，在站点加入在多个分布式站点已经建立的多个系统的联合的情况下，希望加入的站点仅需要与成员站点之一建立受信任通信从而加入联合，并且在与这个成员建立双向信任之后(如上所述)，可以从这个成员接收并因此可以信任该联合的所有成员的公共证书。因此，此处的实现方式显著减少了连接多个自主计算站点以进行受信任通信和获得多个站点的证书的工作量。

另外，在一些情况下，第一站点可以使用TLS(传输层安全)连接来获得第二站点的公共证书。收到第二站点的公共证书后，第一站点信任来自第二站点的通信，但第二站点没有任何理由信任来自第一站点的通信。第一站点可以将第二站点用户的用户名/密码发送到第二站点。在认证后，第二站点可以信任来自第一站点的通信。第一站点可以将自己的公共证书与用户名/密码一起发送到第二站点，或在用户名/密码认证之后将自己的公共证书发送到第二站点。随后，两个站点可以使用基于交换的公共证书的加密通信进行通信。

本文的实现方式可以应用于要建立多站点信任关系并且不希望或不可能在所有站点上手动安装受信任密钥或将责任委托给集中式密钥管理服务器的任何情况。作为一个示例，本文中的技术可用于在多站点分布式系统中建立受信任通信，该系统包括复制跨多个物理上彼此远离的计算站点的和/或存储在云存储或其他网络存储位置上的存储数据和/或元数据。此外，如另一个例子，这些技术可以与任何联合分布式计算系统一起使用，该系统要建立多站点信任关系并且不希望或不可能在所有站点上手动安装受信任密钥或使用密钥管理服务器。

出于论述目的，在一个或多个服务计算设备与一个或多个其他服务计算设备例如用于存储数据的通信的环境中描述了一些示例性实现方式。然而，此处的实现方式不限于所提供的特定示例，而是可以扩展到其他类型的计算系统架构、其他类型的计算环境、其他类型的客户端配置、其他类型的密码工具、其他类型的数据等等，根据本文的公开，这对于本领域技术人员来说将是显而易见的。

图1示出了根据一些实现方式的分布式计算系统100的示例架构。在一些情况下，分布式计算系统100可以被配置用于存储数据，例如对象数据，但是此处的实现方式不限于这种用途或配置。在图1的示例中，多个系统102(1)、102(2)、......被布置在分布式计算系统100中的多个相应计算站点104、106、.......处。例如，第一系统102(1)可以位于第一计算站点104处并且第二系统102(2)可以位于第二计算站点106处。此外，尽管在本示例中示出了两个系统102(1)、102(2)和计算站点104、106，但其他示例中的系统和计算站点的数量不限于两个，并且可以是两个或两个以上的系统和/或站点，例如在两个到数百个系统和/或站点的范围之间。

每个系统102可以包括至少一个服务计算设备112。因此，一个或多个服务计算设备112(1)可以被包括在第一系统102(1)中，一个或多个服务计算设备112(2)可以被包括在第二系统102(2)中。作为一个示例，每个系统102可以是相对于其他系统102自主运行的服务计算设备集群。因此，本文示例中的系统102可以认证彼此之间的通信以使得能够在不同站点处的系统102之间进行安全和受信任通信。进一步地，系统102不限于在本公开中描述和图示的硬件配置，而是可以包括能够执行本文描述的功能的任何适当或期望的硬件配置，并且系统102之一处的硬件配置可以不同于系统102另一处的硬件配置。

在一些情况下，每个系统102(1)和102(2)中的服务计算设备112可以包括维护、或者以其他方式访问元数据数据结构(DS)116(1)和116(2)，元数据数据结构(DS)116(1)和116(2)分别用于存储关于本地数据118(1)以及云数据119(1)的元数据和关于本地数据118(2)以及云数据119(2)的元数据，本地数据118(1)和118(2)分别被本地存储在相应的系统102(1)和102(2)中，云数据119(1)和119(2)分别存储在相应的网络存储120(1)和120(2)中。例如，元数据数据结构116可以是数据库、表格或任何其他适当的数据结构。在对象存储的情况下，元数据数据结构116中包括的元数据可以包括关于每个相应存储对象的信息，例如路径、名称、所有者、从对象数据确定的哈希值等。

系统102(1)和102(2)能够通过一个或多个网络122相互通信。该一个或多个网络122可以包括任何适当的网络，包括广域网(WAN)，例如互联网；局域网(LAN)，例如内联网；无线网络，例如蜂窝网络、本地无线网络(例如Wi-Fi)、和/或短程无线通信(例如蓝牙

)；有线网络，包括光纤通道、光纤、以太网或任何其他此类网络、直接有线连接或其任何组合。因此，该一个或多个网络122可以包括有线和/或无线通信技术。用于此类通信的组件可至少部分取决于网络类型、所选环境、或网络类型和所选环境二者。用于通过这种网络进行通信的协议是众所周知的，本文将不再详细论述。因此，服务计算设备112能够使用有线或无线连接及其组合通过一个或多个网络122进行通信。

此外，至少一些服务计算设备112能够通过一个或多个网络123与多个用户设备124(1)、124(2)、......进行通信。每个用户设备124(1)、124(2)包括可以在相应用户设备124(1)、124(2)上执行的用户应用程序126(1)、126(2)的相应实例，例如用于与相应的服务计算设备112进行通信(例如用于发送数据以供系统102存储和/或用于从系统102中检索存储的数据)。用户128(1)、128(2)可以与相应的用户设备124(1)、124(2)相关联。在一些情况下，应用程序126可以包括浏览器或可以通过浏览器进行操作，而在其他情况下，应用程序126可以包括具有通过一个或多个网络123使得能够与服务计算设备112进行通信的通信功能的任何其他类型应用。

在一些示例中，该一个或多个网络123可以是LAN。在其他示例中，该一个或多个网络123可以是如上关于一个或多个网络122论述的任何网络。在一些情况下，用户128和/或用户设备124或用户应用程序126可以被指派在多个计算站点中的特定计算站点104或106处访问一个或多个服务计算设备112。例如，如果第一计算站点104位于波士顿，并且第一用户128(1)是在波士顿地区工作的员工，则第一用户128(1)可以被指派访问一个或多个服务计算设备112(1)，而不是第二计算站点106处的其他服务计算设备112(2)。

在一些示例中，各种用户128或用户组128可以仅被授权访问计算站点104或106中的特定计算站点处的一个或多个服务计算设备112中的特定服务计算设备112，例如用于负载平衡、限制员工访问本地办公系统等。此外，尽管在该示例中示出了两个系统102(1)和102(2)以及计算站点104或106，但在其他示例中，可以使用不同数量(例如多于两个)的系统/存储位置，其数量上限基于实用性和使收益递减，而非技术可行性。

此外，第一系统102(1)能够通过一个或多个网络122与第一网络存储130(1)进行通信，并且第二系统102(2)能够通过一个或多个网络122与不同于第一网络存储130(1)的第二网络存储130(2)进行通信。例如，第一网络存储130(1)可以在地理上远离第二网络存储130(2)。在一些情况下，网络存储130(1)和130(2)可以被称为“云存储”或“基于云的存储”，并且可以实现每兆字节/千兆字节的比服务计算设备112处的本地存储更低成本的存储方案。.

至少一些服务计算设备112可以包括服务器程序130和存储程序132。例如，服务器程序130可以与用户设备124交互以从用户设备124接收数据和将数据提供给用户设备124。存储程序132可以管理在本地和在网络存储120处数据的存储。另外，该存储程序132可以管理和维护由相应系统102管理相应数据的元数据数据结构116。

作为一个示例，假设第一用户128(1)使用第一系统102(1)来存储数据。例如，该第一用户128(1)可以将数据136发送到服务计算设备112(1)以供第一系统102(1)存储。类似地，第二用户128(2)可以使用第二系统102(2)来存储数据。例如，第二用户128(2)可以将数据138发送到服务计算设备112(2)以供第二系统102(2)存储。此外，用户计算设备124可以与相应的服务计算设备112进行通信，从而通过与服务器程序130的交互从相应的服务计算设备接收数据。

本文的分布式计算系统100可以以地理上分布式的方式部署，例如用于数据恢复和/或并发访问的目的。作为一个示例，分布式计算系统100可以包括地理上分散的复制环境，其中多个系统102在广域网拓扑中为彼此复制数据。此外，每个系统102(1)和102(2)可以分别包括管理员设备140(1)和140(2)，或者可以以其他方式分别与管理员设备140(1)和140(2)进行通信。每个管理员设备140(1)和140(2)可以分别执行使管理员144(1)和144(2)能够分别管理系统102(1)和102(2)的管理员应用142。

为了使得能够在分布式自主计算系统102之间的不安全网络上进行受信任通信，例如为了在两个或多个有区别的系统102之间形成联合，可以建立例如用于实现加密通信、交换数据、复制数据、实现管理通信等的受信任通信信道。每个系统102处的一个或多个服务计算设备112可以包括通信程序148。在一些示例中，该通信程序148可以是存储程序132或服务器程序130的模块，而在其他示例中，通信程序148可以与存储程序132和服务器程序130分开。如下文另外论述的，通信程序148可以在系统102处执行，从而基于计算系统102之间建立的受信任通信来执行系统102之间的受信任通信。例如，管理员144或其他用户128可能启动用于建立受信任通信的过程，该受信任通信使用通信程序148来执行。

在一些示例中，第一系统102(1)和第二系统102(2)可以使用相同的身份提供者150。该身份提供者150可以是为管理员和其他用户创建、维护和管理身份信息的系统实体，同时为联合或分布式计算系统内的应用程序提供认证服务。身份提供者150可以是为系统102认证用户的受信任系统。例如，用户提供的凭证可以被重定向到身份提供者150以进行认证。在识别之后，身份提供者150可以例如向提交凭证的应用程序提供编码消息，以指示凭证是否真实有效。进一步地，身份提供者150可以提供所有访问事件的中央审计跟踪并且可以提供额外的安全层以保护凭证免受网络钓鱼、恶意软件、凭证数据库破坏等影响。

在该示例中，如154所示，可以至少部分地基于由第一系统102(1)提供的第二系统102(2)处的用户的用户名和密码，在第一系统102(1)和第二系统102(2)之间建立受信任通信，反之亦然。例如，如下另外详细论述的，可以首先在第一系统102(1)和第二系统102(2)之间例如基于系统102之一的公共证书建立单向信任，该公共证书由管理员144例如从证书机构等获得并被上传到系统102(1)或102(2)之一。

在一些情况下，这里所指的公共证书可以是X.509公钥证书，例如可以用于通过互联网的TLS/SSL安全通信和其他安全应用程序(例如电子签名)。例如，该证书可以包含公钥和身份(例如，主机名、组织或个人)，并且可以由证书机构签名或者自签名。当该证书由受信任的证书机构签名或通过其他方式被验证时，持有该证书的人可以依靠证书中包含的公钥与另一方建立安全通信。例如，接收到第二方证书的第一方可以使用公钥来加密发送给第二方的通信。第二方可以使用其与证书中的公钥相对应的私钥来解密通信。或者，其他类型的证书、公钥、共享秘密等可以在本文的其他实现方式中用作公共证书。

基于正被建立的单向信任，未受信任方可以将受信任方的用户的用户名和密码发送给受信任方。受信任方可以认证用户名和密码，并根据认证情况与发送方建立信任。例如，因为第一系统102(1)和第二系统102(2)可以使用相同的身份提供者，所以第一系统102(1)处的管理员的凭证将在第二系统102(2)发挥作用，反之亦然。

可替代地，在其他示例中，第一系统102(1)处的管理员144(1)可以直接与第二系统102(2)处的管理员144(2)进行通信并且可以通过电话、电子邮件或其他通信方式被给予用于第二系统102(2)的凭证，反之亦然。作为又一替代，第一系统102(1)处的管理员144(1)也可以是第二系统102(2)处的管理员144(2)并且可能已经具有到第二系统102(2)的凭证和/或由第二系统102(2)使用的身份提供者。作为又一替代，第一系统102(1)和第二系统102(2)可以共享复制的身份提供者(例如，活动目录复制)并且因此存在于第二系统102(2)处的身份提供者上的管理员凭证可以被复制到由第一系统102(1)使用的身份提供者。此外，图1的示例只是系统102和服务计算设备112的可能配置的一个示例。许多其他配置对于受益于本文公开的本领域技术人员将是显而易见的。

图2是示出根据一些实现方式在分布式计算系统200中的两个单独系统之间建立受信任通信的示例配置的框图。该示例中的分布式计算系统200可以对应于上面论述的计算系统100，或各种其他分布式计算系统。在该示例中，假设管理员144(1)例如从受信任的证书机构等获得第二站点的证书202，并将第二站点证书202上传到第一站点104处第一系统102(1)的服务计算设备112(1)。此外，第一系统102(1)可以已经具有其自己的第一站点证书204，即包括公钥和私钥。类似地，第二系统102(2)也可以已经拥有其自己的第二站点证书206，包括公钥和私钥。

管理员144(1)可以发送初始联合加入呼叫208，该呼叫可以指示第一系统102(1)期望与第二系统102(2)联合。在一些示例中，第一系统102(1)处的管理员144(1)可以可选地包括第二站点公共证书202，这指示可以信任用该证书签名的响应。这建立了第一系统102(1)可以信任从第二系统102(2)接收的通信。为了使第二系统102(2)能够信任从第一系统102(1)接收的通信，管理员144(1)可以使通信程序148向第二系统102(2)发送包括被授权访问第二系统102(2)的用户的用户名和密码的通信210。

如上所述，可以使用各种不同的技术来获得或者以其他方式提供用户名和密码，例如第一系统102(1)和第二系统102(2)使用相同的身份提供者。可替代地，管理员144(1)可以直接与第二系统102(2)处的管理员(图2中未示出)进行通信以获得用于第二系统102(2)的凭证。作为又一替代，第一系统102(1)处的管理员144(1)也可以是第二系统102(2)处的管理员144(2)。作为又一替代，第一系统102(1)和第二系统102(2)可以共享复制的身份提供者(例如，活动目录复制)并且因此存在于第二系统102(2)处的身份提供者上的管理员凭证可以被复制到由第一系统102(1)使用的身份提供者。各种其他变型例对于受益于本文公开的本领域技术人员而言将是显而易见的。

因为直到建立单向信任使得第一系统102(1)信任来自第二系统102(2)的通信，用户名和密码才被发送到第二系统102(2)，所以不存在将用户名和密码暴露给未受信任系统的风险。为了使第二系统102(2)信任第一系统102(1)，第二系统102(2)可以基于认证所提供的用户名和密码来认证通信。在认证所提供的用户名和密码之后，在第一系统102(1)和第二系统102(2)之间实现了双向信任。第一系统102(1)可以将其自己的公共证书212与通信208一起发送，或者在从第二系统102(2)接收到在第二系统102(2)和第一系统102(1)之间已建立受信任通信的确认214之后发送其自己的公共证书212。

在替代示例中，并不是从证书机构获得第二站点公共证书202，管理员144(1)可以使该加入联合请求208最初对第二系统102(2)进行TSL/SSL呼叫并且可以接收到由第二系统102(2)提供的证书不被信任的SSL错误。第一系统102(1)UI然后可以显示该证书并询问管理员144(1)第二站点公共证书是否受信任。如果受信任，那么只需单击一次，管理员144(1)就可以重试该请求，此次包括第二站点公共证书202。然后第二系统102(2)可以评估和认证由第一系统102(1)提供的用户名/密码以建立双向信任。

此外，管理员144(1)或其他授权用户可以随时撤销信任或证书。例如，授权用户可以向拥有要撤销的信任或证书的联合的任何成员发出命令。处理该请求的系统可以被配置为更新联合的其他成员。此外，证书可能会到期而使一个或多个信任关系无效。当失去信任关系时，受影响的系统之间的通信将失败，阻止进一步通信，直到重新建立信任关系。

为了解决撤销问题，授权用户可以使用与加入联合非常相似的过程来修复被撤销的信任。作为一个示例，该授权用户可以首先更新由受影响系统(即证书已被撤销的系统)使用的证书。然后，授权用户可以使用对目标系统的有效凭证(例如，用户名和密码)发出加入与联合成员之一的信任关系的命令。被撤销的系统可以将它的新证书与凭证一起提供，或者替代地，被撤销的系统可以在基于目标系统对该凭证进行认证而建立与目标系统的信任之后提供它的新证书。如上论述的，目标系统可以评估凭证和接收的证书。如果验证成功，目标系统将更新联合状态并用联合信息和证书(即目标系统的证书和任何其他联合成员的证书)响应先前被撤销的系统。此时，信任已被重新建立，先前被撤销的成员已重新加入联合。

图3是示出根据一些实现方式将用于受信任通信的两个计算系统加入到例如联合中的示例300的序列图。在该示例中，假设授权用户例如管理员144(A)决定使用用户A设备301在系统A 102(A)和系统B 102(B)之间建立安全通信。例如，用户144(A)可以是系统A102(A)处的管理员或其他授权用户，其拥有在两个系统102(A)和102(B)之间建立受信任通信的足够权限。因此，用户A设备301可以包括以上关于图1论述的用户设备124或管理员设备140。

在302处，用户A设备301可以与系统A 102(A)建立TLS或其他安全连接，例如通过与系统102(A)的服务计算设备112(图3中未示出)之一建立连接。例如，TLS协议可用于通过网络进行通信，同时防止窃听和篡改。作为一个示例，用户A设备301可以向系统A 102(A)提出协议专用请求以将不安全连接切换到TLS连接，例如通过提出“STARTTLS”请求，将连接切换到指定给TLS连接的端口号等。在用户A设备301和系统A 102(A)同意使用TLS之后，用户A设备301和系统A 102(A)可以通过使用具有非对称密文(cipher)的握手规程来协商TLS连接，从而不仅建立密文设置，还建立会话特定的共享密钥，通过该共享密钥进一步的通信得以使用对称密码被加密。在此握手期间，客户端和服务器就用于建立连接安全性的各种参数达成一致。作为一个示例，Diffie-Hellman密钥交换可以用于安全地生成用于加密和解密的随机且唯一的会话密钥。在握手和生成唯一会话密钥之后，安全连接可以发挥作用并且可以使用会话密钥对通信进行加密和解密，直到连接关闭。

在304处，如果系统A的证书未被验证，则可以提示用户A接受证书以建立TLS连接。这可能包括验证证书有效期、证书链出具者、证书撤销列表等。

在306处，用户A设备301可以提供凭证以在系统A处验证用户A。例如，用户A设备301可以向系统A 102(A)提供用户A的用户名和密码或其他验证凭证。

在308处，用户A设备301可以使用系统B用户的凭证(例如系统B用户的用户名和密码)执行系统A加入系统B的命令，所述系统B用户可以是实际的系统B用户，或者可以是与具有管理权限的系统B用户的账户相关联的用户名和密码，但其仅用于在系统B处的认证。因此，每次建立信任关系时用户名和密码可能是不同的，并且用户、用户名和密码之后可能不会再次使用。

在310处，系统A 102(A)可以认证和授权系统A 102(A)上的用户A，例如通过检查在306处提供给系统A 102(A)的用户A的用户名和密码或其他认证凭证。

在312处，通过下面的操作314～320在系统A 102(A)和系统B 102(B)之间建立系统TLS连接或其他类型的安全连接。

在314处，系统A使用与在上面302处论述的技术类似的技术来发起与系统B的TLS或其他安全连接。

在315处，由于发起安全连接，系统A 102(A)可以接收系统B的公共证书。

在316处，如果在建立安全连接期间，系统B的证书不被系统A信任，则系统A可以向用户A设备301处的管理员144(a)发送接受系统B证书的提示。这可能包括验证证书有效期、证书链出具者、证书撤销列表等。

在318处，用户A设备可以向系统A 102(A)发送确认系统B证书有效性的通信。

在320处，在系统A 102(A)和系统B 102(B)之间建立TLS或其他安全连接，这可能包括在系统A 102(A)和系统B 102(B)之间建立安全会话密钥。

在322处，由于建立TLS连接，系统A现在具有系统B的公共证书的副本。

在324处，系统A向系统B发送命令以使用系统B用户的凭证和系统A公共证书将系统A和系统B加入到受信任通信设置中。

在326处，系统B 102(B)基于从系统A 102(A)接收的(并且也是在308处系统A 102(A)从用户A设备301接收的)用户B凭证来认证和授权用户B。

在328处，系统B 102(B)在系统B 102(B)处保存系统A-系统B成员资格和证书。例如，系统B 102(B)可以基于接收系统A的公共证书和基于系统B用户的系统B用户名和密码的验证来信任来自系统A的通信。

在330处，系统B 102(B)向系统A 102(A)发送系统A-系统B在受信任通信关系中的成员资格已经建立的确认。

在332处，系统A 102(A)可以保存系统A-系统B成员资格和证书。

在334处，系统A 102(A)向用户A设备301发送确认以确认系统A 102(A)和系统B102(B)之间的受信任通信的配对已经建立。

因此，在建立受信任通信之后，系统A和系统B可以包括联合的计算机系统，其中两个单独的系统具有建立在它们之间的受信任通信信道。

图4是示出根据一些实现方式将附加计算系统加入到两个计算系统的现有联合的示例400的序列图。在该示例中，假设用户A决定使用用户A设备301在系统A 102(A)和包括系统B 102(B)和系统C 102(C)的现有联合之间建立安全通信。例如，用户A可以是系统A102(A)处的管理员或其他用户，其拥有在系统A 102(A)和现有联合之间建立受信任通信的足够权限。用户A设备301可以包括上面关于图1论述的用户设备124或管理员设备140。

在402处，假设已经在系统B 102(B)和系统C 102(C)之间建立了用于受信任通信的配对，例如使用上面关于图1至图3论述的技术。

如403处所示，基于该配对，系统B具有系统C公共证书的副本并且系统C具有系统B公共证书的副本。

在404处，用户A设备301可以与系统A 102(A)建立TLS(传输层安全)或其他安全连接，例如通过与系统A 102(A)的服务计算设备112(图4中未示出)之一建立连接，例如正如上面在图3的302处所论述的一样。

在406处，如果系统A的证书未被验证，则可以提示用户A接受证书以建立TLS连接。这可能包括验证证书有效期、证书链出具者、证书撤销列表等。

在408处，用户A设备301可以提供凭证以在系统A处认证用户A。例如，用户A设备301可以向系统A 102(A)提供用户A的用户名和密码或其他认证凭证。

在410处，用户A设备301可以使用系统B用户的凭证(例如系统B用户的用户名和密码)执行系统A加入系统B的命令，所述系统B用户可以是实际的系统B用户，或者可以是一个虚构的系统B用户的一次性用户名和密码。

在412处，系统A 102(A)可以认证和授权系统A上的用户A，例如通过检查在408处提供给系统A 102(A)的用户A的用户名和密码或其他认证凭证。

在414处，通过下面的操作416～422在系统A 102(A)和系统B 102(B)之间建立系统TLS连接或其他类型的安全连接。

在416处，系统A使用与在上面404处论述的技术类似的技术来发起与系统B的TLS或其他安全连接。

在417处，由于发起与系统B的安全连接，系统A 102(A)可以接收系统B的公共证书。

在418处，如果在建立安全连接期间，系统B的证书不被系统A信任，则系统A可以向用户A设备301发送接受系统B证书的提示。这可能包括验证证书有效期、证书链出具者、证书撤销列表等。

在420处，用户A设备可以向系统A 102(A)发送确认系统B证书有效性的通信。

在422处，在系统A 102(A)和系统B 102(B)之间建立TLS或其他安全连接，这可以包括在系统A 102(A)和系统B 102(B)之间建立安全会话密钥。

在424处，由于建立TLS连接，系统A现在具有系统B的公共证书的副本。

在426处，系统A向系统B发送命令以使用系统B用户的凭证和系统A公共证书将系统A和系统B加入到受信任通信设置中。

在428处，系统B 102(B)基于从系统A 102(A)接收的(并且也是在410处系统A 102(A)从用户A设备301接收的)用户B凭证来认证和授权用户B。

在430处，系统B 102(B)将系统A-B-C成员资格和证书保存在系统B 102(B)处，也保存到系统C 102(C)。例如，系统B 102(B)和系统C 102(C)可以基于接收系统A的公共证书和基于系统B用户的系统B用户名和密码以及由系统B执行的认证来信任来自系统A 102(A)的通信。

如431处所示，系统C可以在上面论述的操作430期间从系统B接收系统A公共证书的副本。

在432处，系统B 102(B)向系统A 102(A)发送系统A-B-C在受信任通信关系中的成员资格已经建立的确认。

在434处，系统A现在具有系统B和系统C的公共证书的副本。

在436处，系统A 102(A)可以保存系统A-B-C成员资格和证书。

在438处，系统A 102(A)向用户A设备301发送确认以确认系统A 102(A)、系统B102(B)和系统C 102(C)之间的受信任通信的配对已经建立。

因此，在建立受信任通信之后，系统A、B和C可以包括联合的计算机系统，其中三个单独的系统具有建立在它们之间的受信任通信信道。

图5是示出根据一些实现方式的联合系统500的示例配置的框图。在该示例中，分布式计算机系统包括站点A处的系统A 102(A)、站点B处的系统B 102(B)、站点C处的系统C102(C)和站点D处的系统D 102(D)，每个系统包括通过一个或多个网络122进行通信的相应服务计算设备112(A)-112(D)。在一些情况下，站点A、B、C和D中的至少一些可以在地理上彼此分散，和/或系统A、B、C和D可以是单独的、自主的或者以其他方式有区别的系统。

在该示例中，假设已经经历了上面关于图1至图4所论述过程的系统B、C和D已经加入联合。因此，如502处所示，系统B和系统C之间已经建立了受信任通信；如504处所示，系统B和系统D之间已经建立了受信任通信；并且如506处所示，系统C和系统D之间已经建立了受信任通信。

另外，系统B具有其自己的系统B证书508，以及系统C的公共证书510，和系统D的公共证书512；系统C具有其自己的系统C证书514，以及系统B的公共证书516，和系统D的公共证书512；系统D具有其自己的系统D证书518，以及系统B的公共证书516，和系统C的公共证书510。此外，此时，系统A仅具有其自己的系统A证书520。

管理员144(A)或其他授权用户遵循的为了将系统A加入系统B、C和D的联合的过程类似于上面关于图1至图4论述的过程。系统A可以连接到已经处在联合中的系统B、C或D中任何一个。例如，假设系统D被选为系统A要建立双向受信任通信的目标系统。管理员144(A)可以采用上面关于图4所论述的过程。因此，如522处所示，如上面所论述的，可以在系统A和系统D之间建立受信任通信。在建立双向信任之后，系统D将具有系统A的公共证书，并且可以更新联合成员资格并向联合(例如向系统B和C)提供所有必要的证书(例如，系统A的公共证书)，如524处所示。此外，如526处所示，系统D可以向系统A提供系统B、C和D的证书以在包括系统102(A)在内的所有联合成员之间建立双向信任。

图6是示出根据一些实现方式用于建立受信任通信的示例过程的流程图。该过程被示为逻辑流程图中的许多框(block)，其表示一系列操作，所述操作的一些或全部可以在硬件、软件或其组合中实现。在软件的环境中，框可以表示存储在一个或多个计算机可读介质上的计算机可执行指令，当由一个或多个处理器执行时，所述指令对处理器进行编程以执行所记载的操作。通常，计算机可执行指令包括执行特定功能或实现特定数据类型的例程、程序、对象、组件、数据结构等。框被描述的顺序不应被解释为限制。任何数量的所描述框可以以任何顺序和/或并列的方式被组合以实现该过程或替代过程，并且不是所有框都需要被执行。出于论述目的，参考本文示例中描述的环境、框架和系统来描述该过程，尽管该过程可以在很多种其他环境、框架和系统中实施。

图6是示出根据一些实现方式的示例过程600的流程图。在一些情况下，过程600可以由一个或多个服务计算设备112执行至少一部分。

在602处，该计算设备可以接收与不同于第一站点的第二站点相关联的第二计算设备的证书。

在604处，该计算设备可以向第二计算设备发送与第二站点相关联的用户的凭证。

在606处，该计算设备可以向第二计算设备发送第一计算设备的证书。例如，第一计算设备的证书可以与凭证一起发送或在凭证之后发送。

在608处，至少基于第二计算设备对用户凭证的认证，该计算设备可以在第一计算设备和第二计算设备之间建立受信任通信。

在610处，如果第二计算设备已经同与第三站点相关联的第三计算设备建立了受信任通信，则计算设备可以基于在第一计算设备和第二计算设备之间建立的受信任通信以及在第二计算设备和第三计算设备之间建立的受信任通信，从第二计算设备接收第三计算设备的证书以供第一计算设备用于与第三计算设备的受信任通信。

本文描述的示例过程仅仅是为了论述目的而提供的过程的示例。根据本文的公开，许多其他变型例对于本领域技术人员来说将是显而易见的。此外，虽然本文的公开阐述了用于执行所述过程的适当框架、架构和环境的若干示例，但本文的实现方式不限于所示出和论述的特定示例。此外，本公开提供了各种示例性实现方式，如描述的和附图中示出的。然而，本公开不限于本文描述和图示的实现方式，而是可以扩展到其他实现方式，如本领域技术人员所知的或将成为所知的。

图7示出了可以用于实现本文描述系统的至少一些功能的服务计算设备112的选择性示例组件。服务计算设备112可以包括一个或多个服务器或以多种方式体现的其他类型的计算设备。例如，在服务器的情况下，程序、其他功能组件和数据可以在单个服务器、服务器集群、服务器农场(server farm)或数据中心、云托管计算服务等上实施，尽管可以附加地或替代地使用其他计算机架构。多个服务计算设备112可以位于一处或分散布置，并且例如组织为虚拟服务器、服务器库和/或服务器农场。所描述的功能可以由单个实体或企业的服务器提供，或者可以由多个不同实体或企业的服务器和/或服务提供。

在图示的示例中，服务计算设备112包括一个或多个处理器702、一个或多个计算机可读介质704和一个或多个通信接口706，或者可以与一个或多个处理器702、一个或多个计算机可读介质704和一个或多个通信接口706相关联。每个处理器702可以是单个处理单元或许多个处理单元，并且可以包括单个或多个计算单元，或多个处理核心。一个或多个处理器702可以被实现为一个或多个中央处理单元、微处理器、微型计算机、微控制器、数字信号处理器、状态机、逻辑电路和/或基于操作指令操纵信号的任何设备。作为一个示例，一个或多个处理器702可以包括被特定编程或配置为执行本文描述的算法和过程的任何适当类型的逻辑电路和/或一个或多个硬件处理器。一个或多个处理器702可以被配置为获取和执行存储在计算机可读介质704中的计算机可读指令，该指令可以对一个或多个处理器702进行编程以执行本文描述的功能。

该计算机可读介质704可以包括以用于存储信息的任何类型的技术实现的易失性存储器和非易失性存储器和/或可移除介质和不可移除介质，例如计算机可读指令、数据结构、程序模块或其他数据。例如，计算机可读介质704可以包括但不限于RAM、ROM、EEPROM、闪存存储器或其他存储技术、光学存储、固态存储、磁带、磁盘存储、RAID存储系统、存储阵列、网络附加存储、存储区域网络、云存储或可用于存储所需信息且可由计算设备访问的任何其他介质。根据服务计算设备112的配置，计算机可读介质704可以是有形的非瞬态介质，在这个意义上，当提及时，非瞬态计算机可读介质不包括诸如能量、载波信号、电磁波、和/或信号本身。在一些情况下，计算机可读介质704可以与服务计算设备112位于相同的位置，而在其他示例中，计算机可读介质704可以部分远离服务计算设备112。例如，在一些情况下，计算机可读介质704可以包括上面关于图1论述的网络存储120中的一部分存储。

计算机可读介质704可以用于存储可由一个或多个处理器702执行的任意数量的功能组件。在许多实现方式中，这些功能组件包括可由一个或多个处理器702执行的指令或程序，并且所述指令或程序当被执行时，对一个或多个处理器702进行特定编程以执行这里归于服务计算设备112的动作。存储在计算机可读介质704中的功能组件可以包括服务器程序130、存储程序132、以及通信程序148，服务器程序130、存储程序132和通信程序148中的每一个都可以包括一个或多个计算机程序、应用、可执行代码或计算机程序、应用、可执行代码的部分。例如，服务器程序116可以提供与用户设备和网络存储的通信功能(图7中未示出)。存储程序118可以包括用于创建和管理元数据数据结构116的数据库管理功能，该元数据数据结构116包含与由一个或多个服务计算设备112存储和管理的数据相关的元数据。通信程序148可以使得能够在服务计算设备和其他设备之间进行通信，例如基于受信任通信信道和证书的安全通信。

此外，计算机可读介质704可以存储用于执行本文描述的功能和服务的数据、数据结构和其他信息。例如，计算机可读介质704可以存储元数据数据结构116。另外，计算机可读介质704可以存储本地数据118，本地数据118可以是由服务计算设备112存储的数据。服务计算设备112还可以包括或维护其他功能组件和数据，所述功能组件和数据可以包括程序、驱动程序等，以及功能组件使用或生成的数据。此外，服务计算设备112可以包括许多其他逻辑组件、程序组件和物理组件，其中以上描述那些仅仅是与本文论述相关的示例。

该一个或多个通信接口706可以包括用于使得能够与各种其他设备进行通信的一个或多个软件和硬件组件，例如通过一个或多个网络106。例如，一个或多个通信接口706可以通过以下列举的一个或多个实现通信：LAN、互联网、线缆网络、蜂窝网络、无线网络(例如Wi-Fi)和有线网络(例如光纤通道、光纤、以太网)、直接连接以及近距离通信(例如

等)，如本文其他地方另外列举的。

可以在计算机可执行指令的一般环境中考虑本文描述的各种指令、方法和技术，例如存储在计算机可读介质上并且由这里的一个或多个处理器执行的计算机程序和应用。通常，术语程序和应用可以互换使用，并且可以包括用于执行特定任务或实现特定数据类型的指令、例程、模块、对象、组件、数据结构、可执行代码等。这些程序、应用等可以作为本机代码被执行或者可以例如在虚拟机或其他即时编译执行环境中被下载和执行。通常，程序和应用的功能可以根据需要在各种实现方式中组合或分布。这些程序、应用和技术的实现可以存储在计算机存储介质上或通过某种形式的通信介质传输。

虽然已经以特定于结构特征和/或方法动作的语言描述了主题，但是应当理解，在所附权利要求书中限定的主题不一定限于所描述的特定特征或动作。相反，特定特征和动作作为实施权利要求的示例形式被公开。

Claims (15)

1.一种系统，包括：

与第一站点相关联的第一计算设备，所述第一计算设备包括通过可执行指令进行配置以执行操作的一个或多个处理器，所述操作包括：

由所述第一计算设备接收与不同于所述第一站点的第二站点相关联的第二计算设备的证书；

由所述第一计算设备向所述第二计算设备发送与所述第二站点相关联的用户的凭证；和

由所述第一计算设备向所述第二计算设备发送所述第一计算设备的证书，其中，至少基于对所述用户的凭证的认证，在所述第一计算设备和所述第二计算设备之间建立受信任通信。

2.根据权利要求1所述的系统，其中，所述第二计算设备已经同与第三站点相关联的第三计算设备建立了受信任通信，所述操作还包括：

基于在所述第一计算设备和所述第二计算设备之间建立的所述受信任通信，从所述第二计算设备接收所述第三计算设备的证书；和

由所述第一计算设备使用所述第三计算设备的所述证书以与所述第三计算设备进行受信任通信。

3.根据权利要求2所述的系统，其中，所述第二计算设备基于在所述第一计算设备和所述第二计算设备之间建立的所述受信任通信以及已经在所述第二计算设备和所述第三计算设备之间建立的所述受信任通信，向所述第三计算设备提供与所述第一计算设备相关联的所述证书。

4.根据权利要求2所述的系统，所述操作还包括：

接收对所述第一计算设备的所述证书的撤销；

获取所述第一计算设备的新证书；

重新建立与所述第二计算设备的受信任通信；和

向所述第二计算设备发送所述新证书，其中所述第二计算设备向所述第三计算设备提供所述新证书。

5.根据权利要求1所述的系统，所述操作还包括，在接收所述第二计算设备的所述证书之前，发起与所述第二计算设备的传输层安全协议连接以接收所述第二计算设备的所述证书。

6.根据权利要求1所述的系统，其中，基于由所述第一计算设备或所述第二计算设备中的至少一个使用的身份提供者来提供所述凭证。

7.根据权利要求1所述的系统，所述操作还包括：

将所述第二计算设备的所述证书发送到用户设备以接受所述证书；和

从所述用户设备接收确认，所述确认指示所述证书的接受。

8.根据权利要求1所述的系统，其中，所述用户的所述凭证是有权访问所述第一计算设备和所述第二计算设备两者的管理员的用户名和密码。

9.根据权利要求1所述的系统，其中，所述第一计算设备的所述证书包括与由所述第一计算设备维护的私人密码密钥相对应的公共密码密钥。

10.根据权利要求1所述的系统，所述操作还包括至少部分地基于所述第二计算设备的所述证书，由所述第一计算设备建立对从所述第二计算设备接收的通信的单向信任；和

至少基于所建立的所述单向信任将所述用户的所述凭证发送到所述第二计算设备。

11.根据权利要求10所述的系统，所述操作还包括基于单向信任和所述第二计算设备对所述凭证的认证，在所述第一计算设备和所述第二计算设备之间建立双向信任。

12.一种方法，包括：

由与第一站点相关联的第一计算设备接收与不同于所述第一站点的第二站点相关联的第二计算设备的证书；

由所述第一计算设备向所述第二计算设备发送与所述第二站点相关联的用户的凭证；和

由所述第一计算设备向所述第二计算设备发送所述第一计算设备的证书，其中，至少基于对所述用户的凭证的认证，在所述第一计算设备和所述第二计算设备之间建立受信任通信。

13.根据权利要求12所述的方法，其中所述第二计算设备已经同与第三站点相关联的第三计算设备建立了受信任通信，所述方法还包括：

基于在所述第一计算设备和所述第二计算设备之间建立的所述受信任通信，从所述第二计算设备接收所述第三计算设备的证书；和

由所述第一计算设备使用所述第三计算设备的所述证书以与所述第三计算设备进行受信任通信。

14.一个或多个非瞬态计算机可读介质，其存储指令，所述指令当由与第一站点相关联的第一计算设备执行时，对所述第一计算设备进行配置以执行以下操作：

由所述第一计算设备接收与不同于所述第一站点的第二站点相关联的第二计算设备的证书；

由所述第一计算设备向所述第二计算设备发送与所述第二站点相关联的用户的凭证；和

由所述第一计算设备向所述第二计算设备发送所述第一计算设备的证书，其中，至少基于对所述用户的凭证的认证，在所述第一计算设备和所述第二计算设备之间建立受信任通信。

15.根据权利要求14所述的一个或多个非瞬态计算机可读介质，其中所述第二计算设备已经同与第三站点相关联的第三计算设备建立了受信任通信，所述操作还包括：

基于在所述第一计算设备和所述第二计算设备之间建立的所述受信任通信，从所述第二计算设备接收所述第三计算设备的证书；和

由所述第一计算设备使用所述第三计算设备的所述证书以与所述第三计算设备进行受信任通信。

Images