安全策略编辑器

摘要

共享计算基础设施具有与其相关联的入口应用，通过入口，用户访问基础设施并提供一个或多个服务，诸如内容存储和传递。入口包括安全策略编辑器，由客户预期使用的基于网络的配置工具以生成并应用安全策略到他们的媒体内容。安全策略编辑器提供用户创建并管理安全策略的能力、将这样创建的策略分配到期望的媒体内容和/或播放器组件的能力、和观看关于用户的所有当前策略分配的信息的能力。编辑器提供统一的接口以配置从单个接口可用到CDN客户的所有媒体安全服务、并且使得配置的安全特征被贯穿覆盖网络基础设施立即传播并实施。编辑器有利地使得安全特征被独立于传递配置而配置。

权利要求

1.一种在共享计算基础设施中实施安全措施的方法，所述计算基础设施具有与其相关联的入口应用、存储系统和一组边缘服务器，入口用户通过入口应用访问共享计算基础设施并提供一个或多个服务，受保护的内容被从所述一组边缘服务器传递到进行请求的终端用户，所述方法包括：对于从共享计算基础设施结构提供的特定安全服务，将安全元数据模板分布到所述一组边缘服务器，其中安全服务是令牌鉴别、内容定向、媒体加密、播放器验证、数字水印、数字权限管理、欺诈检测、和安全分析中的一个，所述安全元数据模板定义用于执行与所述特定安全服务相关联的安全操作的逻辑，所述逻辑为使用所述共享计算基础设施来向进行请求的终端用户传递它们受保护的内容的至少一组内容提供者所共用；

经由在硬件元件上运行的入口应用接收定义与特定内容提供者相关联的安全策略的信息，所述信息特定于该特定内容提供者；

在数据存储器中存储所述信息；以及

在边缘服务器处接收到对受保护的内容的请求时，获取所述信息，将所述信息缝合到所述安全元数据模板中，并且此后运行该逻辑以相对于该请求实施该安全策略，其中所述信息和安全元数据模板保持为两分支，直到在该边缘服务器处接收到对受保护的内容的请求。

2.如权利要求1所述的方法，其中定义安全策略的所述信息包括经由入口应用接收到的特定于客户的参数。

3.如权利要求1所述的方法，其中所述信息被存储为ESI片段。

4.如权利要求3所述的方法，其中所述信息被存储在预先编译的决策树中。

5.如权利要求1所述的方法，其中，作为在安全元数据模板与信息之间，安全元数据模板是相对静态的并且该信息被适配为根据需要被更新以实施对安全策略的改变。

6.如权利要求1所述的方法，还包括在边缘服务器处高速缓存所述信息以用于在给定时间段期间重新使用。

7.一种包括一组机器的系统，所述系统包括：

第一机器，用于提供具有显示界面的基于网络的应用，其中指定与安全服务相关联的一个或多个安全策略的信息被接收到所述显示界面中，其中安全服务是令牌鉴别、内容定向、媒体加密、播放器验证、数字水印、数字权限管理、欺诈检测、和安全分析中的一个，每一个安全策略与特定内容提供者唯一地关联，所述信息特定于所述特定内容提供者；

数据存储器，在其中存储所述信息；以及

第二机器，在其中存储安全元数据模板，所述安全元数据模板定义用于执行与安全服务相关联的安全操作的逻辑，所述逻辑为使用该系统来向进行请求的终端用户传递它们受保护的内容的至少一组内容提供者所共用，其中，在接收到用于访问由安全策略中给定的一个保护的内容的请求时，所述信息被从数据存储器中检索并且被应用在安全元数据模板中以相对于该请求实施所述给定的安全策略，其中所述信息和安全元数据模板保持为两分支，直到在该边缘服务器处接收到对受保护的内容的请求。

8.如权利要求7所述的系统，其中所述信息包括经由显示界面接收的特定于客户的参数。

9.如权利要求7所述的系统，其中所述信息被存储为ESI片段。

10.如权利要求7所述的系统，其中所述信息被存储在预先编译的决策树中。

11.如权利要求7所述的系统，其中，作为在安全元数据模板与信息之间，安全元数据模板是相对静态的并且所述信息被适配为根据需要被更新以实施对安全策略的改变。

12.如权利要求7所述的系统，其中显示界面被适配为用于创建并管理所述一个或多个安全策略。

13.如权利要求7所述的系统，其中显示界面被适配为用于将安全策略分配到媒体内容或播放器组件。

14.如权利要求7所述的系统，其中显示界面被适配为用于显示关于安全策略分配的信息。

说明书

安全策略编辑器

技术领域

[0001] 本申请一般涉及在共享基础设施中的内容管理。

背景技术

[0002] 分布式计算机系统在现有技术中是公知的。一个此类分布式计算机系统是由服务提供者操作并管理的覆盖网络。商业覆盖网络有时被称为“内容传递网络”或CDN。服务提供者通常代表使用服务提供者的基础设施的第三方(客户)提供内容传递服务。此类型的分布式系统通常是指由网络或多个网络与软件、系统、协议和技术一起链接的独立计算机的集合，所述技术被设计以便于各种服务，诸如内容传递、网络应用加速、或外包起源站点基础设施的其它支持。CDN服务提供者通常经由数字财产(诸如网站)提供服务传递，数字财产被提供在客户入口中并且然后被布置到网络。数字财产通常被绑定到允许服务提供者负责业务并给它的客户计费的一个或多个边缘配置。

[0003] 虽然诸如上面描述的内容传递网络提供显著的优点，但是通常它们包括专用的平台以支持内容对于多个第三方运行时环境的传递，第三方运行时环境又基于它们自己的专有技术、媒体服务器、和协议。这些有差别的平台实施和维护是昂贵的，尤其是随着数目的终端用户增加全球性地和大规模地。此外，同时，内容提供者(诸如大型的广播者、电影经销商、等等)期望他们的内容被以补充诸如广播TV(包括高清晰度或“HD”电视)和DVD之类的传播媒体的方式在线传递。此内容也可以以不同的比特率提供。终端用户也期望与内容交互，如他们可以现在与通过卫星或线缆传递的传统基于DVR的内容那样。更复杂情况是基于互联网的内容传递不再局限于诸如桌上型计算机的固定线环境，因为越来越多的终端用户现在使用诸如 之类的移动设备通过移动环境接收并且观看内容。

[0004] 同样知道，提供能够以广播受众规模将在线内容(诸如HD质量视频)传递到最流行的运行时环境(诸如 Flash， 等等)以及到诸如iPhone之类的移动设备以匹配观看者从传统的广播TV中所期望的的集成内容传递网络平台。在美国公开No.2011/0296048中描述的技术，其公开通过引用被合并于此，解决了此问题。那里描述的方法提供集成的基于HTTP的传递平台，其提供将HD视频质量内容在线传递到最流行运行时环境和固定系统和移动环境中的最新设备。所述平台支持“实况”和“按需”内容的传递。其中描述的技术这里有时被称为HD网络TM。

[0005] 如上所述，诸如上面描述的内容传递网络通常包括客户入口。客户入口通常基于网络并且被配置为外联网配置应用，通过它，由CDN客户授权的用户接入并且提供他们的服务。一个这样的服务是数字化文件、软件、视频、或其它大型对象的储藏库和传递。使用CDN共享的基础设施的客户为了此目的通常需要能够管理他们的内容文件。如这里使用的，文件管理通常是指能够列出、移动、删除和上传文件，以及创建和去掉其中存储客户内容的目录。CDN入口应用(“入口”)通常被实施为分布式的、安全的应用，包括基于网络服务器的前端、一个或多个应用服务器、一个或多个数据库服务器、数据库、和其它安全、行政和管理部件。

[0006] 随着在线音频和视频的火热流行，内容出版者具有特别的机会来利用互联网提供的强制、交互的媒体到达更多的受众并且探索新的商业模型。因为内容盗版根本上威胁内容提供者的发行有价值资产的能力，所以它必须保护它的内容不被未授权使用和再分布。除提供者自己的商业模型的需要以外，提供者可能进一步面临实施安全和由外部内容权限持有人驱使的访问控制限制的挑战。

[0007] 安全媒体资产是一个复杂的问题，需要采用不同的技术抵御不同的威胁的深入防卫方法。此外，内容保护解决方案需要找到商业和法律要求、终端用户体验、和成本之间的正确的平衡。

[0008] 存在实现用于被适配为通过第三方基础设施传递的媒体内容的各种安全服务的配置和应用的使用简单、基于网络的接口的需要。

发明内容

[0009] 共享的计算基础设施具有与其关联的存储系统、和通过其入口用户访问共享的计算基础设施并提供一个或多个服务(诸如内容存储和传递)的入口应用。代表性的共享的计算基础设施是内容传递网络(CDN)。根据此公开，基础设施包括入口，其包括安全策略编辑器，由客户打算使用的基于网络的配置工具以生成并应用安全策略到他们的媒体内容。安全策略编辑器为用户(例如，CDN客户管理员)提供创建并管理安全策略的能力、将因此创建的策略分配到期望的媒体内容和/或播放器组件的能力、和观看关于所有用户的当前策略分配的信息的能力。编辑器提供统一的接口以配置可以从单个接口用到CDN客户的所有媒体安全服务、并且使得配置的安全特征被贯穿覆盖网络基础设施立即传播并实施。编辑器有利地使得安全特征被独立于传递配置而配置。此方法保证安全策略跨由客户使用的所有传递格式以一致的方式被应用。

[0010] 为此，并根据此公开的另一方面，安全策略实施使用两分支方法。具体地，用于实施安全特征(例如，根据特征，如何实施地理定向限制、如何检查鉴别令牌，等)的基本逻辑被编码在为某些(乃至所有)CDN客户所共用的(相对)慢速变化的元数据中。该元数据被提供到实施策略决策的CDN内的服务器。另一方面，客户的安全策略的实际细节(例如，根据特征，将要被应用地理定向限制的国家列表、被使用以检查鉴别令牌的盐、产品允许数据、等等)被单独地存储并在运行时(即，在安全策略需要相对于特定资源请求被实施的时间)缝合回到处的下层执行逻辑中。安全策略和它关联的参数是客户特定的并可以(相对)快速变化的(与更静态的下层逻辑相比)。在一个实施例中，安全策略和参数被编码为在边缘服务器中检索并运行以实施安全策略的边缘侧包括(ESI)片段。在可替换实施例中，安全策略和参数被存储为预编译的决策树并且可从安全、可升级的数据库中检索。

[0011] 上文已经概述了本发明的一些更多相关特征。这些特征应当被解释为仅仅说明性的。可以通过以不同的方式应用公开的发明或通过修改将描述的本发明获得许多其它有利的结果。

附图说明

[0012] 为了更完全地理解本发明和它的优点，现在结合附图参考以下描述，其中：

[0013] 图1是示出了被配置为内容传递网络(CDN)的公知的分布式计算机系统的方框图；

[0014] 图2是代表性的CDN边缘机器配置；

[0015] 图3示出了代表性的安全策略编辑器界面；

[0016] 图4示出了在用于策略分配的安全策略编辑器界面中的显示标签；

[0017] 图5示出了安全策略编辑器中的代表性的总结标签；

[0018] 图6示出了在编辑器中的代表性的令牌鉴别标签；

[0019] 图7示出了在编辑器中的代表性的内容定向标签；

[0020] 图8示出了内容定向标签的IP接入列表选项；

[0021] 图9示出了内容定向标签的来源检查选项；

[0022] 图10示出了在编辑器中的代表性的媒体加密保护标签；

[0023] 图11示出了在编辑器中的代表性的播放器验证标签；以及

[0024] 图12示出了根据第一实施例的运行时请求处理流程。

具体实施方式

[0025] 图1示出了用于代表共享的基础设施的客户存储和传递内容(数字化文件)的公知的分布式计算机系统(共享的基础设施)。如这里将描述的，共享的基础设施包括安全策略编辑器解决方案(被称为“安全策略编辑器(SPE)”)，其使得安全特征被独立于与来自于共享的基础设施的内容传递相关联的传递选项以多个输出格式配置。安全策略编辑器实现安全设置(策略)的配置，安全设置然后被使得跨所有网络配置可用(被实施)，不考虑格式。

[0026] 如这里使用的，“策略”(或“安全策略”)是控制由覆盖网络(或其它基于云的)服务提供者提供的安全特征/服务的实施的值的集合，“配置”是指用于特定传递产品/服务的客户的配置，“预先配置的值选择”(PVS)是指将一个或多个值组合成为可以被跨覆盖网络基础设施可靠地并快速地验证并应用的预先配置的策略的构思。利用PVS方法，并且如将描述的，对安全配置的任何部分的改变可以独立于参考它的配置而被更新。

[0027] 在公知的系统中，通过背景技术，诸如图1所示，分布式计算机系统100被配置为CDN并且被认为具有102a-n个围绕着互联网分布的机器的集合。通常，大部分机器是接近互联网的边缘设置的服务器，即，在终端用户接入网络处或相邻终端用户接入网络。网络操作命令中心(NOCC)104管理系统中各个机器的操作。诸如网站106之类的第三方站点将传递内容(例如，HTML、嵌入的页对象、流媒体、软件下载、等等)卸载到分布式计算机系统100，并且具体地到“边缘”服务器。通常，内容提供者通过(例如，由DNS CNAME)将给定内容提供者域或子域化名为由服务提供者的权威性域名服务管理的域来卸载他们的内容传递。期望内容的终端用户被定向到分布式计算机系统以更可靠并且高效地获得该内容。尽管未详细地示出，但是分布式计算机系统也可以包括其它基础设施，诸如分布式数据收集系统108，其收集从边缘服务器使用和其它数据，跨范围或范围集合聚集数据，并且将数据传递到其它后端系统110、112、114和116以便于监控、记录、提醒、计费、管理和其它操作的和行政功能。分布式网络代理118监控网络以及服务器负荷并提供网络、业务和负荷数据到DNS查询处理机制115，其对于由CDN管理的内容域是权威性的。分布式数据传输机制120可以用来将控制信息(例如，管理内容、便于负荷均衡的元数据，等等)分布到边缘服务器。

[0028] 如图2所示，给定机器200包括运行支持一个或多个应用206a-n的操作系统内核(诸如Linux或变体)204的商品硬件(例如，Intel奔腾处理器)202。为了便于内容传递服务，例如，给定机器通常运行应用的集合，诸如HTTP代理207(有时被称为“全球主机”或“克隆”进程)、名称服务器208、本地监控进程210、分布式数据收集进程212，等等。对于流媒体，机器也可以根据支持的媒体格式，包括一个或多个媒体服务器，诸如Windows媒体服务器(WMS)或Flash服务器。

[0029] CDN边缘服务器被配置为提供一个或多个扩展的内容传递特征，优选在域特定、客户特定的基础上，优选利用使用配置系统分布给边缘服务器的配置文件。给定配置文件优选是基于XML的并且包括一组便于一个或多个高级内容处理特征的内容处理规则和指令。配置文件可以经由数据传送机制被传递到CDN边缘服务器。美国专利No.7,111,057示出了用于传递并管理边缘服务器内容控制信息的有用基础设施，并且这个和其它边缘服务器控制信息可以由CDN服务提供者本身、或(经由外联网等)操作源服务器的内容提供者客户提供。

[0030] 边缘服务器通常包括边缘侧包含(ESI)机制，诸如在美国专利No.7,752,258.中描述的，ESI是用于定义网页组件如何动态地组装并且从互联网的边缘传递的商业逻辑的简单标记语言。在CDN上下文中，ESI用于提供用于内容提供者表达CDN提供者应当如何组装内容提供者的页面的商业逻辑的方式。一般地说，它提供用于跨应用服务器解决方案、内容管理系统和其它网络透明地组装动态内容的机制。它使得内容提供者开发网络应用一次并且在部署时间选择应用应当被在哪里组装，例如在内容管理系统、应用服务器、或CDN上，因此降低复杂度、开发时间和部署成本。ESI包含功能实现检索和包含包括网页的文件，其中每个文件服从它自己的配置和控制，即缓存属性、刷新属性、等等。

[0031] CDN包括或具有与其关联的存储子系统，诸如在美国专利No.7,472,178中描述的，其公开通过引用合并于此。在此上下文中的代表性的存储站点是通常在一个物理位置中的多个“区域”中的一个的集合。在此子系统中，优选地内容(例如，客户的数字文件)被跨存储站点复制。

[0032] CDN也可以操作服务器高速缓存分层结构以提供客户内容的中间高速缓存；在美国专利No.7,376,716中描述了一个这样的高速缓存分层结构子系统，其公开被通过引用合并于此。

[0033] CDN可以在客户端浏览器、边缘服务器和用户源服务器当中以在美国公开No.20040093419中描述的方式提供安全的内容传递。在其中描述的安全的内容传递一方面在客户端与边缘服务器进程之间、另一方面在边缘服务器进程与源服务器进程之间实施基于SSL的链路。这使得SSL保护的网页和/或它的组件被经由边缘服务器传递。

[0034] 作为覆盖层，CDN资源可以用来便于企业数据中心(其可以被秘密地管理)与第三方软件作为服务(SaaS)提供者之间的广域网(WAN)加速服务。

[0035] 在典型操作中，内容提供者识别内容提供者域或它期望由CDN服务的子域。CDN服务提供者关联(例如，经由规范名称、或CNAME)内容提供者域与边缘网络(CDN)主机名，并且CDN提供者然后向内容提供者提供该边缘网络主机名。当向内容提供者域或子域的DNS查询在内容提供者的域名服务器处被接收时，那些服务器通过返回边缘网络主机名进行响应。边缘网络主机名指向CDN，并且边缘网络主机名然后经由CDN名服务被解析。所以，CDN名称服务返回一个或多个IP地址。进行请求的客户端浏览器然后对与IP地址相关联的边缘服务器做出内容请求(例如，经由HTTP或HTTPS)。请求包括具有源内容提供者域或子域的主机报头。在接收到具有主机报头的请求时，边缘服务器检查它的配置文件以确定请求的内容域或子域是否实际上由CDN处理。如果是的话，边缘服务器将它的内容处理规则和指令应用于在配置中指定的域或子域。这些内容处理规则和指令可以位于基于XML的“元数据”配置文件内。

[0036] 如上所述，CDN服务提供者提供基于网络的并被配置为外联网配置应用的安全客户入口。入口是其中由CDN客户授权的用户接入并提供他们的服务的常见方式。一个这样的服务是数字化文件、软件、视频、或其它大型对象的存储和传递。使用CDN共享基础设施的客户为了此目的通常需要能够管理他们的内容文件。如这里使用的，并且如上所述，文件管理通常是指能够列出、移动、删除和上传文件，以及创建和去除其中存储客户内容的目录。CDN入口应用(“入口”)通常运行在一个或多个机器上，其中机器包括硬件(CPU、盘、存储器、网络接口、其它I/O)、操作系统软件、应用和实用工具。入口通常被实施为分布式的、安全的应用，包括基于网络服务器的前端、一个或多个应用服务器、一个或多个数据库服务器、数据库、和其它安全、行政和管理部件。

[0037] 边缘服务器进程可以需要联系中间服务器以在前进到起源服务器之前检索用户信息。中间处理代理(IPA)可以用于此目的。IPA请求是具有可以高速缓存的响应的内部(CDN内)请求。对IPA功能的控制可以在边缘服务器元数据中实施。

[0038] 为了此公开，假定CDN(或其它基于云的提供者)提供集成的基于HTTP的传递平台，其提供HD视频和音频质量内容在线传递到在固定系统和移动环境中的多个类型的客户端设备上操作的流行的运行时环境。内容以多种格式可用。

[0039] 安全策略编辑器

[0040] 利用以上作为背景，现在描述本公开的主题。

[0041] 如这里描述的，安全策略编辑器应用为CDN客户提供到CDN的流线的、易于使用的、基于网络的接口。如上所述，安全策略编辑器使得鉴别并被授权的用户(与CDN客户相关联)创建策略并且配置一个或多个安全服务，并且然后将策略应用到内容以保护它。

[0042] 仅仅为了例示，假定服务提供者提供一套安全服务，诸如但不限于令牌授权(其用于授权终端用户并且阻止链路共享和/或媒体播放器劫持)、内容定向(其使得选择客户端IP地址和/或域以限制对内容的访问)、媒体加密(其使得内容以加密的格式传递到媒体播放器运行时)、播放器验证(其使得媒体播放器针对批准的播放器的列表验证以检测播放器篡改并且阻止深度链接攻击)，等等。根据此公开，SPE用于创建由然后被应用于媒体配置的一个或多个这样的保护服务构成的策略。可以利用任何方便的媒体提供工具或应用生成此配置。

[0043] 根据此公开的另一方面，安全策略实施使用两分支方法。具体地，优选地，用于实施安全特征的基本逻辑被编码在为某些(乃至所有)CDN客户所共用的(相对)慢速变化的元数据中。该元数据被提供到实施策略性决策的CDN内的服务器。另一方面，客户的安全策略的实际细节被单独存储并且在运行时(即，在安全策略需要相对于特定资源请求被实施时)被缝合回到下层执行逻辑中。安全策略和它关联的参数是客户特定的(乃至更细粒的)并可以(相对)快速变化的(与下层逻辑相比，其是更静态的)。客户可以具有许多安全策略，并且每个这样的安全策略可以依照要求为细粒的。在一个实施例中，如下面将描述的，安全策略和参数被编码为在边缘服务器中检索并运行以实施安全策略的边缘侧包含(ESI)片段。在可替换实施例中，安全策略和参数被存储并且可从安全、可升级的数据存储系统中恢复。

[0044] 一般地入口应用和具体地安全策略编辑器可以被实施为基于网络的界面，例如，实施为与这里描述的软件功能和特征一起可用在特定覆盖网络域处的一组网页。

[0045] 以下描述安全策略编辑器界面和功能的附加细节。假定在SPE中可用的每个各个安全服务需要特定使用许可，其规定在客户帐户的提供期间建立。优选地，使得访问所述一个或多个安全服务的一个或多个许可被定义在访问控制文件中。因此，当与客户相关联的允许的用户访问SPE时，仅仅那些已经为该客户提供的那些安全服务暴露于用户。在允许访问入口时，终端用户导航到UI并且被呈现若干显示标签(网页)，诸如图3所示。管理器策略标签用于创建并管理安全策略。分配策略标签用于将已被创建的策略分配到期望的媒体内容和/或播放器组件，为了向它们提供配置的安全。策略分配标签允许用户观看关于客户的所有现行策略分配的信息。

[0046] 不预期是限制的，管理策略标签包括许多显示元素。显示<#>策略下拉使得用户选择每个页面显示的策略的最大数目。过滤器策略区域使得用户输入期望的策略名称。名称栏识别在创建期间给到安全策略的名称。在此示例中，存在若干策略类型。全部允许(预设)/全部拒绝(预设)策略默认出现。在媒体配置的生成期间使用它们。其余示例类型是标准策略，其是指显示为单个、可点击的名称值的条目。这些表示已被利用SPE创建的当前、有效的策略。网络栏表示策略/配置关系的可用实例，其在此示例中是分段和生产。这些仅仅是代表性的。状态栏是策略的每个网络实例的当前状态。启用的特征栏被填充有已被配置用于策略的每个网络实例的保护，诸如TA(令牌鉴别)、ME(媒体加密)、PV(播放器验证)和CT(内容定向)。利用检查标记显示的条目指示此保护在策略中已被启用。有效配置栏包括表示策略已被分配/推进(即，基于策略的网络实例)到的有效配置数目的值。动作栏为策略的网络实例提供齿轮图标。当被点击时，显示可以用于与策略交互(基于网络实例)的选项的菜单。因此，对于生产网络，用户可以选择编辑策略的分段实例的选项、克隆策略的生产实例、观看关于策略的生产实例的历史数据、删除策略、等等。对于分段网络，用户可以选择编辑策略、或将策略/配置关系从分段网络推进到生产网络的选项。

[0047] 如上所述，以上描述的安全服务(例如，TA、ME、PV、和CT)不被意指是限制的。其它安全服务包括但不限于数字水印、数字权限管理、欺诈检测、和与安全和防火墙服务相关的其它分析服务。

[0048] 因此，图3初始SPE屏幕示出策略和概述数据的列表。

[0049] 优选地，由期望的媒体内容/播放器构成的媒体配置文件被生成并且可用到系统。一旦生成后，定义的配置被保存(例如，作为各个XML文件)，其当执行策略创建时可用于在SPE UI中选择。

[0050] 利用分配策略标签实施策略分配进程。用户选择或分段或生产(例如，利用无线电按钮)，其将用户导航到如图4所示的策略分配标签。默认时，分段是当将新策略应用到配置时需要的设置。具体地，优选地，策略/配置关系必须在被推进到生产网络之前首先存在于分段网络中(例如，用于测试/验证目的)。当生产值被选择时，标签中除配置下拉之外的所有选项被隐藏。这允许用户选择特定的配置并且观看当前与它相关联的安全策略(例如，用于重看目的)。从配置下拉中，用户可以选择适当的配置。在路径/URL通配符区域，用户可以输入指向要被策略保护的选择的配置中的内容的路径值。基于内容格式，可以支持通配符。安全策略下拉用于选择适当的策略。如果期望，利用开始/结束日期/时间功能，用户可以设置策略将对其有效的时间范围。用户可以点击增加路径按钮以分配策略。定义的路径(策略定向的)然后被显示在标签底部的表中。以上描述的步骤被重复以分配附加策略。利用界面，用户可以保护具有相同策略的内容的不同路径，保护具有不同策略(例如，日后)的内容的相同路径，等。当期望的策略被分配时，用户选择保存按钮。因此，策略与配置之间的关联存在于分段网络中并且可以被测试和/或验证。当关联准备在生产网络中被实施时，它通过被分配给生产网络而推进。

[0051] 如下面更详细描述的，此处理的输出是将配置映射到策略的ESI片段(或安全的数据库条目)。在运行时，此信息然后被缝合到适当的安全特征逻辑(在边缘服务器元数据中定义)以实施策略性决策。下面描述该处理。

[0052] 虽然没有限制，但是当利用此标签中的功能分配策略时，在多种策略定向到相同的内容，或开始/结束时间范围冲突的情况下，SPE可以实施某些优先规则。优选地，保护由最特定的生效并且不合并。因此，如果用户将策略分配到使用ME的文件夹，并且然后将不使用ME的策略分配到该文件夹中的各个文件，则对于该文件设置的策略将优先。同样，优选地基于时间的分配优先于不合并范围的那些。同样，优选地日期/时间分配重叠可以被如下处理。优选地，复制的路径不能存在于相同时间段之内。因此，例如，一旦用户输入特定的路径/URL通配符和应用的开始/结束日期/时间范围，该路径就不能被应用在该时间段之内。同样，根据此优先规则，结束日期/时间不包括的。因此，终端用户可以设置用于内容的相同路径的保护的两个不同的开始/结束日期/时间范围(例如，以在两个不同的时间范围内保护具有两个不同安全策略的内容的相同路径)。

[0053] 一旦策略被创建或编辑后，用户可以导航到显示基本高级别设置的概述页面和策略连接到的配置。在图5中示出概述屏幕(在默认设置中)。

[0054] 如图5所示，SPE提供用于为账户启用的每个安全服务的各个配置标签。

[0055] 图6示出了代表性的令牌鉴别标签。利用所述标签，用户可以启用令牌鉴别(以实施此策略中的安全)，并且设置将用于验证的有效密码(即，当生成令牌时，“信任的共享秘密”用作HMAC中的“密钥”)。生成有效密码按钮被选择以让对有效密码区域自动生成有效值。字符长度区域用于输入值以用作用于经由生成有效密码按钮生成的密码的字符长度。过渡密码是可选的并且可以用于输入不同的“信任的共享秘密”密码，其可以被用作备份。
周期密码按钮可以用于让当前有效密码值复制到转换密码区域。分割的内容选项用于定义以上建立的密码值如何被应用。当选择保存按钮时设置被存储。

[0056] 图7示出了代表性的内容定向标签。利用该标签，用户可以使得安全策略允许/拒绝终端用户访问内容，利用若干方法中的任何一个(或组合)：地理位置、特定IP地址、和来源网站。图7示出了地理位置配置标签。由用户选择启用地理保护选项启用所述功能。这启用配置选择，诸如位置类型、包括国家(默认)、地区和位置的下拉列表。可用位置窗口被填充有可选择的条目，基于哪一个被在位置类型下拉中指定。利用此功能，用户可以定义限制，诸如“拒绝从这些位置”或“仅仅允许这些位置”。利用附加控制，用户可以“超越GEO阻止”以超越用于在指定的国家/地区内的各个IP地址的“拒绝”设置。用户也可以选择在拒绝时重定向以指定充当“拒绝”目的地的页面的URL。图8示出了可以从内容定向标签中获得的启用IP访问列表选项。图9示出了可以从内容定向标签中获得的启用来源检查功能。

[0057] 图10示出了在编辑器中曝光的代表性媒体加密标签。媒体加密通过传递“在网络中”加密提供安全。利用此标签，用户可以启用服务、指定加密覆盖范围的程度(有效负荷的完整或部分加密)、指定密码(或使用默认作为指定的)、并且启用群模式(其加密具有可配置为许多字节的唯一会话密钥的输出的一部分、并且然后具有跨用户共享的群密钥的剩余部分)。

[0058] 图11示出了在编辑器中曝光的代表性播放器验证标签。播放器验证阻止未被授权的播放器播放保护的内容。通过用户检查启用播放器验证检查栏来选择选项。如果期望，用户可以点击启用支持播放器旁路以临时地启用测试播放器以用于测试安全。批准播放器框识别已被配置的播放器。当播放器被增加时，通过选择检查栏启用它。播放器可以通过调出它的哈希等效物(例如，利用SHA-256哈希)而被包括。

[0059] 以上描述的SPE显示界面不意指是限制的。描述的特征/选项中的任何一个可以被省略，并且可以根据安全服务功能包括其他。可以增加指向其它安全服务的其它配置标签。虽然未示出，但是SPE将或可以包括其他策略或管理标签，诸如推进新创建的策略或编辑的策略的标签、策略历史标签、改变历史标签、策略删除标签、策略克隆标签、等等。同样，不需要使用单独的分段和生产网络；因此，SPE选项可以因此被调整。

[0060] 图12示出了根据此公开的安全策略的运行时处理。如上所述，安全策略和它关联的参数被创建并且保存(例如，在入口数据库中)。这些预先配置的值被推到ESI片段(例如，每个策略一个)并且被存储。结果是稍后用于将这些参数返回到运行在边缘服务器(并且包括ESI机制)上的请求GHost进程的policy.esi片段。如将描述的，参数然后由包含用于实施特征的逻辑的边缘服务器元数据的固定片断使用。优选地，当策略分配给配置时(如上面已被描述的)，入口将条目存储在policy_map.esi文件中(每个客户一个)，其由Ghost进程使用以确定用于特定请求(由主机名和路径)的策略。policy_map.esi是每个客户一个并且存储策略与配置之间的映射分配的ESI片段。它接受数字财产和路径的输入，并且使用这些值确定正确的policy.esi以包括。policy.esi是存储策略值的ESI片段，每个配置的策略一个。正确的策略文件由policy_map.esi包括。策略被存储在数据存储器中，每个优选地利用存储在密钥管理基础设施中的可高速缓存的密钥加密。不是直接存储值(在像密钥管理基础设施一样存储在数据驱动的系统中)，它们可以被定义成为小ESI片段中的变量。当在GHost进程中运行片段时，它简单地将参数放置到响应报头中，其为GHost进程提供将它们提取到元数据变量中的方式；所述特征然后被以传统的方式在元数据中实施。

[0061] 因此，在基于ESI的实施例中，优选地仅仅静态参数(例如，令牌盐、国家列表、批准的播放器哈希列表，等等)被存储在ESI中。如在前一段落表明的，在请求时(从GHost中)，这些值被设置到响应报头中并且被插入到元数据变量中。在此两分支方法中，优选地用于实施安全特征的逻辑被编码在安全元数据中，其是更静态的，并且被传送到各个GHost进程(例如，利用适当的元数据通信信道或其它方法)。因此，优选地ESI仅仅返回用于填充执行安全所需的GHost元数据中的变量的报头。安全元数据因此是相对慢速变化的并且可以由服务提供者维护。当客户利用服务开始时，安全元数据的片断(对应于提供的安全特征)被增加给客户的元数据配置(其在边缘服务器处运行)。安全元数据应当保持十分静态，因为(根据这里的两分支方法)安全特征和版本的改变被独立地进行。利用此方法，当在边缘运行元数据时，与通过SPE创建的特定安全策略相关联的安全参数填充元数据变量。

[0062] 图12示出了用于ESI实施例的此运行时请求行为。在步骤(1)处，策略保存policy.esi文件(每个策略一个)。如果对策略的关联做出改变以传递配置，则policy_map.esi文件(每个客户一个)被更新。在步骤(2)处，并且在终端用户经由DNS已被与边缘服务器GHost进程相关联之后，终端用户向Ghost做出用于保护内容的请求。如已被描述的，对内容的访问被假定由已被提供(一般地)安全元数据的安全服务功能控制，并且安全元数据详述用于如何执行需要的安全检查的逻辑。因此，在步骤(2)处，用于安全实施的元数据片断被拉取。在步骤(3)处，利用用于主机、路径、媒体格式等等的适当的询问参数(包括，例如，在高速缓存密钥中)，GHost向policy_map.esi做出请求。在步骤(4)处，policy_map.esi确定要被用于此请求的权限策略，并且esi:includes它。在步骤(5)处，运行policy.esi，并且它将响应报头返回到Ghost，具有配置的参数、列表、和与安全策略相关联的其它数据。输出可以被高速缓存。在步骤(6)处，元数据利用来自于ESI响应报头的信息设置变量，并且安全元数据模板的其余部分实施安全特征(如在逻辑中所述)。一旦被实施，在步骤(7)，请求继续(HTTP 200)或失败(HTTP 403)。

[0063] 如图12所示，policy.esi和policy_map.esi片段可以被直接存储在后端数据存储系统上，例如，在公用存储器组中。优选地，每个客户具有由入口分配给他们的唯一ID。

[0064] 因此，在图12所示的实施例中，SPE采用一组基于ESI的策略文件以近似即刻地修改请求的行为，启用或禁止许多媒体安全特征。虽然此方法适用，但是用于存储和传递特定于策略的信息(到请求GHost进程)的其它方法可以被使用。在一个可替换方法中，实质上所有策略逻辑被转换为可以远程运行的编译形式。此方法流线化执行路径。报头(具有相关安全策略数据)仍然被提供以触发预定义安全元数据的行为(如在ESI实施例中)，但是不需要解释并且在每个命中上运行ESI。相反，在此方法中，通过做出单个(远程程序)调用来将这些报头提供到运行预编译的代码并且直接返回报头的“决定者”层(在GHost以外)。预先编译的决策树(其实际上包含在policy_map文件中表示的所有匹配)可以通过动态地划分到不同的边缘服务器区域以选择性地测试具有特定地理区域的新策略逻辑。同样，存储预先编译的决策树需要的空间远小于在ESI方法中所需要的。此可替换方法也提供操作优势，因为在支持的基础设施中进行此预编译的代码的分区、加载和运行是相对容易的。

[0065] 这里描述的方法具有许多优点。当入口(SPE)接受用户输入时，它可以证实值被正确地格式化并且输入的参数否则是可接受的。同时，边缘服务器支持的安全元数据本身可以被结构化以在设置/使用变量之前证实ESI报头中返回的值。如注意的，在此方法中，元数据(安全特征后面的逻辑)是十分静态的以使得在被推出使用之前可以被仔细地构造、测试、证实、并保证质量。此外，通过以描述的方式在运行时处运行安全策略，策略实施在计算和存储方面更高效。

[0066] 快速改变的ESI层(或，可替换地，预先编译的决策树和数据存储器)可以非常快速地达到客户改变而具有最小风险，因为更复杂的逻辑(其对人为误差或与其它组件的集成挑战更敏感)包含在安全元数据中。此架构允许改变的快速迭代测试，和对安全破坏或事件的快速反应。此层也可以用于根据需要应用附加动态逻辑，例如，基于服务器或终端用户的地理位置、用户代理或随请求传送的其它信息改变特征的实施，或在不立即影响所有客户业务的情况下将改变隔离到边缘服务器的动态分配的区域以安全转出。

[0067] SPE可以被扩展以提供附加界面和功能。例如，应用可以被配置为使得用户被给予控制以动态地配置策略的运行，诸如用于要被布置到网络的策略的顺序和定时。利用此特征，用户可以例如基于网络的特性、或用户代理等，将特定策略的部署分段在功能或地理区域中。

[0068] 在代表性的实施方式中，在软件中实施主题功能，如由处理器执行的计算机程序指令。

[0069] 一般地说，利用一个或多个计算有关的实体(系统、机器、进程、程序、库、功能、等)的集合提供这里描述的技术，它们一起便于或提供上面描述的功能。在典型的实施方式中，软件在其上运行的代表性的机器包括商品硬件、操作系统、应用运行时环境、和应用或进程和关联数据的集合，其提供给定系统或子系统的功能。如描述的，功能可以在独立的机器中、或跨分布式的机器集合实施。功能可以被提供为服务，例如，作为SaaS解决方案。

[0070] 虽然以上描述由本发明的某些实施例执行的操作的特定顺序，但是应当理解这样的顺序是示范性，作为可替换实施例可以以不同的顺序执行操作、组合某些操作、重叠某些操作，等。说明书中的参考给出实施例指示描述的实施例可以包括特定特征、结构、或特性，但是每个实施例可以不必然包括所述特定特征、结构、或特性。

[0071] 虽然在方法或进程的上下文中已经描述公开的主题，但是本公开也涉及用于执行这里操作的装置。此装置可以被专门地构成以用于需要的目的，或它可以包括由存储在计算机中的计算机程序选择性地激活或重新配置的通用计算机。此类计算机程序可以被存储在计算机可读存储介质中，诸如但是不局限于任何类型盘，包括光盘、CD-ROM、和磁光盘、只读存储器(ROM)、随机存取存储器(RAM)、磁或光卡、或适合于存储电子指令的任何类型的媒体、并且每个耦接到计算机系统总线。虽然已经单独地描述给出系统的组件，但是普通的技术人员将理解，一些功能可以被组合或分享在给定指令、程序序列、代码部分，等等中。

[0072] 优选地，在应用层解决方案中实施功能，尽管这不是局限性，但是作为识别的功能的部分可以被建立在操作系统等中。

[0073] 功能可以被利用除HTTP之外的其它应用层协议实施，诸如HTTPS、或具有类似操作特性的任何其它协议。

[0074] 对计算实体的类型没有局限性，其可以实施连接的客户端侧或服务器侧。任何计算实体(系统、机器、设备、程序、进程、工具、等)可以充当客户端或服务器。