[发明专利]工业物联网中的安全远程连接

权利要求书

1.一种用于建立用户设备与目标设备之间的安全远程连接的计算机实现的方法，所述方法包括：

由第一网关从所述用户设备接收第一连接请求，所述第一连接请求包括访问令牌；

在身份和访问管理服务中验证所述访问令牌；

在成功验证之后，经由信任的基于证书的点对点连接的链、在所述用户设备与所述目标设备之间建立第一隧道，所述链通过一个或更多个中间网关，其中，通过使用从所述第一网关到所述目标设备的反向连接来建立所述第一隧道，所述反向连接基于从所述目标设备经由所述目标设备中的出站端口和所述链中的一个或更多个中间网关中的每一个中间网关中的出站端口到所述第一网关的、预先建立的连接，所述目标设备在没有所述第一隧道的情况下不具有到所述用户设备的直接互联网协议连接；

由所述目标设备经由所述第一隧道从所述用户设备接收第二连接请求，所述第二连接请求包括所述访问令牌；

经由信任的基于证书的点对点连接的链、在所述目标设备与所述身份和访问管理服务之间建立第二隧道，所述链通过所述一个或更多个中间网关，其中，通过使用从所述第一网关到所述目标设备的反向连接来建立所述第二隧道，所述目标设备在没有所述第二隧道的情况下不具有到所述身份和访问管理服务的直接互联网协议连接；以及

经由所述第二隧道在所述身份和访问管理服务中验证所述访问令牌。

2.根据权利要求1所述的计算机实现的方法，其中，X.509公钥基础设施被用于创建所述信任的基于证书的点对点连接的链，以及根证书被用于针对所述目标设备创建证书，其中，所述用户设备被配置成默认信任所述根证书。

3.根据权利要求1或2所述的计算机实现的方法，还包括：

由所述第一网关从所述用户设备接收无令牌连接请求；

由所述第一网关将所述用户设备重定向到所述身份和访问管理服务；

在所述身份和访问管理服务中认证所述用户设备的用户；以及

在成功认证后，由所述用户设备从所述身份和访问管理服务接收所述访问令牌；

其中，在所述身份和访问管理服务中认证所述用户设备的用户之后，由所述第一网关从所述用户设备接收所述第一连接请求。

4.根据权利要求1所述的计算机实现的方法，还包括：

由所述目标设备验证所述用户被授权访问目标服务，所述目标服务包括在所述目标设备中或包括在直接连接至所述目标设备的另一设备中；以及

在成功授权后，准许所述用户设备访问以经由所述第一隧道与所述目标服务进行通信。

5.根据权利要求4所述的计算机实现的方法，还包括：

由所述目标服务经由所述第一隧道从所述用户设备接收第三连接请求，所述第三连接请求包括所述访问令牌；以及

经由所述第二隧道在所述身份和访问管理服务中验证所述访问令牌。

6.根据权利要求4所述的计算机实现的方法，其中，所述用户的授权至少基于与所述用户相关联的一个或更多个角色。