精细管控策略是飞连代理模式下的应用层（L7）权限控制引擎。相较于主要解决“能否进入应用”的 ACL 策略，精细管控策略通过识别 HTTP/HTTPS 协议的具体访问路径（URL），实现了“进入应用后能做什么”的深度治理。
通过配置精细管控策略，管理员可以遵循“最小权限”原则，严格限制不同角色在同一应用内可操作的资源范围，有效遏制应用内的横向越权行为，并为敏感业务操作提供深度的审计支持。
本文将指导您如何配置代理模式下的精细管控策略。

精细管控策略 vs ACL 策略 #

前提条件 #

• 请确保已参考配置代理模式 ACL 策略，为目标应用配置了相应的“允许”访问策略。精细管控策略与 ACL 策略采用串联执行逻辑，即访问请求必须先通过准入校验，流量才能进入应用层进行深度判定。
• 请确保目标应用资源已在零信任接入 > 应用管理 > Web 应用页面的客户端访问页签中完成定义。详情参看管理精细管控 Web 应用。
• 请确保飞连客户端版本已升级至 3.3.18 及以上版本。

添加精细管控策略 #

1. 登录飞连管理后台。
2. 在左侧导航栏，选择零信任接入 > 代理策略。
3. 切换至精细管控策略页签，单击页面右侧 + 添加访问策略。
   
4. 在弹出的策略配置页面，按需完成以下配置，并点击确认。

基本信息 #

• 策略名称：自定义策略名称，建议体现管控范围，如“财务系统-仅允许查询”。
• 策略状态：选择新建策略的初始状态（启用或禁用）。
• 匹配优先级：指当前策略的优先级。取值范围为 0 ～ 100，数值越大表示优先级越高。系统按优先级数值大小依次匹配策略，命中后停止匹配。若命中两条优先级相同的策略，优先执行最后修改的一条。
• 策略生效时长：配置该策略生效的时间范围。支持以天为单位进行自定义。

动作 #

定义网关在匹配到访问请求时执行的处理逻辑。

• 动作类型
  • 允许：放行符合条件的访问请求。
  • 拒绝：拦截访问请求。支持配置拦截提示信息，决定终端用户被拦截时的感知方式。支持不提示（直接返回 403）、使用内置信息（展示飞连默认的拦截页面，可自定义文案）或使用自定义重定向页面（如跳转至企业内部的权限申请页面）。
• 数据保护（管控类型）：开启后，管控颗粒度将从基础的“访问准入”延伸至“行为管控”。飞连不仅核实员工是否有权访问目标页面，还会针对命中的七层流量执行页面级的安全加固，有效降低敏感数据通过交互行为泄露的风险。
  • 禁止复制内容：防止员工复制应用页面内的文本数据。
  • 禁止鼠标右键：禁用浏览器右键菜单功能，阻断通过“另存为”或“查看源代码”获取页面资源的行为。
  • 禁止开发工具：识别并拦截浏览器开发工具（F12）的开启，防止技术人员通过调试环境抓取接口数据或绕过前端逻辑。
  • 开启屏幕水印：在应用页面叠加动态水印。您可以点击右侧的配置自定义水印的显示内容与样式，用于违规截屏的溯源审计。

客体 #

定义本条策略生效的“人”与“资源”范围。

• 生效对象：选择该策略适用的员工范围。支持选择全部员工或部分员工。选择部分时支持按员工（部门、角色或具体成员）或设备（名称或分组）维度进行筛选。
• 资源：定义本条策略管控的具体应用资源。支持选择全部应用或自定义资源范围。
  • 自定义资源范围：选择部分资源，点击编辑，在弹出的窗口中支持按应用名称或应用标签勾选目标资源。此处的资源数据来源于零信任接入 > 应用管理 > Web 应用，请在 Web 应用页面切换至客户端访问页签进行添加与维护（“无端访问”页签对应的资源仅适用于应用网关模式）。

管理精细管控策略 #

在精细管控策略列表页，您可以对已有策略进行以下维护操作：

• 状态切换：通过列表操作栏的状态开关快速启用或禁用策略。
• 优先级调整：根据业务变化，点击目标策略的优先级快速修改策略的匹配顺序。
• 编辑/删除：点击相应按钮修改配置或移除不再需要的策略。

后续操作：查看访问审计 #

策略生效后，所有命中的访问行为都将被详细记录。您可以前往日志审计 > 代理七层访问日志查看详细的访问路径、命中策略及执行动作。