飞连
飞连
- 文档首页
飞连管理员指南安全 Web 网关配置云应用管控策略
复制全文
下载 pdf
文档反馈
问问助手云应用管控用于管理员工对个人网盘、协作工具、AI 应用和 AI 模型中转站等服务的访问。管理员可根据企业要求，为指定员工或设备配置访问禁用或访问审计策略，限制未经批准的服务，并了解各类应用的使用情况。
功能说明
员工在办公过程中可能使用不同的外部服务，例如通过网盘共享文件、使用在线工具协作，或通过 AI 模型中转站调用大模型。管理员可以按应用选择管控范围，并为不同员工或设备设置相应的访问要求。
飞连通过应用识别库识别访问目标。管理员可选择内置应用，也可维护自定义应用资源。内置资源按类别组织，涵盖企业管理、开发工具、生成式人工智能等应用；其中，AI 模型中转站分类收录中转站服务，每家中转站作为一个应用，通过其关联域名识别访问。应用资源的查看与维护方法请参见SWG Web 资源库管理。
当员工的访问流量经过 SWG 时，系统检查访问目标、员工或设备以及访问时间等条件，命中策略后执行相应处置：
| 处置方式 | 作用 |
|---|---|
| 访问禁用 | 拦截员工对受控应用的访问，同时记录事件。访问禁用针对访问行为本身，无需先检测到敏感内容。 |
| 访问审计 | 允许访问，并记录访问人员、时间和应用，供管理员了解使用情况、追溯访问行为。 |
例如，企业要求员工使用指定的文件共享和 AI 服务，管理员可以将未经批准的个人网盘、AI 应用或模型中转站纳入管控范围，对相关员工设置访问禁用。如果需要先了解使用情况，可设置访问审计，查看访问记录后再调整管控方式。
注意
- 原云应用管控中的应用保护策略配置入口已迁移至数据安全 > 策略中心 > 管控策略 > Web 数据保护，用于配置敏感文本外发、文件上传和下载的审计或阻断，具体操作请参见配置 Web 数据保护策略。
- 发送给 AI 应用或大模型 API 的提示词，在同一路径下的GenAI 数据保护中配置，具体操作请参见配置 GenAI 数据保护策略。
前提条件
- 已配置引流策略，使受控终端的流量经过 SWG。详细操作请参见配置引流策略。
- 涉及 HTTPS 流量解密时，已配置企业根证书并确保终端信任该证书。SSL 解密策略会影响可识别的访问内容；需检查目标应用是否配置了“不解密”。详细说明请参见配置 SSL 解密策略。
配置管控策略
步骤一：填写基本信息
- 登录飞连管理后台。
- 在左侧导航栏选择安全 Web 网关 > 云应用管控。
- 确认云应用管控已开启，切换至策略配置页签，单击新增策略。
- 在添加访问管控策略页面，完成以下设置。
| 配置项 | 说明 |
|---|---|
| 策略名称 | 用于标识策略，最多支持 60 个字符。例如“未经批准的 AI 服务访问禁用”。 |
| 优先级 | 设置范围为 0–100，数值越高，优先级越高。多个策略的生效应用和生效对象冲突时，执行优先级最高的策略；优先级相同时，执行最新添加或修改的策略。 |
应用范围 | 选择需要管控的应用。可按应用名称或域名搜索，在内置应用中按分类选择，或在自定义资源中选择企业已配置的资源。 管控 AI 应用时，选择生成式人工智能分类下的目标应用；管控 AI 模型中转站时，选择 AI 模型中转站分类下的目标应用。对 AI 应用和 AI 模型中转站的访问管控，以所选应用或中转站的关联域名为范围，不区分同一服务提供的具体模型。 查看内置应用或添加自定义应用，请参见SWG Web 资源库管理。 |
步骤二：选择处置方式
根据业务需求选择处置方式：
- 访问禁用：适用于企业已明确禁止使用的应用或服务。命中策略后，系统拦截访问并记录事件。
- 访问审计：适用于需要了解使用情况的应用或服务。系统允许访问并记录事件，便于管理员后续评估和调整策略。
选择访问禁用时，还需设置禁用提示信息：
| 提示方式 | 说明 |
|---|---|
| 不提示 | 禁止访问，不向员工展示提示页面。 |
| 使用飞连内置信息 | 使用飞连提示页面。可自定义通知标题和通知内容，通过添加语言配置不同语言文案，并查看预览。建议在提示中说明禁用原因及联系管理员的方式。 |
使用自定义重定向页面 | 将员工访问引导至企业指定页面。
|
选择访问审计时，无需设置禁用提示信息，继续设置生效对象和高级条件即可。策略命中的访问行为记录在访问事件记录中。
步骤三：设置生效对象
在生效对象区域选择策略适用的员工或设备，并按需排除例外对象。例如，禁止销售部门访问某个个人网盘，同时排除因业务需要使用该网盘的员工。
选择员工或设备，设置生效范围。
- 选择员工时，可按部门、角色或成员查找并勾选。
- 选择设备时，支持选择指定设备，或选择操作系统、设备分组。
如需设置例外，开启排除对象开关，选择对象类型及具体对象。
支持排除指定设备、指定设备组、指定部门及其下级部门员工、指定角色或指定员工。需要配置多组对象时，单击添加排除对象继续添加。配置完成后，继续设置高级条件并保存策略。
注意
同一对象同时命中生效范围和排除范围时，排除范围优先，该策略不适用于此对象。排除只跳过当前策略，访问请求仍可能命中其他策略。未配置排除对象时，策略按原有生效范围执行。
步骤四：设置高级条件并保存
在高级条件设置区域，按需限制策略的生效时间及请求方式。
| 配置项 | 说明 |
|---|---|
| 访问时间段 | 默认全部时间段表示不限制时间。选择指定时间段后，可按时间段或星期设置，策略只在指定时间段内执行。 |
请求方式 |
|
确认应用范围、处置方式、生效对象和高级条件后，单击确定保存策略。返回列表检查生效状态。策略变更可能因客户端网络连接和安装情况存在生效延迟。
管理管控策略
在策略配置页签中，您可以按策略名称、员工、设备、关联应用、生效状态和策略类型查找策略，并执行以下维护操作。
- 查看状态：查看列表顶部的策略统计及单条策略的生效状态，确认当前启用的管控范围。
- 启用或停用：通过生效状态开关控制策略。临时暂停可停用并保留配置，后续按需恢复。
- 编辑：调整应用、处置方式、生效范围、排除对象或高级条件。例如，将审计调整为禁用前，先查看访问记录，确认涉及的员工和应用。
- 复制：以已有策略为基础创建相似策略，原策略的排除配置会一并保留。保存前检查名称、应用范围、生效对象及排除对象，避免沿用不适用的配置。
- 删除：移除不再使用的策略。删除前确认其覆盖的访问需求，避免遗漏仍需管控的应用或员工。
查看相关日志
本篇介绍的访问管控策略产生的事件记录在安全 Web 网关 > 云应用管控 > 访问事件记录中。您可以查看哪些员工访问了受控应用，以及命中了哪条访问禁用或访问审计策略。
- 在安全 Web 网关 > 云应用管控中，切换至访问事件记录。
- 按员工、设备、软件、命中策略、触发时间和策略类型筛选记录。
- 查看列表中的触发时间、员工、访问应用、设备、命中策略和策略类型，核对本次访问的管控结果；需要进一步排查时，在操作列查看详情。
数据外发日志
如果您还配置了迁移到新入口的 Web 数据保护策略，其文本外发、文件外发及文件下载记录需单独查看。请前往数据安全 > 调查审计 > 审计日志 > Web 数据保护，详细说明请参见查看 Web 数据外发日志。
GenAI 数据保护策略命中的提示词外发记录，请在同一路径下切换至GenAI 数据保护，详细说明请参见查看 GenAI 数据外发日志。