飞连
飞连
- 文档首页
飞连管理员指南安全 Web 网关配置云应用管控策略
复制全文
下载 pdf
文档反馈
问问助手云应用管控用于控制员工对云应用的访问。管理员可以禁止员工访问指定应用，或允许访问并记录相关行为，用于管理未经企业批准的应用、排查潜在访问风险。
功能说明
云应用管控用于管理员工对指定云应用的访问，例如禁止使用未经企业批准的个人网盘，或记录公共协作工具的使用情况，帮助管理员确认哪些员工正在使用哪些应用。
云应用管控在应用层（L7）识别访问的目标，能够针对具体应用实施管控，例如个人网盘、协作工具或 AI 应用，而不只是按 IP 地址和端口限制网络连接。
员工访问云应用时，经过 SWG 的访问请求会接受检查。系统判断员工或设备、所访问的应用是否在管控范围内；符合策略条件的请求，会被拦截或记录。因此，同一个应用可以对不同员工实行不同的访问要求。
两种处置方式对员工访问的影响如下：
- 访问禁用：员工对受控应用的访问被拦截，系统同时记录该事件。拦截针对访问行为本身，无需先检测到敏感内容。
- 访问审计：系统记录谁在什么时间访问了哪个应用，供管理员追溯。本策略不会阻断该访问。
例如，企业要求销售人员使用企业网盘，并禁止访问某个人网盘。销售人员打开该个人网盘时，访问就会被拦截，即使尚未上传任何文件。如果采用访问审计，这条策略只记录访问行为，管理员可以据此了解该网盘的使用情况。
注意
- 原云应用管控中的应用保护策略配置入口已迁移至数据安全 > 策略中心 > 管控策略 > Web 数据保护，用于配置敏感文本外发、文件上传和下载的审计或阻断，具体操作请参见配置 Web 数据保护策略。
- 发送给 AI 应用或大模型 API 的提示词，在同一路径下的GenAI 数据保护中配置，具体操作请参见配置 GenAI 数据保护策略。
前提条件
- 已配置引流策略，使受控终端的流量经过 SWG。详细操作请参见配置引流策略。
- 涉及 HTTPS 流量解密时，已配置企业根证书并确保终端信任该证书。SSL 解密策略会影响可识别的访问内容；需检查目标应用是否配置了“不解密”。详细说明请参见配置 SSL 解密策略。
配置管控策略
步骤一：填写基本信息
- 登录飞连管理后台。
- 在左侧导航栏选择安全 Web 网关 > 云应用管控。
- 确认云应用管控已开启，切换至策略配置页签，单击新增策略。
- 在添加访问管控策略页面，完成以下设置。
| 配置项 | 说明 |
|---|---|
| 策略名称 | 用于标识策略，最多支持 60 个字符。例如“个人网盘访问禁用”。 |
| 优先级 | 设置范围为 0–100，数值越高，优先级越高。多个策略的生效应用和生效对象冲突时，执行优先级最高的策略；优先级相同时，执行最新添加或修改的策略。 |
| 应用范围 | 选择需要管控的应用。可按应用名称或域名搜索，在内置应用中按分类选择，或在自定义资源中选择企业已配置的资源。应用资源维护方法请参见SWG Web 资源库管理。 |
步骤二：选择处置方式
根据业务需求选择处置方式：访问禁用会拦截员工对目标应用的访问，并记录事件；访问审计只记录访问行为，本策略不会阻断访问。
选择访问禁用时，还需设置禁用提示信息：
| 提示方式 | 说明 |
|---|---|
| 不提示 | 禁止访问，不向员工展示提示页面。 |
| 使用飞连内置信息 | 使用飞连提示页面。可自定义设置通知标题和通知内容，通过添加语言配置不同语言文案，并查看预览。 建议提示文案中说明禁用原因及联系管理员的方式。 |
| 使用自定义重定向页面 | 将员工访问引导至企业指定页面，按页面要求填写重定向地址。 * 支持 http、https 格式或IP+端口地址格式。例如 http://www.test.com 或者 127.0.0.1:8080。* 仅支持填写一个重定向页面地址。 |
选择访问审计时，无需设置禁用提示信息，继续设置生效对象和高级条件即可。策略命中的访问行为记录在访问事件记录中。
步骤三：设置生效对象
在生效对象区域选择员工或设备，设置策略适用范围。
- 选择员工时，可按部门、角色或成员查找并勾选。
- 选择设备时，支持选择指定设备，或选择操作系统、设备分组。
步骤四：设置高级条件并保存
在高级条件设置区域，按需限制策略的生效时间及请求方式。
| 配置项 | 说明 |
|---|---|
| 访问时间段 | 默认全部时间段表示不限制时间。选择指定时间段后，可按时间段或星期设置，策略只在指定时间段内执行。 |
| 请求方式 | * 全部表示不限制 HTTP 请求方法。 * 选择部分后，从列表中选择需要匹配的 HTTP 方法。 |
确认应用范围、处置方式、生效对象和高级条件后，单击确定保存策略。返回列表检查生效状态。策略变更可能因客户端网络连接和安装情况存在生效延迟。
管理管控策略
在策略配置页签中，您可以按策略名称、员工、设备、关联应用、生效状态和策略类型查找策略，并执行以下维护操作。
- 查看状态：查看列表顶部的策略统计及单条策略的生效状态，确认当前启用的管控范围。
- 启用或停用：通过生效状态开关控制策略。临时暂停可停用并保留配置，后续按需恢复。
- 编辑：调整应用、处置方式、生效对象或高级条件。例如，将审计调整为禁用前，先查看访问记录，确认涉及的员工和应用。
- 复制：以已有策略为基础创建相似策略，保存前检查名称、应用范围及生效对象，避免沿用不适用的配置。
- 删除：移除不再使用的策略。删除前确认其覆盖的访问需求，避免遗漏仍需管控的应用或员工。
查看相关日志
本篇介绍的访问管控策略产生的事件记录在安全 Web 网关 > 云应用管控 > 访问事件记录中。您可以查看哪些员工访问了受控应用，以及命中了哪条访问禁用或访问审计策略。
- 在安全 Web 网关 > 云应用管控中，切换至访问事件记录。
- 按员工、设备、软件、命中策略、触发时间和策略类型筛选记录。
- 查看列表中的触发时间、员工、访问应用、设备、命中策略和策略类型，核对本次访问的管控结果；需要进一步排查时，在操作列查看详情。
数据外发日志
如果您还配置了迁移到新入口的 Web 数据保护策略，其文本外发、文件外发及文件下载记录需单独查看。请前往数据安全 > 调查审计 > 审计日志 > Web 数据保护，详细说明请参见查看 Web 数据外发日志。
GenAI 数据保护策略命中的提示词外发记录，请在同一路径下切换至GenAI 数据保护，详细说明请参见查看 GenAI 数据外发日志。