安全相關(guān)規(guī)則
云電腦策略用于管控云電腦在體驗(yàn)、安全、審計(jì)、外設(shè)、協(xié)作、AI方面的規(guī)則。本文介紹與安全相關(guān)的規(guī)則。
背景信息
云電腦策略中與安全相關(guān)的規(guī)則包括：
登錄安全規(guī)則：登錄方式管控、云電腦訪問IP白名單。
顯示安全規(guī)則：防截屏、水印。
傳輸安全規(guī)則：剪貼板管控、Web客戶端文件傳輸。
網(wǎng)絡(luò)安全規(guī)則：域名訪問管控、安全組管控。
登錄安全規(guī)則
快速入門
請查看以下引導(dǎo)式教學(xué)，了解無影云電腦企業(yè)版的登錄方式管控策略是什么，以及如何使用。為獲得最佳體驗(yàn)，請在新窗口中打開查看。
使用場景
登錄方式管控規(guī)則用于限制終端用戶可以使用哪種無影終端連接云電腦。
示例場景：為了保障企業(yè)信息安全，管理員將規(guī)則設(shè)置為僅允許使用Windows客戶端、macOS客戶端和無影自研硬件終端連接云電腦。
云電腦訪問IP白名單規(guī)則用于限制哪些IP地址段的無影終端可以連接云電腦。
示例場景：為了保障企業(yè)信息安全，管理員將辦公場所的無影終端IP地址網(wǎng)段添加至白名單，因此員工只能通過辦公場所的無影終端連接云電腦，在其他場所無法連接。
配置說明
配置項(xiàng) | 說明 |
登錄方式管控 | 用于限制終端用戶可以使用的無影終端類型。可選項(xiàng)包括：
以上選項(xiàng)默認(rèn)全部選中，您可以根據(jù)需要取消選擇部分選項(xiàng)。 |
云電腦訪問IP白名單 | 用于指定哪些IP地址段的無影終端可以連接云電腦。 單擊新增IP地址段，并在添加IP網(wǎng)段對話框中輸入允許的源IP地址段，然后單擊確定。 IP地址段格式要求：CIDR格式塊，例如： |
顯示安全規(guī)則
快速入門
請查看以下引導(dǎo)式教學(xué)，了解無影云電腦企業(yè)版的防截屏與水印策略是什么，以及如何使用。為獲得最佳體驗(yàn)，請在新窗口中打開查看。
使用場景
防截屏功能用于防止因?yàn)榻仄粱蜾浧炼a(chǎn)生數(shù)據(jù)泄露。
示例場景：某建筑設(shè)計(jì)公司為防止設(shè)計(jì)圖被非法盜用，為云電腦開啟了防截屏規(guī)則，因此任何人員都無法使用本地終端設(shè)備上的截圖工具對云電腦畫面進(jìn)行截屏或錄屏。
水印功能用于數(shù)據(jù)防泄露場景，可以發(fā)揮事前預(yù)防和事后審計(jì)的作用。
示例場景：某廣告公司為云電腦開啟了水印，員工在云電腦上對內(nèi)部文件進(jìn)行截圖后，截圖上將出現(xiàn)管理員指定的水印，可以有效地預(yù)防內(nèi)部文件泄露。一旦發(fā)生數(shù)據(jù)泄露，水印也可以提供重要的審計(jì)線索。
適用范圍
配置項(xiàng) | 鏡像最低版本 | 客戶端及最低版本 |
防截屏 | 無要求 | Windows客戶端和macOS客戶端V5.2.0 |
盲水印強(qiáng)度 | 1.8.0 | 無要求 |
盲水印防拍照 | 1.8.0 | 任意客戶端V6.7.0 |
配置說明
配置項(xiàng) | 說明 |
防截屏 | 防截屏功能用于數(shù)據(jù)防泄露場景。開啟防截屏后，終端用戶無法使用本地終端設(shè)備上的截圖工具對云電腦畫面進(jìn)行截屏或錄屏。 說明
|
水印 | 水印功能用于數(shù)據(jù)防泄露場景，能發(fā)揮事前預(yù)防和事后審計(jì)的作用。 明水印明水印是肉眼可見的水印，您可以設(shè)置水印的內(nèi)容和展現(xiàn)樣式。
配置過程中，您可以在下方的預(yù)覽區(qū)域?qū)崟r(shí)查看一條明水印的展現(xiàn)樣式。 盲水印盲水印是肉眼不可見的水印。無影云電腦提供的默認(rèn)盲水印算法可根據(jù)不同阿里云賬號身份信息對水印信息進(jìn)行加密，防止惡意篡改。盲水印的配置項(xiàng)包括：
|
傳輸安全規(guī)則
快速入門
請查看以下引導(dǎo)式教學(xué)，了解無影云電腦企業(yè)版的磁盤映射與剪貼板安全策略是什么，以及如何使用。為獲得最佳體驗(yàn)，請在新窗口中打開查看。
適用范圍
本地磁盤映射
僅支持Windows云電腦。
僅支持Windows客戶端和macOS客戶端。
本地磁盤映射適用于文件類數(shù)據(jù)的訪問，不適用于運(yùn)行程序。即使已開啟本地磁盤映射，也不能在云電腦內(nèi)運(yùn)行本地設(shè)備上安裝的應(yīng)用。如有需要，您也可以在云電腦內(nèi)運(yùn)行本地的免安裝應(yīng)用，但是此舉會(huì)占用帶寬并影響云電腦的使用體驗(yàn)，請謹(jǐn)慎操作。
剪貼板管控：
對于文本和圖片的傳輸，沒有限制條件。
對于文件的傳輸，要求使用Windows客戶端（版本不低于V7.3.0）。
Web客戶端文件傳輸：即使設(shè)為允許上傳下載，對HDX協(xié)議的Linux云電腦也不生效。如果需要在此類云電腦中使用文件傳輸功能，只能使用默認(rèn)的系統(tǒng)策略（即All enabled policy）。
配置說明
配置項(xiàng) | 說明 |
本地磁盤映射 | 是指將本地設(shè)備磁盤映射為云電腦磁盤，從而實(shí)現(xiàn)在云電腦中訪問本地磁盤的數(shù)據(jù)。可選項(xiàng)包括：
|
剪貼板管控 | 設(shè)置云電腦和本地設(shè)備之間是否可以互相復(fù)制文本、圖片和文件。 |
Web客戶端文件傳輸 | 設(shè)置云電腦和本地設(shè)備之間是否可以通過Web客戶端互相傳輸文件。 |
網(wǎng)絡(luò)安全規(guī)則
域名訪問管控
域名訪問管控規(guī)則用于設(shè)置允許或禁止在云電腦中訪問的域名。例如，根據(jù)企業(yè)的規(guī)章制度，員工不可在工作時(shí)間內(nèi)訪問與工作無關(guān)的網(wǎng)站，因此管理員將娛樂類的網(wǎng)站域名添加到DNS拒絕訪問規(guī)則中。
使用場景
默認(rèn)情況下允許在云電腦中訪問任何域名。域名訪問管控用于設(shè)置允許或禁止在云電腦中訪問的域名，同時(shí)支持多層級、精細(xì)化地管控域名訪問權(quán)限。
示例場景：假設(shè)現(xiàn)有下表所示的域名，按照下表配置DNS規(guī)則即可實(shí)現(xiàn)精細(xì)化的權(quán)限管控。
域名 | 示例 | 訪問策略 | 說明 |
二級域名 |
| 允許 | 云電腦訪問 |
三級域名 |
| 禁止 | 云電腦訪問 |
| 允許 | 云電腦訪問 | |
四級域名 |
| 禁止 | 云電腦訪問 |
| 允許 | 云電腦訪問 | |
| 允許 |
使用限制
域名限制
為確保終端用戶能正常使用云電腦，以下預(yù)留的安全域名不受DNS規(guī)則的約束，即云電腦始終允許訪問這些域名。若您將這些域名的訪問策略設(shè)置為拒絕，則規(guī)則不會(huì)生效。
*.gws.aliyun*.aliyun.com*.alicdn.com*.aliyunpds.com*.aliyuncds.com*.aliyuncs.com
操作系統(tǒng)限制
域名訪問管控規(guī)則只對Windows操作系統(tǒng)的云電腦生效。
規(guī)則數(shù)量限制
最多可設(shè)置300條DNS規(guī)則。
配置說明
在域名訪問管控（原DNS策略）區(qū)域單擊添加DNS規(guī)則，然后在添加DNS規(guī)則對話框中完成以下配置，并單擊確定。
配置項(xiàng) | 說明 |
域名 | 填寫需要設(shè)置DNS規(guī)則的域名。每次只能添加1個(gè)域名，支持使用 |
描述 | 自定義的DNS規(guī)則描述。 |
訪問策略 | 可選擇允許或拒絕。 說明
|
安全組管控
安全組是一種安全機(jī)制，用于控制云電腦的入流量和出流量，從而提高云電腦的安全性。
使用場景
一條安全組規(guī)則由規(guī)則方向、授權(quán)、優(yōu)先級、協(xié)議類型、端口范圍等屬性確定。與云電腦建立數(shù)據(jù)通信前，系統(tǒng)將逐條匹配云電腦關(guān)聯(lián)策略中的安全組管控規(guī)則，確認(rèn)是否放行訪問請求：
對于授權(quán)設(shè)置為允許的規(guī)則，如果訪問請求匹配規(guī)則，則放行訪問請求。
對于授權(quán)設(shè)置為拒絕的規(guī)則，如果訪問請求匹配規(guī)則，則攔截訪問請求并直接丟棄數(shù)據(jù)包。
您可以根據(jù)需要添加入方向或者出方向的安全組管控規(guī)則來進(jìn)一步控制云電腦的出入流量。示例場景的安全組管控規(guī)則配置如下：
示例場景1
默認(rèn)情況下，云電腦允許所有出方向的訪問。您可以添加以下出方向規(guī)則，實(shí)現(xiàn)只允許云電腦訪問特定的IP地址：
規(guī)則1：拒絕所有出方向訪問。示例如下：
規(guī)則方向
授權(quán)
優(yōu)先級
協(xié)議類型
端口范圍
授權(quán)對象
出方向
拒絕
2
全部
-1/-1
0.0.0.0/0
規(guī)則2：在規(guī)則1的基礎(chǔ)上允許訪問特定IP地址，優(yōu)先級必須高于規(guī)則1。示例如下：
規(guī)則方向
授權(quán)
優(yōu)先級
協(xié)議類型
端口范圍
授權(quán)對象
出方向
允許
1
選擇適用的協(xié)議類型。
設(shè)置合適的端口范圍。
允許訪問的IP地址，例如：192.168.1.1/32。
示例場景2
在企業(yè)專網(wǎng)環(huán)境下，您可以添加允許特定IP地址訪問的入方向規(guī)則，實(shí)現(xiàn)該IP地址能夠訪問云電腦。示例如下：
規(guī)則方向 | 授權(quán) | 優(yōu)先級 | 協(xié)議類型 | 端口范圍 | 授權(quán)對象 |
入方向 | 允許 | 1 | 選擇適用的協(xié)議類型。 | 設(shè)置合適的端口范圍。 | 允許訪問的IP地址，例如：192.168.1.1/32。 |
示例場景3
假設(shè)云電腦A關(guān)聯(lián)了策略a，云電腦B關(guān)聯(lián)了策略b。在企業(yè)專網(wǎng)環(huán)境下，由于云電腦默認(rèn)拒絕所有入方向的訪問，云電腦A和云電腦B之間無法互相訪問。您可以在策略a和策略b中添加以下入方向規(guī)則，實(shí)現(xiàn)云電腦A和云電腦B的網(wǎng)絡(luò)互通：
在策略a中添加允許云電腦b訪問的入方向規(guī)則。示例如下：
規(guī)則方向
授權(quán)
優(yōu)先級
協(xié)議類型
端口范圍
授權(quán)對象
入方向
允許
1
選擇適用的協(xié)議類型。
設(shè)置合適的端口范圍。
云電腦B的IP地址。
在策略b中添加允許云電腦a訪問的入方向規(guī)則。示例如下：
規(guī)則方向
授權(quán)
優(yōu)先級
協(xié)議類型
端口范圍
授權(quán)對象
入方向
允許
1
選擇適用的協(xié)議類型。
設(shè)置合適的端口范圍。
云電腦A的IP地址。
使用限制
規(guī)則數(shù)量限制
最多可設(shè)置200條安全組管控規(guī)則。
入方向規(guī)則的限制
云電腦默認(rèn)允許所有出方向的訪問，入方向的訪問遵循以下原則：
互聯(lián)網(wǎng)環(huán)境下，云電腦不支持所有入方向的訪問，即使您將安全組規(guī)則的入方向設(shè)置為允許，該安全組入方向規(guī)則仍然不生效。
企業(yè)專網(wǎng)環(huán)境下，云電腦默認(rèn)拒絕所有入方向的訪問，但是您可以通過將安全組入方向規(guī)則設(shè)置為允許來放行符合要求的訪問請求。
配置說明
在安全組管控區(qū)域單擊添加安全組規(guī)則，然后在添加安全組規(guī)則對話框中完成以下配置，并單擊確定。
配置項(xiàng) | 說明 |
規(guī)則方向 |
|
授權(quán) |
|
優(yōu)先級 | 優(yōu)先級的取值范圍為1~60，數(shù)值越小、優(yōu)先級越高。同類型規(guī)則之間由優(yōu)先級決定最終生效的規(guī)則。 |
協(xié)議類型 | 支持TCP、UDP、ICMP（IPv4）和GRE協(xié)議。 |
端口范圍 | 應(yīng)用或協(xié)議開啟的端口。所選的協(xié)議類型為自定義TCP或者自定義UDP時(shí)，您可以設(shè)置自定義端口。設(shè)置端口時(shí)，支持輸入具體的端口（如： |
授權(quán)對象 | CIDR格式的IPv4地址網(wǎng)段。 |
描述 | 自定義的規(guī)則描述。 |
后續(xù)步驟
默認(rèn)情況下，云電腦拒絕所有入方向的訪問，允許所有出方向的訪問，即默認(rèn)已有一條允許所有訪問的出方向規(guī)則。此時(shí)，您添加的出方向規(guī)則將與默認(rèn)規(guī)則產(chǎn)生沖突。根據(jù)云電腦所屬的辦公網(wǎng)絡(luò)情況，您可能需要調(diào)整默認(rèn)規(guī)則的優(yōu)先級，以便您添加的規(guī)則能夠生效。
如果您使用的是新版辦公網(wǎng)絡(luò)（ID格式為：地域ID+dir+10位數(shù)字），由于默認(rèn)規(guī)則優(yōu)先級最低，您添加的規(guī)則將直接生效，無需您做額外操作。
如果您使用的是由舊版目錄升級而成的辦公網(wǎng)絡(luò)（ID格式為：地域ID+dir+17位字母和數(shù)字），由于默認(rèn)規(guī)則優(yōu)先級最高，您需要手動(dòng)調(diào)整默認(rèn)規(guī)則的優(yōu)先級。操作步驟如下：
找到云電腦所屬的辦公網(wǎng)絡(luò)，單擊其辦公網(wǎng)絡(luò)ID。
在辦公網(wǎng)絡(luò)詳情頁面，單擊安全組ID。
在安全組列表頁面，單擊安全組ID。
在安全組規(guī)則頁面，單擊出方向頁簽，并修改對應(yīng)規(guī)則的優(yōu)先級。
建議將優(yōu)先級設(shè)置為60，這樣做可以確保您以后手動(dòng)添加的出方向規(guī)則均可以直接生效。