SASE を使用すると、SASE サービスおよびサードパーティアプリケーションの承認フローを作成し、承認者や承認権限などの設定を構成できます。この記事では、承認フローの作成方法について説明します。
承認フローの作成
Secure Access Service Edge コンソール にログインします。
左側メニューで、エンドポイント保護 > セキュリティアラート を選択します。
フロー管理 ページで、フローの作成 をクリックします。
承認フローの作成 パネルで、次のパラメーターを設定します。
パラメーター
説明
[フロー名]
承認フローの名前を入力します。
名前は 1～128 文字で、漢字、英字、数字、ハイフン (-)、アンダースコア (_) を使用できます。
[承認フロータイプ]
承認フローのタイプを選択します。 次の 3 種類の承認フロータイプがサポートされています。
[組み込み承認フロー]: SASE サービス向けの承認フローです。
[DingTalk 承認ストリーム]：DingTalk と統合された承認フローです。
[WeChat 承認フロー]：WeCom と統合された承認フローです。
必須パラメーターは、選択した [承認フロータイプ] によって異なります。 それに応じてパラメーターを設定してください。
組み込み承認フロー
パラメーター
説明
[承認フロー]
承認プロセスを設定します。 1～5 の承認レベルを追加できます。 最初の承認レベルには最大 5 人の承認者を追加できます。
そのレベルのいずれかの承認者がリクエストを承認するとフローは承認され、いずれかの承認者が拒否するとフローは拒否されます。
[承認権限]
1 つ以上の承認権限タイプを選択します。 承認権限タイプを選択しない場合、対応するポリシーをこの承認フローに関連付けることはできません。
次のタイプが利用可能です。
[内部ネットワークアクセス制御]：プライベートアクセスアプリケーションの不正アクセスレポートポリシーに使用されます。 設定の詳細については、「オフィスアプリケーションの設定」をご参照ください。
[ドメインホワイトリスト]：インターネットアクセス管理のホワイトリストポリシーに使用されます。 設定の詳細については、「インターネットアクセス管理と監査」をご参照ください。
[ドメインブラックリスト]：インターネットアクセス管理のブラックリストポリシーに使用されます。 設定の詳細については、「インターネットアクセス管理と監査」をご参照ください。
[ソフトウェアの禁止]：ソフトウェアブロックポリシーに使用されます。 設定の詳細については、「ソフトウェア管理」をご参照ください。
[ファイル外部送信]：ファイル持ち出し検知ポリシーに使用されます。 設定の詳細については、「アウトバウンドファイルのデータ分類ルールの設定」をご参照ください。
[app アンインストールポリシー]：アプリのアンインストールポリシーに使用されます。 設定の詳細については、「クライアント登録の設定と承認」をご参照ください。
[周辺機器制御]：周辺機器制御ポリシーに使用されます。 設定の詳細については、「周辺機器の管理によるデータセキュリティ強化」をご参照ください。
DingTalk 承認フロー
パラメーター
説明
クライアント ID
DingTalk アプリケーションの ID。
クライアントシークレット
DingTalk アプリケーションのシークレット。
aes_key
DingTalk イベントサブスクリプションの暗号化キー。
token
DingTalk イベントサブスクリプションの署名トークン。
[リクエスト URL]
DingTalk がイベントサブスクリプションを受信するためのパブリック URL。
重要この URL を [DingTalk Open Platform] > [Application Development] > [Enterprise internal applications] > [DingTalk Apps] > [Development Configuration] > [Event Subscriptions] > [Request URL] にコピーします。
[承認フロー設定]
SASE 承認テンプレートと DingTalk 承認フローの関連付けおよびフィールドマッピングを設定します。
[フローテンプレート]: SASE の組み込みワークフローテンプレートです。
[DingTalk フローの関連付け ID]：DingTalk 承認フローのフォーム ID を入力します。
[システムフィールド]：ワークフローテンプレートの読み取り専用の組み込みシステムフィールド。
[テンプレートフィールド]：関連付けられた DingTalk フローで設定されたフィールド。
説明SASE 承認フローは、同じ DingTalk アプリケーションで作成された複数の承認フォームにバインドできます。追加 をクリックして、異なる承認フローを設定できます。
WeCom 承認フロー
WeCom 承認フロータイプを選択した後、管理者は、WeCom クライアントで QR コードをスキャンして承認を許可し、Alibaba Cloud のテクニカルサポートと協力してフローアプリケーションのバックエンド設定を完了させる必要があります。 バックエンド設定が完了した後にのみ、承認フローを設定できます。
パラメーター
説明
承認テンプレートマッピング
組み込みの SASE ワークフローテンプレートを設定し、WeCom 承認テンプレートに対応するフロー ID を入力します。
[フィールド ID マッピング]
SASE ワークフローテンプレートのシステムフィールドと、WeCom 承認テンプレートのフィールド間でフィールドマッピングを設定します。
OK をクリックします。
その他の操作
承認フローのコピー：既存の承認フローを複製するには、Operation 列の コピー をクリックします。
説明この操作は、組み込みの承認フローでのみサポートされています。
承認フローの編集：承認フローがビジネス要件に合わなくなった場合に修正するには、Operation 列の Edit をクリックします。
承認フローの削除：承認フローがどのポリシーにも関連付けられていない場合にのみ削除できます。 承認フローを削除するには、Operation 列の 削除 をクリックします。
関連ドキュメント
組織内のすべての承認フローの統計情報を表示するには、「フローインスタンスの統計情報の表示」をご参照ください。
組み込みのワークフローテンプレートを周辺機器に適用して、データセキュリティを強化できます。 詳細については、「周辺機器の管理によるデータセキュリティ強化」をご参照ください。
DingTalk 承認フローを統合する方法については、「DingTalk 承認フローを統合するためのベストプラクティス」をご参照ください。