Secure Access Service Edge:Integrar fluxos de trabalho de aprovação com o DingTalk

Etapa 1: Criar um aplicativo e permissões no DingTalk

Para integrar o SASE aos fluxos de aprovação do DingTalk, crie primeiro um aplicativo personalizado no DingTalk e configure as permissões de aprovação. O SASE utiliza essas permissões para se conectar ao fluxo de trabalho de aprovação do DingTalk.

1. Faça logon na Plataforma Aberta do DingTalk. Na barra de menu superior, selecione Application Development.

2. No painel de navegação à esquerda, selecione DingTalk Application e clique em Create Application.

3. No painel Create Application, configure Application Name, Application Description e Application Icon.

   Parâmetro	Descrição	Exemplo
   Application name (Obrigatório)	Nome do aplicativo no DingTalk.	SASE-DingTalk Approval App
   Application description (Obrigatório)	Descrição do aplicativo.	Usado para criar fluxos de aprovação no DingTalk e sincronizar com o SASE.
   Application icon	Ícone do aplicativo. O sistema fornece um ícone padrão. Para usar um ícone personalizado, certifique-se de que ele atenda às especificações de design. Faça upload de um arquivo JPG ou PNG com pelo menos 240×240 pixels, proporção de 1:1, tamanho máximo de 2 MB e sem cantos arredondados. Para mais informações, consulte Especificações de Design de Ícones de Aplicativos do DingTalk.	Use o ícone padrão.

4. Após concluir a configuração, clique em Save. Você será redirecionado para a página de detalhes do aplicativo.

5. No painel de navegação à esquerda da página de detalhes do aplicativo, escolha Development Configuration > Permission Management.

6. Na página Permission Management, configure as permissões para OA Approval.

   As permissões necessárias para o fluxo de aprovação de OA são: Approval Flow Data Management, Workflow Instance Write, Workflow Template Write, Workflow Template Read e Workflow Instance Read. Solicite essas permissões em lote seguindo as etapas abaixo.

   1. Selecione um Permission Scope conforme suas necessidades de negócio.

   2. Na lista de categorias de permissão à esquerda, selecione OA Approval e marque a caixa de seleção no topo da lista.

   3. No canto superior direito da lista, clique em Batch Request.

Etapa 2: Criar um fluxo de aprovação no DingTalk

1. Faça logon no console de administração do DingTalk.

2. Na seção Common Applications, no canto inferior direito da página, selecione Approval.

   Alternativamente, no painel de navegação à esquerda, escolha Workbench > Application Management. Na lista de aplicativos, localize OA Approval e clique em Enter na coluna Actions para abrir o OA Approval management console.

3. Clique em Create Approval Form. Na caixa de diálogo Create Approval Form, selecione Process Form.

4. No formulário de aprovação, utilize o assistente de configuração para preencher Basic settings, Form design e Process design.

   1. Basic settings: Configure Form Name, Group, Who Can Initiate e Form Administrator.

      O sistema oferece grupos de formulários predefinidos. Também é possível clicar em New Group, insira o nome do grupo e clique em .

   2. Form design: Defina os campos de exibição do formulário de aprovação para mapeamento posterior no SASE.

      1. Clique em Form design no assistente de configuração.

      2. Na área de controles à esquerda, clique em um controle de formulário para configurar seu Title e Placeholder Text.

   3. Process design: Estruture o fluxo de aprovação definindo Initiator, Approver e Carbon Copy Recipient.

      1. Clique em Process design no assistente de configuração.

      2. Clique na caixa Approver no fluxo de trabalho.

      3. No painel Approver, configure Approval Type, Approver e Approval Method de acordo com seus requisitos de negócio. Em seguida, clique em Save.

5. Após finalizar a configuração, clique em Publish no canto superior direito da página.

Etapa 3: Criar um fluxo de aprovação no SASE

Ao criar um fluxo de aprovação no SASE, configure os detalhes do aplicativo DingTalk, as informações de assinatura de eventos e o mapeamento de campos de aprovação para conectar o SASE ao fluxo de aprovação do DingTalk.

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Approval Center > Workflow Management e clique em Create Workflow.

3. No painel Create Approval Workflow, configure os seguintes parâmetros.

   Parâmetro	Descrição	Exemplo
   Workflow Name	Nome do fluxo de trabalho de aprovação.	Fluxo de aprovação para desinstalação do aplicativo SASE
   Approval Process Type	Tipo do fluxo de aprovação. Valores válidos: fluxo de aprovação interno e fluxo de aprovação do DingTalk.	Fluxo de aprovação do DingTalk
   Client ID	ID do aplicativo DingTalk. Obtenção do Client ID e Client Secret Faça logon na Plataforma Aberta do DingTalk. Na barra de menu superior, selecione Application Development. No painel de navegação à esquerda, selecione DingTalk Application e clique no nome do seu aplicativo para acessar a página de detalhes. No painel de navegação à esquerda, selecione Credentials And Basic Information. Na página de credenciais do aplicativo, visualize o Client ID e o Client Secret.	dingzrvwc
   Client Secret	Segredo do aplicativo DingTalk.	wRQD7BHcK**AyL1bAJDA
   aes_key	Credencial de criptografia para assinaturas de eventos do DingTalk. Obtenção da aes_key e do token Faça logon na Plataforma Aberta do DingTalk. Na barra de menu superior, selecione Application Development. No painel de navegação à esquerda, selecione DingTalk Application e clique no nome do seu aplicativo para acessar a página de detalhes. No painel de navegação à esquerda, selecione Event Subscription. Na página Event Subscription, defina Push Method como HTTP Push e clique no botão de redefinição para obter a Encryption aes_key e o Signature token. Aviso Após obter a Encryption aes_key e o Signature token, não os redefina novamente. Mantenha a página atual aberta, pois será necessário configurar a Request URL em uma etapa posterior.	CzSr3F8**Tc3Zz2
   token	Assinatura para eventos do DingTalk.	3hszVY*aY4K3p9tB4
   Request URL	URL pública utilizada pelo DingTalk para receber assinaturas de eventos. Importante Copie esta URL e cole-a no campo Request URL, localizado em: DingTalk Open Platform > Application Development > Enterprise internal applications > DingTalk Application > Development Configuration > Event Subscription > Request URL.	https://default-pre-auth-server.cloudsecsase.com//
   Approval Process Configuration	Configure a associação e o mapeamento de campos entre o modelo de aprovação do SASE e o fluxo de aprovação do DingTalk. Workflow Template: Modelo de fluxo de trabalho interno do SASE. Associate DingTalk Process ID: ID do formulário de aprovação do DingTalk. Localização do ID do formulário de aprovação do DingTalk Faça logon no console de administração do DingTalk. Na seção Common Applications, no canto inferior direito da página, selecione Approval. Alternativamente, no painel de navegação à esquerda, escolha Workbench > Application Management. Na lista de aplicativos, localize OA Approval e clique em Enter na coluna Actions para acessar o OA Approval management console. No painel de navegação à esquerda, selecione Form Management. Na lista Form Management, encontre o ID do formulário de aprovação criado. System Fields: Campo de sistema interno e não editável no modelo de fluxo de trabalho. Template Fields: Campo configurado no fluxo de trabalho associado do DingTalk. Nota Um fluxo de aprovação do SASE pode ser vinculado a vários formulários de aprovação criados sob o mesmo aplicativo DingTalk. Clique em Add para configurar diferentes fluxos de aprovação.	Modelo de fluxo de trabalho: política de desinstalação de aplicativo ID do fluxo de trabalho associado do DingTalk: PROC-EB35CAE7--*19C5833D0C17 Campo de sistema: Motivo da solicitação Campo do modelo: Motivo da solicitação de aprovação do DingTalk

4. Clique em OK.

Etapa 4: Configurar assinaturas de eventos do DingTalk

Quando um evento assinado ocorre, o DingTalk envia uma mensagem para o seu aplicativo.

1. Abra a página Event Subscription do seu aplicativo DingTalk.

   Nota

   Esta é a mesma página acessada no procedimento "Obtenção da aes_key e do token" na Etapa 3.

2. Insira a Request URL e clique em Save.

   Faça logon no console do Secure Access Service Edge. No painel de navegação à esquerda, escolha Approval Center > Workflow Management. Na coluna Actions do fluxo de aprovação desejado, clique em Edit. A URL de solicitação está disponível no painel Edit Approval Workflow.

   O painel exibe os campos Client Secret, aes_key e token, além da Request URL. O caminho da URL inclui /v1/approval/dingtalk/callback/. Copie essa URL de solicitação e cole-a no campo Request URL na página Event Subscription do seu aplicativo na Plataforma Aberta do DingTalk.

3. Após salvar a URL, na seção Approval Events na parte inferior da página, ative a chave de assinatura Approval Instance Started, Ended.

4. Clique em Subscription Settings abaixo de Approval Instance Started, Ended.

5. Na caixa de diálogo Subscription Content, configure o endereço de assinatura de eventos para obter controle granular sobre os eventos assinados e reduzir o uso de recursos.

   Nota

   Existe uma cota mensal para o processamento de eventos de assinatura. Verifique o uso de Webhook and Stream na página inicial da Plataforma Aberta do DingTalk.

   1. Clique em Add. No campo Subscription Address, insira o endereço do evento ao qual deseja se inscrever.

      Formato: /v1.0/event/bpms_instance_change/processCode/{processCode}/type/{type}. Exemplo: /v1.0/event/bpms_instance_change/processCode/PROC-XXXXX/type/*.

   2. Clique em OK.

Etapa 5: Configurar a política anti-desinstalação

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Endpoint Management > Terminal Registration.

3. Na aba Uninstallation Approval, clique em Anti-uninstallation Policy.

4. No painel Client Anti-uninstallation Policy, configure os parâmetros abaixo e clique em OK.

   Parâmetro	Descrição	Exemplo
   Client Configuration Switch	Permite ativar Client Anti-uninstallation e Client Auto-start and Anti-logoff.	Ative Client Anti-uninstallation.
   Client Auto-start and Anti-logoff	Grupo de usuários ao qual a política anti-desinstalação se aplica.	Grupo de usuários do DingTalk
   Client Anti-uninstallation	Usuários na lista de permissões podem desinstalar o cliente SASE sem restrições da política anti-desinstalação.	Gerente Liu
   Effective Scope	Define se os funcionários podem solicitar aprovação e seleciona o fluxo de trabalho correspondente.	Fluxo de solicitação: Permitir que funcionários solicitem aprovação Selecionar fluxo: Escolha o fluxo de aprovação criado anteriormente. Aviso É obrigatório selecionar um fluxo de aprovação criado em Workflow Management que esteja associado ao sistema DingTalk.
   Whitelist	Quando um usuário dentro do escopo efetivo tenta desinstalar o aplicativo SASE, um aviso pop-up é exibido. Configure o título, o conteúdo e o texto dos botões em chinês ou inglês.	Título: Seu SASE está prestes a ser desinstalado Conteúdo: Após a desinstalação, este dispositivo não poderá ser usado para trabalho corporativo e perderá o acesso à intranet! Botão principal: Solicitar Aprovação Botão secundário: Entendi

Etapa 6: Verificar a integração

1. Faça logon no aplicativo SASE usando a fonte de identidade do DingTalk.

2. Tente desinstalar o aplicativo SASE.

3. No aviso pop-up anti-desinstalação, clique em File for Approval.

4. Na página Security Software Uninstall Prohibited, insira um motivo e clique em Initiate Filing.

5. O aprovador pode visualizar e processar a solicitação de OA Approval no aplicativo DingTalk.

   Um administrador pode visualizar e processar solicitações de aprovação no console do Secure Access Service Edge em Approval Process Configuration > Prompt Display Configuration.

   Nota

   • Independentemente de a solicitação ser aprovada ou rejeitada, o status da aprovação é sincronizado com o cliente DingTalk.

   • Após a concessão da aprovação, tente desinstalar o aplicativo SASE novamente.