Secure Access Service Edge:Configure office applications

Desteklenen uygulama türleri

• Özel IP adresi veya özel alan adı kullanılarak erişilebilen uygulamalar

  Özel uygulama; çalışanlar tarafından kullanılan ve yalnızca belirli kullanıcılara erişilebilen dahili bir uygulama hizmeti, sunucu veya veritabanı gibi dahili BT kaynağıdır.

• Genel IP adresi veya genel alan adı (izin listesi yapılandırılmış) kullanılarak erişilebilen uygulamalar

  Genel uygulama adresi için bir izin listesi yapılandırılır. Örneğin, bir ECS güvenlik grubu veya Cloud Firewall erişim kontrol ilkesi kullanarak uygulamaya yalnızca belirli CIDR bloklarından erişilmesine izin verebilirsiniz.

Ofis uygulaması ekleme

Kurumsal bir ofis uygulamasını SASE sistemine eklediğinizde, SASE tüm uygulamalar için sıfır güven güvenlik ilkesini uygular ve tüm erişimleri reddeden varsayılan bir ilke oluşturur. Bu nedenle, bir uygulama ekledikten sonra erişime izin vermek için ayrıca bir ilke yapılandırmanız gerekir. Daha fazla bilgi için bkz. Sıfır güven ilkesi yapılandırma.

1. Secure Access Service Edge konsolu oturumunu açın.

2. Sol gezinme bölmesinde Private Access > Application Management seçeneğini belirleyin.

3. Office Application sayfasında Add Application seçeneğine tıklayın ve uygulamayı aşağıdaki şekilde yapılandırın.

   Uygulamaları manuel yapılandırma veya toplu içe aktarma yoluyla ekleyebilirsiniz.

   Manuel yapılandırma

   1. Manual Configuration sekmesinde temel parametreleri aşağıdaki tabloda açıklandığı gibi yapılandırın.

      Parametre	Açıklama
      Application Name	Uygulama için bir ad. Ad 2 ile 100 karakter uzunluğunda olmalı ve harf, rakam, kısa çizgi (-), alt çizgi (_) ve nokta (.) içerebilir.
      Tag	Uygulama için özel etiketler. Etiketler, uygulamaları sınıflandırmanıza, aramanıza ve yönetmenize yardımcı olur. Not Uygulamaları sınıflandırmak, aramak ve yönetmek için özel etiketler ekleyebilir veya sistem tarafından sağlanan varsayılan etiketleri kullanabilirsiniz.
      Status	Uygulamanın durumu. Geçerli değerler: Enabled ve Disabled.
      Access Mode	Yapılandırmak istediğiniz erişim modunu seçin. Client-based Access: Kullanıcıların bu modda ofis uygulamalarına erişmek için SASE istemcisini yüklemesi gerekir. Bu mod, 4. Katman ve 7. Katman uygulamalarını destekler, ofis ve O&M gereksinimlerini karşılar ve zengin bir uç nokta güvenlik algılama ve kontrol ilkeleri seti sağlar. Browser-based Access: Kullanıcılar, SASE istemcisini yüklemeden tarayıcıdan web tabanlı ofis uygulamalarına erişebilir. Bu mod, uç nokta güvenlik algılama ve kontrol ilkelerini desteklemez.

   2. Next seçeneğine tıklayın. Seçtiğiniz erişim moduna bağlı olarak uygulama adresi bilgilerini yapılandırın.

      • Client-based Access modu

        Parametre	Açıklama
        Match Mode	Genel veya hassas bağlantı noktası eşleştirmesini seçin. Global Match: Yalnızca bir çift Application Address ve Port yapılandırmayı destekler. Bu, bir kaynak içindeki tüm alan adlarının veya IP adreslerinin aynı bağlantı noktasını kullandığı senaryolar içindir. Fine-grained Match: Birden çok Application Address ve Port çiftini yapılandırmayı destekler. Bu, bir kaynak içindeki farklı alan adlarının veya IP adreslerinin farklı bağlantı noktaları kullandığı senaryolar içindir.
        Application Address	SASE üzerinden erişilecek ofis uygulaması için adresi, bağlantı noktasını ve protokolü girin. Uygulama adresi aşağıdaki türlerden biri olabilir: Belirli bir IP adresi. Örnek: 10.10.XX.XX. Bir CIDR bloğu. Örnekler: 10.0.0.0/8, 172.16.0.0/12 veya 192.168.0.0/24. Belirli bir alan adı. Örnek: www.aliyun.com. Joker karakterli alan adı. .aliyun.com girerseniz, SASE sağladığınız bağlantı noktası bilgilerine göre alt alan adlarını eşleştirerek .aliyun.com öğesinin belirli alt alan adlarına erişime olanak tanır. Aşağıdaki bağlantı noktası biçimleri desteklenir: Ardışık bağlantı noktaları aralığı için kısa çizgi kullanın. Örneğin, 80-8080 80'den 8080'e kadar tüm bağlantı noktalarını içerir. Ardışık olmayan bağlantı noktaları için bağlantı noktası numaralarını virgülle ayırın. Örnek: 80, 8080. Tek bir bağlantı noktası için numarayı girin. Örnek: 80. Desteklenen protokoller: TCP UDP
        Port
        Protocol
        Advanced Settings > Web Application Access Reinforcement	Web uygulaması trafiği için güvenlik doğrulaması veya erişim izleme yapmak üzere aşağıdaki güçlendirme ilkelerini yapılandırabilirsiniz. Security Verification: Kötü niyetli atlatma girişimlerini önlemek amacıyla Host istek başlığını denetler. Access Tracing: Erişim izleme amacıyla HTTP üstbilgisine kullanıcı bilgileri ekler. SASE, seçilen izleme bilgilerini HTTP istek üstbilgilerine ekler. Arka uç hizmetiniz, X-Csas-Client-IP (cihaz IP'si), X-Csas-Username (kullanıcı adı) ve X-Csas-Device-Tag (benzersiz cihaz kimliği) içeren bu üstbilgileri almak ve ayrıştırmak için yapılandırılmalıdır. Sensitive Application Detection: İndirme davranışı sergileyen dahili uygulamaları Sensitive Application olarak işaretler. Bu uygulamaları Sensitive Application etiketi altında görüntüleyebilirsiniz. Hassas bir uygulamada indirme işlemi olduğunda SASE, Log Service (SLS) içinde bir günlük kaydı oluşturur. Günlükleri görüntülemek için Log Analysis bölümüne gidip Internal Sensitive File Download Detection Log seçeneğini belirleyebilirsiniz. Timeout Configuration: Ofis uygulamalarına erişim için 7. Katman bağlantı zaman aşımını yapılandırır. Bağlantı, zaman aşımı süresi dolduktan sonra otomatik olarak kesilir. Application Layer Port: Web Application Access Reinforcement ayarlarının geçerli olduğu bağlantı noktası aralığı. Önemli Web Application Access Reinforcement ayarları, yalnızca erişilen bağlantı noktası yapılandırılan geçerli bağlantı noktası aralığı içinde olduğunda etkili olur. Başlangıç ve bitiş bağlantı noktaları, yapılandırılan uygulama bağlantı noktası aralığı içinde olmalıdır.

      • Browser-based Access modu

        Parametre	Açıklama
        Application Address	SASE üzerinden erişilecek ofis uygulaması için adresi, bağlantı noktasını ve protokolü girin. Uygulama adresi aşağıdaki türlerden biri olabilir: Belirli bir IP adresi. Örnek: 10.10.XX.XX. Belirli bir alan adı. Örnek: www.aliyun.com.
        Port	Bağlantı noktası numarasını ayarlayın. Örnek: 80.
        Protocol	Desteklenen protokoller: HTTPS HTTP
        Proxy Domain Name (SaaS Proxy Gateway)	Alan adı eşleme veya CNAME kaydı kullanarak proxy ağ geçidini yapılandırın. Domain Name Mapping: Eşlenen bir alan adı ayarlayın. SASE, orijinal uygulama adresine eşlenen yeni bir alan adı oluşturur. Çalışanlar orijinal uygulamaya yeni alan adı üzerinden erişir. CNAME: Orijinal alan adını SASE sıfır güven ağ geçidine çözümlemek için bir CNAME kaydı yapılandırın. Bu yöntem kullanıcı deneyimini korur. Custom Proxy Domain Name: Özel bir proxy alan adı yapılandırın. Uyarı Özel proxy alan adını SASE erişim noktası alan adına çözümleyen bir CNAME kaydı oluşturmanız gerekir. Internal DNS Server: Dahili alan adlarını çözümlemek için kullanılan DNS sunucusunu seçin. SSL Certificate: Bir SSL sertifikası seçin.
        Browser Access Settings	SASE üç tarayıcı erişimi yapılandırma yöntemini destekler. HTML-based Internal Domain Rewriting: HTML'yi değiştirerek alan adı eşlemesini uygular. Yeniden yazma öncesi ve sonrası adresleri yapılandırmanız gerekir. JavaScript-based Internal Request Rewriting: JavaScript dosyalarını değiştirerek alan adı eşlemesini uygular. Yeniden yazma öncesi ve sonrası adresleri yapılandırmanız gerekir. Anonymous Access: Kaynak IP adreslerinin veya CIDR bloklarının ve bunların erişim yollarının bir izin listesini yapılandırın. Bu kaynaklardan gelen istekler için erişim kontrolü uygulanmaz.
        Unauthorized Access Management	Bu özelliği açarsanız yetkisiz çalışanlar onay süreci aracılığıyla uygulamaya erişim talep edebilir. Aşağıdaki seçeneklerden birini seçebilirsiniz: Users can submit an application for approval.: Çalışanların talepleri onaylandıktan sonra uygulamaya erişmesine olanak tanır. Bu seçeneği belirlerseniz bir onay süreci belirtmeniz gerekir. Onay süreci yoksa önce bir tane oluşturun ve Application Review seçeneğini Private Access Control olarak ayarlayın. Daha fazla bilgi için bkz. Onay akışı yapılandırma. Users cannot submit an application for approval.: Çalışanların uygulamaya erişim talep etmesine izin vermez. Kullanıcının erişim izni olmadığında görüntülenecek mesajı özelleştirmek için Prompt Display Configuration seçeneğini de yapılandırabilirsiniz.
        Advanced Settings	Daha ayrıntılı yapılandırma için ağ geçidi isteklerinin üstbilgilerini ve sorgu parametrelerini yeniden yazın. Headers Rewrite: Daha esnek istek kontrolü ve yanıt optimizasyonu sağlamak amacıyla istek ve yanıt üstbilgilerindeki parametreleri dinamik olarak ekleyin, ayarlayın veya silin. Query Parameter Rewriting: Sorgu dizesindeki parametreleri dinamik olarak ekleyin, ayarlayın veya silin.

   Toplu içe aktarma

   Access Mode seçimine bağlı olarak Client-based Access veya Browser-based Access seçeneğini belirleyebilirsiniz.

   • Client-based Access: Ofis uygulamalarına erişmek için SASE istemcisinin yüklü olmasını gerektirir. Bu mod, 4. Katman ve 7. Katman uygulamalarını destekler, ofis ve O&M gereksinimlerini karşılar ve zengin bir uç nokta güvenlik algılama ve kontrol ilkeleri seti sağlar.

     1. Download Layer 4 Template seçeneğine tıklayın ve şablonu doldurun.

     2. Tamamlanan şablon dosyasını yüklemek için Upload Local File seçeneğine tıklayın.

   • Browser-based Access: SASE istemcisinin yüklenmesini gerektirmez. Kullanıcılar web tabanlı ofis uygulamalarına tarayıcıdan erişebilir. Bu mod, uç nokta güvenlik algılama ve kontrol ilkelerini desteklemez.

     • Download Layer 4 Template seçeneğine tıklayın ve şablonu doldurun.

     • Tamamlanan şablon dosyasını yüklemek için Upload Local File seçeneğine tıklayın.

   Not

   Yalnızca XLSX dosyaları desteklenir. Maksimum dosya boyutu 100 MB'tır.

4. OK seçeneğine tıklayın.

   Yeni kurumsal ofis uygulaması uygulama listesinde görünür.

Uygulama alan adı çözümlemesi

Ofis uygulamalarını izin listesine alma