办公安全平台：审批流对接钉钉最佳实践

步骤一：创建钉钉应用并开通审批权限

实现SASE与钉钉审批流程无缝集成，您需首先在钉钉平台创建一个自定义应用，并配置审批权限，用于对接SASE系统中的审批流配置。

1. 登录钉钉开放平台，在顶部菜单栏，选择应用开发。

2. 在左侧导航栏，选择钉钉应用，并单击创建应用。

3. 在创建应用面板中，参考如下内容配置应用名称、应用描述和应用图标。

   配置项	说明	示例值
   应用名称 （必填）	配置钉钉应用名称。	SASE-钉钉审批应用。
   应用描述 （必填）	配置应用描述。	用于创建钉钉审批流并同步SASE。
   应用图标	配置应用图标。系统提供默认图标，如需自定义，请确保图标符合设计规范要求。 请上传JPG/PNG格式、240*240px以上、1:1 、2MB 以内的无圆角图标。详细信息，请参见钉钉应用图标设计规范。

4. 配置完成后，单击保存，跳转至应用详情页面。

5. 在应用详情页面左侧导航栏中，选择开发配置 > 权限管理。

6. 在权限管理页面，配置OA审批权限。

   需要配置的OA审批流权限包括：审批流数据管理权限、工作流实例写权限、工作流模板写权限、工作流模板读权限、工作流实例读权限。您可以参考以下操作步骤，批量申请权限。

   1. 根据实际业务需要选择权限范围。

   2. 在左侧权限分类列表，选择OA审批，并单击列表上方的复选框。

   3. 单击列表右上方的批量申请。

步骤二：创建钉钉审批流程

1. 登录钉钉管理后台。

2. 在页面右下角的常用应用模块中选择审批。

   

   您也可以在左侧导航栏中选择工作台 > 应用管理，在应用列表中定位到OA审批，单击操作列的进入，进入OA审批管理后台页面。

3. 单击创建审批表单，在创建审批表单对话框中选择流程表单。

   

4. 在审批表单中根据配置向导完成表单的基础设置、表单设计和流程设计。

   

   1. 基础设置：配置表单名称、所在分组、谁可以发起、表单管理员。

      系统为您内置了表单分组，您也可以单击新建分组，输入分组名称后，单击。

      

   2. 表单设计：配置审批表单展示字段，可在SASE中进行字段关联。

      1. 单击配置向导中的表单设计。

      2. 在左侧控件区域单击需要配置的表单控件，并配置标题和提示文字信息等。

   3. 流程设计：配置审批流程，包括发起人，审批人和抄送人等。

      1. 单击配置向导中的流程设计。

      2. 单击审批人的流程框。

      3. 在审批人面板中根据实际业务需要配置审批类型、审批人和审批方式，然后单击保存。

5. 配置完成后，在页面右上角单击发布。

步骤三：创建SASE审批流程

在创建SASE审批流程时需要配置钉钉应用信息、事件订阅信息、以及审批字段映射，实现SASE与钉钉审批流程无缝集成。

1. 登录办公安全平台控制台。

2. 在左侧导航栏，选择审批中心 > 流程管理，并单击创建流程。

   

3. 在创建审批流程面板中，参考如下内容进行配置。

   配置项	说明	示例值
   流程名称	配置审批流程名称。	SASE App卸载审批流程
   审批流类型	选择审批流程类型。支持内置审批流和钉钉审批流。	钉钉审批流
   Client ID	钉钉应用ID。 如何获取Client ID和Client Secret 登录钉钉开放平台，在顶部菜单栏，选择应用开发。 在左侧导航栏，选择钉钉应用，单击创建的应用名称，跳转至应用详情页面。 在左侧导航栏，选择凭证与基础信息，在应用凭证页面查看Client ID和Client Secret。	ding**********zrvwc
   Client Secret	钉钉应用Secret。	wRQD7BHcK************AyL1bAJDA
   aes_key	钉钉事件订阅加密凭证。 如何获取aes_key和token 登录钉钉开放平台，在顶部菜单栏，选择应用开发。 在左侧导航栏，选择钉钉应用，单击创建的应用名称，跳转至应用详情页面。 在左侧导航栏，选择事件订阅。 在事件订阅页面中，配置推送方式为HTTP推送，并单击重置按钮，获取加密aes_key和签名token。 警告 获取加密aes_key和签名token后，不可再次进行重置操作，请勿关闭和刷新当前网页，后续还需配置请求网址。	CzSr3F8************Tc3Zz2
   token	钉钉事件订阅签名。	3hszVY***********aY4K3p9tB4
   请求网址	钉钉接收事件订阅的公网URL。 重要 请将此URL复制到钉钉开放平台 > 应用开发 > 企业内部应用 > 钉钉应用 > 开发配置 > 事件订阅 > 请求网址中。	https://default-pre-auth-server.cloudsecsase.com/*/*
   审批流配置	配置SASE审批模板与钉钉审批流程的关联与字段映射。 流程模板：SASE内置的流程模板。 关联钉钉流程ID：请填写钉钉审批流程的表单ID。 如何查看钉钉审批流程表单ID 登录钉钉管理后台。 在页面右下角的常用应用模块中选择审批。 您也可以在左侧导航栏中选择工作台 > 应用管理，在应用列表中定位到OA审批，单击操作列的进入，进入OA审批管理后台页面。 在左侧导航栏中，选择表单管理。 在表单管理列表中查看已创建的审批流程表单ID。 系统字段：流程模板中内置的系统字段，不可编辑。 模板字段：在关联的钉钉流程中配置的字段。 说明 SASE审批流可以绑定同一钉钉应用下创建的多条审批表单，您可以单击添加，配置不同的审批流程。	流程模板：app卸载策略 关联钉钉流程ID：PROC-EB35CAE7-******-*****19C5833D0C17 系统字段：报备原因 模板字段：钉钉审批报备原因

4. 配置完成后，单击确定。

步骤四：配置钉钉事件订阅

当事件发生时，钉钉会通过开发者订阅的方式向应用推送消息。

1. 打开钉钉应用的事件订阅页面。

   说明

   在步骤三中如何获取aes_key和token的操作步骤中开启的页面。

2. 配置请求网址，并单击保存。

   您可以登录办公安全平台控制台。，左侧导航栏选择审批中心 > 流程管理，单击目标审批流程操作列的编辑，在编辑审批流程面板中查看请求网址。

   

3. 保存成功后，在页面下方的审批事件中开启审批实例开始，结束事件订阅开关。

4. 单击审批实例开始，结束中的订阅设置。

5. 在订阅内容对话框中配置事件订阅地址，精细化的管理订阅事件，同时有效降低资源使用额度。

   说明

   每月处理订阅事件会有一定的额度限制，您可以前往钉钉开放平台首页中查看Webhook 和 Stream 用量的使用情况。

   1. 单击添加，在订阅地址中输入需要订阅的事件地址。

      参考格式：/v1.0/event/bpms_instance_change/processCode/{processCode}/type/{type}，例如：/v1.0/event/bpms_instance_change/processCode/PROC-XXXXX/type/*。

   2. 单击确定。

步骤五：配置防卸载策略

1. 登录办公安全平台控制台。

2. 在左侧导航栏，选择终端管理 > 终端注册。

3. 在卸载审核页签中，单击防卸载策略。

4. 在客户端防卸载策略面板中，参考如下内容进行配置，然后单击确定。

   配置项	说明	示例值
   客户端配置开关	支持配置客户端防卸载和客户端自启动与防退出。	开启客户端防卸载。
   生效范围	指定生效防卸载策略的用户组。	钉钉用户组
   白名单	白名单用户可自行卸载SASE客户端，不受防卸载策略限制。	刘经理
   审批流配置	选择是否支持员工报备及报备审批流程。	报备流程：支持员工报备审批 选择审批流程：选择您已创建的审批流程。 警告 需选择流程管理中创建的与钉钉系统关联的审批流程。
   弹窗提示配置	在系统检测到生效用户进行卸载SASE App的操作时，会进行弹窗提示，您可以配置弹窗标题、内容及按钮展示文案。支持设置中文和英文两种提示信息。	标题：您的SASE即将被卸载 内容：卸载后该设备无法用于企业办公，同时将失去内网访问权限！ 主要按钮：去报备 次要按钮：我知道了

步骤六：验证

1. 使用钉钉身份源登录SASE App。

2. 执行SASE App卸载操作。

3. 查看防卸载弹窗提示，并单击去报备。

4. 在安全软件禁止卸载页面中填写报备原因，并单击发起报备。

5. 审批人可在钉钉应用中查看OA审批请求，并进行审批。

   管理员可在SASE控制台的审批中心 > 流程实例中查看审批详情并进行审批。

   说明

   • 审批拒绝或通过，审批状态会同步到钉钉客户端。

   • 若审批通过后，您可以再次进行卸载操作，即可卸载SASE App。