应用程序细粒度控制

借助应用程序细粒度控制（Application Granular Controls），你可以创建 Gateway HTTP 策略，以控制受支持 SaaS 应用程序中的特定用户操作。这样你可以允许用户访问应用程序，同时限制他们在应用程序内可以执行的操作。

要使用应用程序细粒度控制，你必须：

• 在用户设备上安装 Cloudflare 证书或自定义证书。
• 开启 TLS 解密。
• 开启 Gateway 代理。
• （可选）如果应用程序使用 HTTP/3，开启 UDP 流量的 Gateway 代理。
• （可选）要开启 AI 提示词日志记录，请创建 DLP 有效负载加密公钥。

要创建带有应用程序细粒度控制的 Gateway HTTP 策略：

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Block ChatGPT uploads",
		"description": "Block file uploads to ChatGPT while allowing other usage",
		"enabled": true,
		"action": "block",
		"filters": [
				"http"
		],
		"traffic": "any(app.ids[*] == 1199) and any(app_control.controls[*] in {1653})",
		"identity": "",
		"device_posture": ""
	}'

有关更多信息，请参阅 HTTP 策略。

Gateway 以不同粒度级别定义应用程序细粒度控制，包括 Application Controls（应用程序控制）和 Operations（操作）。

Application Controls 是表示用户意图的预定义控制，例如上传或下载。Cloudflare 会将相关操作集合组织为每个受支持应用程序的 Application Controls。当预定义分组与你的意图匹配时，请使用 Application Controls。

Operations 是应用程序使用的单个 API 级操作。当你需要比 Application Controls 更精细的控制时使用 Operations —— 例如，只拦截某些类型的下载，或在不存在 Application Control 时拦截评论。因为每个 SaaS 应用程序都使用一组范围和行为各不相同的操作，操作级控制可能需要针对每个用例进行分析。

Cloudflare 根据应用程序的可用 API 提供 Operations。有关 Operations 如何映射到 Application Controls 的更多信息，请参阅兼容的应用程序。

Operation Groups 是由应用程序供应商定义的操作分组。Operation Groups 通常基于应用程序不同功能区域的分类（例如签名请求），或应用程序定义的实体（例如文件或文件夹）。这些定义因应用程序而异。Gateway 将这些操作分组到操作组中，以便与相应的供应商 API 文档对齐。

你可以将应用程序细粒度控制与数据丢失防护（DLP）一起用于包含可扫描内容的操作。这包括包含已上传或下载文件内容或 AI 提示词的操作。例如，当用户执行文件上传时，可能会产生一系列 API 操作，例如设置文件元数据、上传文件内容以及完成上传。将 DLP 应用于 Zero Trust 流量时，专门针对包含文件内容的操作会很有帮助。

SaaS 应用程序通常提供多个用于交互的 API。对于每个应用程序，应用程序细粒度控制可能支持以下 API 类型：

• Web Application API：由用户通过浏览器交互的 Web 应用程序所使用的 API。
• Platform API：向用户公开以允许以编程方式与 SaaS 应用程序交互的 API。通常由自动化、脚本或其他应用程序使用。

Application Controls 包含这两种 API 类型的 Operations。如果在使用 Operations 创建 HTTP 策略时两种 API 类型都可用，你应选择与正在使用的 API 对齐的 Operations，或同时包含两者以获得更广覆盖。

应用程序细粒度控制支持以下应用程序：