应用细粒度控制

通过应用细粒度控制（Application Granular Controls），您可以创建 Gateway HTTP 策略来控制受支持的 SaaS 应用程序中的特定用户操作。这使您能够在允许用户访问应用程序的同时，限制他们在该应用程序中可以执行的操作。

要使用应用细粒度控制，您必须：

• 在您用户的设备上安装 Cloudflare 证书或自定义证书。
• 开启 TLS 解密。
• 开启 Gateway 代理。
• （可选）如果应用程序使用 HTTP/3，开启 UDP 流量的 Gateway 代理。
• （可选）要开启 AI 提示词日志记录，请创建 DLP 负载加密公钥。

要使用应用细粒度控制创建 Gateway HTTP 策略：

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "Block ChatGPT uploads",
		"description": "Block file uploads to ChatGPT while allowing other usage",
		"enabled": true,
		"action": "block",
		"filters": [
				"http"
		],
		"traffic": "any(app.ids[*] == 1199) and any(app_control.controls[*] in {1653})",
		"identity": "",
		"device_posture": ""
	}'

有关更多信息，请参阅 HTTP 策略。

Gateway 在不同的粒度级别定义了应用细粒度控制，包括 Application Controls（应用控制项）和 Operations（操作）。

Application Controls 是代表用户意图（例如上传或下载）的预定义控制项。Cloudflare 将每个受支持应用程序的相关操作集整理到 Application Controls 中。当预定义的分组符合您的意图时，请使用 Application Controls。

Operations 是应用程序使用的单个 API 级别操作。使用 Operations 可以实现比 Application Controls 提供的更细粒度的控制 —— 例如，仅阻止某些类型的下载，或者在不存在 Application Control 的情况下阻止评论。由于每个 SaaS 应用程序都使用具有其自身范围和行为的独特操作集，因此操作级别的控制可能需要针对每个用例进行分析。

Cloudflare 根据应用程序的可用 API 提供 Operations。有关 Operations 如何映射到 Application Controls 的更多信息，请参阅兼容的应用程序。

Operation Groups 是由应用程序供应商定义的操作分组。Operation Groups 通常基于对应用程序不同功能区域（例如签名请求）或应用程序所定义实体（例如文件或文件夹）的分类。这些定义因应用程序而异。Gateway 将操作划分到这些 operation groups 中，以便将操作与相应的供应商 API 文档相匹配。

您可以将应用细粒度控制与数据丢失预防 (DLP) 结合使用，以处理包含可扫描内容的操作。这包括包含已上传或已下载文件内容或 AI 提示词的操作。例如，当用户执行文件上传时，可能会产生一系列 API 操作，例如设置文件元数据、上传文件内容以及完成上传。在将 DLP 应用于您的 Zero Trust 流量时，专门针对包含文件内容的操作会有所帮助。

SaaS 应用程序通常提供多个可交互的 API。对于每个应用程序，应用细粒度控制可能支持以下 API 类型：

• Web Application API：这些 API 由用户通过浏览器与其交互的 Web 应用程序所消费。
• Platform API：这些 API 向用户公开，以允许与 SaaS 应用程序进行程序化交互。这些通常由自动化、脚本或其他应用程序使用。

Application Controls 包含这两种 API 类型的 Operations。如果在使用 Operations 创建 HTTP 策略时这两种 API 类型都可用，您应选择与正在使用的 API 相对应的一组 Operations，或两者都包含以获得更广泛的覆盖范围。

应用细粒度控制支持以下应用程序：