企业办公安全访问一体化

1企业办公安全访问一体化最佳实践 业务架构 场景描述 本场景模拟企业办公环境，基于CSAS服务构建 企业办公安全一体化方案，将“安全+网络”能力 无缝融合，实现了对云下办公终端安全的统一管 理，企业无需在投资复杂且昂贵的传统硬件安全 设备，即可快速构建安全、可靠、低成本的办公 安全防护体系。 解决问题 1. 企业办公环境访问互联网的安全管理 2. 企业办公环境访问内网服务的安全管理 3. 企业办公网络、安全一体化管理 最佳实践频道 阿里云最佳实践技术分享群 产品列表  云安全访问服务CSAS  云服务器ECS  专有网络VPC  云数据库RDS  对象存储OSS

2云服务器ECS（产品名称） 文档模板（手册名称）/ 阿里云 企业上云实践 企业办公安全一体化访问 最佳实践 文档版本：20210129 文档版本：20150122（发布日期） 2

3企业办公安全一体化最佳实践 文档版本信息 文档版本信息 文本信息 属性 内容 文档名称 企业办公安全一体化 文档编号 196 文档版本 V1.1 版本日期 2021-01-29 文档状态 外部发布 制作人 期会 审阅人 游圣 文档变更记录 版本编号 日期 作者 审核人 说明 V1.0 2021-01-29 期会、金文磊 梅杰、天裵 创建 文档版本：20210129 I

4企业办公安全一体化最佳实践 前言 前言 概述 本文主要介绍如何通过阿里云CSAS（云安全访问服务）来帮助企业建设办公环境下 的安全网络访问，帮助企业更好的维护PC、移动设备端的网络安全管控和网络应用 管理，并提供安全审计日志服务。 应用范围 通用行业，具有集团/分支机构的企业客户。 名词解释  专有网络VPC：VirtualPrivateCloud，简称VPC，是基于阿里云创建的自定义私 有网络，不同的专有网络之间二层逻辑隔离。您可以在自己创建的专有网络内创 建和管理云产品实例，比如ECS、负载均衡、RDS等。在部署云资源前，您需要 结合具体业务，规划VPC和交换机的数量及网段等。更多信息，请参见： www.aliyun.com/product/vpc  云安全访问服务：CloudSecurityAccessService，简称CSAS，依托阿里云海量 的边缘节点，将安全能力延伸至用户边缘，为企业分支机构/门店、远程移动办公 场景的访问互联网及云上服务流量提供就近接入的安全防护能力。更多信息，请 参见：https://www.aliyun.com/product/security/csas  访问控制RAM：RAM使您能够安全地集中管理对阿里云服务和资源的访问。您 可以使用 RAM 创建和管理用户和组，并使用各种权限来允许或拒绝他们对云资 源的访问。更多信息，请参见：www.aliyun.com/product/ram 文档版本：20210129 III

5企业办公安全一体化最佳实践 目录 目录 文档版本信息..................................................................................................................................................................I 法律声明.........................................................................................................................................................................II ................................................................................................................................................................................ 前言 III 目录...............................................................................................................................................................................IV ................................................................................................................................................................ 最佳实践概述 1 前置条件........................................................................................................................................................................2 演示环境说明及附件下载............................................................................................................................................3 ........................................................................................................................................................ 1. 基础环境配置 4 1.1. 基础环境网络说明................................................................................................................................4 ........................................................................................................................................ 1.2. 基础环境配置 4 1.3. 安全组配置............................................................................................................................................7 2. LDAP配置.............................................................................................................................................................9 .................................................................................................................................................. 2.1. AD配置 9 2.2. DNS配置.............................................................................................................................................18 ......................................................................................................................................... 2.3. PC加入AD 19 3. 安全访问管理（CSAS）配置...........................................................................................................................23 3.1. 配置企业标识......................................................................................................................................23 ..................................................................................................................................... 3.2. 添加IDP配置 23 3.2.1. CSAS客户端部署及部署..........................................................................................................26 .......................................................................................................................... 4. 企业办公访问互联网安全防护 30 4.1. 互联网网站（URL）访问安全防护..................................................................................................30 4.2. 互联网应用程序访问安全防护..........................................................................................................34 .............................................................................................................. 4.3. 自定义关键词访问安全防护 38 4.4. 互联网访问行为管理和行为审计......................................................................................................43 ...................................................................................................................... 5. 企业办公访问内网服务安全防护 45 5.1. 创建内网服务......................................................................................................................................46 5.2. 内网服务配置......................................................................................................................................50 ...................................................................................................................... 5.3. 访问内网服务策略配置 52 5.4. 访问内网服务验证..............................................................................................................................56 ..................................................................................................................................... 5.5. Mac用户使用 58 文档版本：20210129 IV

6企业办公安全一体化最佳实践 最佳实践概述 最佳实践概述 方案架构 本场景模拟企业办公环境，基于CSAS服务构建企业办公安全一体化方案，将“安全 +网络”能力无缝融合，实现了对云下办公终端安全的统一管理，企业无需在投资复杂 且昂贵的传统硬件安全设备，即可快速构建安全、可靠、低成本的办公安全防护体系。 方案优势  办公安全统一管控，基于SASE安全模型，将安全+网络深度整合，SaaS交付方 案，一个平台即可为企业远程办公及分支/门店上网提供统一的安全管理能力。  毫秒级延迟，无感防护，依托阿里云海量的边缘节点资源，安全能力下沉至用户 边缘部署，互联网访问防护无感接入，远程办公接入可享受网络加速，给您极致 办公体验。  降本增效，纯SaaS化部署模式，相较传统的硬件安全设备，成本降低40%+，部 署周期降低3倍+，安全设备运维零成本。  ZTNA零信任访问架构，采用全新的零信任无边界访问控制体系，基于身份属性+ 客户端属性的访问控制策略，让员工无论在任何网络环境都可以安全办公。 文档版本：20210129 1

7企业办公安全一体化最佳实践 前置条件 前置条件 在执行本文操作前，请完成以下准备工作：  注册阿里云账号，并完成实名认证。您可以登录阿里云控制台，并前往实名认证 页面（https://account.console.aliyun.com/v2/#/authc/home）查看是否已经完成 实名认证。  阿里云账户余额大于100元。您可以登录阿里云控制台，并前往账户总览页面 （https://expense.console.aliyun.com/#/account/home）查看账户余额。  开通以下服务： ￚ CSAS:详情请参见https://yundunnext.console.aliyun.com ￚ ECS：详情请参见https://ecs.console.aliyun.com ￚ VPC：详情请参见https://vpc.console.aliyun.com 文档版本：20210129 2

8企业办公安全一体化最佳实践 演示环境说明及附件下载 演示环境说明及附件下载  本方案仅作为实践演示，本方案重在演示方案和demo程序，实际环境中产品和 应用配置请按照业务需求进行。  复制以下地址到浏览器，下载本文相关代码、脚本等附件，下载后解压即可。 https://code.aliyun.com/best-practice/196/repository/archive.zip?ref=master  附件中samplecode文件包含本篇实践中用到的命令行、配置文件、脚本等。  如有问题或建议，请扫钉钉二维码联系我们。 文档版本：20210129 3