本文介绍如何为您的账户配置 Microsoft OneDrive 连接器以应用 应用程序和数据 API 保护 政策，并为数据保护政策创建 OneDrive 规则。
应用程序和数据 API 保护 政策需要单独从 Cato 获取许可证。 有关更多信息，请联系您的 Cato 代表或官方经销商。
注意：
请联系 SaaSecAPI@catonetworks.com 或您的官方 Cato 经销商获取关于使用 应用 & 数据 API 保护 访问权限策略的更多信息。
Microsoft连接器概述
为 Microsoft 365 和 OneDrive SaaS 应用创建连接器。
每个 Microsoft OneDrive 应用和 Azure 租户（根据 365 应用）均受到 Microsoft 的速率限制。 欲了解更多信息，请参阅Microsoft文档。
Prerequisites
Microsoft 365 连接器需要具有全局管理员角色的管理员为 数据保护 API 授予权限
OneDrive API连接器的所需权限
为了让 数据保护 API 扫描 OneDrive 文件和文件夹的资产和内容，连接器给予 Cato 与 OneDrive 应用的以下权限和操作：
使用 Oauth2 授予对应用的访问权限
从应用接收令牌以建立和维持安全连接
根据 应用程序和数据 API 保护 政策连接 Microsoft API，并获取数据和扫描文件，包括：
读取所有站点集合中的文件
登录并读取用户的完整个人资料
在所有站点集合中编写文件（即将推出）
使用Microsoft OneDrive API连接器
本节介绍如何为 Microsoft 365 和 OneDrive 创建 API 连接器，并将其连接到您的 Cato 账户。
了解Microsoft OneDrive的API连接器
为了让 数据保护 API 扫描 Microsoft OneDrive 的资产和内容，首先需要将 Microsoft 365 连接器配置为父应用程序，以便为 OneDrive 连接器授予读取权限。 父应用程序仅具有管理Microsoft连接器的权限。 之后，如有必要，您可以为每个 Azure 租户创建单独的 Microsoft 365 连接器。
步骤 1: 创建 Microsoft 365 连接器
使用 Cato 管理应用程序创建 Microsoft 365 SaaS 应用程序连接器，为您正在使用 数据保护 API 扫描的 Microsoft OneDrive 应用程序的 Azure 租户。 您必须具备正确的凭据才能对 Microsoft OneDrive 应用进行身份验证，以将其添加到您的 Cato 账户中。
在创建和配置连接器设置之前，您首先需要为您的账户启用 数据保护 API。
首先，将MS租户集成配置为父连接器。 该连接器可用于所有Microsoft集成。 如果您已创建父连接器，请进入步骤2。
创建MS租户集成：
从导航菜单中选择 资源 > 集成 并点击 集成应用程序 标签。
单击 新建。 新连接器 面板打开。
在 新连接器 面板中，选择 MS租户（配置一个新的MS租户） 应用程序。
输入 连接器名称。
单击 授权并保存。
打开新的浏览器标签到Microsoft 365应用。
在新的浏览器标签中，对Microsoft 365应用程序进行认证：
选择用于Microsoft 365应用程序的Microsoft账户。
否则，可能会发生Microsoft认证错误。
输入应用程序的密码并批准它。
接受 权限以允许Cato访问Microsoft 365应用程序。
屏幕显示您已成功应用应用的权限。
您可以关闭浏览器标签返回到Cato管理应用程序。
Microsoft 365 SaaS应用程序已添加到 集成应用程序 标签。
步骤 2：创建 Microsoft OneDrive 连接器
Microsoft OneDrive连接器允许数据保护API引擎扫描您在数据保护政策中定义的文件内容。
注意：
当您为 Microsoft 365 应用程序创建 API 连接器时，连接器会创建一个有效期为 3 个月的认证证书，并在到期前 7 天更新证书。
要创建 Microsoft OneDrive 连接器：
从导航菜单中选择 资源 > 集成 并点击 集成应用程序 标签。
单击 新建。 新连接器 面板打开。
为您在上一节创建的 连接器父级 创建新的 OneDrive SaaS 应用程序。
单击 授权并保存。
在新的浏览器标签页中，认证到 OneDrive 应用程序。
选择 OneDrive 应用程序的 Microsoft 账户并登录。
输入应用的密码并批准。
接受权限以便 Cato 访问 OneDrive 应用程序。
屏幕显示您已成功应用应用的权限。
您可以关闭浏览器标签返回到Cato管理应用程序。
Microsoft Azure 处理请求可能需要几秒钟，所以如果收到错误，请刷新浏览器。
OneDrive SaaS应用程序已添加到集成应用程序标签页。
理解 Connector 状态
连接器设置屏幕上的 状态 列显示 Microsoft 应用程序与您的 Cato 账户之间连接的状态。 这是状态的解释：
已连接 - 您的账户已连接到应用并正常工作
连接警告 - Azure 租户中的某些用户没有正确配置以支持 数据保护 API（例如，用户未定义电子邮件地址）。 请打开与支持的票据。
连接错误 - Microsoft连接器存在连接性或权限问题，或限流（Microsoft限制）。 请打开与支持的票据。
待处理 用户 同意 - OneDrive 连接器已在连接设置屏幕中创建，但您还未在 OneDrive 账户中完成授权其连接到 Cato 的过程。
向数据保护政策添加OneDrive规则
本节解释了如何使用数据保护策略来监控和管理用户对OneDrive文件执行的操作。 例如，共享文件、创建新文件、上传等。
有关DLP内容配置文件的更多信息，请参阅创建DLP内容配置文件。
了解OneDrive操作
当您创建数据保护规则时，可定义不同的操作来监控或补救策略违规情况。 每个操作自动生成事件，您也可以选择接收电子邮件通知。 有关数据保护 API事件的更多信息，请参见分析数据保护 API事件。
您可以为数据保护引擎设置以下动作以便在规则匹配时执行：
监控 - 生成事件以便您监控与规则匹配的流量。
移除共享 - 当用户尝试共享文件时，数据保护 API 引擎会移除未经授权的共享权限，并且接收共享文件链接的用户将没有访问该文件的权限。
隔离 - 当用户尝试上传文件时，数据保护 API 引擎将其移动到隔离文件夹中，然后用户将无法再访问它。 Onedrive管理员可以访问隔离文件夹中的文件。 有关配置隔离文件夹的信息，请参见文件隔离准备。
准备文件隔离
为数据保护和威胁防护规则配置隔离文件夹，并为有权限访问这些文件夹的OneDrive管理员定义权限。 您可以为租户的每个OneDrive管理员配置隔离文件夹。 配置文件夹后，您可以创建包含隔离操作的规则，并定义文件移动到的文件夹。
要为OneDrive管理员配置隔离文件夹：
从导航窗格中，选择安全性 > 应用 & 数据 API 保护，然后选择设置选项卡。
单击 新建。 隔离文件夹 面板打开。
选择OneDrive应用连接器。
选择OneDrive管理员来访问这些隔离文件夹。
单击 保存。
为管理员创建一个数据保护文件夹和一个威胁预防文件夹，并可以在规则中配置隔离操作。 文件夹以管理员的电子邮件地址命名，并位于以下OneDrive目录中：
数据保护文件夹：Cato_Qarantine/Cato_Qarantine_DataProtection
威胁预防文件夹：Cato_Qarantine/Cato_Qarantine_ThreatPrevention
配置OneDrive规则
使用数据保护页面在您的数据保护策略中添加 SaaS 应用程序规则。
创建数据保护规则以定义由数据保护 API扫描的流量。 为每个 SaaS 应用连接器创建单独的规则，然后定义哪些流量将被扫描的标准。
有关OneDrive规则设置的更多信息，请参见下文了解OneDrive规则。
要为OneDrive应用创建新的数据保护规则：
从导航窗格中，选择 安全性 > 应用 & 数据 API 保护，并选择或展开 数据保护。
单击 新建。 新建规则 窗格打开。
在应用连接器中选择OneDrive应用程序。
在 常规 部分中，输入规则的设置。
在所有者中选择一个或多个OneDrive文件所有者（默认值为任意）。
当您选择多个所有者时，它们之间存在“或”关系。
在共享选项中选择一个或多个文件权限类型（默认值为任意）。
当您选择多个选项时，它们之间存在“或”关系。
在附件中，定义指定要扫描的文件的条件（默认设置是扫描所有文件）。
在内容配置文件中，为此规则选择数据泄露防护内容配置文件。
选择一个 操作。
对于隔离操作，请选择一个隔离文件夹路径。 对于隔离文件夹的更多信息，请参见上文???。
（可选） 配置跟踪选项以生成 事件 并发送通知。
有关通知的更多信息，请参阅在警报部分中关于订阅组、邮件列表和警报集成的相关文章。
单击 保存。 该规则已添加到数据保护政策中。
了解OneDrive规则
本节说明如何定义数据保护规则的设置，以扫描正确的OneDrive流量。 每个规则可以根据以下标准定义：
所有者 - 个别用户或Azure用户类型是相关OneDrive目录的所有者（默认值为任意人）
共享选项 - 选择与此规则匹配的文件共享权限类型（默认值为任何）
例如，要监控与任何外部用户共享的文件，选择外部链接。
附件 - 扫描的附件标准（默认值为所有附件）
文件类型
文件名称
文件大小（最大文件大小为100 MB）
内容配置文件 - 定义数据泄露防护内容检测的内容配置文件（安全 > DLP 配置文件 > 内容配置文件）
操作 - 请参见上文了解 OneDrive 操作
定义规则的文件或附件
您可以为规则定义特定文件（或附件），并限制 SaaS API 引擎仅扫描指定文件以查看它们是否匹配 DLP 内容配置文件。
当您向规则添加多个文件时，选择它们之间的关系：
满足任一条件（或） - 符合规则中的任何文件类型
全部满足（与） - 与规则中的所有文件类型匹配（否则，规则被忽略）
您可以在规则中使用文件名称设置来定义确切的文件名称，或使用通配符定义关键词。 例如，您可以将文件名称定义为 内部，以匹配所有包含单词 内部 的文件名称。
使用有序数据保护规则
数据保护 API引擎顺序检查数据，并查看是否符合规则。 如果数据不符合规则，则不会检查。 在规则库顶部的规则具有更高优先级，并在规则库中的较低规则之前应用。 每种类型的应用程序或连接器仅应用于数据一次。
最佳实践 - 为了最大化规则库的效率，我们建议对于每种连接器类型，对特定用户的规则应具有比应用于任何用户的规则更高的优先级。
例如，如果数据符合规则 #2 中的连接器，则数据将由数据保护 API引擎检查。 引擎不会继续对同一连接器应用规则 #3 及以下。 但是，数据可能符合具有不同连接器的较低优先级规则。
添加威胁保护到连接器
您可以为连接器创建威胁防护规则，使用已为您的帐户启用的反恶意软件和下一代反恶意软件引擎扫描文件和附件中的恶意软件和病毒。 数据保护API引擎会扫描连接器流量，并应用您为规则配置的操作和跟踪选项。
以下是您可以为威胁防护引擎设置的在规则匹配时执行的操作：
监控 - 生成事件以便您监控与规则匹配的流量。
移除共享 - 当用户尝试共享文件时，数据保护 API 引擎会移除未经授权的共享权限，并且接收共享文件链接的用户将没有访问该文件的权限。
隔离 - 当用户尝试上传文件时，数据保护 API 引擎将其移动到隔离文件夹中，然后用户将无法再访问它。 Onedrive管理员可以访问隔离文件夹中的文件。 有关配置隔离文件夹的信息，请参见文件隔离准备。
每个操作自动生成事件，您也可以选择接收电子邮件通知。 有关数据保护 API事件的更多信息，请参见分析数据保护 API事件。
当您创建应用程序及数据 API 防护规则时，已启用的用于您的账户的反恶意软件引擎（安全 > 反恶意软件）会对发送给该连接器应用程序的文件执行恶意软件扫描。
以下截图显示了用于 OneDrive 连接器的威胁防护规则，扫描由内部用户或访客发送的文件：
为文件创建异常
有时，Cato 的 数据保护 API 引擎阻止了您知道是安全的文件，您需要在网络中允许它。 文件哈希值策略中的反恶意软件例外也适用于 应用 & 数据API保护。 有关将文件添加到文件哈希策略的更多信息，请参阅 管理反恶意软件例外。
分析数据保护API事件
主页 > 事件页显示了您账户的所有 数据保护 API 事件。 强大的搜索工具可以让您深入挖掘并识别包含您所需相关数据的少量事件。
数据保护 API 事件可以通过以下字段识别：
事件类型 - 安全性
子类型 - SaaS 安全 API 数据保护和 SaaS 安全 API 反恶意软件
您可以在这里了解有关使用事件页面的更多信息。
解释 数据保护 API 事件字段
字段名称 | 描述 |
|---|---|
协作者 | 收到文件的用户的电子邮件地址 |
连接器名称 | 规则中定义的连接器的名称 |
连接器类型 | 为该连接器定义的 SaaS 应用程序 |
DLP配置文件 | 生成此事件的 DLP 内容配置文件 |
文件名称 | 附加文件的名称 |
匹配的数据类型 | 在内容配置文件中符合规则的数据类型 |
所有者 | 文件所有者 |
父连接类型 | 父 Microsoft 365 连接器 |
规则 | 在数据保护策略中的规则名称 |
严重程度 | 已定义规则的严重程度 |
共享范围 | OneDrive 文件的共享选项 |