使用数据保护规则应用客户端加密功能（Beta 版）

支持此功能的版本：企业 Plus 版；教育标准版和教育 Plus 版。 比较您的版本

需要拥有安全管控或安全管控 Plus 版加购项。

作为管理员，您可以使用数据保护规则，自动对存储在 Google 云端硬盘中的敏感文件应用 Google Workspace 客户端加密 (CSE)。当文件符合数据保护规则中的条件时，Workspace CSE 会对文件进行加密。只有拥有密钥访问控制列表服务 (KACLS) 密钥的用户才能解密和查看内容。

支持的文件和存储位置

您可以将应用 Workspace CSE 的数据保护规则用于以下存储位置和文件类型：

  • 存储位置 - 我的云端硬盘和共享云端硬盘。
    对于共享云端硬盘，规则会根据共享云端硬盘分配到的组织部门或群组来评估文件，而不考虑文件是由哪个用户创建或上传的。
  • 文件格式 - Google 文档、表格和幻灯片，以及 Microsoft Office 文件（例如 .docx、.xlsx 和 .pptx）。如需查看受支持文件类型的完整列表，请参阅云端硬盘中扫描的内容。

了解对文件和功能的影响

在启用应用 Workspace CSE 的数据保护规则之前，请先了解自动加密对贵组织中的文件和用户有何影响：

  • 不受支持的功能和导出的 Takeout 文件 - 当文件符合规则并被转换时：
    • 需要服务器端访问权限的功能（例如容器绑定的 Google Apps 脚本自动化和关联的 Google 表单）会停止运行，并从主文件中永久移除。
    • 对于文档、表格和幻灯片，系统会保留并加密最新修订版本。 之前的未加密修订版本会被删除。
    • 第三方文件评论（例如 Microsoft Office 文件中的评论）会从主文件中永久移除。文档、表格和幻灯片中的评论会保留。
    • Google 会将移除的内容导出到加密的导出文件中。这些文件位于与加密文件相同位置的时间戳文件夹中。
  • 密钥封装和删除未加密数据 - 当文件被标记为需要加密时，云端硬盘会生成一个数据加密密钥 (DEK) 来加密文件内容，并使用其自动化系统封装密钥封装端点将 DEK 发送到您的 KACLS。Google 绝不会记录或存储解封的 DEK。原始未加密文件数据会根据 Workspace 数据保留时间轴删除。
  • 加密文件的用户体验 - 用户在使用加密文件时：
    • 在文件转换为 Workspace CSE 期间，系统会暂时锁定文件，使其无法编辑。
    • 当用户在 Google 文档、表格或幻灯片中打开加密文件时，会看到以下消息：“您的管理员已对此文件应用了额外加密。”用户可以点击邮件中的链接来查看安全限制。
    • 用户可以预览原生文件、图片和 PDF。所有其他文件类型均不支持预览。如需访问这些文件，用户必须选择下载并解密。

准备工作

在创建规则之前，请确保贵组织满足以下要求：

  • 分配安全管控许可 - 贵组织必须拥有安全管控或安全管控 Plus 版加购项。
  • 为云端硬盘设置 Workspace CSE - 在 Google 管理控制台中，使用身份提供方 (IdP) 和 KACLS 设置客户端加密。然后，为规则中包含的组织部门或群组启用 Workspace CSE for Drive。
  • 验证密钥服务是否支持自动加密 - 数据保护规则会在后台自动加密文件，无需用户执行任何操作，因此您的 KACLS 提供商必须支持 systemwrap 端点。请与您的密钥服务提供商联系，确认是否支持并已启用 systemwrap。

创建数据保护规则以加密内容

提示：如需在加密内容之前检查规则会影响多少文件，请先创建仅记入审核日志的规则，而不选择操作。然后，在规则日志事件中查看匹配的文件。

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 安全性 然后 访问权限和数据控制功能 然后 数据保护。

    需要拥有查看 DLP 规则和管理 DLP 规则的管理员权限。

  2. 点击管理规则 然后 添加规则 然后 新建规则。
  3. 在名称和应用部分：
    1. 为规则输入名称和（可选）说明。
    2. 在应用部分，勾选 Google 云端硬盘复选框。
    3. 点击继续。
  4. 在操作部分中：
    1. 对于 Google 云端硬盘，选择应用客户端加密功能。
    2. 查看潜在影响消息。
    3. （可选）如需在触发规则时发送通知，请在提醒部分中选择严重程度级别，勾选提醒中心复选框，然后输入电子邮件收件人。
    4. 点击继续。
    5. 在数据受影响情况确认声明框中，查看披露信息，然后点击我了解。
  5. 在范围和条件部分：
    1. 对于范围，请保留您组织中的所有对象，或者选择 组织部门和/或群组，将规则应用于 已启用安全管控许可和 Workspace CSE 的特定 组织 部门或 配置 群组。
    2. 对于内容条件，点击添加条件，然后选择触发加密的条件，例如所有内容、标题或云端硬盘标签。您可以使用预定义的检测器、字词列表或正则表达式来匹配内容。如需了解详情，请参阅创建云端硬盘 DLP 规则和自定义内容检测器。
    3. 点击继续。
  6. 在审核部分中：
    1. 对于规则状态，请选择一个选项：
      • 如需立即强制执行规则，请选择已启用。
      • 如需保存规则以供日后运行，请选择未启用。
    2. 点击创建。

扫描文件可能需要几小时、一天或更长时间，具体取决于多种因素（包括文件数量）。如需了解详情，请参阅云端硬盘数据泄露防护功能是如何运作的？

在安全调查工具中调查规则执行情况

如需监控自动加密操作，请执行以下操作：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 安全性 然后 安全中心 然后 调查工具。

    需要拥有安全中心管理员权限。

  2. 在数据源中，选择规则日志事件。
  3. 点击添加条件，选择规则名称，然后选择您创建的规则。
  4. 点击搜索，然后查看结果：
    • 内容匹配 - 表示文件与条件匹配。
    • 已应用加密更改 - 文件加密后，显示成功。
  5. （可选）要查看文件的审核历史记录，请将数据源更改为 Drive 日志事件，搜索该文件，并找到具有 DLP 规则 参与者的 加密 事件。

在提醒中心内解决 KACLS 错误

如果 Google Workspace 无法连接到您的 KACLS，文件将保持未加密状态，并且您会在提醒中心收到提醒：

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 安全性 然后 提醒中心。

    需要拥有“提醒中心”管理员权限。

  2. 依次点击添加过滤条件 然后 提醒类型。
  3. 勾选客户端加密服务不可用复选框 然后 点击应用。
  4. 点击相应提醒即可查看详细信息：
    • 端点 - 显示调用的 KACLS 网址，例如 https://kacls.example.com/systemwrap。
    • HTTP 状态代码 - 显示 KACLS 返回的 HTTP 响应代码，例如 401、403 或 500。

解决错误后重新扫描文件

如果规则因网络问题、KACLS 停机或身份验证配置错误而无法加密内容，请解决问题，然后重新扫描文件。重新扫描可能需要几小时、一天或更长时间，具体取决于多种因素（包括文件数量）。

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 安全性 然后 访问权限和数据控制功能 然后 数据保护。

    需要拥有查看 DLP 规则和管理 DLP 规则的管理员权限。

  2. 点击管理规则，然后点击相应规则。
  3. 点击客户端加密重新扫描。
  4. 在确认框中，点击开始重新扫描。
  5. 扫描完成后，使用以下任一方法验证文件是否已加密：
    • 在规则的详情页面中，点击调查。
    • 在安全调查工具中，选择规则日志事件作为数据源，然后搜索您的规则。
  6. 确认加密更改已应用事件的事件状态显示为成功。