强制将 Chrome 下载内容存入云端存储空间

支持此功能的版本：Chrome 企业进阶版。比较您的版本

您可以将数据保护规则与 Chrome 企业进阶版搭配使用，以防止用户将 Chrome 浏览器中下载的文件保存到本地设备。当包含“强制执行云端存储空间”操作的规则在“文件已下载”事件中触发时，Chrome 浏览器会阻止将文件保存到本地存储空间。而是由 Secure Enterprise Browser 扩展程序将文件上传到用户在 Google 云端硬盘或 OneDrive 中的企业云端存储空间。

此操作可防止敏感数据进入不受管理的本地设备，同时让用户能够继续工作。如果用户验证或云端上传失败，本地下载仍会被屏蔽。

准备工作

确保您的环境符合以下要求：

  • Chrome 浏览器版本：
    • Google 云端硬盘目标位置：Chrome 浏览器 144 或更高版本
    • Microsoft OneDrive 目标位置：Chrome 浏览器 146 或更高版本
  • 管理员权限：确保您的账号拥有查看 Chrome DLP 规则和管理 Chrome DLP 规则的权限。您还需要拥有管理组织部门、群组以及 Chrome 应用和扩展程序的权限。
  • Chrome 企业版接口政策：设置接口政策，包括下载内容分析。如需了解相关步骤，请参阅为 Chrome 企业进阶版设置 Chrome 企业版接口政策。
  • Microsoft OneDrive 的其他要求：
    • 设置 Microsoft Entra ID 单点登录 (SSO) 以及与 Google Workspace 或 Cloud Identity 的身份同步。用户必须使用其 Microsoft 账号登录 Chrome 个人资料。如需了解设置说明，请参阅 Microsoft Entra 文档。
    • 在 Google 管理控制台中为整个组织启用第三方身份提供方 (IdP) 单点登录，或将单点登录配置文件分配给使用该规则的组织部门。
    • 为每位将文件保存到 OneDrive 的用户分配 Microsoft OneDrive 许可。

第 1 步：在 Microsoft Entra ID 中设置 OneDrive 应用

如果您将 Google 云端硬盘用作组织的目标位置，请跳至第 2 步：强制安装扩展程序。

如果您在组织中使用 OneDrive，请将 Chrome Enterprise Premium Force Save to OneDrive 应用添加到 Microsoft Entra ID 租户。然后，为应用授予管理员同意：

  1. 打开管理员同意页面。

  2. 使用全局管理员或特权角色管理员账号登录。

  3. 查看所请求的权限：

    • User.Read：允许应用根据用户的 Chrome 个人资料验证其身份。
    • Files.ReadWrite：允许扩展程序创建文件夹并将文件上传到用户的 OneDrive。

  4. 点击 Accept（接受）。浏览器会重定向到 Google 管理控制台。

  5. 在 Microsoft Entra 管理中心内，前往企业应用，并确认 Chrome 企业进阶版强制保存到 OneDrive 位于列表中。

第 2 步：强制安装扩展程序

用户必须在其受管理的 Chrome 浏览器或个人资料中安装安全企业浏览器扩展程序，才能进行云端上传。如需先在一小群用户中进行测试，您可以为试用用户添加组织部门。

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 设备 然后 Chrome 然后 应用和扩展程序 然后 用户和浏览器。

    如果您已注册 Chrome 浏览器云管理，请依次点击“菜单”图标 然后 Chrome 浏览器 然后 应用和扩展程序 然后 用户和浏览器。

  2. 如要将设置应用于特定用户或浏览器，请选择一个组织部门或配置群组。如果您为试点组织部门使用 Microsoft Entra ID 单点登录，请确保将第三方 IdP 单点登录配置文件分配给该组织部门。
  3. 将鼠标指向“添加”图标 ，然后点击按 ID 添加 Chrome 应用或扩展程序图标 。
  4. 对于扩展程序 ID，输入 ekajlcmdfcigmdbphhifahdfjbkciflj，然后选择来自 Chrome 应用商店。
  5. 点击保存。
  6. 在应用和扩展程序列表中，点击安全企业浏览器。
  7. 在安装政策部分，选择强制安装或强制安装 + 固定到浏览器工具栏。
  8. 点击右上角的保存。

第 3 步：创建规则以强制执行云端存储空间

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 规则 然后 创建规则 然后 数据保护。

    需要拥有查看和管理 DLP 规则的权限，或者对于 Chrome 浏览器或 ChromeOS，需要拥有查看和管理 Chrome DLP 规则的权限。

  2. 为规则输入名称和（可选）说明。
  3. 在应用部分，为 Chrome 勾选已下载文件复选框。
  4. 点击继续。
  5. 在操作部分中，针对 Chrome，选择强制使用云端存储空间。
  6. 选择云存储目标位置：
    • 您组织的 Google 云端硬盘
    • 您组织的 OneDrive 存储空间
  7. （可选）在提醒部分中，配置以下任一提醒选项：
    • 选择严重级别：低、中或高。
    • 勾选提醒中心复选框，将通知发送到提醒中心。
    • 添加邮件通知收件人。
  8. 点击继续。
  9. 在范围部分，选择一个选项：
    • 如需将规则应用于整个组织，请选择 <域名> 中的所有用户。
    • 如要将规则应用于特定组织部门或群组，请选择包含或排除组织部门和群组，然后选择组织部门和群组。
  10. （可选）在内容条件部分中，点击添加条件，指定触发规则的内容，例如预定义的数据类型、文件类型、来源网址或文件大小。如需详细了解可用条件，请参阅使用 Chrome 企业进阶版 将 DLP 与 Chrome 集成。
  11. 点击继续并查看规则详情。
  12. 在规则状态部分，选择活跃可立即运行规则，选择未启用可在启用规则之前先进行检查。
  13. 点击创建。

文件大小限制、规则优先级和时间

  • 文件大小限制：强制执行的云端存储空间支持最大 150 MB 的文件。如果用户下载的文件大于 150 MB，Chrome 浏览器会阻止下载，并且扩展程序会显示出错提示。您可以向规则添加文件大小条件，以匹配特定文件大小。
  • 操作优先级：当多条规则适用于同一文件下载时，系统会应用操作最严格的规则：禁止 然后 强制使用云端存储空间 然后 允许共享且显示警告 然后 仅记入审核日志。如果多条规则具有相同的操作，则系统会应用最近修改的规则。
  • 规则更新：创建或修改规则后，更改通常最多需要 2 分钟才能生效。

第 4 步：开启事件报告功能并监控事件

启用 Chrome 事件报告功能，以便在日志、报告和提醒中查看强制执行的云端存储空间事件。

  1. 在 Google 管理控制台中，依次点击“菜单”图标 然后 设备 然后 Chrome 然后 设置。

    如果您已注册 Chrome 企业核心版，请依次点击“菜单”图标 然后 Chrome 浏览器 然后 设置。

    需要拥有移动设备管理管理员权限。

  2. （可选）如要将设置应用于某个部门或团队，请在侧边选择一个组织部门。
  3. 依次选择浏览器报告功能 然后 事件报告。
  4. 选择启用事件报告功能。确保敏感数据事件或所有事件类型均已开启。
  5. 点击保存。您也可以针对组织部门点击覆盖。

    如果之后要恢复继承的值，请点击继承。

启用事件报告后，您可以在 Google 管理控制台中监控强制执行的云端存储空间活动：

  • Chrome 日志事件：在报告 然后 审核和调查 然后 Chrome 日志事件中，匹配的下载内容会显示目标位置为 Google 云端硬盘或 OneDrive。
  • 规则日志事件：在报告 然后 审核和调查 然后 规则日志事件中，匹配的下载内容会显示强制保存到云端或强制保存到云端的触发的操作。
  • 提醒中心：在安全性 然后 提醒中心中，提醒会显示触发的操作强制保存到云端。
  • Chrome 威胁防护措施摘要报告：在安全性 然后 信息中心 然后 Chrome 威胁防护措施摘要中，该报告会跟踪强制保存到云端事件的数量。

用户体验

  1. 当用户开始下载符合规则的文件时，Chrome 浏览器会阻止本地下载。系统会显示一条消息，提示用户将文件保存到云端存储空间。
  2. 当用户将文件保存到云端存储空间时：
    • 对于 OneDrive，如果用户未登录其 Microsoft 账号，系统会先打开 Microsoft 登录框。
    • Secure Enterprise Browser 扩展程序会打开保存到 Google 云端硬盘或保存到 OneDrive 框，并显示上传进度。
  3. 在上传框中，用户可以取消上传、重命名文件或从云端存储空间中删除已上传的文件。

用户还可以在下载控制设置部分的安全企业浏览器选项页面上自定义扩展程序设置：

  • 将保存的链接转换为 Google 编辑器格式：在保存到 Google 云端硬盘时，将兼容的文件转换为 Google 文档、表格或幻灯片格式。
  • 自动打开已保存的文件：上传完成后，在云端存储空间中打开文件。

排查强制存入云端存储空间的问题

用户验证要求和错误

如需让扩展程序将文件上传到 Cloud Storage，必须满足以下所有条件：

  • 用户已登录其 Chrome 个人资料。
  • 登录的账号与 Chrome 企业进阶版相关联。
  • 如果浏览器是受管理的，则登录用户的网域与受管理浏览器的网域一致。
  • 对于 OneDrive，用于登录扩展程序的 Microsoft 电子邮件地址必须与 Chrome 个人资料电子邮件地址完全一致（全部小写）。 不支持大小写混合的电子邮件地址。

如果未满足任何要求，系统会显示通知，提示用户登录有效的工作或学校账号。本地文件下载仍会被阻止。

验证通知未在 macOS 上显示

在 macOS 设备上，当发生用户验证错误时，系统通知设置可能会屏蔽 Chrome 通知。让用户依次打开 macOS 的系统设置 然后 通知 然后 Google Chrome，然后开启通知。

Microsoft Entra 错误 AADSTS50105

如果您在 Microsoft Entra ID 中添加了 Chrome Enterprise Premium Force Save to OneDrive 企业应用，但用户收到 AADSTS50105 错误框，请检查该应用是否需要用户分配。在 Microsoft Entra 管理中心内，打开该应用，然后将是否需要分配？设置为否，或将受影响的用户和群组分配给该应用。

未添加 OneDrive 应用时出错

如果用户收到错误消息，指出应用未添加到您的组织，请使用全局管理员或特权角色管理员账号完成第 1 步：在 Microsoft Entra ID 中设置 OneDrive 应用中的步骤。请确保您在整个租户中授予管理员同意。

登录时找不到 Google 账号

如果用户在 Chrome 登录界面上收到“找不到 Google 账号”错误，则可能是其 Microsoft Entra 身份未与 Google 同步，或者其组织部门未启用单点登录。在 Microsoft Entra ID 和 Google 管理控制台中验证身份同步和单点登录设置。

将文件上传到第三方应用

许多第三方应用可直接与 Google 云端硬盘和 OneDrive 连接。 如需详细了解云存储集成，请与您的应用提供商联系。 如果用户必须为不支持云端存储的应用下载文件，请优化数据保护规则条件。例如，添加文件类型或来源网址条件，以从规则中排除特定文件或网站。

OneDrive 应用为何会请求文件权限

该扩展程序需要获得在用户的 OneDrive 中创建文件夹和上传文件的权限。该应用仅访问已登录用户的 OneDrive 账号。它无法访问贵组织中其他用户拥有的文件。

检查扩展程序日志中是否存在下载或上传错误

如果上传失败，扩展程序上传框会显示错误详情。 如果云端存储空间配额已满、登录失败或源服务器返回错误，上传可能会失败。

如需查看或导出扩展程序日志，请执行以下操作：

  1. 打开安全企业浏览器选项。
  2. 前往问题排查部分。
  3. 点击显示日志或下载日志。