第三方 CASB 设置指南（适用于 Google Workspace）

云访问安全代理 (CASB) 是一种本地或基于云的软件，位于用户与互联网应用之间。CASB 可强制执行安全政策、降低恶意软件威胁，并监控可能影响网域安全的用户活动。

重要提示：使用 Google Workspace 时，无需设置第三方 CASB。不过，如果您决定这样做，建议您阅读以下准则和问题排查说明。

CASB 指南

使用离线 CASB（如适用）

如果可能，请勿在用户与 Google 之间的网络流量中使用内联/主动 CASB（请勿使用代理或网络过滤器）。考虑采用其他方式来实现您的目标，例如 API 或 Gmail 插件（如离线 CASB）。对于潜在的涉及在线/活跃 CASB 解决方案的 Google Workspace 问题，Google 支持团队无法协作进行问题排查，也无法提供解决方案。

因此，我们建议您改为使用 Google Workspace 提供的以下选项：

确保您可以停用 CASB 以进行测试

如果您必须使用 CASB，请确保您可以通过绕过或停用特定机器或用户的 CASB 来测试配置。这一点非常重要，因为 CASB 提供商/配置通常会导致 Google 服务出现连接问题（而不是 Google 本身存在问题）。

以下是一些常用方法，可测试 Google Workspace 的问题是否是由 CASB 引起：

  • （推荐采用）使用不同计算机进行连接，且该计算机上的网络流量不通过 CASB 转送，也不需要遵循任何要求安装本地网络过滤器或浏览器扩展程序的公司政策。例如，使用个人设备访问 Google 服务，或将受影响的机器连接到移动网络（网络共享），而不是公司网络。
  • 设置 CASB 以透传来自受影响计算机的流量。此方法的设置难度较大。
  • 如果贵单位的政策不允许直接连接到 Google Workspace 账号，请使用单独的 Google Workspace 测试环境。

如果您必须屏蔽 Google 流量，则不应该修改载荷体/响应体，如注入自己的 JavaScript 代码。相反，您应确保您的 CASB/代理将相应响应替换为 500 响应。理想情况下，500 响应包含独特的标题，可表明其来自相应 CASB。如果您修改了响应体，则 Google 无法确保为可能引起的任何问题提供支持。

请注意，Google 无法提供 CASB 配置方面的帮助

对于因屏蔽或修改浏览器（API 客户端）和 Google 之间的网络流量而引发的问题，或者因这类更改的副作用而引发的问题，Google 无法确保提供任何协助。Google 提供了各种 API 用于集成，但我们无法支持通过其他方式（如代码/CSS 注入）创建的集成功能。这是因为 Google 无法了解第三方系统中的配置或代码，并且无法对非公开接口提供任何保证。

Google Workspace 支持团队也无法协助调试第三方代码，尤其是不使用官方 Google API 或界面的代码。例如，您可以使用 Gmail 插件来向 Gmail 界面添加一个按钮，Google 会为此提供支持。但是，如果您通过注入自己的 JavaScript 代码（不论是通过 Chrome 扩展程序还是中间人 (MITM) 代理）来向 Gmail 界面添加按钮，则 Google 不会为此提供支持。

问题排查

下文列出了与 CASB/网络过滤器有关的网络问题可能存在的部分副作用和症状。这不是完整的问题清单，因此可能还存在其他症状：

  • 界面未加载或为空白。
  • 用户被重定向至 Google 支持页面，并看到如何清理缓存的提示，但清理缓存后，重定向现象仍然存在。
  • 应用可以加载，但部分功能被停用。例如，用户无法撰写电子邮件，或者 Google 文档/表格/幻灯片的编辑器选项被停用或灰显。
  • 在 Google Workspace 状态信息中心未报告服务中断的情况下，多个不相关的 Google Workspace 产品（如 Gmail 和云端硬盘）都出现了错误。

验证 CASB/代理是否正在修改您的网络流量或浏览会话

  • 将 HTTPS 证书指纹与真正的 Google 证书进行对比。例如，使用 SSL 服务器测试来比较您在浏览器中看到的证书指纹与同一主机名（例如 docs.google.com）显示的指纹。
  • 如果证书不同，则表示使用了在线/活跃 CASB。尝试在直接连接到 Google 的情况下重现问题（例如，在通过移动网络连接的单独机器上，如上所述），并确保没有拦截网络流量的本地运行代理。
  • 如果证书相同，则很可能表示没有使用在线 CASB。尝试在 Chrome 无痕模式下重现问题，并确保不允许在无痕模式下使用任何 Chrome 扩展程序。这样可以消除与所安装的本地运行的代理（如 Chrome 扩展程序）相关的问题。

后续步骤

如果您遇到 CASB/网络问题，并且验证了您的网络流量是否被 CASB/代理修改（如上文各部分所述），请执行以下操作：

  • 告诉您的网络管理员。
  • 检查问题是否发生在无关的机器或账号上（请参阅上文中的“确保您可以停用 CASB 以进行测试”部分）。Google 无法保证中断或修改的连接（或由扩展程序修改的网页）能够按预期运行。请联系您的 CASB 提供商。
  • 如果您仍然认为此问题出在 Google 方面，请收集以下信息并将其提供给 Google 支持团队：