限制对SaaS应用程序租户的访问

本文概述了如何通过限制访问指定租户来解决多租户SaaS应用中的安全问题。

概览

SaaS应用在商业和个人中的使用增加，带来了无法控制的多租户访问的挑战。缺乏可见性和控制，用户可能连接到未经批准的租户，从而导致潜在的安全风险，例如：

租户限制通过定义允许或阻止用户访问哪个SaaS应用租户或控制应用内的操作来解决这些挑战。这可以用于确保只有批准的用户可以访问组织的SaaS租户，并阻止未批准的用户或租户访问，例如个人邮件账户。这可以帮助您满足合规要求并降低数据丢失的风险。

Cato提供多种实施租户限制的方法：

租户意识：在应用程序控制规则中，定义每个租户和用户允许或阻止的特定操作，以集中管理您环境中的租户感知策略。例如，阻止从 Google Drive 下载文档。
租户限制策略：通过更改 HTTP 客户端请求中的头字段来控制用户流向 SaaS 应用程序的流量。例如，阻止访问个人 Google Drive 租户。

公司使用Google Drive作为企业云存储解决方案，并了解员工拥有个人账户。

为了防止将敏感数据偶然或故意上传到个人账户，同时不干扰合法的商业活动，公司希望只允许上传和下载到企业Google Drive租户，同时阻止这些活动在个人租户中进行。

IT团队创建了一个应用控制规则，允许在企业租户内的上传和下载操作，并阻止其他租户的上传和下载操作。

您可以通过在应用控制规则中定义特定的操作、租户和用户来细化控制用户活动。 应用程序上下文谓词让您定义规则所适用的具体租户。当用户执行与应用控制规则匹配的操作时，将创建事件。有关查看事件的详细信息，请参阅网络中的事件分析

有关创建应用程序控制规则的详细信息，请参阅管理应用程序控制策略。

要识别支持的应用程序和操作，请在应用程序目录的搜索字段中，搜索词语租户。展开每个应用以识别支持的操作。

使用应用控制规则中的登录活动，您可以定义能够登录或被阻止登录特定应用程序的用户。例如，您可以定义能够登录Facebook的用户，同时阻止所有其他用户。

要使用此方法实施租户限制：

在规则应用之前登录应用的用户无需强制退出登录。此方法适用于支持登录操作的应用。

有关创建应用程序控制规则的详细信息，请参阅管理应用程序控制策略。

租户限制策略允许您创建规则以限制用户在您的网络中允许的应用的访问租户。这有助于您通过阻止访问除您组织租户之外的租户来保护您的网络。例如，您可以阻止用户访问其个人邮箱或文件共享账户，以帮助防止敏感数据泄漏。