私有应用访问
治理私有端点、代理、设备和网络策略、工作负载身份、会话及审计证据。
- 确认前置条件检查平台功能、租户配置以及单独部署并已注册的代理。
- 注册端点将准确的 HTTPS 目标地址绑定到租户、应用、代理和配置，并提交审批。
- 分配访问权申请有时限的访问，并检查网络、设备和身份策略。
- 监控状态检查代理租约、证书、端点健康状态、访问判定和会话。
- 撤销访问撤销已暴露的端点、凭据、工作负载令牌或权限分配，并核实状态。
边界与配置
除非平台启用，否则私有访问处于禁用状态。该服务不会向客户网络发起入站连接，仓库也不附带代理。客户代理通过带签名的双向 TLS 主动轮询；该控制通道不是通用代理。租户管理员须注册准确的 HTTPS 端点。交付前必须获得独立的 God 审批。
- 确认功能、租户应用、配置和已注册代理的状态。
- 填写准确的 HTTPS 目标地址和允许的路径；不要提交凭据。
- 提交审批，并等待状态变为已批准后再期待交付。
代理、证书与设备
代理注册使用一次性引导信息、由客户持有的私钥、短期证书和签名请求。私钥绝不会上传。轮换与撤销是不同操作；撤销会使该代理的所有证书失效。受管设备的安全状态是保障信号，不等于设备健康的证明。策略使用相关证据前，请检查其时效性。
- 为目标租户连接器创建注册信息，并保护一次性令牌。
- 在本地生成密钥，并确认代理已注册且版本兼容。
- 在证书到期前轮换；对遭入侵的代理或过期设备证书执行撤销。
网络区域与策略
策略可以评估租户、应用、角色、资源、设备保障、身份验证强度、会话时长和网络信号。仅报告模式会展示预期判定，但不会阻止访问。策略有版本管理；发布前请先预览。健康诊断或网络信号本身都不会授予访问权限。
- 检查租户和应用范围、信号、优先级及执行模式。
- 预览具有代表性的请求，并对照预期判定。
- 发布后检查真实判定；应修正范围，而不是取消保障检查。
权限分配、会话与断开连接
权限可分配给用户、群组或权限包，也可能需要审批和到期时间。用户可以断开自己的会话；租户管理员可以终止其应用的会话。仅限 God 的紧急断开操作要求近期完成抗钓鱼 step-up 验证，并会撤销应用会话、端点、保管库凭据和令牌族。该操作不会撤销被其他应用共享的代理，也不会清除上游 Cookie。
- 申请准确的应用权限，并在使用前确认审批已通过。
- 终止会话前，在清单中核实用户和应用。
- 执行紧急断开时，完成真实的 step-up 验证，并核实撤销状态和审计记录。
工作负载身份与密钥
工作负载身份包括所有者、信任关系、凭据、令牌、权限包分配、审查和安全事件。读取与写入操作分别需要相应权限。只申请必要的信任关系或权限包访问，并完成所有权验证或独立审批。撤销已暴露的令牌或证书。切勿将密钥放入个人资料、审计备注或导出文件。
- 检查身份所有者、租户、凭据和审查状态。
- 申请具体的信任关系或权限包，说明用途并完成所需审批。
- 轮换凭据并撤销已暴露的令牌或证书，然后确认其已失效。
诊断、审计与保留
诊断信息会显示有限范围的事件、分类后的访问判定、延迟、代理新鲜度和证书有效期；不会包含请求内容、凭据、令牌、原始 IP 或用户代理。审计、证据包、保留策略、法律保全和导出是不同的授权控制。下载的证据应按敏感信息处理。管理 API 契约位于 /api/auth/management/openapi.json。
- 检查租户和应用范围、代理新鲜度、健康状态及拒绝类别。
- 需要留存调查资料时使用审计或证据包，并限制导出范围。
- 变更导出或保留设置前，检查权限和法律保全要求，并核实审计结果。
常见问题
注册端点后就会立即启用吗？
不会。必须先通过独立审批和当前绑定检查，状态才会生效。
是否包含客户代理？
不包含。请单独部署兼容代理；完成注册本身不能证明代理正在正常运行。
代理可以访问任意内部主机吗？
不可以。代理只能访问准确获批的目标地址和路径策略，不允许任意目标。
终止会话会撤销代理吗？
不会。代理证书须单独撤销；会话操作的影响范围较小。
紧急断开会清除上游 Cookie 吗？
不会。上游状态取决于客户连接器和应用注销流程。
设备状态正常能推翻拒绝判定吗？
不能。访问仍由当前租户和应用策略决定。