本文档介绍了如何使用安全 Web 代理为出站 Web 流量配置规则。您可以根据各种条件控制允许或拒绝哪些流量，确保只有授权流量离开您的网络。Secure Web Proxy 提供了三种主要机制来 定义这些控制措施：授权政策、 网关安全政策和 服务速率限制政策。
使用适当的政策类型
如需控制出站 Web 流量的流动，您必须为每个安全 Web 代理网关配置授权政策或网关安全政策。这两种政策类型是互斥的；您不能将这两种类型的政策都附加到同一网关。
不过，无论网关是使用授权政策还是网关安全政策，您都可以将服务速率限制 政策附加到网关。
根据您的要求，从以下两种主要安全政策类型中进行选择：
授权政策：使用此政策类型可实现 自定义授权扩展程序（通过使用 Service Extensions） 或前端 mTLS等功能。 授权政策提供了一个灵活的框架来保护 您的出站流量。您可以使用这些政策启用精细的 控制措施，包括基于身份和基于内容的政策，并支持 使用 Service Extensions委托给外部授权引擎。
如果您想为现有部署采用这些功能， 则必须将出站流量规则从网关 安全政策迁移到授权政策。
网关安全政策：如果您需要在政策中使用基于来源身份和目标 属性的标准连接级过滤条件或网址列表，请使用此政策类型。网关安全政策是定义 Secure Web Proxy 中安全规则的基础。它们根据来源身份（例如服务账号或安全标记）和目标属性（例如网址列表）允许或拒绝请求。网关安全政策不支持使用自定义授权扩展程序或前端 mTLS 等功能。
除了选择主要安全政策之外，您还可以选择配置以下类型的政策：
- 服务速率限制政策：使用此政策类型可以确定流量的优先级、 保护外部目标免受流量过载的影响，并通过限制 请求数来控制出站 Web 流量的费用。无论网关是使用授权政策还是网关安全政策，您都可以将服务速率限制政策附加到网关。
授权政策
借助授权政策
，您可以在通过安全 Web 代理处理出站请求时建立基于身份的访问权限控制检查
。您可以配置
授权政策
(AuthzPolicy)
以验证访问
互联网的来源工作负载或代理的身份。
借助授权政策，您可以指定条件，以根据请求的来源、目标和其他请求属性来允许、拒绝或委托请求授权。通过这些检查的请求会转发到 Web 目标。未通过的请求会被拒绝，并显示 403 Forbidden 错误。
对于安全 Web 代理，您可以将授权政策附加到网关资源，以定义出站流量的安全边界，并评估安全 Web 代理中的授权政策规则。此外，您还可以配置 Secure Web Proxy，以使用 Service Extensions（授权扩展）将授权决策委托给外部授权引擎。
如需详细了解如何配置授权政策，请参阅 为 安全 Web 代理设置授权政策。
与标准 网关安全政策相比，授权政策具有以下优势：
一致的政策界面：使用统一的
AuthzPolicyAPI 来管理 Secure Web Proxy 以及其他服务（例如应用负载均衡器和 Cloud Service Mesh (CSM)）的流量授权。Service Extensions 支持：使用 Service Extensions 将授权决策委托给您的自定义逻辑。您可以使用授权扩展程序执行请求级授权（基于标头、身份等）和内容清理（例如敏感数据保护或威胁检测）。
以身份为中心的安全：虽然仍然支持基于 IP 的规则，但授权政策允许您根据身份强制执行控制措施，从而提供更强大的安全状况。您可以使用 通过 服务 账号、 标记或 前端相互 TLS来定义安全边界。您还可以使用 Service Extensions 将授权决策委托给 基于身份的服务，例如 Identity-Aware Proxy。
网关安全政策和规则
网关安全 政策是 核心安全项，用于定义所有出站 Web 流量的访问权限控制。
网关安全政策包括以下主要功能：
政策控制：政策包含代理 用于允许或拒绝 Web 请求的网关安全规则。您可以创建单个政策，并在多个 安全 Web 代理实例中重复使用该政策，以保持安全规则的一致性和 高效性。
默认安全：网关安全政策
deny-all默认采用。在您创建允许 HTTP 和 HTTPS 请求的特定规则之前，代理会阻止每个 HTTP 和 HTTPS 请求。这从一开始就强制执行了零信任架构。政策逻辑：每项政策都基于两项核心检查：确定 流量来源并验证允许的目标。
网关安全规则是 网关安全政策中的一条指令，用于匹配并定义最终操作： 允许或拒绝。
Secure Web Proxy 实例会根据优先级评估规则，优先级值最小的规则最先检查。代理会停止并根据与请求匹配的第一条规则执行操作。
会话匹配器：在设置网络连接时检查有关网络连接的基本信息。会话匹配器包括以下项：
- 来源身份（服务帐号或安全标记）
- 目标主机名（域名）
- 目标端口
应用匹配器：检查实际 Web 请求的内容。它通常用于确保精细控制，并且需要 TLS 检查来检查加密流量。应用匹配器包括以下项：
- 完整网址路径
- 请求方法 - 例如，阻止所有
DELETE操作 - 特定 HTTP 标头
服务速率限制政策
服务速率限制政策有助于保持出站 Web 流量网关的弹性。虽然其他流量管理机制优先考虑伸缩资源，但速率限制会从源头限制资源密集型客户端，以最大限度地提高网关可用性。
Secure Web Proxy 会在请求处理路径的末尾强制执行速率限制，即在所有网关安全规则、授权检查和服务扩展成功完成后。这有助于确保只有授权和受信任的流量会消耗您的速率限制预算。
如需详细了解如何设置速率限制政策，请参阅 服务速率限制 概览和 配置服务速率限制 政策。
限制
在 Secure Web Proxy 中配置政策时，适用以下限制：
网关安全政策：这些政策不支持授权 扩展程序。只有通过授权政策才能使用高级功能，例如使用自定义逻辑或将授权决策委托给外部服务。
授权政策：这些政策不支持网址列表或网址字符串的正则表达式 (regex) 匹配。
服务速率限制政策：速率限制仅适用于与具有应用属性 （
ApplicationMatcher）的规则匹配的第 7 层 流量。对于与仅具有 会话属性 (SessionMatcher) 的规则匹配的出站 Web 流量，不应用速率限制。