限制访问的选项

Last published : Oct 24, 2026
当您选择操作 允许受限访问 时，可以根据要求选择安全限制。这些安全限制在系统中是预定义的。管理员无法修改或添加其他组合。
访问限制
Related information
为这些应用程序配置访问策略

剪贴板

通过 Citrix Enterprise Browser 访问时，使用此访问策略启用/禁用 SaaS 或内部 Web 应用程序上的剪切/复制/粘贴操作。默认值：已启用。

复制

通过 Citrix Enterprise Browser 访问时，使用此访问策略启用/禁用从 SaaS 或内部 Web 应用程序复制数据。默认值：已启用。
注意：
  • 如果策略中同时启用了 剪贴板 和 复制 限制，则 剪贴板 限制优先于 复制 限制。
  • 最终用户必须使用 Citrix Enterprise Browser™ 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受限。
  • 为了对应用程序内的复制操作进行精细控制，管理员可以使用 安全组 限制。有关详细信息，请参阅 安全组的剪贴板限制。

按文件类型下载限制

通过 Citrix Enterprise Browser 访问时，使用此策略启用/禁用用户从 SaaS 或内部 Web 应用程序下载特定 MIME（文件）类型的能力。
注意：
  • 按文件类型下载限制 限制在 下载 限制之外也可用。
  • 如果策略中同时启用了“下载”和“按文件类型限制下载”限制，则“下载”限制优先于“按文件类型限制下载”限制。
  • 最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
要启用 MIME 类型下载，请执行以下步骤：
  1. 创建或编辑访问策略。有关创建访问策略的详细信息，请参阅配置访问策略。
  2. 在“操作”中，选择“允许（带限制）”。
  3. 单击“按文件类型限制下载”，然后单击“编辑”。
  4. 在“按文件类型限制下载设置”页面中，选择以下选项之一：
    • 允许所有下载（带例外） – 选择必须阻止的类型并允许所有其他类型。
    • 阻止所有下载（带例外） – 仅选择可以上传的类型并阻止所有其他类型。
  5. 如果文件类型不在列表中，请执行以下操作：
    1. 单击“添加自定义 MIME 类型”。
    2. 在“添加 MIME 类型”中，以 category/subcategory<extension> 格式输入 MIME 类型。例如，image/png。
    3. 单击“完成”。
    该 MIME 类型现在显示在例外列表中。
当最终用户尝试下载受限文件类型时，Citrix Enterprise Browser 会显示以下警告消息：
下载

下载内容

通过 Citrix Enterprise Browser 访问时，使用此策略启用/禁用用户从 SaaS 或内部 Web 应用程序下载的能力。默认值：已启用。
注意：
如果策略中同时启用了下载和按文件类型限制下载限制，则下载限制优先于按文件类型限制下载。

不安全内容

通过 Citrix Enterprise Browser 访问时，使用此策略启用/禁用最终用户访问在使用此策略配置的 SaaS 或内部 Web 应用程序中的不安全内容。不安全内容是指使用 HTTP 链接而非 HTTPS 链接从网页链接到的任何文件。默认值：已禁用。
要启用查看不安全内容，请执行以下步骤：
  1. 创建或编辑访问策略。有关创建访问策略的详细信息，请参阅配置访问策略。
  2. 在操作中，选择允许（带限制）。
  3. 单击不安全内容。
  4. 单击保存，然后单击完成。
下图显示了当您访问不安全内容时的一个示例通知。
下载

键盘记录保护

通过此访问策略在通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，启用/禁用键盘记录器捕获击键。默认值：已启用。

麦克风

在通过 Citrix Enterprise Browser 访问配置了此策略的 SaaS 或内部 Web 应用程序时，每次都提示/不提示用户访问麦克风。默认值：每次都提示。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用麦克风限制的应用程序。
要在不提示的情况下始终允许麦克风，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅配置访问策略。
  2. 在操作中，选择允许（带限制）。
  3. 单击麦克风，然后单击编辑。
  4. 在麦克风设置页面中，单击始终允许访问。
  5. 单击保存，然后单击完成。
注意：
  • If the Microphone restriction is enabled in the Secure Private Access policy, then Citrix Enterprise Browser displays the settings Allow.
  • If the option Prompt every time in the Secure Private Access policy, then the setting applied on Citrix Enterprise Browser varies depending on whether the Global App Configuration service (GACS) is used to manage Citrix Enterprise Browser.
    • If GACS is used, then the GACS setting is applied on Citrix Enterprise Browser.
    • If GACS is not used, then Citrix Enterprise Browser displays the setting Ask.
  • 目前，Secure Private Access 不支持阻止麦克风。如果必须阻止麦克风，则必须通过 GACS 进行。
有关 GACS 的更多信息，请参阅通过全局应用程序配置服务管理 Citrix Enterprise Browser。

通知事项

允许/每次提示用户在通过 Citrix Enterprise Browser 访问配置了此策略的 SaaS 或内部 Web 应用程序时查看通知。默认值：每次提示。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问启用了此限制的应用程序。
要在不提示的情况下阻止显示通知，请执行以下步骤。
  1. 创建或编辑访问策略。有关详细信息，请参阅配置访问策略。
  2. 在“操作”中，选择“允许（带限制）”。
  3. 单击“通知”，然后单击“编辑”。
  4. 在“通知设置”页面中，单击“始终阻止通知”。
  5. 单击“保存”，然后单击“完成”。

粘贴

启用/禁用在通过 Citrix Enterprise Browser 访问时，将复制的数据粘贴到使用此访问策略的 SaaS 或内部 Web 应用程序中。默认值：已启用。
注意：
  • 如果策略中同时启用了“剪贴板”和“粘贴”限制，“剪贴板”限制优先于“粘贴”限制。
  • 最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问启用了此限制的应用程序。否则，应用程序访问将受到限制。
  • 为了对应用程序中的粘贴操作进行精细控制，管理员可以使用“安全组”限制。有关详细信息，请参阅安全组的剪贴板限制。

个人数据遮蔽

通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此策略启用/禁用对个人身份信息 (PII) 的编辑或遮蔽。
注意：
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受限。
要编辑或遮蔽个人身份信息，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅 配置访问策略。
  2. 在操作中，选择允许受限访问。
  3. 单击个人数据遮蔽，然后单击编辑。
  4. 选择要模糊或遮蔽的信息类型，然后单击添加。
    如果信息类型未出现在预定义列表中，则可以添加自定义信息类型。有关详细信息，请参阅 添加自定义信息类型。
  5. 选择遮蔽类型。
    • 完全遮蔽 – 完全覆盖敏感信息，使其无法读取。
    • 部分遮蔽 – 部分覆盖敏感信息。仅覆盖相关部分，其余部分保持不变。
      当您选择部分标记时，必须选择从文档开头或结尾开始的字符。您必须在第一个遮蔽字符和最后一个遮蔽字符字段中输入数字。
      预览字段显示遮蔽格式。此预览不适用于自定义策略。
  6. 单击 保存，然后单击 完成。

添加自定义信息类型

您可以通过添加该信息类型的正则表达式来添加自定义信息类型。
  1. 在 选择信息类型 中，选择 自定义，然后单击 添加。
  2. 在 字段名称 中，输入您要掩盖的信息类型的名称。
  3. 在 字符数 中，输入信息类型的字符数。
  4. 在 正则表达式 (RE2 库) 中，输入自定义信息类型的表达式。例如，\^4[0-9]{12}(?:[0-9]{3})?$。
  5. 如果您想掩盖完整信息或前几个或后几个字符，请选择掩盖类型。
  6. 单击 保存，然后单击 完成。
掩盖 1
下图显示了一个示例应用程序，其中 PII 已被掩盖。该图还显示了与 PII 掩盖相关的通知。
掩盖 2

弹出窗口

启用/禁用在通过 Citrix Enterprise Browser 访问时，此策略配置的 SaaS 或内部 Web 应用程序中弹出窗口的显示。默认情况下，网页中的弹出窗口处于禁用状态。默认值：始终阻止弹出窗口。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本，才能访问已启用此限制的应用程序。
要启用弹出窗口显示，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅配置访问策略。
  2. 在“操作”中，选择“允许受限”。
  3. 单击“弹出窗口”，然后单击“编辑”。
  4. 在“弹出窗口设置”页面中，单击“始终允许弹出窗口”。
  5. 单击“保存”，然后单击“完成”。

打印

通过 Citrix Enterprise Browser 访问时，使用此策略启用/禁用从配置的 SaaS 或内部 Web 应用程序打印数据。默认值：已启用。
当最终用户尝试打印已启用打印限制的应用程序中的内容时，将显示以下消息。
打印 2
注意：
如果策略中同时启用了“打印”和“打印机管理”限制，则“打印”限制优先于“打印机管理”限制。

打印机管理

通过 Citrix Enterprise Browser 访问时，使用此策略启用/禁用通过管理员配置的打印机从配置的 SaaS 或内部 Web 应用程序打印数据。
注意：
  • 除了打印限制（其中打印功能可启用或禁用）之外，还提供了打印机管理限制。 如果访问策略中同时启用了打印和打印机管理限制，则打印限制优先于打印机管理限制。
  • 最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受限。
要启用/禁用打印限制，请执行以下步骤：
  1. 创建或编辑访问策略。有关创建访问策略的详细信息，请参阅配置访问策略。
  2. 在操作中，选择允许受限访问。
  3. 单击打印机管理，然后单击编辑。
打印 1
  1. 选择符合您要求的例外项。
    • 网络打印机 - 网络打印机是可以连接到网络并由多个用户使用的打印机。
      • 已禁用： 禁用从网络中任何打印机进行的打印。
      • 已启用： 启用从所有网络打印机进行的打印。如果指定了打印机主机名，则除指定打印机之外的所有其他网络打印机都将被阻止。
      注意： 网络打印机通过其主机名进行识别。
    • 本地打印机 - 本地打印机是通过有线连接直接连接到单个计算机的设备。此连接通常通过 USB、并行端口或其他直接接口实现。
      • 已禁用： 禁用从所有本地打印机进行的打印。
      • 已启用： 启用从所有本地打印机进行的打印。
    • 使用“另存为 PDF”打印
      • 已禁用：禁用将应用程序内容保存为 PDF 格式。
      • 已启用：启用将应用程序内容保存为 PDF 格式。
  2. 单击保存。
如果网络打印机已禁用，则当您尝试在“目标”字段中选择打印机时，特定打印机名称将显示为灰色。
此外，如果“使用‘另存为 PDF’打印”已禁用，则当您单击“目标”字段中的“查看更多”链接时，“另存为 PDF”选项将显示为灰色。
打印 3

屏幕捕获

通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此策略启用/禁用使用任何屏幕捕获程序或应用程序捕获屏幕的功能。如果用户尝试捕获屏幕，则会捕获空白屏幕。默认值：已启用。

按文件类型限制上传

通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此策略启用/禁用用户下载特定 MIME（文件）类型的功能。
注意：
  • “按文件类型限制上传”限制除了“上传”限制之外还可用。
  • 如果策略中同时启用了“上传”和“按文件类型限制上传”限制，则“上传”限制优先于“按文件类型限制上传”限制。
  • 最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
要启用/禁用 MIME 类型上传，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅创建访问策略。
  2. 在“操作”中，选择“允许但受限制”。
  3. 单击“按文件类型限制上传”，然后单击“编辑”。
  4. 在“按文件类型限制上传设置”页面中，选择以下选项之一：
    允许所有上传（有例外） – 上传除选定类型之外的所有文件。 阻止所有上传（有例外） – 阻止除选定类型之外的所有文件类型上传。
  5. 如果文件类型不在列表中，请执行以下操作：
    1. 单击“添加自定义 MIME 类型”。
    2. 在“添加 MIME 类型”中，以 category/subcategory<extension> 格式输入 MIME 类型。例如，image/png。
    3. 单击“完成”。
    MIME 类型现在显示在例外列表中。
当最终用户尝试上传受限文件类型时，Citrix Enterprise Browser 会显示警告消息。
上传

上传

启用/禁用用户通过 Citrix Enterprise Browser 访问配置了此策略的 SaaS 或内部 Web 应用程序时进行上传的功能。默认值：已启用。
注意：
如果策略中同时启用了“上传”和“按文件类型限制上传”限制，则“上传”限制优先于“按文件类型限制上传”限制。

水印功能

启用/禁用用户屏幕上的水印，该水印显示用户的用户名和用户计算机的 IP 地址。默认值：禁用。

网络摄像头

通过 Citrix Enterprise Browser 访问配置了此策略的 SaaS 或内部 Web 应用程序时，每次都提示/不提示用户访问网络摄像头。默认值：每次都提示。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问启用了“网络摄像头”限制的应用程序。
若要每次都允许网络摄像头而不进行提示，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅配置访问策略。
  2. 在“操作”中，选择“允许（带限制）”。
  3. 单击“网络摄像头”，然后单击“编辑”。
  4. 在“网络摄像头设置”页面中，单击“始终允许访问”。
  5. 单击“保存”，然后单击“完成”。
注意：
  • 如果在安全私有访问策略中启用了网络摄像头限制，则 Citrix 企业浏览器会显示 允许 设置。
  • 如果 Secure Private Access 策略中选择了“每次提示”选项，则 Citrix Enterprise Browser 上应用的设置会因是否使用全局应用配置服务 (GACS) 来管理 Citrix Enterprise Browser 而异。
  • 如果使用 GACS，则 GACS 设置将应用于该浏览器。
  • 如果不使用 GACS，则该浏览器会显示“询问”设置。
  • 目前，Secure Private Access 不支持阻止网络摄像头。如果需要阻止网络摄像头，则必须通过 GACS 进行操作。
有关 GACS 的更多信息，请参阅 通过全局应用配置服务管理 Citrix Enterprise Browser。

针对安全组的剪贴板限制

您可以使用“安全组”限制（应用程序 > 安全组）为指定应用组启用剪贴板访问。安全组被分配了一组可在其中执行复制和粘贴操作的应用程序。要在安全组中的应用程序内启用剪贴板访问，您只需配置一个访问策略，其操作为“允许”或“允许但有限制”，而无需选择任何访问设置。
  • 启用“安全组”限制后，您无法在不同安全组中的应用程序之间复制/粘贴数据。例如，如果应用“ProdDocs”属于安全组“SG1”，而应用“Edocs”属于安全组“SG2”，则即使两个组都启用了“复制”/“粘贴”限制，您也无法将内容从“Edocs”复制/粘贴到“ProdDocs”。
  • 对于不属于安全组的应用程序，您可以创建一个访问策略，其操作为“允许但有限制”，并选择限制（“复制”、“粘贴”或“剪贴板”）。在这种情况下，该应用程序不属于安全组，因此可以对该应用程序应用“复制”/“粘贴”限制。
注意：
您还可以通过全局应用配置服务 (GACS) 限制通过 Citrix Enterprise Browser 访问的应用程序的剪贴板访问。如果您使用 GACS 管理 Citrix Enterprise Browser，请使用“启用沙盒剪贴板”选项来管理剪贴板访问。当您通过 GACS 限制剪贴板访问时，它将应用于通过 Citrix Enterprise Browser 访问的所有应用程序。有关 GACS 的更多信息，请参阅 通过全局应用配置服务管理 Citrix Enterprise Browser。
要创建安全组，请执行以下步骤：
  1. 在 Secure Private Access 控制台中，单击“应用程序”，然后单击“安全组”。
  2. 单击“添加新安全组”。
安全组
  1. 输入安全组的名称。
  2. 在“添加 Web 或 SaaS 应用程序”中，选择要分组在一起以启用复制和粘贴控制的应用程序。例如，Wikipedia、Pinterest 和 Dribble。
  3. 点击保存。
有关高级剪贴板设置的详细信息，请参阅为本机应用程序和未发布的应用程序启用复制/粘贴控制。
当最终用户从 Citrix Workspace 启动这些应用程序（维基百科、Pinterest 和 Dribble）时，他们必须能够在安全组内的一个应用程序与其他应用程序之间共享数据（复制/粘贴）。复制/粘贴操作的发生不受已为应用程序启用的其他安全限制的影响。
但是，最终用户无法将其计算机上的本地应用程序或未发布的应用程序中的内容复制并粘贴到这些指定应用程序，反之亦然。当内容从指定应用程序复制到另一个应用程序时，将显示以下通知：
粘贴错误
注意：
您可以通过使用高级剪贴板设置部分中的选项，启用从用户计算机上的本地应用程序或未发布的应用程序复制/粘贴内容控制。有关详细信息，请参阅为本机应用程序和未发布的应用程序启用复制/粘贴控制。

启用精细级别复制/粘贴

您可以在指定组中的应用程序内启用精细级别的剪贴板访问。您可以通过为应用程序创建访问策略并根据您的要求启用复制/粘贴限制来实现此目的。
注意：
请务必确保，您为精细级别剪贴板访问而专门创建的特定访问策略，其优先级必须高于您为安全组创建的策略。
示例：
假设您已创建一个包含三个应用程序（即维基百科、Pinterest 和 Dribble）的安全组。
现在，您希望限制将内容从维基百科或 Dribble 粘贴到 Pinterest。为此，请执行以下步骤：
  1. 创建或编辑分配给应用程序的访问策略Pinterest。有关创建访问策略的详细信息，请参阅配置访问策略。
  2. 在“操作”中，选择“允许（带限制）”。
  3. 选择“粘贴”。
尽管 Pinterest 是一个安全组的一部分，该安全组还包含 Wikipedia 和 Dribble，但用户无法将内容从 Wikipedia 或 Dribble 复制到 Pinterest，因为与 Pinterest 关联的访问策略中启用了“粘贴”限制。
粘贴错误2(/zh-cn/citrix-secure-private-access/media/spa-printing-block-example.png)

为本机应用程序和未发布的应用程序启用复制/粘贴控制

  1. 创建一个安全组。有关详细信息，请参阅用于复制和粘贴限制的剪贴板安全组。
  2. 展开“高级剪贴板设置”。
    高级选项(/zh-cn/citrix-secure-private-access/media/spa-security-group-advanced-settings.png)
  3. 请根据您的具体要求选择以下选项：
    • 允许将数据从安全组复制到未发布的域 – 允许将数据从安全组中的应用程序复制到未在 Secure Private Access 中发布的应用程序。
    • 允许将数据从安全组复制到本机应用程序 - 允许将数据从安全组中的应用程序复制到您计算机上的本地应用程序。
    • 允许将数据从未发布的域复制到安全组 – 允许将数据从未通过 Secure Private Access 发布的应用程序复制到安全组中的应用程序。
    • 允许将数据从本机应用程序复制到安全组 - 允许将数据从计算机上的本地应用程序复制到安全组中的应用程序。

已知问题

  • (设置 > 应用程序域) 中的路由表保留已删除应用程序的域。因此，这些应用程序也被视为 Secure Private Access 中已发布的应用程序。如果直接从 Citrix Enterprise Browser 访问这些域，则无论您在“高级剪贴板设置”中选择了哪些选项，这些应用程序的复制/粘贴功能都将被禁用。
    例如，请设想以下场景：
    • 您已删除名为 Jira2 (https://test.citrite.net) 的应用程序，该应用程序曾属于某个安全组。
    • 您已启用选项 允许将数据从安全组复制到未发布的域。
    在此场景中，如果用户尝试将数据从此应用程序复制到同一安全组中的另一个应用程序，则粘贴控件将被禁用。系统会向用户显示相关通知。
  • 对于 SaaS 应用程序，如果应用程序配置了操作为 拒绝访问 的访问策略，则应用程序访问可能会被拒绝。最终用户仍然可以访问该应用程序，因为应用程序流量未通过 Secure Private Access 进行隧道传输。此外，如果应用程序是安全组的一部分，则安全组设置将不被遵守，因此您无法从应用程序复制/粘贴内容。