访问限制配置选项

Last published : Oct 24, 2026
当您选择操作 允许受限访问 时，可以根据要求选择安全限制。这些安全限制在系统中是预定义的。管理员无法修改或添加其他组合。
访问限制
Related information
配置针对应用程序的访问策略

剪贴板

通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此访问策略启用/禁用剪切/复制/粘贴操作。默认值：已启用。

复制

通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此访问策略启用/禁用数据复制。默认值：已启用。
注意：
  • 如果策略中同时启用了 剪贴板 和 复制 限制，则 剪贴板 限制优先于 复制 限制。
  • 最终用户必须使用 Citrix Enterprise Browser™ 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
  • 为了对应用程序内的复制操作进行细粒度控制，管理员可以使用 安全组 限制。有关详细信息，请参阅 针对安全组的剪贴板限制。

按文件类型下载限制

通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此策略启用/禁用用户下载特定 MIME（文件）类型的能力。
注意：
  • 按文件类型下载限制 除了 下载 限制之外还可用。
  • 如果策略中同时启用了“下载”和“按文件类型限制下载”限制，“下载”限制优先于“按文件类型限制下载”限制。
  • 最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
要启用 MIME 类型下载，请执行以下步骤：
  1. 创建或编辑访问策略。有关创建访问策略的详细信息，请参阅配置访问策略。
  2. 在“操作”中，选择“允许（带限制）”。
  3. 单击“按文件类型限制下载”，然后单击“编辑”。
  4. 在“按文件类型限制下载设置”页面中，选择以下选项之一：
    • “允许所有下载（带例外）” – 选择必须阻止的类型，并允许所有其他类型。
    • “阻止所有下载（带例外）” – 仅选择可以上传的类型，并阻止所有其他类型。
  5. 如果文件类型不在列表中，请执行以下操作：
    1. 单击“添加自定义 MIME 类型”。
    2. 在“添加 MIME 类型”中，以 category/subcategory<extension> 格式输入 MIME 类型。例如，image/png。
    3. 单击“完成”。
    MIME 类型现在显示在例外列表中。
当最终用户尝试下载受限文件类型时，Citrix Enterprise Browser 会显示以下警告消息：
下载

下载内容

通过此策略，当用户通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，启用/禁用其下载功能。默认值：已启用。
注意：
如果策略中同时启用了“下载”和“按文件类型限制下载”限制，则“下载”限制优先于“按文件类型限制下载”。

不安全内容

通过此策略，当最终用户通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，启用/禁用其访问不安全内容的功能。不安全内容是指通过 HTTP 链接而非 HTTPS 链接从网页链接到的任何文件。默认值：已启用。
下图展示了当您访问不安全内容时的一个通知示例。
下载

键盘记录保护

通过此访问策略，当用户通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，启用/禁用键盘记录器捕获击键的功能。默认值：已启用。

麦克风

通过此策略，当用户通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，每次访问麦克风时提示/不提示用户。默认值：每次都提示。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用“麦克风”限制的应用程序。
若要每次都允许麦克风而不进行提示，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅Configure access policies。
  2. 在“操作”中，选择“允许（带限制）”。
  3. 单击“麦克风”，然后单击“编辑”。
  4. 在“麦克风设置”页面中，单击“始终允许访问”。
  5. 单击“保存”，然后单击“完成”。
注意：
  • 如果在 安全私有访问 策略中启用了 麦克风 限制，则 Citrix 企业浏览器 会显示设置 允许。
  • 如果 安全私有访问 策略中的选项为 每次提示，则 Citrix 企业浏览器 上应用的设置会因是否使用 全局应用程序配置服务 (GACS) 来管理 Citrix 企业浏览器 而异。
  • 如果使用 GACS，则 GACS 设置将应用于 Citrix 企业浏览器。
  • 如果不使用 GACS，则 Citrix 企业浏览器 会显示设置 询问。
  • 目前，Secure Private Access 不支持阻止麦克风。如果必须阻止麦克风，则必须通过 GACS 进行操作。
有关 GACS 的更多信息，请参阅 通过全局应用配置服务管理 Citrix Enterprise Browser。

通知设置

允许/每次提示用户通过 Citrix Enterprise Browser 访问使用此策略配置的 SaaS 或内部 Web 应用程序时查看通知。默认值：每次提示。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用此限制的应用程序。
要阻止通知而不进行提示，请执行以下步骤。
  1. 创建或编辑访问策略。有关详细信息，请参阅Configure access policies。
  2. 在操作中，选择允许（带限制）。
  3. 单击通知，然后单击编辑。
  4. 在通知设置页面中，单击始终阻止通知。
  5. 单击保存，然后单击完成。

粘贴

启用/禁用通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此访问策略将复制的数据粘贴到其中。默认值：已启用。
注意：
  • 如果策略中同时启用了剪贴板和粘贴限制，则剪贴板限制优先于粘贴限制。
  • 最终用户必须使用 Citrix Enterprise Browser 版本 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
  • 为了对应用程序内的粘贴操作进行精细控制，管理员可以使用安全组限制。有关详细信息，请参阅安全组的剪贴板限制。

个人数据屏蔽

启用/禁用通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，使用此策略编辑或屏蔽个人身份信息 (PII)。个人身份信息可以是信用卡号、社会安全号、日期等。您还可以定义自定义规则来检测特定类型的敏感信息并进行相应的屏蔽。个人数据屏蔽限制还提供完全或部分屏蔽信息的选项。
注意：
最终用户必须使用 Citrix Enterprise Browser 版本 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
要编辑或屏蔽个人身份信息，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅 配置访问策略。
  2. 在 操作 中，选择 允许受限访问。
  3. 单击 个人数据掩码，然后单击 编辑。
  4. 选择要模糊或屏蔽的信息类型，然后单击 Add。
    如果信息类型未显示在预定义列表中，则可以添加自定义信息类型。有关详细信息，请参阅 添加自定义信息类型。
  5. 选择屏蔽类型。
    • Full masking – 完全覆盖敏感信息，使其无法读取。
    • Partial masking – 部分覆盖敏感信息。仅覆盖相关部分，其余部分保持不变。
      当您选择 部分掩码 时，您必须选择从文档开头或结尾开始的字符。您必须在 第一个掩码字符 和 最后一个掩码字符 字段中输入数字。
      Preview 字段显示屏蔽格式。此预览不适用于自定义策略。
  6. 单击 Save，然后单击 Done。

添加自定义信息类型

您可以通过添加信息类型的正则表达式来添加自定义信息类型。
  1. 在 选择信息类型 中，选择 自定义，然后单击 添加。
  2. 在 Field name 中，输入要屏蔽的信息类型的名称。
  3. 在 字符数 中，输入信息类型的字符数。
  4. 在 正则表达式（RE2 库） 中，输入自定义信息类型的表达式。例如，\^4[0-9]{12}(?:[0-9]{3})?$。
  5. 选择一种掩码类型，如果您想掩盖完整信息或前几个或后几个字符。
  6. 单击 保存，然后单击 完成。
掩码 1
下图显示了一个示例应用程序，其中 PII 已被掩码。该图还显示了与 PII 掩码相关的通知。
掩码 2

弹出窗口

当通过 Citrix Enterprise Browser 访问时，启用/禁用在此策略中配置的 SaaS 或内部 Web 应用程序中弹出窗口的显示。默认情况下，网页中的弹出窗口是禁用的。默认值：始终阻止弹出窗口。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本才能访问已启用此限制的应用程序。
要启用弹出窗口显示，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅 配置访问策略。
  2. 在 操作 中，选择 允许（带限制）。
  3. 单击 弹出窗口，然后单击 编辑。
  4. 在 弹出窗口设置 页面中，单击 始终允许弹出窗口。
  5. 单击保存，然后单击完成。

打印

通过 Citrix Enterprise Browser 访问时，使用此策略启用/禁用来自配置的 SaaS 或内部 Web 应用程序的打印数据。默认值：已启用。
当最终用户尝试打印已启用打印限制的应用程序中的内容时，将显示以下消息。
打印 2
注意：
如果策略中同时启用了打印和打印机管理限制，则打印限制优先于打印机管理限制。

打印机管理

通过 Citrix Enterprise Browser 访问时，使用此策略启用/禁用通过使用管理员配置的打印机从配置的 SaaS 或内部 Web 应用程序打印数据。
注意：
  • 打印机管理限制除了打印限制（其中打印功能已启用或禁用）之外还可用。 如果访问策略中同时启用了打印和打印机管理限制，则打印限制优先于打印机管理限制。
  • 最终用户必须使用 Citrix Enterprise Browser 版本 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
要启用/禁用打印限制，请执行以下步骤：
  1. 创建或编辑访问策略。有关创建访问策略的详细信息，请参阅配置访问策略。
  2. 在操作中，选择允许受限访问。
  3. 点击“打印机管理”，然后点击“编辑”。
打印 1
  1. 请根据您的要求选择例外项。
    • 网络打印机 - 网络打印机是可以连接到网络并供多个用户使用的打印机。
      • 已禁用： 禁止从网络中的任何打印机进行打印。
      • 已启用： 允许从所有网络打印机进行打印。如果指定了打印机主机名，则除指定的打印机之外的所有其他网络打印机都将被阻止。
      注意： 网络打印机通过其主机名进行识别。
    • 本地打印机 - 本地打印机是通过有线连接直接连接到单个计算机的设备。此连接通常通过 USB、并行端口或其他直接接口实现。
      • 已禁用： 禁止从所有本地打印机进行打印。
      • 已启用： 允许从所有本地打印机进行打印。
    • 使用“另存为 PDF”进行打印
      • 已禁用：禁止将应用程序中的内容保存为 PDF 格式。
      • 已启用： 允许将应用程序中的内容保存为 PDF 格式。
  2. 点击“保存”。
如果网络打印机被禁用，则当最终用户尝试在“目标”字段中选择打印机时，该特定打印机名称将显示为灰色。
此外，如果禁用了使用另存为 PDF 打印，则当最终用户单击目标字段中的查看更多链接时，另存为 PDF 选项将显示为灰色。
如果最终用户重命名网络打印机，则他们无法使用该网络打印机。
打印 3

屏幕捕获

当通过 Citrix Enterprise Browser 使用任何屏幕捕获程序或应用程序访问 SaaS 或内部 Web 应用程序时，此策略可启用/禁用捕获屏幕的能力。如果用户尝试捕获屏幕，则捕获到的是空白屏幕。默认值：已启用。

按文件类型限制上传

当通过 Citrix Enterprise Browser 访问 SaaS 或内部 Web 应用程序时，此策略可启用/禁用用户下载特定 MIME（文件）类型的能力。
注意：
  • 按文件类型限制上传限制除了上传限制之外还可用。
  • 如果策略中同时启用了上传和按文件类型限制上传限制，则上传限制优先于按文件类型限制上传限制。
  • 最终用户必须使用 Citrix Enterprise Browser 版本 126 或更高版本才能访问已启用此限制的应用程序。否则，应用程序访问将受到限制。
要启用/禁用 MIME 类型上传，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅创建访问策略。
  2. 在操作中，选择允许（带限制）。
  3. 单击按文件类型限制上传，然后单击编辑。
  4. 在按文件类型设置上传限制页面中，选择以下选项之一：
    允许所有上传（有例外） – 上传所有文件，但选定类型除外。 阻止所有上传（有例外） – 阻止所有文件类型上传，但选定类型除外。
  5. 如果列表中不存在该文件类型，请执行以下操作：
    1. 单击添加自定义 MIME 类型。
    2. 在添加 MIME 类型中，以 category/subcategory<extension> 格式输入 MIME 类型。例如，image/png。
    3. 单击完成。
    MIME 类型现在显示在例外列表中。
当最终用户尝试上传受限文件类型时，Citrix Enterprise Browser 会显示警告消息。
上传

上传

启用/禁用用户通过 Citrix Enterprise Browser 访问此策略配置的 SaaS 或内部 Web 应用程序时上传的能力。默认值：已启用。
注意：
如果策略中同时启用了上传和按文件类型上传限制，则上传限制优先于按文件类型上传限制。

水印功能

启用/禁用用户屏幕上的水印，该水印显示用户的用户名和用户计算机的 IP 地址。默认值：已禁用。

网络摄像头

每次都提示/不提示用户访问通过 Citrix Enterprise Browser 访问的、在此策略配置的 SaaS 或内部 Web 应用程序中的网络摄像头。默认值：每次都提示。
最终用户必须使用 Citrix Enterprise Browser 126 或更高版本，才能访问已启用 Webcam 限制的应用程序。
若要每次都允许网络摄像头访问而不进行提示，请执行以下步骤：
  1. 创建或编辑访问策略。有关详细信息，请参阅 配置访问策略。
  2. 在“操作”中，选择“允许受限”。
  3. 单击 Webcam（网络摄像头），然后单击 Edit（编辑）。
  4. 在“网络摄像头设置”页面中，单击“始终允许访问”。
  5. 单击 Save（保存），然后单击 Done（完成）。
注意：
  • 如果在安全私有访问策略中启用了网络摄像头限制，则 Citrix 企业浏览器会显示允许设置。
  • 如果在安全私有访问策略中启用了每次都提示选项，则 Citrix 企业浏览器上应用的设置会因是否使用全局应用程序配置服务 (GACS) 来管理 Citrix 企业浏览器而异。
  • 如果使用 GACS，则 GACS 设置将应用于 Citrix 企业浏览器。
  • 如果不使用 GACS，则 Citrix 企业浏览器会显示询问设置。
  • 目前，Secure Private Access 不支持阻止网络摄像头。如果必须阻止网络摄像头，则必须通过 GACS 进行操作。
有关 GACS 的更多信息，请参阅 通过全局应用程序配置服务管理 Citrix Enterprise Browser。

针对安全组的剪贴板功能限制

您可以将剪贴板访问权限限制到任何指定的应用程序组。这些指定的应用程序组被创建为安全组，以便最终用户只能在该安全组内复制和粘贴内容。要在安全组中的应用程序内启用剪贴板访问，您只需配置一个访问策略，其操作为 允许 或 允许受限，而不选择任何访问设置。
  • 启用 安全组 限制后，您无法在不同安全组中的应用程序之间复制/粘贴数据。例如，如果应用程序“ProdDocs”属于安全组“SG1”，应用程序“Edocs”属于安全组“SG2”，即使两个组都启用了 复制 / 粘贴 限制，您也无法将内容从“Edocs”复制/粘贴到“ProdDocs”。
  • 对于不属于安全组的应用程序，您可以创建一个访问策略，其操作为 允许受限，并选择限制（复制、粘贴 或 剪贴板）。在这种情况下，应用程序不属于安全组，因此可以对该应用程序应用 复制 / 粘贴 限制。
注意：
您还可以通过全局应用程序配置服务 (GACS) 限制通过 Citrix Enterprise Browser 访问的应用程序的剪贴板访问。如果您使用 GACS 管理 Citrix Enterprise Browser，则使用 启用沙盒剪贴板 选项来管理剪贴板访问。当您通过 GACS 限制剪贴板访问时，它适用于通过 Citrix Enterprise Browser 访问的所有应用程序。有关 GACS 的更多信息，请参阅 通过全局应用程序配置服务管理 Citrix Enterprise Browser。
要创建安全组，请执行以下步骤：
  1. 在 Secure Private Access 控制台中，单击 应用程序，然后单击 安全组。
  2. 单击 添加新安全组。
安全组
  1. 输入安全组的名称。
  2. 在 添加 Web 或 SaaS 应用程序 中，选择您要分组以启用复制和粘贴控制的应用程序。例如，Wikipedia、Pinterest 和 Dribble。
  3. 单击 保存。
有关 高级剪贴板 设置的详细信息，请参阅 为本机应用程序和未发布的应用程序启用复制/粘贴控制。
当最终用户从 Citrix Workspace 启动这些应用程序（Wikipedia、Pinterest 和 Dribble）时，他们必须能够在安全组内的一个应用程序与其他应用程序之间共享数据（复制/粘贴）。复制/粘贴的发生不受已为应用程序启用的其他安全限制的影响。
但是，最终用户无法将其机器上的本地应用程序或未发布的应用程序中的内容复制并粘贴到这些指定应用程序，反之亦然。当内容从指定应用程序复制到另一个应用程序时，将显示以下通知：
粘贴错误(/zh-cn/citrix-secure-private-access/media/spa-pasting-blocked.png)
注意：
您可以使用高级剪贴板设置中的选项，在安全组中的应用程序与计算机上的其他本地应用程序或未发布的Web应用程序之间复制和粘贴内容。有关详细信息，请参阅为本机应用程序和未发布的应用程序启用复制/粘贴控制。

启用精细级别复制/粘贴

您可以在指定组中的应用程序内启用精细级别的剪贴板访问。您可以通过为应用程序创建访问策略并根据您的要求启用复制/粘贴限制来实现此目的。
注意：
请务必确保您为精细级别剪贴板访问而专门创建的特定访问策略，其优先级必须高于您为安全组所创建的策略。
示例：
假设您创建了一个包含三个应用程序（即维基百科、Pinterest 和 Dribble）的安全组。
现在，您希望限制将内容从维基百科或 Dribble 粘贴到 Pinterest。为此，请执行以下步骤：
  1. 创建或编辑分配给应用程序Pinterest的访问策略。有关创建访问策略的详细信息，请参阅配置访问策略。
  2. 在操作中，选择允许（带限制）。
  3. 选择粘贴。
尽管 Pinterest 是一个安全组的一部分，该安全组也包含维基百科和 Dribble，但用户无法将内容从维基百科或 Dribble 复制到 Pinterest，因为与 Pinterest 关联的访问策略已启用粘贴限制。
粘贴错误2(/zh-cn/citrix-secure-private-access/media/spa-printing-block-example.png)

为本机应用程序和未发布的应用程序启用复制/粘贴控制

您可以使用“高级剪贴板设置”中的选项，在安全组中的应用程序与计算机上的其他本地应用程序或未发布的 Web 应用程序之间复制和粘贴内容。
  1. 创建一个安全组。有关详细信息，请参阅用于复制和粘贴限制的剪贴板安全组。
  2. 展开“高级剪贴板设置”。
    高级选项
  3. 请根据您的要求选择以下选项：
    • 允许将数据从安全组复制到未发布的域 – 启用将数据从安全组中的应用程序复制到未在 Secure Private Access 中发布的应用程序。
    • 允许将数据从安全组复制到本机应用程序 - 启用将数据从安全组中的应用程序复制到计算机上的本地应用程序。
    • 允许将数据从未发布的域复制到安全组 – 启用将数据从未通过 Secure Private Access 发布的应用程序复制到安全组中的应用程序。
    • 允许将数据从本机应用程序复制到安全组 - 启用将数据从计算机上的本地应用程序复制到应用程序。

已知问题

  • (设置 > 应用程序域) 中的路由表会保留已删除应用程序的域。因此，这些应用程序在 Secure Private Access 中也被视为已发布的应用程序。如果直接从 Citrix Enterprise Browser 访问这些域，则无论您在“高级剪贴板设置”中选择了哪些选项，都将禁用从这些应用程序复制/粘贴。
    例如，请假设以下场景：
    • 您已删除名为 Jira2 (https://test.citrite.net) 的应用程序，该应用程序曾是某个安全组的一部分。
    • 您已启用选项“允许将数据从安全组复制到未发布的域”。
    在此场景下，如果用户尝试将数据从此应用程序复制到同一安全组中的另一个应用程序，粘贴控件将被禁用。系统会向用户显示相关通知。
  • 对于 SaaS 应用程序，如果应用程序配置了操作为 拒绝访问 的访问策略，则应用程序访问可能会被拒绝。最终用户仍然可以访问该应用程序，因为应用程序流量未通过 Secure Private Access 进行隧道传输。此外，如果应用程序是安全组的一部分，则安全组设置将不被遵守，因此您无法从该应用程序复制/粘贴内容。