Important
檔案原則將於 2027 年 1 月 6 日淘汰。 為維持基於檔案的資料保護，請遷移至 Microsoft Purview DLP 或自動標籤政策。
Defender for Cloud Apps 檔案原則可讓您強制執行各種自動化程式。 您可以設定原則來提供資訊保護功能，包括持續合規掃描、法律電子蒐證工作，以及針對公開分享之敏感內容的 DLP。
Defender for Cloud Apps 可以根據 20 多個中繼資料篩選來監視任何檔案類型，例如存取層級和檔案類型。 有關可用元資料過濾器及政策設定選項的詳細資訊，請參閱 檔案政策。
偵測並防止敏感資料的外部共用
偵測包含個人識別資訊或其他敏感資料的檔案何時儲存在雲端服務中，並與組織外部的使用者共用，這違反了貴公司的安全性原則，並造成潛在的合規性違規。
必要條件
你必須至少有一個應用程式使用 App 連接器連接，才能連接應用程式。
步驟
要建立偵測外部共享敏感資料的檔案政策：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 檔案原則。
將篩選器 存取層級 設定為 公用 (網際網路) /公用/外部。
在 [檢查方法] 底下，選取 [資料分類服務] ([DCS) ] ，然後在 [選取類型 ] 底下，選取您要 DCS 檢查的敏感性資訊類型。
設定觸發警示時要採取的 控管 動作。 舉例來說，您可以建立控管動作，在 Google Workspace 中偵測到檔案違規時執行，並選取「 移除外部使用者」 和 「移除公開存取權」選項。
建立檔案原則。
偵測外部共用的機密資料
偵測標記為 機密 並儲存在雲端服務中的檔案何時與外部使用者共用，違反公司原則。
必要條件
您必須至少有一個使用 應用程式連接器連線的應用程式。
步驟
要建立一個能偵測外部共享機密資料的檔案政策：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 檔案原則。
將篩選 [敏感度] 標籤設定為 [Microsoft Purview 資訊保護] 等於 [機密] 標籤，或您公司的對等標籤。
將篩選器 存取層級 設定為 公用 (網際網路) /公用/外部。
選用項目： 設定偵測到違規時要對檔案採取的 「控管」 動作。 可用的治理動作因服務而異。
建立檔案原則。
偵測並加密待用的敏感性資料
偵測包含雲端應用程式中共用的個人識別資訊和其他敏感性資料的檔案，並套用敏感度標籤，以限制僅限公司員工的存取權。
必要條件
您必須至少有一個使用 應用程式連接器連線的應用程式。
步驟
請使用以下程序建立政策：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 檔案原則。
在 [檢查方法] 底下，選取 [資料分類服務] ([DCS) ]，然後在 [ 選取類型 ] 底下，選取您要 DCS 檢查的敏感性資訊類型。
在 [ 控管動作 ] 底下，核取 [ 套用敏感度標籤 ] ，然後選取貴公司用來限制公司員工存取權的敏感度標籤。
附註
目前只有 Box、Google Workspace、SharePoint Online 和商務用 OneDrive 支援在 Defender for Cloud Apps 中直接套用敏感度標籤的功能。
建立檔案原則。
偵測來自未經授權位置的資料存取
根據組織的通用位置，偵測何時從未經授權的位置存取檔案，以識別潛在的資料外洩或惡意存取。
必要條件
你必須至少有一個應用程式使用 App 連接器連接，才能連接應用程式。
步驟
要建立活動政策，請執行以下步驟：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 活動原則。
將篩選器 [活動類型] 設定為您感興趣的檔案和資料夾活動，例如 [檢視]、[ 下載]、[ 存取] 和 [修改]。
設定篩選條件 [位置 不等於]，然後輸入貴組織預期活動的國家/地區。
- 選擇性：您可以使用相反的方法，並將篩選設定為 位置等於 如果您的 組織封鎖來自特定國家/地區的存取。
選擇性：建立要套用於已偵測違規情形的 治理 動作（可用性因服務而異），例如 暫停使用者。
建立活動原則。
偵測並保護不合規 SharePoint 網站中的機密資料儲存
偵測標示為機密且儲存在不符合規範的 SharePoint 網站中的檔案。
必要條件
敏感度標籤會在組織內部設定和使用。
步驟
請執行以下步驟，以偵測並保護不合規 SharePoint 網站上的機密資料：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 檔案原則。
將篩選 [敏感度] 標籤設定為 [Microsoft Purview 資訊保護] 等於 [機密] 標籤，或您公司的對等標籤。
設定篩選條件 [父資料夾 不等於]，然後在 [ 選取資料夾 ] 底下，選擇組織中的所有相容資料夾。
在 [警示] 底下，選取 [ 為每個相符的檔案建立警示]。
選用項目： 設定偵測到違規時要對檔案採取的 「控管」 動作。 可用的治理動作因服務而異。 例如，將 Box 設定為 [將原則比對摘要傳送給檔案擁有者]，並將 [置於管理員隔離區]。
建立檔案原則。
偵測外部共用原始碼
偵測包含可能是原始程式碼內容的檔案何時公開共用，或與組織外部的使用者共用。
必要條件
您必須至少有一個使用 應用程式連接器連線的應用程式。
步驟
請依照以下步驟從範本建立政策：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 檔案原則。
選取並套用政策範本 對外共享原始碼。
選用：自訂檔案 副檔名 清單，使其符合您組織的原始碼檔案副檔名。
選用項目： 設定偵測到違規時要對檔案採取的 「控管」 動作。 可用的治理動作因服務而異。 例如，在 Box 中，將原則比對摘要傳送給檔案擁有者，並置於管理員隔離區。
建立檔案原則。
偵測對群組資料的未經授權的存取
偵測屬於特定使用者群組的某些檔案何時被不屬於該群組的使用者過度存取，這可能是潛在的內部威脅。
必要條件
您必須至少有一個使用 應用程式連接器連線的應用程式。
步驟
請執行以下步驟來偵測群組資料的未授權存取：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 活動原則。
在 [ 採取行動 ] 底下，選取 [ 重複活動 ] 並自訂 [ 重複活動下限 ] ，並設定 [ 時間範圍 ] 以符合您組織的原則。
將篩選器 [活動類型] 設定為您感興趣的檔案和資料夾活動，例如 [檢視]、[ 下載]、[ 存取] 和 [修改]。
將篩選條件 User 設為 From group 等於，然後選取相關的使用者群組。
附註
將篩選器 [檔案和資料夾] 設定為 [特定檔案或資料夾等於] ，然後選擇屬於稽核使用者群組的檔案和資料夾。
設定偵測到違規時要對檔案採取的 治理 動作。 可用的治理動作因服務而異。 例如，您可以選擇暫停使用者。
建立檔案原則。
偵測可公開存取的 S3 儲存貯體
偵測並防止 AWS S3 儲存貯體的潛在資料外洩。
必要條件
您必須擁有一個已使用 應用程式連接器 連線的 AWS 執行個體。
步驟
執行下列步驟，以偵測可公開存取的 S3 儲存貯體：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 檔案原則。
選取並套用政策範本 Publicly accessible S3 buckets (AWS) 。
設定偵測到違規時要對檔案採取的 治理 動作。 可用的治理動作因服務而異。 例如，將 AWS 設定為 私有 ，這會使 S3 儲存貯體成為私有。
建立檔案原則。
跨檔案儲存應用程式偵測和保護 GDPR 相關資料
偵測在雲端儲存應用程式中共用的檔案，並包含受 GDPR 合規性原則約束的個人識別資訊和其他敏感資料。 然後，自動套用敏感度標籤，以限制僅授權人員的存取權。
必要條件
您必須至少有一個使用 應用程式連接器連線的應用程式。
已啟用 Microsoft Purview 資訊保護 整合，並在 Microsoft Purview 中設定 GDPR 標籤
步驟
請依照以下步驟制定與GDPR相關的資料保護政策：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 檔案原則。
在 [檢查方法] 底下，選取 [ 資料分類服務] ([DCS) ] ，然後在 [選取類型 ] 底下，選取一或多個符合 GDPR 合規性的資訊類型，例如：歐盟簽帳金融卡號碼、歐盟駕駛執照號碼、歐盟國家/地區識別號碼、歐盟護照號碼、歐盟 SSN、SU 稅務識別號碼。
設定偵測到違規時要對檔案採取的 控管動作，方法是針對每個支援的應用程式選取 套用敏感度標籤。
附註
目前，套用敏感度標籤僅支援 Box、Google Workspace、SharePoint Online 和商務用 OneDrive。
建立檔案原則。
即時封鎖外部使用者的下載
使用 Defender for Cloud Apps 會話控制項，即時封鎖檔案下載，防止外部使用者外洩公司資料。
必要條件
請確定您的應用程式是 SAML 型應用程式，會使用 Microsoft Entra ID 進行單一登入，或已上線至 Defender for Cloud Apps 以進行條件式存取應用程式控制。
如需支援應用程式的詳細資訊，請參閱 支援的應用程式和用戶端。
步驟
請執行以下步驟，即時阻擋外部使用者的下載：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 工作階段原則。
在 工作階段控制類型 下，選取 控制檔案下載 (含檢查)。
在 [活動篩選器] 底下，選取 [使用者]，並將其設定為 [從群組等於外部使用者]。
附註
您不需要設定任何應用程式篩選，即可將此原則套用至所有應用程式。
您可以使用 「檔案」篩選器 來自訂檔案類型。 這可讓您更細緻地控制工作階段原則所控管的檔案類型。
在 [動作] 底下，選取 [封鎖]。 您可以選取 [自定義封鎖訊息] 來設定要傳送給使用者的自定義訊息，讓他們瞭解內容遭到封鎖的原因，以及如何套用正確的敏感度標籤來啟用它。
選取 [建立]。
即時為外部使用者強制執行唯讀模式
使用 Defender for Cloud Apps 會話控制項，即時封鎖列印和複製/貼上活動，防止外部使用者外洩公司資料。
必要條件
請確定您的應用程式是 SAML 型應用程式，會使用 Microsoft Entra ID 進行單一登入，或已上線至 Defender for Cloud Apps 以進行條件式存取應用程式控制。
如需支援應用程式的詳細資訊，請參閱 支援的應用程式和用戶端。
步驟
請執行以下步驟以強制外部使用者只讀模式：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 工作階段原則。
在 [工作階段控制類型] 底下，選取 [封鎖活動]。
在 活動來源 篩選器中：
選擇 使用者，然後將 從群組 設定為 外部使用者。
選取 [活動類型] 等於 [列印] 和 [剪下/影印項目]。
附註
您不需要設定任何應用程式篩選，即可將此原則套用至所有應用程式。
選擇性：在 檢查方法下，選取要套用的檢查類型，並設定 DLP 掃描的必要條件。
在 [動作] 底下，選取 [封鎖]。 您可以選取 [自定義封鎖訊息] 來設定要傳送給使用者的自定義訊息，讓他們瞭解內容遭到封鎖的原因，以及如何套用正確的敏感度標籤來啟用它。
選取 [建立]。
即時封鎖上傳非機密文件
使用 Defender for Cloud Apps 工作階段控制項，防止使用者將未受保護的資料上傳至雲端。
必要條件
- 請確定您的應用程式是 SAML 型應用程式，會使用 Microsoft Entra ID 進行單一登入，或已上線至 Defender for Cloud Apps 以進行條件式存取應用程式控制。
如需支援應用程式的詳細資訊，請參閱 支援的應用程式和用戶端。
- 必須在組織內設定和使用來自 Microsoft Purview 資訊保護的敏感度標籤。
步驟
請使用以下程序即時阻擋未分類文件的上傳：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，移至 [原則 ->原則管理]。 建立新的 工作階段原則。
在 工作階段控制類型 下，選取 控制檔案上傳（含檢查） 或 控制檔案下載（含檢查）。
附註
您不需要設定任何篩選條件，即可將此原則套用至所有使用者和應用程式。
選取檔案篩選敏感性標籤不等於，然後選取貴公司用來標記分類檔案的標籤。
選擇性：在 檢查方法下，選取要套用的檢查類型，並設定 DLP 掃描的必要條件。
在 [動作] 底下，選取 [封鎖]。 您可以選取 [自定義封鎖訊息] 來設定要傳送給使用者的自定義訊息，讓他們瞭解內容遭到封鎖的原因，以及如何套用正確的敏感度標籤來啟用它。
選取 [建立]。
附註
如需Defender for Cloud Apps目前支援Microsoft Purview 資訊保護敏感度標籤的檔案類型清單，請參閱 Microsoft Purview 資訊保護整合必要條件。
後續步驟
如果您遇到任何問題，我們隨時為您提供協助。 若要針對產品問題取得協助或支援，請 提交支援單。