技术问题

企业里禁止打印并不难，难的是做到“该禁的禁、该放的放”。部门、用户、应用程序和打印机类型只要有一项没匹配好，策略就可能看着已经下发，终端却照样能打印。处理“IP-Guard打印管控怎么设置IP-Guard打印权限不生效怎么排查”，建议先拿一台测试电脑跑通，再批量应用。

公司内部的加密文件要发给客户或供应商时，直接复制出去通常打不开，需要先走外发申请。处理“IP-Guard外发文件怎么审批IP-Guard外发审批记录怎么追踪”，要把申请、审批和文件生成分开看。审批显示通过，不代表外发文件已经自动生成，这一点很容易弄混。

IP-Guard终端管控的配置，和终端策略不生效时的排查，其关键并不在于简单地勾选某一项禁止的条目，而是需要先把终端的分组、用户的对象、控制的模块、策略的优先级以及日志验证的方式，这几样东西理顺清楚。IP-Guard的终端管控，通常会涉及到设备的管控、网页的浏览、应用程序、网络的流量、文档的操作、打印、邮件、移动存储、实时的报警和日志的记录这些功能，而不同的模块所对应的控制点，也是不一样的。

日常办公的时候，电脑屏幕上往往会同时摊开着报价单、设计效果图、客户联系资料，还有公司的各种内部文档，这些内容一旦被人用手机拍下来或者拿截图工具抓走，光靠单独禁止文件的复制操作，是没办法完全把漏洞堵上的。因此，想要让IP-Guard的屏幕水印真正派上用场，就得先搞清楚两个问题：一个是怎么把这套水印功能顺畅地开启起来，另一个是水印上面显示的内容该怎么自己去定义。整个设置的重点在于，要先定下来哪些电脑终端需要显示水印，然后再去挑选水印用哪一种类型、水印里面要放哪些能够用来追溯的字段，以及这些设定要覆盖到多大的范围。IP-Guard本身支持文字形式的水印、二维码形式的水印，还有点阵类型的水印，有些版本还能配置上图片作为水印背景；它能显示出来的信息，一般就包括使用者的用户名、这台计算机的名称、当前的IP地址还有系统时间这些。

很多团队在做IP-Guard外发管控时，前面策略看起来已经配好了，真正到业务现场却常见两类问题。一类是员工需要对外发送文件，却不知道该走申请还是直接生成外发文件；另一类是外发已经发生了，管理员后面想追是谁申请、谁审批、谁生成、谁发出去，却一时找不到对应记录。按IP-Guard官方资料的口径，外发审批和外发审计本来就是两条并行线，前者解决能不能外发，后者解决外发后能不能查清全流程。

在IP-Guard里做U盘管控，关键不只是把“禁止可移动设备”勾上，而是先把设备分类、授权范围、读写口径和审计目标一起定清楚。官方资料显示，IP-Guard把“设备管控”“移动存储管控”“风险审计报表”和“远程维护”都作为标准能力提供；而其移动存储管理方案也明确支持接入管控、读写授权、加密和审计，这说明U盘策略本来就是一套“限制加记录加复核”的组合动作，不适合只改一条规则就收工。