管理发现的应用
查看环境中已发现的应用列表后，可以通过以下方式批准安全应用（已批准）或禁止不需要的应用（未批准）来保护你的环境。
批准/取消批准应用
点击行尾的三个点，将特定风险应用标记为未批准。 然后选择“未批准”。 取消批准应用不会阻止使用，但可以让你更轻松地使用 Cloud Discovery 筛选器监控应用使用情况。 然后，可以通知用户未批准的应用，并建议使用备用的安全应用，或使用 Defender for Cloud Apps API 生成阻止脚本，来阻止所有未批准的应用。
使用内置流阻止应用
如果租户使用 Microsoft Defender for Endpoint，一旦你将应用标记为未批准，它就会被自动阻止。 此外，还可以将阻止范围扩展到特定的 Defender for Endpoint 设备组，监视应用，并使用警告和教育功能。 有关更多信息，请参阅使用 Microsoft Defender for Endpoint 治理已发现的应用。
否则，如果你的租户使用 Zscaler NSS、iboss、Corrata、Menlo 或 Open Systems，当应用未批准时，你仍然可以使用无缝阻止功能，但不能按设备组来限定范围或使用警告和教育功能。 有关更多信息，请参阅与 Zscaler 集成、与 iboss 集成、与 Corrata 集成、与 Menlo 集成和与 Open Systems 集成。
通过导出阻止脚本来阻止应用
Defender for Cloud Apps 让你可以利用现有的本地安全设备阻止访问未批准的应用。 可以生成专用阻止脚本并将其导入你的设备。 此解决方案不要求将组织的所有 Web 流量重定向到代理。
在 Cloud Discovery 仪表板中，将想阻止的任何应用标记为“未批准”。
在标题栏中，选择“操作”，然后选择“生成阻止脚本...”。
在“生成阻止脚本”中，选择要为其生成阻止脚本的设备。
然后，选择“生成脚本”按钮，为所有未批准的应用创建阻止脚本。 默认情况下，将以文件导出日期和所选设备类型命名该文件。 2017-02-19_CAS_Fortigate_block_script.txt 为示例文件名。
将已创建的文件导入你的设备。
阻止不支持的流
如果租户不使用上述任何流，你仍可以导出所有未批准的应用的所有域列表，并配置不受支持的第三方设备以阻止这些域。
在“已发现的应用”页中，筛选所有未批准的应用，然后使用导出功能导出所有域。
不可阻止的应用
为了防止用户意外阻止业务关键服务并导致停机，无法使用 Defender for Cloud Apps 通过 UI 或策略阻止以下服务：
- Microsoft Defender for Cloud Apps
- Microsoft Defender 安全中心
- Microsoft 365 安全中心
- Microsoft Defender for Identity
- Microsoft Azure 信息保护
- Microsoft Entra 权限管理
- Microsoft 条件访问应用程序控制
- Microsoft 安全功能分数
- Microsoft 365 合规中心
- Microsoft Intune
- Microsoft 支持
- Microsoft AD FS 帮助
- Microsoft 支持
- Microsoft 联机服务
治理冲突
如果手动治理操作与策略设置的治理之间存在冲突，则优先应用最后一个操作。
后续步骤
如果遇到任何问题，我们可以提供帮助。 要获取产品问题的帮助或支持，请开立支持票证。