研发资料和办公文件分别运行在不同网络中，既要维持网络边界，也需要让业务文件按需流转。江西汉可泛半导体采用一粒云 KWS 隔离网交换方案：研发网和办公网各部署一套云盘，两套云盘之间通过 KWS 进行文件摆渡与内容出入网审查。

项目配置包括研发网 150 人、办公网 200 人、两套云盘设备，存储总容量 300T。

图 1｜项目规模与方案要点

项目架构：两套云盘，KWS 作为受控交换通道

研发网和办公网分别使用独立的一粒云云盘，文件留存在各自网络的存储环境中。跨网络文件交换通过 KWS 完成，避免把两侧云盘直接连成同一存储空间。

研发网（云盘一，150 人） ⇄ KWS 隔离网交换与内容审查 ⇄ 办公网（云盘二，200 人）

图 2｜研发网、KWS 与办公网之间的受控文件流转

文件如何跨网流转

1. 文件保存在所属网络的云盘

研发资料进入研发网云盘，办公资料进入办公网云盘。两侧用户分别在本网络的云盘中访问和管理文件，满足各自的日常使用需要。

2. 跨网需求统一经过 KWS

当业务需要在两侧网络之间传递文件时，通过 KWS 进行摆渡。KWS 对出网和入网文件执行内容审查，使交换从网络边界处经过受控通道。

3. 文件到达目标网络后继续由目标云盘管理

文件通过交换流程后进入接收侧对应的云盘，后续存储和使用仍由目标网络侧管理。研发网和办公网保持各自的云盘及存储边界。

项目配置一览

方案价值：保留边界，让文件按需流转

这套方案将两类能力分工明确：两套云盘分别承载研发网和办公网内的文件存储；KWS 负责两侧之间的文件摆渡与内容出入网审查。网络隔离边界得以保留，业务需要交换的文件则通过统一通道流转。

对半导体研发和办公协作场景而言，方案重点解决三个问题：

• 分网存储： 研发网、办公网各自使用云盘，存储范围清晰。
• 受控交换： 两侧文件摆渡经过 KWS，不将跨网传输变成云盘之间的直接互通。
• 内容审查： 文件出网、入网均纳入内容审查流程，便于按组织的安全策略管理交换。

面向研发与办公分网场景的参考架构

江西汉可泛半导体项目采用两套云盘、合计 300T 存储空间，分别服务研发网 150 人和办公网 200 人，并通过 KWS 实现两侧文件摆渡和内容出入网审查。

一粒云云盘承载网络内文件管理，KWS 连接受控交换流程。 在保持研发网与办公网边界的同时，为有需要的文件建立清晰的流转路径。

科研实验室、检测机构、制造企业和政企数据中心，经常需要让内网数据参与外部协作。跨网交换的关键不只是“文件能不能传过去”，还包括：文件内容是否符合外发规则、由谁申请和批准、交换过程是否经过安全检查，以及文件到达外网后如何管理访问、下载和共享。

一粒云 KWS 与网闸配合，将文件内容检查、业务审批、隔离传输和外网侧持续管理串成一条可追溯的数据交换链路。根据外部协作和存储方式，目标端可以选择 外网 NAS，也可以选择 一粒云企业网盘。

图 1：从内网 NAS 选择文件，经 KWS 安全处理和审批后，通过网闸进入外网存储。

一、总体架构：安全链路相同，外部落点可选

两种方案共用同一条受控交换链路：

实验仪器 / LIMS / 分析系统 → 内网 NAS → KWS 申请与安全处理 → 网闸隔离传输 → 外网接收区 → 外网 NAS 或企业网盘

其中，NAS 负责集中存储和目录权限；KWS 负责交换申请、内容识别、安全检查、审批与过程留痕；网闸负责按照网络策略完成跨安全域传输；外网 NAS 或网盘负责接收后的权限管理和协作。

图 2：内网数据生产与存储、隔离交换管控、外网协作管理的总体关系。

核心原则：KWS 与网闸职责互补。 网闸建立网络隔离边界并执行受控传输；KWS 根据业务策略判断文件是否具备交换条件、由谁批准，并记录交换过程。文件通过了审批，不代表网络边界被打通；网络边界允许传输，也不代表任意文件都可以外发。

二、共用的安全交换流程

1. 数据先进入内网 NAS

实验仪器、LIMS、分析系统或用户工作站将数据存入内网 NAS。通过统一目录、团队权限和共享规范确定正式数据源，减少个人电脑、移动介质等非受管入口。

2. 用户从受管目录发起申请

申请人选择需要交换的文件，说明业务用途、目标网络区域和接收位置。审批规则可按组织、人员、文件类型或业务流程配置；高敏感数据可要求更严格的审批链。

3. KWS 执行内容检查

KWS 按已配置的文件识别、敏感信息检测和病毒查杀规则处理待交换文件。检查结果作为审批和放行依据之一；无法识别、命中规则或检测异常的文件，可按单位策略转人工复核、退回或隔离处理。

实际识别范围取决于部署的检测引擎、规则和文件格式支持情况，建议在上线前用典型实验文件、报告、图片和压缩包验证规则效果。

4. 审批通过后进入交换队列

审批人查看申请信息和检查结果，批准后才允许文件进入跨网交换流程。KWS 关联申请人、审批人、检查结果和文件信息，便于事后核查“谁申请、谁批准、检查了什么、为何放行”。

5. 网闸按策略传输

通过审批的文件进入受控交换区，由网闸依据配置的方向、目录、协议和访问策略传输。内外网 NAS 不直接互相挂载，也不因交换需求建立任意网络连通。

6. 外网侧接收并持续管理

文件先落入外网侧指定的接收目录或接入服务，再由目标存储完成归档。KWS 侧留存申请与交换记录；NAS 或网盘侧继续记录文件访问、下载、分享等操作，形成跨系统的追踪线索。

三、方案 A：内网 NAS → 外网 NAS

架构与流程

内网 NAS → KWS 检查与审批 → 网闸 → 外网接收区 → 外网 NAS

在外网 NAS 上按项目、部门或合作对象划分接收目录。审批通过的文件经网闸进入外网接收区，再写入指定 NAS 目录。接收完成后，由外网 NAS 管理员配置目录权限、共享对象和保留策略。

适用特点

• 适合已有外网 NAS、需要大文件或批量文件落地的环境。
• 文件保存在企业控制的存储节点，便于对接现有备份、归档和容量管理。
• 外网 NAS 可继续承担二次权限管理、版本管理、协作共享和访问日志记录。
• 不要求把外部协作文件统一放到云盘，适合希望维持 NAS 目录和运维体系的单位。

实施要点

• 为交换建立专用接收目录，避免写入外网 NAS 的任意共享路径。
• 采用最小权限服务账号，仅开放目标目录所需的写入权限。
• 按项目或接收方设置外网侧 ACL，交换批准与外部可见权限分开管理。
• 对大文件、批量目录和重名文件明确处理规则，并用交换单号关联 KWS 与 NAS 侧记录。

四、方案 B：内网 NAS → 外网一粒云企业网盘

架构与流程

内网 NAS → KWS 检查与审批 → 网闸 → 外网接收区 / 接入服务 → 一粒云企业网盘目标目录

KWS 与网闸完成的安全检查和审批步骤与 NAS-to-NAS 相同。差别在于，文件跨越隔离边界后不直接归档到外网 NAS，而是由外网侧接入服务将文件写入一粒云企业网盘中指定的团队空间、项目目录或协作目录。

目标侧接入方式应结合现有 KWS、网盘版本和部署网络确认。若网盘部署在外网区，接入服务可在该安全域内完成落盘或上传；若网盘位于云端，则需按单位网络策略配置最小必要的外联访问和认证方式，不应因此开放内网直连。

适用特点

• 适合文件到达后需要快速分发给多个团队、项目组或外部合作方的场景。
• 可利用网盘的用户、组织和目录权限进行二次授权，并通过版本管理、分享和访问记录支持持续协作。
• 交换审批决定文件能否跨网；网盘权限决定文件到达后谁能查看、下载或继续分享，两者应分别配置。
• 适合希望把“跨网交换”和“外部协作空间”连接起来的业务流程。

实施要点

• 为交换服务配置专用身份，并限制其可写入的网盘空间和目录。
• 目标目录采用明确的团队或项目权限，不让交换服务账号成为全盘管理员。
• 对外分享权限、链接有效期和下载权限在网盘侧按业务策略配置。
• 关联 KWS 交换单号、目标目录和网盘侧操作记录，便于从申请追溯到后续访问与分享。

五、两种目标存储如何选择

两种模式可以并存：需要长期归档或受控交付的数据进入外网 NAS；需要团队协作和阶段性共享的数据进入网盘。具体目标应由数据等级、接收对象、保留要求和现有存储体系共同决定。

六、部署时建议重点核对

1. 网络分区：明确内网 NAS、KWS 处理区、网闸、外网接收区和最终存储之间的路径，逐项核定允许的方向、端口和服务。
2. 检查策略：确定文件类型范围、敏感信息规则、病毒检测策略、异常文件处置方式和人工复核责任人。
3. 审批责任：按数据级别定义申请人、业务审批人和安全审批人，避免“能上传”被误当成“已获准外发”。
4. 账号权限：交换服务使用独立账号；NAS 和网盘目标端只开放必要目录和操作权限。
5. 失败与重试：定义传输中断、重名文件、重复提交和目标存储不可用时的处理方式，避免不完整文件被接收方误用。
6. 审计关联：为每次交换保留统一的申请或任务标识，将 KWS 检查审批记录与网闸传输结果、NAS/网盘访问记录关联起来。
7. 验收验证：用允许、拒绝、敏感命中、病毒样本、超大文件、传输中断和外部共享等场景验证全流程，并确认日志可按任务追查。

结语：摆渡完成后，数据管理仍要继续

NAS-to-NAS 适合将数据交付到企业管理的外网存储；NAS-to-网盘适合让已获准交换的数据继续进入团队和外部协作流程。两者都应保留 KWS 的内容检查与审批、网闸的网络隔离，以及目标存储端的权限和访问管理。

内网 NAS 管好数据源，KWS 管好交换过程，网闸守住网络边界，外网 NAS 或网盘管好后续协作。

这样，跨网交换才不止回答“文件传没传过去”，还能够追溯“谁申请、谁批准、检查了什么、传到哪里，以及后续谁访问和共享”。

SaaS 系统 1.2.0 现已更新。本次围绕企业协作与日常使用体验，带来多企业账号管理、微信及企业微信登录、通讯录同步、活动收集外链和桌面同步等新能力，并对组织权限、文件处理和界面体验进行了优化。

一个账号，管理多个企业

现在，一个账号可以关联、创建并切换多个企业。登录方式也更加灵活：支持企业微信和微信扫码登录，并可进行账号绑定。

企业微信通讯录同步和集成管理现已加入。邀请成员时，可以选择所属部门，并通过手机号或邮箱验证、设置密码，帮助企业更顺畅地完成成员加入流程。

组织架构管理同步增强：支持部门标签、管理员批量管理和导入预览。管理员可按昵称搜索、批量移除；同时修复管理员归属校验、无法按昵称搜索、无法批量移除及可移除自身权限的问题。成员管理新增冻结、解冻和离职交接处理，让组织变更更有序。

文件收集与云端迁移更方便

新增活动收集外链。外部参与者可通过链接提交文件，管理者可按需设置文件格式限制，并创建文件夹、重命名文件或文件夹，便于整理收集内容。

本次还新增云端迁移任务管理，方便查看和跟进迁移任务。针对文件协作，修复了 OnlyOffice 保存后文件下载失败或版本不一致的问题，也修复了文件拖拽框选越界问题。

外链访问安全也得到加强：修复了未完成验证便可查看文件列表的问题。部门删除逻辑同步修复，避免仍有成员的部门被误删。

桌面端同步更可靠

桌面端新增后台同步、令牌自动续期、失败任务重试和剪贴板上传能力，帮助日常文件同步与上传更顺畅。

同时修复桌面同步令牌过期、空文件冲突和任务无法恢复的问题，并补齐 Windows 登录窗口的关闭与最小化按钮。

安全与使用体验持续优化

新增短信验证码安全挑战。账号规则调整为 6～20 位，可使用字母、数字和下划线，不再要求必须包含数字。

登录、注册、邀请和企业选择页面，授权弹窗、组织架构、部门标签及外链管理界面均得到优化；界面主题、图标和多语言提示也进一步统一。

1.2.0 更新内容一览

新增功能

• 支持一个账号关联、切换和创建多个企业；支持企业微信、微信扫码登录及账号绑定。
• 新增企业微信通讯录同步和集成管理。
• 邀请加入企业支持选择部门、手机号或邮箱验证及设置密码。
• 新增活动收集外链，支持文件上传、文件夹创建、重命名和格式限制。
• 组织架构支持部门标签、批量管理员管理和导入预览；成员支持冻结、解冻及离职交接。
• 新增云端迁移任务管理和短信验证码安全挑战。
• 桌面端支持后台同步、令牌自动续期、失败任务重试及剪贴板上传。

问题修复与规则调整

• 修复活动外链未验证即可查看文件列表、OnlyOffice 保存后下载失败或版本不一致的问题。
• 修复文件拖拽框选越界、部门删除时可能误删仍有成员部门的问题。
• 修复桌面同步令牌过期、空文件冲突及任务无法恢复的问题；补齐 Windows 登录窗口关闭和最小化按钮。
• 修复管理员归属校验错误、无法按昵称搜索、无法批量移除及可移除自身权限的问题。
• 账号支持 6～20 位字母、数字和下划线，不再要求必须包含数字。

体验优化

• 优化登录、注册、邀请和企业选择页面。
• 优化授权弹窗、组织架构、部门标签和外链管理界面。
• 统一界面主题、图标及多语言提示。

欢迎体验 SaaS 系统 1.2.0，感受更顺畅的企业协作与文件管理体验。