IBM Cloud Docs
保护助手

保护助手

IBM 承诺为客户及合作伙伴提供创新的数据隐私、安全性和监管解决方案。

声明

客户应负责确保自己遵守各种法律和法规，包括《欧盟通用数据保护条例》(GDPR)。

客户应自行负责向合格的法律顾问咨询，以确定和解释可能影响其业务的相关法律和法规，以及客户为遵守此类法律和法规而需要采取的任何行动。

此处描述的产品，服务和其他功能可能具有受限可用性，并且不适用于所有客户情况。 IBM 不提供法律、会计或审计建议，也不保证其服务或产品符合任何法律或法规。

如果需要请求对 IBM Cloud® Watson 资源的 GDPR 支持:

通过在助手中配置安全套接字层或传输层安全（SSL/TLS）证书，可以确保用户助手数据在与服务器运行的代码交互时的安全性。 有关详细信息，请参阅 配置安全证书。

欧盟一般数据保护条例 (GDPR)

IBM 致力于为客户提供创新的数据隐私、安全和管理解决方案，协助他们实现GDPR合规。

了解有关 IBM 自身的 GDPR 准备历程以及我们的 GDPR 功能和产品以支持您的合规历程的更多信息，请访问 IBM Cloud GDPR 欧盟合规性。

健康保险可移植性和责任法案 (HIPAA)

美国健康保险可移植性和责任法案 (HIPAA) 支持适用于在华盛顿，DC 或达拉斯等地托管的企业套餐。 有关更多信息，请参阅 为您的帐户启用 HIPAA 支持。

不要向创建的训练数据（实体和意向，包括用户示例）添加个人健康信息 (PHI)。 特别是，确保从上传用于挖掘意向或意向用户示例建议的包含实际用户话语的文件中，除去所有 PHI。

配置安全证书

您可以在助手中配置安全证书，以确保各种应用程序之间的安全通信、数据保护和隐私。 通过建立信任和验证通信各方的身份，安全证书有助于维护数字信息的保密性、完整性和可用性。 您可以使用 Security certificates (SSL/TLS) 部分上传和下载证书、替换旧证书和删除助手中的证书。

助手支持 TLS 1.2 和 TLS 1.3，其中 TLS 1.3 为默认版本。 如果服务不支持 TLS 1.3 或 1.2 版本，请要求该服务的管理员提供对这些 TLS 版本之一的支持。

当您的助手通过自定义扩展、对话技能或网络钩子连接到用户指定的 URL 时，需要验证服务的身份，以防止未经授权的访问并消除安全风险。 如果用户指定的 URL 使用超文本传输协议安全 HTTPS ) 协议，助手会通过三种方式验证安全服务的身份。

Table 1. Possibilities of identifying secure service 解释了助手在定向到 HTTPS 服务时验证安全服务身份的三种方法。

确定安全服务的可能性
描述 要求 证书验证器 安全级别 注释
您的助手拥有呼叫服务的 SSL 证书。 您向助手提供服务的 SSL 证书。 助理直接验证身份。 最安全 即使 SSL 证书是自签名的，这也是安全的，因为当助手已经拥有证书时，就不需要签名验证了。
您的助手拥有证书颁发机构的 SSL 证书，该证书颁发机构已签署了它所调用服务的证书。 您向助手提供认证机构的 SSL 证书，服务的 SSL 证书必须由该认证机构签署。 助手通过证书颁发机构验证服务的真实性。 它知道要信任证书颁发机构，因为你为它提供了证书。 当证书颁发机构极其安全时，极度安全 这种方法适用于私人证书颁发机构，如企业为内部使用而建立的证书颁发机构。
服务拥有由公共可信证书颁发机构签署的 SSL 证书。 您无需向助手提供任何 SSL 证书，但服务的 SSL 证书必须由公共可信机构签署。 助手使用公共可信证书颁发机构验证服务的真实性。 极其安全 受公众信任的证书颁发机构在签署任何证书之前，都会认真核实私钥的所有权。

本文讨论了一些安全证书配置选项示例，通过这些选项，您可以在安全性和便利性之间取得最佳平衡，使助理人员只需很少的连接细节。 有关详细信息，请参阅 选择安全证书选项的方法。

Table 2. Security certificates configuration option 提供有关助手中可能的安全证书配置选项的信息及其解释。

安全证书配置选项
安全证书配置选项 描述 连接 用途 支持上传选项
Trust uploaded certificates and any certificates signed by a trusted authority

您的助手可以连接到以下任何服务：

  • 使用由受信任的 authority.
  • 上传的证书（该服务的证书或其认证机构的证书）签署的证书。
  • 使用方便。
  • 您可以验证助手连接的所有服务的身份。
  • 如果不是由受公众信任的机构签署，则必须上传证书文件，以验证助手所连接服务的身份。
 所有助理常用。 是
Trust uploaded certificates Your assistant can connect to any service with an uploaded certificate (either the certificate for that service or the certificate for its certifying authority).
它无法连接任何其他安全服务。
  • use.
  • 您的助手只能连接具有上传证书或其签名机构证书的安全服务。
 减少使用 是
Trust all certificates, operation insecure (Not recommended) 您的助手可以连接到任何服务，但由于缺乏对冒名服务的保护，因此不建议使用。

Reasonable option

  • for proof-of-concepts or demo assistants where your assistants don’t have any independent users or sensitive data.
  • to keep the assistants operational even when they are connected to services that are not signed by publicly trusted authorities.
 新老助理的默认选项。 否

SSL 证书配置选项
SSL 证书配置选项

上传安全证书

准备工作

  • 确保文件为 PEM 格式，最大大小为 500 KB。
  • 如果有多个文件，请将它们合并为一个文件。

在助手中上传自签名证书或来自可信机构的证书：

  1. 转到 Home > Assistant settings。

  2. 在 安全证书 (SSL/TLS) 部分，根据要求选择 Trust uploaded certificates and any certificates signed by a trusted authority 或 Trust uploaded certificates。

  3. 单击 Upload。

  4. 在 Upload certificate 对话框中，添加证书。 您可以从文件夹中拖动或选择证书文件。

  5. 单击 Upload。 您可以看到 Secure socket layer connected 消息。

    SSL 上传选项

替换现有的安全证书

用助手中的新证书替换现有证书：

  1. 转到 Home > Assistant settings。

  2. 在 安全证书 (SSL/TLS) 部分，单击 Upload。

  3. 在 Upload certificate 对话框中，添加新证书。 您可以拖动或上传证书文件。

    该选项会删除或覆盖现有证书。

  4. 单击 Upload。

下载安全证书

查看助手中的现有证书：

  1. 转到 Home > Assistant settings。

  2. 在 安全证书 (SSL/TLS) 部分，单击 Download。

  3. 现在您可以打开下载的文件，查看现有证书。

    SSL 下载选项

修改现有安全证书

修改助手中的现有证书：

  1. 按照 下载安全证书 中的说明下载安全证书。
  2. 从现有文件中添加或删除证书。
  3. 用 替换现有安全证书 中所述的修改后文件替换现有 PEM 文件。

删除现有安全证书

删除助手中的现有证书：

  1. 转到 Home > Assistant settings。
  2. 在 安全证书 (SSL/TLS) 部分，单击 Delete。
  3. 在 Delete certificate 对话框中，选择 I acknowledge that I read and understand this warning。
  4. 单击 Yes。

所选选项自动指向 Trust all certificates, operation insecure (Not recommended)。

选择退出日志数据使用

IBM 使用日志数据（不包括企业计划数据）来不断学习和改进 watsonx Assistant。 IBM 不会共享或公开这些日志数据。

为了防止 IBM 使用您的日志数据来改进一般服务，请完成以下任务之一。

  • 如果您使用自定义应用程序，对于每个API /message 请求，请将 X-Watson-Learning-Opt-Out 标头参数设置为 true。

    有关更多信息，请参阅 数据收集。

  • 如果您使用网络聊天集成，请将 learningOptOut 参数添加到嵌入到网页中的脚本中，并将其设置为 true。

    有关更多信息，请参阅 配置。

标注和删除 watsonx Assistant 中的数据

请勿在您创建的培训数据（操作和步骤，包括用户示例）中添加个人数据。 特别是，请务必从您上传至我的文件中删除任何包含真实用户言论的个人身份信息，以便我推荐用户示例。

试验性和 Beta 功能的目的不是用于生产环境，因此在标注和删除数据时，无法保证这些功能可按预期运行。 实验性和测试版功能不能用于需要标记和删除数据的解决方案。

如果您需要watsonx Assistant删除客户消息数据，当消息发送到 watsonx Assistant 时，您可以使用客户的客户ID，前提是消息与客户ID相关联。

仅对于个别客户标识，除去消息数据必须是偶发事件。 要禁用分析日志，您可以升级到具有数据隔离的企业套餐。

  • 助手预览和自动 Facebook 集成不支持根据客户标识对数据进行标注或删除，并且不能用于必须支持根据客户标识删除数据的功能的解决方案中。

  • 对于 Intercom，customer_id 是具有 intercom_ 前缀的 user_id。 Intercom user_id 属性是 Intercom 定义的交谈模型中 id 消息对象的 author。

    • 要获取该标识，请通过 Web 浏览器打开通道。 打开 Web 开发者工具以查看控制台。 查找 author。

    完整的客户标识类似于：customer_id=intercom_5c499e5535ddf5c7fa2d72b3。

  • 对于 Slack，customer_id 是具有 slack_ 前缀的 user_id。 Slack user_id 属性由团队标识（如 T09LVDR7Y）和用户的成员标识（如 W4F8K9JNF）串联组成。 例如，T09LVDR7YW4F8K9JNF。

    • 要获取团队标识，请通过 Web 浏览器打开通道。 打开 Web 开发者工具以查看控制台。 查找 [BOOT] Initial team ID。
    • 您可以从用户的 Slack 概要文件中复制成员标识。
    • 要以编程方式获取标识，请使用 Slack API。 有关更多信息，请参阅 概述。 完整的客户标识类似于： customer_id=slack_T09LVDR7YW4F8K9JNF。

  • 对于 Web 聊天集成，服务会接受传入的 user_id，并将其作为 customer_id 参数值添加到每个请求的 X-Watson-Metadata 头中。

准备工作

要能够删除与特定用户关联的消息数据，必须首先将所有消息与每个用户的唯一客户标识相关联。 若要指定使用 /message API发送的任何消息的客户ID，请在标题中包含 X-Watson-Metadata: customer_id 属性。 例如：

curl -X POST -u "apikey:3Df... ...Y7Pc9"
 --header
   'Content-Type: application/json'
   'X-Watson-Metadata: customer_id=abc'
 --data
   '{"input":{"text":"hello"}}'
  '{url}/v2/assistants/{assistant_id}/sessions/{session_id}/message?version=2019-02-28'

其中，{url} 是实例的相应 URL。 有关更多信息，请参阅 服务端点。

customer_id 字符串不能包含分号 (;) 或等号 (=) 字符。 确保每个customer ID属性在您的客户中唯一是您的责任。

仅将 X-Watson-Metadata 头中传递的第一个 客户标识 值用作消息日志的 customer_id 字符串。 可以使用 DELETE /user_data v1 API 调用来删除此 客户标识 值。

如果您将搜索添加到助手中，提交给助手的用户输入将作为搜索查询传递给 Discovery。 如果 watsonx Assistant 集成提供了客户标识，那么生成的 /message API 请求将在头中包含该客户标识，并且会将该标识传递到 Discovery /query API 请求。

要删除与特定客户相关的查询数据，您必须直接向与您的助手关联Discovery发送单独的删除请求。 有关更多信息，请参阅 Discovery 信息安全。

查询用户数据

使用 V1 /logs 方法 filter 参数来搜索应用程序日志以查找特定用户数据。 例如，要搜索特定于与 customer_id 匹配的 my_best_customer 的数据，查询可能如下：

curl -X GET -u "apikey:3Df... ...Y7Pc9" \
"{url}/v2/assistants/{assistant_id}/logs?version=2020-04-01&filter=customer_id::my_best_customer"

其中，{url} 是实例的相应 URL。 有关更多信息，请参阅 服务端点。

有关更多信息，请参阅 过滤器查询参考。

删除数据

要删除您的助手可能存储的与特定用户相关的任何消息日志数据，请使用 DELETE /user_data v1 方法。 通过随请求一起传递 customer_id 参数，指定用户的客户标识。

只有使用 POST /message API端点添加的数据，且带有相关的客户ID，才能使用此删除方法进行删除。 无法根据客户标识删除其他方法添加的数据。 例如，客户对话中的实体和意图无法通过这种方式删除。 这些方法不支持个人数据。

重要指定 customer_id 删除所有带有此内容的消息 customer_id，在删除请求之前收到，涵盖整个 watsonx Assistant 实例，而不仅仅是一项技能。

例如，要从 watsonx Assistant 实例中删除与客户标识 abc 关联的任何用户消息数据，请发送以下 cURL 命令:

curl -X DELETE -u "apikey:3Df... ...Y7Pc9" \
"{url}/v2/user_data?customer_id=abc&version=2020-04-01"

其中，{url} 是实例的相应 URL。 有关更多信息，请参阅 服务端点。

这将返回空的 JSON 对象 {}。

有关更多信息，请参阅 API 参考。

注意： 删除请求将分批处理，最多可能需要24小时才能完成。

Web 聊天使用情况数据

watsonx Assistant Web 聊天将有限的使用情况数据发送到 振幅服务。 当用户与 Web 聊天窗口小部件进行交互时，我们会跟踪正在使用的功能以及事件，例如打开该窗口小部件的次数以及启动对话的用户数量。 此信息不包含助手训练数据或任何交谈交互的内容。

发送到振幅的信息不是云服务协议 (CSA) 中定义的内容。 它是帐户使用信息，如 CSA 的 9.d 部分中所述，并按 IBM 隐私声明中所述进行处理。 此信息收集的目的仅限于建立关于网络聊天的使用和有效性的统计并进行改进。

专用网络端点

Plus

您可以为属于Plus或Enterprise服务计划watsonx Assistant设置一个专用网络。 专用网络可防止数据通过公共互联网传输，确保数据隔离性更强。

专用网络端点支持通过 IBM Cloud 专用网络而不是公用网络路由服务。 专用网络端点提供了唯一 IP 地址，您无需 VPN 连接就可访问该地址。

有关更多信息，请参阅 公用和专用网络端点。

产品提供的集成需要公共互联网上的终端。 因此，助手的任何内置集成都具有公共端点。