View a markdown version of this page

快速的安全性 - Amazon Quick

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

快速的安全性

Amazon Quick 提供許多安全功能，供您在開發和實作自己的安全政策時考慮。以下最佳實務為一般準則，並不代表完整的安全解決方案。這些最佳實務可能不適用或無法滿足您的環境需求，因此請將其視為實用建議就好，而不要當作是指示。

如需如何保護資料的詳細資訊，包括客戶資料不用於訓練或改善基礎 LLMs陳述式，請參閱 Amazon Quick 中的資料保護。

如需 AI 和代理程式功能如何變更 Quick 風險分析的概念說明，包括對手內容風險的兩條件模型，請參閱 Amazon Quick 中的 AI 和代理程式安全性。

在部署之前決定 – 下列決策在初始組態之後無法復原或難以變更。在您建立資源或加入使用者之前，請刻意進行。

在建立資源之前註冊加密金鑰 – 預設會快速加密所有靜態資料。如需詳細資訊，請參閱靜態加密。下列決策是關於您或 是否 AWS 控制金鑰。如果您需要控制保護資料的加密金鑰，請在建立資源之前，將客戶受管 KMS 金鑰註冊為帳戶預設值。兩個關鍵路徑很重要：

  • 帳戶預設金鑰 – 寫入資料時，參與的資源類型會選取帳戶預設金鑰。變更預設值會影響未來的寫入，但不會重新加密現有的內容。

  • Amazon Q 資料金鑰 – 從目前註冊的預設金鑰，設定一次，這是第一次在帳戶中建立 Amazon Q 資料。之後就無法變更此金鑰。如需詳細資訊，請參閱Amazon Q 資料金鑰。

  • 研究資源 – 研究資源會在建立時關聯金鑰。在沒有金鑰關聯的情況下建立的研究資源稍後無法移至一個資源。

客戶受管 KMS 金鑰支援需要企業訂閱。如需參與資源類型的完整清單，請參閱 客戶受管 KMS 金鑰範圍。

選擇您的身分模型 – 在 IAM Identity Center、Active Directory、IAM 聯合和快速本機使用者之間刻意選擇。佈建和離職行為因模型而異。特別是，快速偵測非作用中使用者並填入非作用中使用者清單。此偵測僅適用於透過 IAM Identity Center 或 Active Directory 聯合的帳戶。如需詳細資訊，請參閱Amazon Quick 中的使用者生命週期和資料處理。

在建立時選取知識庫存取模型 – 對於支援的整合，請在建立時決定知識庫是否具有存取控制清單 (ACL) 意識。文件層級 ACL 組態是永久的。您無法為在沒有 ACLs的知識庫開啟 ACL，而且您無法在開啟之後將其關閉。若要變更 ACL 組態，請從頭開始建立具有所需設定的新知識庫。

  • 支援的整合 – Amazon S3、Google Drive、Microsoft SharePoint、Atlassian Confluence Cloud 和 Microsoft OneDrive。

  • 共用和擷取是個別的控制項 – 知識庫共用會決定誰可以使用知識庫。對於 ACL 感知知識庫，來源文件 ACLs 進一步限制每個授權使用者可以擷取哪些編製索引的文件。授予存取權之前，請檢閱這兩個控制項。

  • 已關閉行為 – 如果 Quick 無法評估查詢的文件許可，則不會傳回任何文件，而不是未篩選的結果。

  • 同步節奏 – 根據知識庫重新整理排程快速同步身分和文件許可變更，預設為每 24 小時一次。當您的存取變更需求需要時，請設定較短的排程。

  • 共用電子郵件地址 – 如果多個快速使用者在命名空間中共用相同的電子郵件地址，系統會拒絕使用該共用電子郵件的每個人存取。

  • ACL 解析範圍 – 快速解析知識庫建立者命名空間中的所有 ACLs。

  • 電子郵件回收 – 如果您的組織在下一次 ACL 重新整理之前重新指派電子郵件地址，且先前持有人從未使用過快速聊天功能，則可能會暫時存取洩漏。在重新指派電子郵件之前，更新 ACLs 並重新整理知識庫。

  • 研究不相容 – 已啟用文件層級 ACLs知識庫與 Quick Research 不相容。

如需詳細資訊，請參閱在知識庫中管理 ACLs最佳實務。

限制存取 – 設定帳戶後，將存取限制為每個角色所需的最低數量。

套用最低權限 – 指派符合每個使用者責任的快速角色。使用自訂許可設定檔進一步縮小角色可用的預設功能範圍。自訂許可只能限制。他們無法授予使用者尚未擁有的功能。當您在多個層級指派設定檔時，最具體的層級會獲勝：使用者層級覆寫角色層級，這會覆寫帳戶層級。自訂許可需要企業訂閱。如需詳細資訊，請參閱自訂許可。

對於 BI 工作負載，使用資料列層級安全性、資料欄層級安全性和執行身分角色來補充許可，以限制查詢時間的資料存取。

根據預設，拒絕 AI 功能 – 如果您的組織有模型風險或變更核准要求，請限制 AI 功能類別，以便在啟動當天拒絕新的 AI 功能，直到您明確允許為止。如果沒有此限制，Quick 運送的每個新 AI 功能都會在發行時自動提供給所有使用者。如需詳細資訊，請參閱預設拒絕。

設定 AI 護欄 – 內建的內容安全篩選會自動套用至聊天互動。您可以進一步設定最多 50 個封鎖的單字和片語，快速檢查使用者請求和產生的回應。如需詳細資訊，請參閱Amazon Quick 中的 AI 護欄。

將監督與動作的執行方式相符 – 快速支援兩種具有不同安全特性的調用模型。將您的檢閱深度與每個模型的自主性和結果配對。

  • 隨需動作 – 使用者使用個別使用者的個人登入資料啟動、互動式和驗證。每個動作都會以叫用使用者身分執行，並受該使用者的連接器許可所限制。如需詳細資訊，請參閱隨需動作。

  • 自動化工作流程 – 在服務層級進行系統層級、排程或事件觸發、非互動式和驗證。自動化工作流程會在服務層級進行驗證。它不會以個別使用者身分運作，不受該使用者的連接器許可限制，而且會在無人看管的情況下執行。讓自動化工作流程在審核期間更仔細地審查。如需詳細資訊，請參閱自動化工作流程。

  • 限制自動執行 – 如果部分或所有使用者不接受自動執行，請使用下列自訂許可功能來限制自動執行：

    • 自動化 – 防止受限使用者建立、更新或執行自動化。

    • 流程 – 限制建立、更新、共用和執行流程。

    • 觸發 – 限制所有觸發功能，包括傳入電子郵件觸發和快速事件觸發。

    在帳戶層級設定檔中套用這些限制，以限制整個帳戶的自動執行。如需詳細資訊，請參閱自訂許可。

  • 新增檢閱步驟 – 對於適合人工檢閱步驟的工作流程，請使用human-in-the-loop任務中心暫停執行並收集核准，然後再繼續工作流程。如需詳細資訊，請參閱Human-in-the-loop任務中心。

將擷取的內容和外部內容視為不受信任 – 對對手內容採取行動的風險需要兩個條件：助理可以從信任界限之外讀取內容，並且可以採取後續動作。縮小任一端可減少曝光。

  • 讀取表面 – 來自下列來源的內容會進入助理的內容：知識庫和索引擷取、上傳至空間和聊天的檔案、Web 搜尋、第三方研究提供者，以及連接器傳回的內容。

  • 動作表面 – 限制每個角色可用的連接器、動作和傳出路徑。較窄的動作範圍可減少任何單一洩漏輸入的結果。

  • 內建篩選 – 內建安全檢查會篩選使用者請求，包括包含提示攻擊的請求。將此篩選與縮小動作範圍配對，而不是僅依賴篩選。如需詳細資訊，請參閱Amazon Quick 中的 AI 護欄。

限制網路存取 – 使用 IP 和 VPC 端點規則來控制哪些網路可以透過 Web、內嵌和行動存取快速存取。規則類型包括 CIDR 區塊 (IPv4)、VPC IDs和 VPC IDs。您最多可以新增合併 100 個 IP 和 VPC 端點規則。這些規則是全域的，適用於所有 AWS 區域。規則變更最多可能需要 10 分鐘才會生效。IP 和 VPC 端點規則需要企業訂閱。

IP 和 VPC 端點規則不會限制對公有 API 的存取。若要限制 API 存取，請使用 IAM 政策條件。如需詳細資訊，請參閱在 Amazon Quick 中開啟網際網路通訊協定 (IP) 和 VPC 端點限制。

離職前轉移擁有權 – 每個使用者無法存取留在帳戶中但沒有擁有者的資產。從帳戶移除使用者之前，請先轉移連接器、客服人員和自動化的擁有權。

  • 檢閱孤立資產 – 定期檢閱其擁有者已離開組織的連接器、客服人員和自動化。如需詳細資訊，請參閱孤立資產。

  • 檢閱休眠連線 – 受管 OAuth 重新整理權杖具有 90 天的生命週期。使用此節奏做為觸發，以檢閱是否仍需要每個連線，並移除不再使用的連線。

  • 規劃完整生命週期 – 如需使用者移除及其效果的詳細指導，請參閱 Amazon Quick 中的使用者生命週期和資料處理。

檢閱離開的內容 – 每個傳出路徑都已啟用客戶，而且每個連線都有自己的身分驗證和資料存取特性。開啟每個路徑之前，請先將路徑檢閱為潛在的輸出通道。

每個連線都需要身分驗證 – 可用的身分驗證選項取決於連接器類型。有些連接器類型允許在沒有身分驗證的情況下連線，包括遠端模型內容通訊協定 (MCP) 伺服器、agent-to-agent程式連接器，以及一般 HTTP 連接器。確認每個連線都需要驗證才能啟用。

  • 使用者層級 OAuth – 每個使用者都會個別驗證，並扮演自己的角色。偏好連接器支援的使用者層級身分驗證，因為設定錯誤連線的影響僅限於單一使用者的存取範圍。

  • 共用用戶端憑證連線 – 連接器的所有使用者共用一組登入資料。該連接器的每個使用者都會繼承其範圍和存取範圍。縮小共用憑證的範圍，並檢閱它們授予的內容。

  • 每個連接器限制 – 您可以透過自訂許可限制建立和更新、共用和使用 的個別動作連接器，因此可以為一組有限的使用者啟用連接器，而不是為所有人啟用連接器。如需詳細資訊，請參閱自訂許可。

如需可用身分驗證方法的詳細資訊，請參閱身分驗證方法。

啟用之前，請檢閱每個傳出路徑 – 在您啟用傳出功能之前，請確認目的地和可流向該路徑的資料符合您組織的需求。傳出路徑包括動作連接器、遠端 MCP 伺服器、Web 搜尋、第三方研究提供者、公有應用程式、內嵌和匯出目的地。如需每個路徑的詳細資訊，了解可以留下哪些資料、觸發資料、控制資料的人員以及要驗證的內容，請參閱 Amazon Quick 中的傳出連線和資料輸出。

設定可觀測性 – 在您大規模加入使用者之前設定監控和記錄。當您設計監控和事件回應程序時，請同時使用下列訊號。在您依賴訊號進行合規、偵測或調查之前，請確認訊號涵蓋了您要追蹤的事件。

  • CloudTrail – 記錄支援的 API 操作和一組記錄的非 API 事件，例如儀表板檢視和使用者管理動作。CloudTrail 不會擷取聊天對話內容或使用者意見回饋。對於這些訊號，請使用 CloudWatch vended 日誌。如需詳細資訊，請參閱使用 CloudTrail 監控 Amazon Quick。

  • CloudWatch 提供的日誌 – 五種日誌類型會將對話和操作資料交付至您控制的目的地 (Amazon CloudWatch Logs、Amazon S3 或 Firehose)：

    • 聊天對話 (CHAT_LOGS)

    • 使用者意見回饋 (FEEDBACK_LOGS)

    • 客服人員和研究時數 (AGENT_HOURS_LOGS)

    • 索引儲存用量 (INDEX_USAGE_LOGS)

    • 知識庫檔案同步 (KB_FILE_SYNC_LOGS)

    根據預設，已取代的日誌不會流動。在您啟用快速 AI 功能後不久設定交付，以免遺失早期互動資料。如需詳細資訊，請參閱使用 CloudWatch Logs 監控 Amazon Quick。

  • CloudWatch 指標和警示 – Near-real-time的操作指標涵蓋儀表板、視覺效果、資料集擷取、非結構化資料集、動作連接器和 SPICE 容量。您可以建立 CloudWatch 警示，在指標達到您指定的閾值時傳送通知。如需詳細資訊，請參閱使用 CloudWatch 指標監控 Amazon Quick。

  • 分析儀表板 – 為 IAM 管理員提供用量、採用和意見回饋洞察。存取需要 quicksight:QuickSuiteUsageMetrics許可。分析儀表板可以公開詳細的查詢文字、失敗的查詢內容，以及與負面意見回饋相關聯的完整對話內容。僅將分析存取權授予授權管理員。如需詳細資訊，請參閱使用 Amazon Quick Analytics 儀表板。

  • 功能特定的報告 – 有些功能會產生自己的操作報告，例如記錄每個檔案同步狀態的知識庫同步報告。

您可以控制所有外部化訊號的保留。設定目的地保留政策以符合您的合規要求。根據預設，CloudTrail 事件歷史記錄會保留 90 天的管理事件。CloudWatch Logs、Amazon S3 和 Firehose 目的地保留遵循您在每個目的地設定的政策。如需詳細資訊，請參閱Amazon Quick 中的事件回應、記錄和監控。

CloudTrail 會記錄中繼資料 （誰、何時、什麼操作），但不會記錄訊息內文或回應內容。CloudWatch 提供的聊天日誌會擷取使用者訊息和系統回應，但不會擷取來源文件內容。分析儀表板只會在負面意見回饋審查的範圍內公開對話內容。如果您的合規模型需要此處未列出的訊號，請在假設存在之前驗證涵蓋範圍。

資料來源連線 – 下列實務可協助您安全地連線至資料來源。

使用私有來源的 VPC 連線 – 將虛擬私有雲端 (VPC) 連線用於 AWS 資料來源中的資料，以及用於沒有公有連線的內部部署伺服器中的資料。對於 AWS 來源，Quick 使用彈性網路界面與 VPC 中的資料來源進行安全的私有通訊。對於內部部署來源，請使用 Direct Connect or AWS Site-to-Site VPN 來建立安全的私有連結。VPC 連線需要企業訂閱。如需詳細資訊，請參閱在 Amazon Quick 中管理 VPC 連線。

使用 SSL 加密資料庫連線 – 使用 SSL 連線到資料庫，尤其是使用公有網路時。搭配 Quick 使用 SSL 需要由公開認可的憑證授權單位 (CA) 簽署的憑證。

設定使用者和資料存取的防火牆規則 – 若要允許使用者快速存取，請允許存取 HTTPS 和 WebSockets 安全 (wss：//) 通訊協定。若要允許 Quick 連線到非AWS 伺服器的資料庫，請變更該伺服器的防火牆組態，以接受來自適用 Quick IP 地址範圍的流量。如需詳細資訊，請參閱網路和資料庫組態需求。