IBM Watson Assistant 发起Webhook请求的IP地址范围是什么？

核心结论 #

IBM公有云多租户部署的Watson NLP/NLU服务没有独立的固定出站IP段，IP范围和其所在的IBM Cloud区域绑定：

• 首先确认你开通的Watson服务所属的IBM Cloud区域，放行对应区域的IBM Cloud公有服务出站IP段即可，该IP段会不定期迭代更新，建议至少每3个月同步一次白名单规则，避免服务中断。
• 如果你使用的是专属部署的Watson实例，可以提交IBM Cloud工单申请获取该实例的固定出站IP，配置后长期有效。

更推荐的无IP白名单安全方案 #

因为IP段存在变动风险，优先采用请求签名校验方案实现访问控制，安全性更高且无需维护IP规则：

• 在Watson的webhook配置界面新增自定义请求头X-Webhook-Secret，值设置为32位及以上的无规则随机字符串，作为双方约定的校验密钥。
• AWS Lambda侧新增请求校验逻辑，收到webhook请求后首先校验X-Webhook-Secret请求头的值是否和约定的密钥一致，校验不通过直接返回403拒绝访问即可。
• 如果搭配AWS API Gateway使用，可以直接在API Gateway的资源策略中配置请求头校验规则，在请求到达Lambda前就拦截非法请求，进一步降低安全风险。

内容的提问来源于stack exchange，提问作者pegasuspect