Saznajte kako pripremiti AWS resurse i aktivirati upravljanje ključevima za preduzeća (EKM).

Pregled

Enterprise Key Management (EKM) omogućava OpenAI-u da šifrira podatke pomoću glavnog ključa kojim vi upravljate. Ovaj dokument pokazuje kako podesiti vaš AWS račun da OpenAI-u date ograničene dozvole na vašem KMS-u.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Koraci

1. Kreirajte novi KMS ključ

Idite na KMS > Ključevi kojima upravlja korisnik, a zatim odaberite Kreiraj ključ.
Odaberite algoritam simetričnog šifriranja.
Nakon kreiranja ključa zabilježite njegov ARN. Podržani formati uključuju arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* ili ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Kreirajte prilagođenu politiku za ograničeni pristup KMS ključu

Idite na IAM > Politike, a zatim odaberite Kreiraj politiku.
U koraku Odredite dozvole odaberite JSON i unesite sljedeće kako biste politikom omogućili radnje pristupa KMS-u. Obavezno zamijenite YOUR_KMS_ARN ARN-om ključa koji ste kreirali.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Kreirajte IAM ulogu koju će OpenAI preuzimati i povežite je s politikom koja omogućava ograničeni pristup vašem KMS-u

OpenAI će pozivati AssumeRole s AWS računa u svom vlasništvu. Ovaj korak omogućava AWS identitetu kompanije OpenAI da preuzme ulogu s ograničenim ovlastima za pristup vašem KMS-u.

Idite na IAM > Uloge, a zatim odaberite Kreiraj ulogu.
U koraku Odaberite pouzdani entitet odaberite Prilagođena politika povjerenja.

AWS IAM Select trusted entity screen with Custom trust policy selected

Zatim unesite sljedeće u polje Prilagođena politika povjerenja kako biste omogućili pristup AWS identitetu kompanije OpenAI.

Radi se o AWS identitetu kompanije OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Navedite koji ExternalId OpenAI treba proslijediti tokom postupka AssumeRole.
- Za ChatGPT ili API koristite ID organizacije (org-xxx) povezan s vašim radnim prostorom: postavke organizacije.
- Za API možete koristiti određeni ID API projekta radi preciznije kontrole.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Zatim u koraku Dodajte dozvole potražite naziv IAM politike koju ste kreirali u prethodnom koraku. Označite polje za potvrdu pored naziva politike, a zatim odaberite Dalje.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Na kraju, u odjeljku Imenujte, pregledajte i kreirajte odaberite proizvoljan naziv uloge.

4. Primijenite sva dodatna ograničenja u skladu s vlastitim sigurnosnim praksama

Iznad su navedene minimalne potrebne informacije koje su OpenAI-u potrebne za podešavanje EKM-a. Možete primijeniti dodatne politike ključeva ili ograničenja u skladu s vlastitim internim sigurnosnim praksama, sve dok OpenAI može pozivati operacije šifriranja i dešifriranja na vašem KMS-u. Kada pozovete krajnju tačku za registraciju ključa kod OpenAI-a, opisanu u nastavku, provjerit ćemo vašu konfiguraciju.

Nakon dovršetka gore navedenih koraka

ChatGPT Enterprise

Obratite se svom OpenAI kontaktu i podijelite sljedeće:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- ARN uloge koju će OpenAI preuzeti u vašem oblaku.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN sistema za upravljanje ključevima za glavni ključ kojim upravljate.

Omogućit ćemo EKM za vašu ChatGPT organizaciju/radni prostor.

API

Registrirajte svoj vanjski ključ kod kompanije OpenAI

Slijedite upute u ovoj referentnoj dokumentaciji za API: Vanjski ključevi u API-ju za upravljanje.

Prvo registrirajte svoj vanjski ključ na nivou organizacije u OpenAI-ju, čime će se generirati ID vanjskog ključa.
U ovom koraku provjerit ćemo jesu li uneseni podaci ispravni i možemo li se autentificirati na vašem KMS-u.
Time se EKM još neće dodati u vaš OpenAI projekt.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Zatim kreirajte OpenAI projekt povezan s vanjskim ključem. Nakon toga, EKM je aktiviran na vašem projektu. Tijelo odgovora ovog API poziva dat će vam ID projekta (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Konfiguriranje EKM-a uz OpenAI i AWS