Zjistěte, jak připravit prostředky AWS a aktivovat podnikovou správu klíčů (EKM).

Přehled

Enterprise Key Management (EKM) umožňuje OpenAI šifrovat data pomocí hlavního klíče, který ovládáte. Tento dokument ukazuje, jak nastavit účet AWS, abyste OpenAI udělili omezená oprávnění ke svému KMS.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Kroky

1. Vytvořte nový klíč KMS

Přejděte do KMS > Klíče spravované zákazníkem a vyberte Vytvořit klíč.
Vyberte symetrický šifrovací algoritmus.
Po vytvoření klíče si poznamenejte jeho ARN. Mezi podporované formáty patří arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* nebo ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Vytvořte vlastní zásadu pro omezený přístup ke klíči KMS

Přejděte do IAM > Zásady a vyberte Vytvořit zásadu.
V kroku Zadat oprávnění vyberte JSON a zadejte následující obsah, který zásadě přidá oprávnění k akcím KMS. Nezapomeňte nahradit YOUR_KMS_ARN identifikátorem ARN vytvořeného klíče.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Vytvořte roli IAM, kterou bude OpenAI přebírat, a přiřaďte jí zásadu s omezeným přístupem k vaší službě KMS

OpenAI bude volat AssumeRole z účtu AWS, který patří OpenAI. Tento krok umožní identitě OpenAI v AWS převzít roli s omezenými oprávněními pro přístup k vaší službě KMS.

Přejděte do IAM > Role a vyberte Vytvořit roli.
V kroku Vybrat důvěryhodnou entitu vyberte Vlastní zásada důvěryhodnosti.

AWS IAM Select trusted entity screen with Custom trust policy selected

Poté do pole Vlastní zásada důvěryhodnosti zadejte následující obsah, který umožní přístup identitě OpenAI v AWS.

Použijte identitu OpenAI v AWS: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Určete, jakou hodnotu ExternalId má OpenAI předávat při volání AssumeRole.
- Pro ChatGPT nebo API použijte ID organizace (org-xxx) přidružené k vašemu pracovnímu prostoru. Najdete ho v nastavení organizace.
- Pro API můžete použít konkrétní ID projektu API, chcete-li přístup vymezit podrobněji.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Poté v kroku Přidat oprávnění vyhledejte název zásady IAM, kterou jste vytvořili v předchozím kroku. Zaškrtněte políčko vedle názvu zásady a vyberte Další.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Nakonec v části Pojmenování, kontrola a vytvoření zvolte libovolný název role.

4. Uplatněte případná další omezení v souladu se svými bezpečnostními postupy

Výše jsou uvedeny minimální požadované informace, které OpenAI potřebuje k nastavení EKM. Můžete uplatnit další zásady klíčů nebo omezení v souladu se svými interními bezpečnostními postupy, pokud OpenAI dokáže ve vašem KMS volat operace šifrování a dešifrování. Když zavoláte koncový bod registrace klíče u OpenAI popsaný níže, ověříme vaše nastavení.

Po dokončení výše uvedených kroků

ChatGPT Enterprise

Obraťte se prosím na svůj kontakt v OpenAI a sdílejte následující:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- ARN role, kterou OpenAI převezme ve vašem cloudu.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN systému správy klíčů pro hlavní klíč, který spravujete.

Povolíme EKM pro vaši organizaci/pracovní prostor ChatGPT.

API

Zaregistrujte svůj externí klíč u OpenAI

Postupujte podle pokynů v této referenční dokumentaci API: Externí klíče v rozhraní API pro správu.

Nejprve zaregistrujte externí klíč na úrovni organizace OpenAI. Tím se vygeneruje ID externího klíče.
V tomto kroku ověříme, zda jsou zadané údaje platné a zda se můžeme autentizovat u vaší služby KMS.
Tím se EKM do vašeho projektu OpenAI zatím nepřidá.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Poté vytvořte projekt OpenAI přidružený k externímu klíči. Poté bude EKM ve vašem projektu aktivováno. Tělo odpovědi tohoto volání API vám poskytne ID projektu (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Konfigurace EKM s OpenAI a AWS