Oversigt

Enterprise Key Management (EKM) giver OpenAI mulighed for at kryptere data ved hjælp af en hovednøgle, som du kontrollerer. Dette dokument viser, hvordan du konfigurerer din AWS-konto til at give OpenAI begrænsede tilladelser til din KMS.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Trin

1. Opret en ny KMS-nøgle

Gå til KMS > Kundeadministrerede nøgler, og vælg Opret nøgle.
Vælg en symmetrisk krypteringsalgoritme.
Når din nøgle er oprettet, skal du notere dens ARN. Understøttede formater omfatter arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* og ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Opret en brugerdefineret politik for begrænset adgang til KMS-nøglen

Gå til IAM > Politikker, og vælg Opret politik.
I trinnet Angiv tilladelser skal du vælge JSON og indtaste følgende for at give politikken tilladelse til KMS-handlinger. Sørg for at erstatte YOUR_KMS_ARN med ARN for den nøgle, du har oprettet.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Opret en IAM-rolle, som OpenAI kan påtage sig, og knyt den til politikken med begrænset adgang til din KMS

OpenAI vil kalde AssumeRole fra en AWS-konto, der ejes af OpenAI. Dette trin giver OpenAI's AWS-principal mulighed for at påtage sig rollen med begrænset adgang til din KMS.

Gå til IAM > Roller, og vælg Opret rolle.
I trinnet Vælg betroet enhed skal du vælge Brugerdefineret tillidspolitik.

AWS IAM Select trusted entity screen with Custom trust policy selected

Indtast derefter følgende i Brugerdefineret tillidspolitik for at give OpenAI's AWS-principal adgang.

Principalen er OpenAI's AWS-principal: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Angiv, hvilket ExternalId OpenAI skal sende med under AssumeRole-processen.
- For ChatGPT eller API'et skal du bruge det Organisations-id (org-xxx), der er knyttet til dit arbejdsområde: organisationsindstillinger.
- For API'et kan du bruge et bestemt API-projekt-id for at afgrænse adgangen mere præcist.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Søg derefter efter navnet på den IAM-politik, du oprettede i det foregående trin, i trinnet Tilføj tilladelser. Markér afkrydsningsfeltet ud for politikkens navn, og vælg Næste.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Til sidst skal du vælge et valgfrit rollenavn i afsnittet Navngiv, gennemgå og opret.

4. Anvend eventuelle yderligere begrænsninger i overensstemmelse med din egen sikkerhedspraksis

Ovenstående er de mindst påkrævede oplysninger, OpenAI skal bruge for at konfigurere EKM. Du kan frit anvende yderligere nøglepolitikker eller begrænsninger i overensstemmelse med din egen interne sikkerhedspraksis, så længe OpenAI kan kalde krypterings- og dekrypteringshandlinger på din KMS. Når du kalder endepunktet til nøgleregistrering med OpenAI, som er beskrevet nedenfor, validerer vi din opsætning.

Efter at have fuldført ovenstående trin

ChatGPT Enterprise

Kontakt din OpenAI-kontakt, og del følgende:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- Den rolle-ARN, som OpenAI overtager i din cloud.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- Key Management System-ARN'et for den hovednøgle, du administrerer.

Vi aktiverer EKM for din ChatGPT-organisation/dit ChatGPT-arbejdsområde.

API

Registrer din eksterne nøgle hos OpenAI

Følg vejledningen i denne API-reference: Eksterne nøgler i administrations-API'et.

Registrer først din eksterne nøgle på organisationsniveau hos OpenAI. Det genererer et eksternt nøgle-id.
I dette trin kontrollerer vi, at dine indtastede oplysninger er gyldige, og at vi kan autentificere os over for din KMS.
Dette tilføjer endnu ikke EKM til dit OpenAI-projekt.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Opret derefter et OpenAI-projekt, der er knyttet til den eksterne nøgle. Herefter er EKM aktiveret på dit projekt. Svarindholdet fra dette API-kald giver dig projekt-id'et (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Konfiguration af EKM med OpenAI og AWS