Επισκόπηση
Το Enterprise Key Management (EKM) επιτρέπει στην OpenAI να κρυπτογραφεί δεδομένα χρησιμοποιώντας ένα κύριο κλειδί που ελέγχετε εσείς. Αυτό το έγγραφο δείχνει πώς να ρυθμίσετε τον λογαριασμό σας AWS, ώστε να δώσετε στην OpenAI περιορισμένα δικαιώματα στο KMS σας.
Βήματα
1. Δημιουργήστε ένα νέο κλειδί KMS
Μεταβείτε στο KMS > Κλειδιά που διαχειρίζεται ο πελάτης και επιλέξτε Δημιουργία κλειδιού.
Επιλέξτε έναν αλγόριθμο συμμετρικής κρυπτογράφησης.
Αφού δημιουργηθεί το κλειδί σας, σημειώστε το ARN του. Οι υποστηριζόμενες μορφές περιλαμβάνουν τις
arn:aws:kms:<region>:<account_number>:key/<uuid>,...:key/mrk-*ή...:alias/<alias_name>.
2. Δημιουργήστε μια προσαρμοσμένη πολιτική για περιορισμένη πρόσβαση στο κλειδί KMS
Μεταβείτε στο IAM > Πολιτικές και επιλέξτε Δημιουργία πολιτικής.
Στο βήμα Καθορισμός δικαιωμάτων, επιλέξτε JSON και εισαγάγετε τα παρακάτω, ώστε η πολιτική να επιτρέπει ενέργειες πρόσβασης στο KMS. Φροντίστε να αντικαταστήσετε το YOUR_KMS_ARN με το ARN του κλειδιού που δημιουργήσατε.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowEncryptDecrypt",
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:Encrypt"
],
"Resource": "<YOUR_KMS_ARN>"
}
]
}3. Δημιουργήστε έναν ρόλο IAM που θα αναλαμβάνει η OpenAI και αντιστοιχίστε τον στην πολιτική με περιορισμένη πρόσβαση στο KMS σας
Η OpenAI θα καλεί το AssumeRole από έναν λογαριασμό AWS που ανήκει στην OpenAI. Αυτό το βήμα επιτρέπει στην οντότητα ασφαλείας AWS της OpenAI να αναλαμβάνει τον ρόλο με περιορισμένα δικαιώματα για πρόσβαση στο KMS σας.
Μεταβείτε στο IAM > Ρόλοι και επιλέξτε Δημιουργία ρόλου.
Στο βήμα Επιλογή αξιόπιστης οντότητας, επιλέξτε Προσαρμοσμένη πολιτική εμπιστοσύνης.
Στη συνέχεια, εισαγάγετε τα παρακάτω στην Προσαρμοσμένη πολιτική εμπιστοσύνης, για να επιτρέψετε την πρόσβαση στην οντότητα ασφαλείας AWS της OpenAI.
Η οντότητα ασφαλείας είναι αυτή της OpenAI στο AWS:
arn:aws:iam::790389265272:role/EnterpriseKeyManagement.Ορίστε ποιο ExternalId πρέπει να διαβιβάζει η OpenAI κατά τη διαδικασία
AssumeRole.Για το ChatGPT ή το API, χρησιμοποιήστε το αναγνωριστικό οργανισμού (org-xxx) που συνδέεται με τον χώρο εργασίας σας: ρυθμίσεις οργανισμού.
Για το API, μπορείτε να χρησιμοποιήσετε ένα συγκεκριμένο αναγνωριστικό έργου API για πιο λεπτομερή έλεγχο.
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"sts:ExternalId": [
"<YOUR_OPENAI_ORGANIZATION_ID>"
]
}
}
}
]
}Στη συνέχεια, στο βήμα Προσθήκη δικαιωμάτων, αναζητήστε το όνομα της πολιτικής IAM που δημιουργήσατε στο προηγούμενο βήμα. Επιλέξτε το πλαίσιο ελέγχου δίπλα στο όνομα της πολιτικής και έπειτα επιλέξτε Επόμενο.
Τέλος, στην ενότητα Ονομασία, έλεγχος και δημιουργία, επιλέξτε ένα όνομα της αρεσκείας σας για τον ρόλο.
4. Εφαρμόστε τυχόν πρόσθετους περιορισμούς σύμφωνα με τις δικές σας πρακτικές ασφάλειας
Τα παραπάνω είναι οι ελάχιστες απαιτούμενες πληροφορίες που χρειάζεται η OpenAI για να ρυθμίσει το EKM. Μπορείτε να εφαρμόσετε πρόσθετες πολιτικές κλειδιών ή περιορισμούς σύμφωνα με τις δικές σας εσωτερικές πρακτικές ασφάλειας, εφόσον η OpenAI μπορεί να καλεί λειτουργίες κρυπτογράφησης και αποκρυπτογράφησης στο KMS σας. Όταν καλέσετε το τελικό σημείο καταχώρισης κλειδιού με την OpenAI που περιγράφεται παρακάτω, θα επικυρώσουμε τη ρύθμισή σας.
Αφού ολοκληρώσετε τα παραπάνω βήματα
ChatGPT Enterprise
Επικοινωνήστε με την επαφή σας στην OpenAI και κοινοποιήστε τα εξής:
"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"Το ARN ρόλου που θα αναλάβει η OpenAI στο cloud σας.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"Το ARN του Key Management System για το κύριο κλειδί που διαχειρίζεστε.
Θα ενεργοποιήσουμε το EKM για τον οργανισμό/χώρο εργασίας σας στο ChatGPT.
API
Καταχωρίστε το εξωτερικό κλειδί σας στην OpenAI
Ακολουθήστε τις οδηγίες σε αυτή την τεκμηρίωση αναφοράς του API: Εξωτερικά κλειδιά στο API διαχείρισης.
Αρχικά, καταχωρίστε το εξωτερικό κλειδί σας σε επίπεδο οργανισμού OpenAI. Έτσι θα δημιουργηθεί ένα αναγνωριστικό εξωτερικού κλειδιού.
Σε αυτό το βήμα, θα ελέγξουμε ότι τα στοιχεία που εισαγάγατε είναι έγκυρα και ότι μπορούμε να πραγματοποιήσουμε έλεγχο ταυτότητας στο KMS σας.
Αυτό δεν θα προσθέσει ακόμη το EKM στο έργο σας στην OpenAI.
curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
"type": "aws",
"name": "AWS EKM Config",
"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
"external_id": "<your org id or project id>"
}'Στη συνέχεια, δημιουργήστε ένα έργο OpenAI που σχετίζεται με το εξωτερικό κλειδί. Μετά από αυτό, το EKM ενεργοποιείται στο έργο σας. Το σώμα απόκρισης αυτής της κλήσης API θα σας δώσει το αναγνωριστικό έργου (proj_xxx).
curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
"name": "Some Project",
"external_key_id": "extkey_xxxx"
}'