Σύνοψη

Πρόσβαση

• Τα EKM endpoints είναι προσβάσιμα στο Management API μέσω ενός Admin API Key. https://platform.openai.com/settings/organization/admin-keys (μη χρησιμοποιήσετε κανονικό κλειδί API). Τα Admin API keys είναι διαθέσιμα στους κατόχους οργανισμού.

• Χρησιμοποιήστε το api.external_keys.write για να δημιουργείτε ή να διαγράφετε εξωτερικά κλειδιά και το api.external_keys.read για να παραθέτετε ή να επικυρώνετε εξωτερικά κλειδιά. Ένα μεμονωμένο κλειδί χρειάζεται και τα δύο πεδία εφαρμογής μόνο αν πρέπει να εκτελεί λειτουργίες ανάγνωσης και εγγραφής.

• Προς το παρόν πρέπει να ενεργοποιήσουμε το feature flag για τον οργανισμό σας σε αυτά τα endpoints. Θα γνωρίζετε ότι έχετε το feature flag αν δείτε το external_key_id να επιστρέφεται από το υπάρχον endpoint List Projects: https://api.openai.com/v1/organization/projects

Χρήση

• Η διαμόρφωση EKM σας καταχωρίζεται σε επίπεδο οργανισμού μέσω ενός νέου endpoint https://api.openai.com/v1/organization/external_keys

• Η καταχώριση της διαμόρφωσης EKM σας επιστρέφει ένα external_key_id της μορφής extkey_xxxx

• Οι διαμορφώσεις EKM ενεργοποιούνται σε επίπεδο έργου με τη διαβίβαση ενός external_key_id στο σώμα του υπάρχοντος endpoint Create Project https://api.openai.com/v1/organization/projects

Περιορισμοί

• Πρέπει πρώτα να δοκιμάσετε το EKM σε ένα νέο έργο μέσω του Management API.

• Συνιστούμε να δημιουργήσετε νέα έργα για τους φόρτους εργασίας EKM σας. Ωστόσο, αν θέλετε EKM σε υπάρχον έργο, μπορούμε να σας προσθέσουμε στο feature flag. Λάβετε υπόψη τις παρακάτω βέλτιστες πρακτικές προτού διαθέσετε το EKM στα υπάρχοντα έργα παραγωγής σας.

  • Δοκιμάστε πρώτα όλες τις δυνατότητες API που χρησιμοποιείτε στην παραγωγή στο δοκιμαστικό έργο API EKM σας

  • Εφαρμόστε σταδιακή διάθεση αντί να ενεργοποιήσετε το EKM σε όλα τα έργα API παραγωγής ταυτόχρονα

Endpoints σε επίπεδο οργανισμού

Καταχώριση εξωτερικού κλειδιού στον οργανισμό σας

AWS

Δείγμα αιτήματος

• type: string -  πάντα “aws”

• name: string -  Ένα φιλικό όνομα για τη διαμόρφωσή σας

• role_arn: string - Το Role ARN που θα αναλάβει η OpenAI στο cloud σας

• kms_arn: string - Το ARN του Key Management System για το κύριο κλειδί που διαχειρίζεστε

• external_id: string - Το αναγνωριστικό οργανισμού σας ή το αναγνωριστικό έργου API

Δείγμα απόκρισης

GCP

Δείγμα αιτήματος

• type: string - πάντα  "gcp",

• name: string - Ένα φιλικό όνομα για τη διαμόρφωσή σας

• workload_identity_project_number: string - Ο 12ψήφιος αριθμός έργου GCP όπου καταχωρίσατε το Workload Identity της OpenAI

• workload_identity_pool_id: string - Το pool που περιέχει τον πάροχο Workload Identity που καταχωρίσατε για την OpenAI

• workload_identity_provider_id: string - Ο πάροχος Workload Identity που καταχωρίσατε για την OpenAI

• audience: string - Το audience που πρέπει να διαβιβάζει η OpenAI στο token όταν αναλαμβάνουμε έναν ρόλο μέσω του GCP STS σας

• kms_project_id: string - Το όνομα του έργου GCP όπου βρίσκεται το KMS σας

• kms_key_ring_name: string - Το key ring του Key Management System που περιέχει το κύριο κλειδί που διαχειρίζεστε

• kms_key_name: string - Το όνομα του κύριου κλειδιού Key Management System

• kms_key_location: string - Η περιοχή όπου βρίσκεται το κύριο κλειδί Key Management System

Αν το KMS σας βρίσκεται σε διαφορετικό έργο GCP από εκείνο όπου καταχωρίσατε το Workload Identity της OpenAI, βεβαιωθείτε ότι το έργο που περιέχει το Workload Identity της OpenAI έχει τουλάχιστον ενεργοποιημένο το KMS, μεταβαίνοντας στη διεύθυνση https://console.developers.google.com/apis/api/cloudkms.googleapis.com/overview

Δείγμα απόκρισης

Azure

Δείγμα αιτήματος

• type: string - πάντα  "azure",

• name: string - Ένα φιλικό όνομα για τη διαμόρφωσή σας

• tenant_id: string - Το UUID του μισθωτή Azure σας

• vault_uri: string - Το URI του Azure vault που περιέχει το κύριο κλειδί που διαχειρίζεστε

• key_name: string - Το όνομα του κύριου κλειδιού Azure Key Vault που διαχειρίζεστε.

  • Πρέπει να έχει τη μορφή <org-xxx>--<any_name>

  • όπου org-xxx είναι το αναγνωριστικό οργανισμού OpenAI που μπορείτε να βρείτε στη διεύθυνση https://platform.openai.com/settings/organization/general

Δείγμα απόκρισης

Διαγραφή ενός εξωτερικού κλειδιού που έχει καταχωριστεί στον οργανισμό σας

Σημείωση: Μπορείτε να διαγράψετε ένα εξωτερικό κλειδί μόνο αν δεν έχει συσχετιστεί με κανένα ενεργό έργο API ή χώρο εργασίας. Αν έχει συσχετιστεί με ενεργό έργο API, αρχειοθετήστε πρώτα αυτό το έργο. Αν έχει συσχετιστεί με χώρο εργασίας, το κλειδί δεν μπορεί να διαγραφεί.

Δείγμα αιτήματος

Δείγμα απόκρισης

Λήψη των εξωτερικών κλειδιών που έχουν καταχωριστεί στον οργανισμό σας

Δείγμα αιτήματος

Δείγμα απόκρισης

Επικύρωση εξωτερικού κλειδιού

Μπορείτε να χρησιμοποιήσετε αυτό το endpoint για να ελέγξετε διάφορα πράγματα

• Η εξωτερική σας διαμόρφωση cloud παραμένει έγκυρη με την OpenAI αφού κάνετε αλλαγές (θα δείτε μια επιτυχή απόκριση)

• Η ανάκληση του κλειδιού σας έχει γίνει σωστά, υποβάλλεται σε επεξεργασία από την OpenAI και θα τεθεί σε ισχύ αφού λήξουν οι TTL της κρυφής μνήμης 1 ώρας (θα δείτε απόκριση σφάλματος)

Δείγμα αιτήματος

Δείγμα απόκρισης

Ή ένα σφάλμα που εμφανίστηκε από τον πάροχο cloud.

Endpoints σε επίπεδο έργου

Δημιουργία νέου έργου με αναγνωριστικό εξωτερικού κλειδιού

Είναι το ίδιο με το υπάρχον endpoint Create Project, με την προσθήκη της παραμέτρου external_key_id στο αίτημα και την απόκριση.

Δείγμα αιτήματος

Δείγμα απόκρισης

[Περιορισμένο] Ενημέρωση υπάρχοντος έργου με αναγνωριστικό εξωτερικού κλειδιού

Είναι το ίδιο με το υπάρχον endpoint Update Project, με την προσθήκη της παραμέτρου external_key_id στο αίτημα και την απόκριση.


Συνιστούμε να δημιουργήσετε νέα έργα API για τους φόρτους εργασίας EKM σας. Αν θέλετε EKM σε όλα τα υπάρχοντα έργα API σας, ζητήστε το από τον υπεύθυνο λογαριασμού σας και θα σας προσθέσουμε στο feature flag. Λάβετε υπόψη τις παρακάτω βέλτιστες πρακτικές προτού διαθέσετε το EKM στα υπάρχοντα έργα παραγωγής σας.

• Δοκιμάστε πρώτα όλες τις δυνατότητες API που χρησιμοποιείτε στην παραγωγή στο δοκιμαστικό έργο API EKM σας

• Εφαρμόστε σταδιακή διάθεση αντί να ενεργοποιήσετε το EKM σε όλα τα έργα API παραγωγής ταυτόχρονα

Δείγμα αιτήματος

Παράθεση όλων των έργων στον οργανισμό σας

Είναι το ίδιο με το υπάρχον endpoint, αλλά με την προσθήκη του external_key_id στην απόκριση API

Δείγμα αιτήματος

Δείγμα απόκρισης