AWS
No autorizado para realizar: sts:AssumeRole
Usuario: arn:aws:sts::xxxxx:assumed-role/EnterpriseKeyManagement/OpenAI-EKM-Service no está autorizado para realizar: sts:AssumeRole en el recurso: arn:aws:iam::xxxxx:role/xxxxxxVerificar el principal y el ExternalId en tu política de confianza
Asegúrate de haber seguido esta sección de la documentación, incluyendo TANTO el reconocimiento del principal de OpenAI como la configuración de un sts:ExternalId
Si ya has añadido un sts:ExternalId, asegúrate de que sea el mismo ID de organización de OpenAI al que estás aplicando EKM, no una organización diferente, como una organización personal.
Verificar la asociación de la política de confianza con el ARN del rol
Comprueba que tu política de confianza se haya guardado correctamente en el ARN del rol que has proporcionado
Comprueba también que hayas proporcionado el ARN de rol correcto. Si tu ARN está mal escrito y no existe, obtendremos el mismo error que si el rol existe pero deniega los permisos.
No autorizado para realizar: kms:Encrypt en el recurso
Usuario: xxxxx no está autorizado para realizar: kms:Encrypt en el recursoAsegúrate de que tu política de IAM conceda kms:Encrypt y kms:Decrypt al rol de OpenAI.
Si también has añadido una política de claves, asegúrate de que también conceda kms:Encrypt y kms:Decrypt al rol de OpenAI.
GCP
No se ha podido adquirir el token STS de GCP para la audiencia
No se ha podido adquirir el token STS de GCP para la audiencia //iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx: {'error': 'invalid_request', 'error_description': 'Valor no válido para \"audience\". Este valor debe ser el nombre completo del recurso del proveedor de identidades. Consulta https://cloud.google.com/iam/docs/reference/sts/rest/v1/TopLevel/token para ver la lista de formatos posibles.GCP espera una audiencia con el formato
iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx
Asegúrate de haber proporcionado los parámetros correctos al registrar tu clave en OpenAI mediante Claves externas en la API de gestión
Asegúrate de que workload_identity_project_number sea el número de proyecto de GCP de 12 dígitos
Asegúrate de que workload_identity_pool_id sea correcto
Asegúrate de que workload_identity_provider_id sea correcto
La audiencia del token de ID no coincide con la audiencia esperada
No se ha podido adquirir el token STS de GCP para la audiencia //iam.googleapis.com/projects/xxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxx: {'error': 'invalid_grant', 'error_description': 'La audiencia del token de ID [xxxxx] no coincide con la audiencia esperada xxxxxxx.'}Asegúrate de que el campo audience que proporcionas al registrar tu configuración en OpenAI (Claves externas en la API de gestión ) esté incluido en una de las audiencias permitidas de tu proveedor de identidad de carga de trabajo. Recomendamos usar el ID de tu organización de OpenAI.
Azure
A la aplicación cliente le falta la entidad de servicio
A la aplicación cliente xxxxx le falta la entidad de servicio en el inquilino xxxxx. Consulta las instrucciones aquí: https://go.microsoft.com/fwlink/?linkid=2225119Asegúrate de haber seguido correctamente los pasos para crear la entidad de servicio descritos en las Instrucciones de integración de OpenAI/Azure EKM.
El autor de la llamada no está autorizado para realizar la acción en el recurso
El autor de la llamada no está autorizado para realizar la acción en el recurso. Si las asignaciones de roles, las asignaciones de denegación o las definiciones de roles se han cambiado recientemente, ten en cuenta el tiempo de propagación.Este mismo error puede aparecer por varios motivos
Has proporcionado un nombre de clave o un URI de almacén incorrectos, o uno que no existe
No has creado un rol con estas acciones de datos Y asignado ese rol a la entidad de servicio de OpenAI
Microsoft.KeyVault/vaults/keys/encrypt/action
Microsoft.KeyVault/vaults/keys/decrypt/action
El nombre de la clave no coincide con el patrón
«'key_name' no válido: la cadena no coincide con el patrón. Se esperaba una cadena que coincidiera con el patrón '^org-[0-9a-zA-Z-]*--[0-9a-zA-Z-]*$'.»Añade el ID de organización de OpenAI como prefijo al nombre de la clave de Key Vault.
Esta es la práctica recomendada por seguridad para evitar que otro usuario registre tu clave de Key Vault. Validamos que el ID de la organización coincida al registrar la clave y en cada solicitud a tu Key Vault.