Vaata, kuidas seadistada AWS-i ressursse ja aktiveerida ettevõtte võtmehaldus (EKM).

Ülevaade

Enterprise Key Management (EKM) võimaldab OpenAI-l krüpteerida andmeid teie hallatava põhivõtmega. See dokument näitab, kuidas seadistada oma AWS-i konto nii, et OpenAI-l oleks teie KMS-is piiratud õigused.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Sammud

1. Loo uus KMS-i võti

Ava KMS > Kliendi hallatavad võtmed ja vali Loo võti.
Vali sümmeetriline krüptimisalgoritm.
Pärast võtme loomist pane selle ARN kirja. Toetatud vormingud on näiteks arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* või ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Loo kohandatud poliitika, mis annab piiratud juurdepääsu KMS-i võtmele

Ava IAM > Poliitikad ja vali Loo poliitika.
Vali etapis Õiguste määramine suvand JSON ja sisesta järgmine kood, et lisada poliitikale KMS-i toimingute õigused. Asenda kindlasti YOUR_KMS_ARN loodud võtme ARN-iga.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Loo IAM-i roll, mille OpenAI saab võtta, ja seo see poliitikaga, mis annab piiratud juurdepääsu sinu KMS-ile

OpenAI kutsub funktsiooni AssumeRole välja OpenAI-le kuuluvalt AWS-i kontolt. See samm võimaldab OpenAI AWS-i turbesubjektil võtta piiratud õigustega rolli, et pääseda ligi sinu KMS-ile.

Ava IAM > Rollid ja vali Loo roll.
Vali etapis Usaldatud olemi valimine suvand Kohandatud usalduspoliitika.

AWS IAM Select trusted entity screen with Custom trust policy selected

Seejärel sisesta jaotises Kohandatud usalduspoliitika järgmine kood, et anda juurdepääs OpenAI AWS-i turbesubjektile.

Turbesubjekt on OpenAI AWS-i turbesubjekt: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Määra, millise ExternalId väärtuse peab OpenAI protsessi AssumeRole käigus edastama.
- ChatGPT või API puhul kasuta oma tööjaamaga seotud organisatsiooni ID-d (org-xxx), mille leiad siit: organisatsiooni seaded.
- API puhul saad juurdepääsu täpsemaks piiritlemiseks kasutada konkreetset API projekti ID-d.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Seejärel otsi etapis Õiguste lisamine eelmises etapis loodud IAM-i poliitikat selle nime järgi. Märgi poliitika nime kõrval olev märkeruut ja vali Edasi.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Lõpuks vali jaotises Nimi, ülevaatus ja loomine rollile vabalt valitud nimi.

4. Rakendage oma turbetavadega kooskõlas olevaid lisapiiranguid

Ülal on toodud minimaalselt nõutav teave, mida OpenAI vajab EKM-i seadistamiseks. Võite rakendada täiendavaid võtmepoliitikaid või piiranguid kooskõlas oma sisemiste turbetavadega, kui OpenAI saab teie KMS-is kutsuda välja krüptimis- ja dekrüptimistoiminguid. Kui kutsute OpenAI-ga välja allpool kirjeldatud võtme registreerimise lõpp-punkti, kontrollime teie seadistust.

Pärast ülaltoodud sammude lõpuleviimist

ChatGPT Enterprise

Võtke ühendust oma OpenAI kontaktisikuga ja jagage järgmist teavet:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- Rolli ARN, mille OpenAI teie pilves üle võtab.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- Teie hallatava põhivõtme Key Management Systemi ARN.

Lubame EKM-i teie ChatGPT organisatsiooni/tööjaama jaoks.

API

Registreeri oma väline võti OpenAI-s

Järgi selles API teatmikus toodud juhiseid: Välised võtmed haldus-API-s.

Esmalt registreeri oma väline võti OpenAI organisatsiooni tasemel. Selle käigus luuakse välise võtme ID.
Selles etapis kontrollime, kas sinu sisend on kehtiv ja kas saame end sinu KMS-is autentida.
See ei lisa veel EKM-i sinu OpenAI projektile.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Seejärel looge välise võtmega seotud OpenAI projekt. Pärast seda aktiveeritakse teie projektis EKM. Selle API-kutse vastuse keha annab teile projekti ID (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

EKM-i seadistamine OpenAI ja AWS-iga