OpenAI Mutual TLS antaa organisaatioille mahdollisuuden määrittää lisäsuojaustason OpenAI API -liikenteelleen. Kun määritys on tehty, API-pyynnöt tulee lähettää osoitteeseen https://mtls.api.openai.com (tai EU:n tietojen sijaintipaikan asiakkaille osoitteeseen https://mtls-eu.api.openai.com), ja liikenne hyväksytään vain, jos oikea API-avain ja asiakasvarmenne on annettu. mTLS ei koske https://platform.openai.com-koontinäyttöä. Tämä ominaisuus on tällä hetkellä betavaiheessa.
Miten määritän mTLS-integraation?
Asetusten siirtymispalkissa näet ”Mutual TLS” -välilehden.
Lataa varmenne
Aktivoi varmenne
Kun olet ladannut varmenteesi, seuraava vaihe on aktivoida varmenteesi. Kun varmenne on aktivoitu projektille, kaikki kyseiseen projektiin menevät API-pyynnöt alkavat vaatia myös vastaavaa asiakasvarmennetta. Jos projektille on aktivoitu useita varmenteita, voit välittää minkä tahansa vastaavan asiakasvarmenteen. Jos varmenne on aktivoitu organisaatiolle, se koskee kaikkia API-pyyntöjä ja ”periytyy” kaikille projekteille.
CA-varmenteen vaatimukset
Voit ladata minkä tahansa PEM-muotoisen X.509-CA-varmenteen, joka täyttää seuraavat vaatimukset:
allekirjoittaa suoraan asiakasvarmenteet, joita aiot käyttää, tai toimii asiakkaasi esittämän kelvollisen varmenneketjun ankkurina.
sisältää laajennukset Certificate Authority, Subject Key Identifier ja Authority Key Identifier (KeyIdentifier-muodossa)
sisältää Key Usage: ”Certificate Sign, CRL Sign” -oikeudet
ei vanhene 1 päivän kuluessa
varmenteen kokonaiskoon on oltava alle 16 kb.
Asiakasvarmenteen vaatimukset
Jos varmenneketjutuki on käytössä organisaatiossasi, asiakkaasi voi esittää lehtiasiakasvarmenteen sekä välivarmenteet, joita tarvitaan kelvollisen ketjun muodostamiseen aktiiviseen ladattuun varmenteeseen asti. Muussa tapauksessa asiakasvarmenteiden on oltava suoraan etukäteen lataamiesi varmenteiden allekirjoittamia. Tämän lisäksi asiakasvarmenteidesi on täytettävä seuraavat vaatimukset:
sisältää laajennukset Subject Key Identifier ja Authority Key Identifier (KeyIdentifier-muodossa)
sisältää Key Usage: ”Digital Signature, Key Encipherment” -oikeudet
sisältää Extended Key Usage: ”TLS Web Client Authentication” -oikeuden
sisältää Subject Alternate Name -laajennuksen
API-mTLS:n varmenneketjutuki
Varmenneketjutuki antaa asiakkaasi esittää lehtiasiakasvarmenteen ja välivarmenteet, joita tarvitaan kelvollisen ketjun muodostamiseen aktiiviseen ladattuun varmenteeseen asti.
Näin voit kierrättää välivarmenteita lataamatta jokaista uutta välivarmennetta, kunhan luottamusankkurina käytetty aktiivinen ladattu varmenne pysyy voimassa.
Varmenneketjutuki on tällä hetkellä saatavilla pyynnöstä. Pyydä käyttöoikeutta ottamalla yhteyttä Account Director -yhteyshenkilöösi tai avaamalla tukipyyntö.
Asiakkaasi on esitettävä kaikki tarvittavat välivarmenteet. OpenAI ei hae puuttuvia välivarmenteita AIA:n kautta. CRL- ja OCSP-tarkistuksia ei edelleenkään tueta.
Usein kysytyt kysymykset
Voinko määrittää mTLS:n API:n kautta?
Kyllä — lisätietoja on API-viitteessä osoitteessa https://platform.openai.com/docs/api-reference/.
Mitkä endpointit tukevat mTLS:ää?
Tämän betajakson aikana mTLS:ää tuetaan virallisesti seuraavissa:
/v1/chat/completions (with all supported extensions e.g. image, audio, streaming, etc.)/v1/completions/v1/embeddings/v1/audio/transcriptions/v1/audio/speech/v1/files/v1/batches/v1/responses/v1/images/v1/moderations/v1/realtime (via server-side web sockets)/v1/fine_tuning/v1/tunnels
Miten lähetän asiakasvarmenteet pyyntöni mukana?
cURL-pyynnössä voit käyttää valintoja --cert ja --key (katso man-sivu täältä). Useimmissa muissakin HTTP-asiakkaissa on tapoja välittää asiakasvarmenteita. Esimerkkejä: Pythonin requests ja js:n fetch. Virallisissa SDK:issamme voit myös korvata HTTP-asiakkaan — katso Python-esimerkki täältä.
Kun varmenneketjutuki on käytössä, määritä HTTP-asiakas esittämään lehtiasiakasvarmenne ja kaikki tarvittavat välivarmenteet. Tarkka määritys riippuu HTTP-asiakkaastasi.
Ennen kuin otat mTLS:n pakolliseksi tuotantoliikenteessä, varmista, että käyttämäsi HTTP-asiakas toimii hyvin asiakasvarmennepyyntöjen kanssa (jotkin, kuten WebSockets tietyissä selaimissa, eivät toimi). Huomaa, että palvelimemme ei anna certificate_authorities-nimistä luetteloa asiakasvarmennepyynnössä.
Kuka voi käyttää ja muokata varmenteita?
https://platform.openai.com/settings/organization/mtls-koontinäyttöliittymän kautta organisaation omistajat voivat käyttää ja muokata varmenteita. Myös kuka tahansa, jolla on Admin API Key (https://platform.openai.com/settings/organization/admin-keys), voi käyttää ja muokata varmenteita, mutta huomaa — jos aktivoit Mutual TLS:n organisaation tasolla, pakotat varmenteet käyttöön myös näissä API-pyynnöissä. Kaikki mTLS-muutokset näkyvät valvontalokeissa.
Kuinka monta varmennetta minulla voi olla?
Kukin organisaatio voi ladata enintään 50 varmennetta, joita voidaan jakaa projektien kesken mutta ei muiden organisaatioiden kanssa. Voit aktivoida tai poistaa varmenteen aktivoinnin atomisesti 10 projektille kerrallaan. Vaihtoehtoisesti voit aktivoida tai poistaa 10 varmenteen aktivoinnin kerrallaan organisaatiossasi tai yhdessä tietyssä projektissa.
Voinko päivittää tai poistaa varmenteita?
Voit päivittää varmenteidesi nimet, mutta et niiden sisältöä. Voit myös poistaa varmenteita, jos ne eivät ole tällä hetkellä aktiivisia missään käyttöalueessa.
Miten varmenteen kumoaminen toimii?
Tällä hetkellä emme tue CRL- tai OCSP-tarkistuksia. Suositeltu vaihtoehto on sen sijaan poistaa API-avaimesi tai kierrättää se. Voit myös vaihtaa CA-varmenteesi tai käyttää asiakasvarmenteita, joiden voimassaoloaika on lyhyempi.
Voinko käyttää pidempiä varmenneketjuja?
Kyllä, jos varmenneketjutuki on otettu käyttöön organisaatiossasi. Asiakkaasi on esitettävä lehtiasiakasvarmenne ja tarvittavat välivarmenteet, jotta OpenAI voi vahvistaa ketjun aktiiviseen ladattuun varmenteeseen asti. Pyydä käyttöoikeutta ottamalla yhteyttä Account Director -yhteyshenkilöösi tai avaamalla tukipyyntö.
Mikä on suositeltu määritys?
Kun otat tämän ominaisuuden aluksi käyttöön, suosittelemme aloittamaan staging-projektilla, joka ei välitä virallista tuotantoliikennettä. Käytä tätä tilaisuutta varmistaaksesi, että varmenteesi on määritetty oikein koneillasi ja että voit lähettää API-liikennettä onnistuneesti. Tämän lisäksi suosittelemme keskustelemaan organisaatiosi tietoturvatiimin kanssa, jotta ymmärrät tarpeesi parhaiten.
Lisätuki
Voit hallita mTLS-ominaisuutta täysin itse koontinäytön ja API:n kautta. Jos kuitenkin haluat ottaa mTLS:n aluksi käyttöön shadow-tilassa, ota yhteyttä Account Directoriisi tai avaa tukipyyntö aloittamalla uusi keskustelu tämän sivun oikeasta alakulmasta.
Liite: termit
CA-varmenne: Yksi luotetuista varmenteistasi, jota käytetään asiakasvarmenteiden vahvistamiseen. Se voi allekirjoittaa pyynnöissä lähettämäsi asiakasvarmenteet suoraan tai toimia asiakkaasi esittämän varmenneketjun luottamusankkurina. Voit käyttää itse allekirjoitettuja CA-varmenteita.
Lataa varmenne: CA-varmenteen lisääminen tilillesi. Sitä ei vielä pakoteta käyttöön missään mTLS:ää varten, mutta voit alkaa määrittää sitä.
Käyttöalue: tietty projekti tai koko organisaatiosi.
Aktivoi CA-varmenne käyttöalueella: ottaa mTLS:n käyttöön kyseisellä käyttöalueella, ja kaikkien API-avainpohjaisten pyyntöjen on sisällettävä asiakasvarmenne, joka voidaan vahvistaa aktiivista CA-varmennetta vasten.
Poista CA-varmenne käytöstä käyttöalueella: poistaa tämän varmenteen käytön pyyntöjen vahvistamiseen tällä käyttöalueella. Jos käyttöalueelle ei jää yhtään varmennetta, mTLS on käytännössä pois päältä.
Varmenteen periytyminen: Jos aktivoit varmenteen organisaatiollesi, se aktivoidaan myös kaikille projekteille.