Lue, miten valmistelet AWS-resurssit ja otat yrityksen avaintenhallinnan (EKM) käyttöön.

Yleiskatsaus

Enterprise Key Management (EKM) antaa OpenAI:n salata dataa hallitsemallasi pääavaimella. Tässä asiakirjassa näytetään, miten määrität AWS-tilisi niin, että OpenAI saa rajoitetut oikeudet KMS:ääsi.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Vaiheet

1. Luo uusi KMS-avain

Siirry kohtaan KMS > Asiakkaan hallinnoimat avaimet ja valitse Luo avain.
Valitse symmetrinen salausalgoritmi.
Kun avain on luotu, ota sen ARN-tunniste talteen. Tuettuja muotoja ovat muun muassa arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* ja ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Luo mukautettu käytäntö, joka antaa rajatut käyttöoikeudet KMS-avaimeen

Siirry kohtaan IAM > Käytännöt ja valitse Luo käytäntö.
Valitse Määritä käyttöoikeudet -vaiheessa JSON ja lisää seuraava koodi, joka sallii käytännössä KMS-toiminnot. Muista korvata YOUR_KMS_ARN luomasi avaimen ARN-tunnisteella.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Luo IAM-rooli, jonka OpenAI voi ottaa käyttöön, ja liitä siihen käytäntö, joka antaa rajatut käyttöoikeudet KMS-palveluusi

OpenAI kutsuu AssumeRole-toimintoa omistamaltaan AWS-tililtä. Tämän vaiheen ansiosta OpenAI:n AWS-identiteetti voi ottaa käyttöön rajatun roolin KMS-palvelusi käyttöä varten.

Siirry kohtaan IAM > Roolit ja valitse Luo rooli.
Valitse Valitse luotettu taho -vaiheessa Mukautettu luottamuskäytäntö.

AWS IAM Select trusted entity screen with Custom trust policy selected

Lisää seuraavaksi alla oleva koodi kohtaan Mukautettu luottamuskäytäntö, jotta OpenAI:n AWS-identiteetti saa käyttöoikeuden.

Identiteetti on OpenAI:n AWS-identiteetti: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Määritä, mikä ExternalId-arvo OpenAI:n tulee välittää AssumeRole-kutsussa.
- Käytä ChatGPT:n tai API:n yhteydessä työtilaasi liitettyä organisaation tunnusta (org-xxx), jonka löydät organisaation asetuksista.
- API:n yhteydessä voit käyttää tiettyä API-projektin tunnusta, jos haluat rajata käyttöoikeudet tarkemmin.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Etsi sitten Lisää käyttöoikeuksia -vaiheessa edellisessä vaiheessa luomasi IAM-käytäntö sen nimellä. Valitse käytännön nimen vieressä oleva valintaruutu ja sitten Seuraava.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Anna lopuksi roolille haluamasi nimi osiossa Nimeä, tarkista ja luo.

4. Ota käyttöön omien tietoturvakäytäntöjesi mukaiset lisärajoitukset

Yllä on vähimmäistiedot, jotka OpenAI tarvitsee EKM:n määrittämiseen. Voit vapaasti ottaa käyttöön omien sisäisten tietoturvakäytäntöjesi mukaisia avainkäytäntöjä tai rajoituksia, kunhan OpenAI pystyy kutsumaan salaus- ja salauksenpurkutoimintoja KMS:ssäsi. Kun kutsut alla kuvattua avaimen rekisteröinnin endpointia OpenAI:n kanssa, vahvistamme määrityksesi.

Edellä olevien vaiheiden suorittamisen jälkeen

ChatGPT Enterprise

Ota yhteyttä OpenAI-yhteyshenkilöösi ja jaa seuraavat tiedot:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- Roolin ARN, jonka OpenAI ottaa käyttöön pilvessäsi.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- Hallinnoimasi pääavaimen avaintenhallintajärjestelmän ARN.

Otamme EKM:n käyttöön ChatGPT-organisaatiollesi/työtilallesi.

API

Rekisteröi ulkoinen avaimesi OpenAI:lle

Noudata tämän API-viiteoppaan ohjeita: Ulkoiset avaimet hallinta-API:ssa.

Rekisteröi ensin ulkoinen avaimesi OpenAI-organisaation tasolla. Rekisteröinti luo ulkoisen avaimen tunnuksen.
Tässä vaiheessa tarkistamme, että antamasi tiedot ovat kelvollisia ja että voimme todentautua KMS-palveluusi.
Tämä ei vielä lisää EKM:ää OpenAI-projektiisi.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Luo sen jälkeen ulkoiseen avaimeen liitetty OpenAI-projekti. Tämän jälkeen EKM aktivoidaan projektissasi. Tämän API-kutsun vastausrunko antaa sinulle projektitunnuksen (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

EKM:n määrittäminen OpenAI:ssa ja AWS:ssä