AWS

Ei oikeutta suorittaa toimintoa: sts:AssumeRole

Käyttäjällä arn:aws:sts::xxxxx:assumed-role/EnterpriseKeyManagement/OpenAI-EKM-Service ei ole oikeutta suorittaa toimintoa: sts:AssumeRole resurssilla: arn:aws:iam::xxxxx:role/xxxxxx

Tarkista principal ja ExternalId trust policyssa

Varmista, että olet noudattanut tätä dokumentaation osiota, mukaan lukien SEKÄ OpenAI:n principalin tunnistaminen että sts:ExternalId:n määrittäminen

Jos olet jo lisännyt sts:ExternalId:n, varmista, että se on sama OpenAI-organisaatiotunnus, johon käytät EKM:ää, eikä jokin toinen organisaatio, kuten henkilökohtainen organisaatio.

Tarkista trust policyn liitos roolin ARN:ään

Tarkista, että trust policy on tallennettu oikein antamaasi roolin ARN:ään

Tarkista myös, että olet antanut oikean roolin ARN:n. Jos ARN on kirjoitettu väärin eikä sitä ole olemassa, saamme saman virheen kuin silloin, jos rooli on olemassa mutta estää oikeudet.

Ei oikeutta suorittaa toimintoa: kms:Encrypt resurssilla

Käyttäjällä xxxxx ei ole oikeutta suorittaa toimintoa: kms:Encrypt resurssilla

Varmista, että IAM-käytäntösi myöntää OpenAI:n roolille oikeudet kms:Encrypt ja kms:Decrypt. 

Jos olet lisännyt myös avainkäytännön, varmista, että sekin myöntää OpenAI:n roolille oikeudet kms:Encrypt ja kms:Decrypt.

GCP

GCP STS -tokenin haku yleisölle epäonnistui

GCP STS -tokenin haku yleisölle //iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx epäonnistui: {'error': 'invalid_request', 'error_description': 'Virheellinen arvo kentälle "/audience". Tämän arvon tulee olla Identity Providerin koko resurssinimi. Katso mahdolliset muodot osoitteesta https://cloud.google.com/iam/docs/reference/sts/rest/v1/TopLevel/token.

GCP odottaa yleisöä seuraavassa muodossa 

iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx

Varmista, että olet antanut oikeat parametrit rekisteröidessäsi avaimesi OpenAI:lle käyttämällä Management API:n External Keys -toimintoa

• Varmista, että workload_identity_project_number on 12-numeroinen GCP-projektinumerosi

• Varmista, että workload_identity_pool_id on oikein

• Varmista, että workload_identity_provider_id on oikein

ID-tokenin yleisö ei vastaa odotettua yleisöä

GCP STS -tokenin haku yleisölle //iam.googleapis.com/projects/xxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxx epäonnistui: {'error': 'invalid_grant', 'error_description': 'ID-tokenin yleisö [xxxxx] ei vastaa odotettua yleisöä xxxxxxx.'}

Varmista, että audience-kenttä, jonka annat rekisteröidessäsi konfiguraatiosi OpenAI:lle (Management API:n External Keys -toiminto ), on yksi workload identity providerisi Allowed Audiences -arvoista. Suosittelemme käyttämään OpenAI-organisaatiotunnustasi.

Azure

Asiakassovelluksesta puuttuu palvelun päänimi

Asiakassovelluksesta xxxxx puuttuu palvelun päänimi vuokraajassa xxxxx. Katso ohjeet täältä: https://go.microsoft.com/fwlink/?linkid=2225119

Varmista, että olet luonut palvelun päänimen oikein ohjeen OpenAI / Azure EKM -integraatio-ohjeet mukaisesti.

Kutsujalla ei ole oikeutta suorittaa toimintoa resurssilla

Kutsujalla ei ole oikeutta suorittaa toimintoa resurssilla. Jos roolimäärityksiä, estomäärityksiä tai roolimääritelmiä on muutettu äskettäin, huomioi välittymisaika.

Sama virhe voi tulla näkyviin useista syistä

• Annoit väärän avaimen nimen tai vault URI:n tai sellaisen, jota ei ole olemassa

• Et luonut roolia, jossa ovat nämä data actions -oikeudet, ETKÄ määrittänyt tätä roolia OpenAI:n palvelun päänimelle

  • Microsoft.KeyVault/vaults/keys/encrypt/action

  • Microsoft.KeyVault/vaults/keys/decrypt/action

Avaimen nimi ei vastaa kaavaa

”Virheellinen ’key_name’: merkkijono ei vastaa kaavaa. Odotettiin merkkijonoa, joka vastaa kaavaa ’^org-[0-9a-zA-Z-]*--[0-9a-zA-Z-]*$’. ”

Lisää Key Vault -avaimen nimen eteen OpenAI-organisaatiotunnuksesi.

Tämä on tietoturvan suosittelema paras käytäntö, joka estää eri käyttäjää rekisteröimästä key vault -avaintasi. Varmistamme, että organisaatiotunnus täsmää avaimen rekisteröinnin yhteydessä ja jokaisessa key vaultiisi kohdistuvassa pyynnössä.