Saznajte kako pripremiti AWS i aktivirati upravljanje ključevima za tvrtke (EKM).

Pregled

Enterprise Key Management (EKM) omogućuje OpenAI-ju šifriranje podataka pomoću glavnog ključa kojim vi upravljate. Ovaj dokument pokazuje kako postaviti AWS račun da biste OpenAI-ju dali ograničene dozvole za svoj KMS.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Koraci

1. Izradite novi ključ KMS-a

Idite na KMS > Ključevi kojima upravlja korisnik, a zatim odaberite Izradi ključ.
Odaberite algoritam za simetrično šifriranje.
Nakon izrade ključa zabilježite njegov ARN. Podržani formati uključuju arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* ili ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Izradite prilagođeno pravilo za ograničen pristup ključu KMS-a

Idite na IAM > Pravila, a zatim odaberite Izradi pravilo.
U koraku Određivanje dozvola odaberite JSON i unesite sljedeći sadržaj kako biste pravilu dodali radnje za pristup KMS-u. Obavezno zamijenite YOUR_KMS_ARN ARN-om ključa koji ste izradili.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Izradite ulogu IAM-a koju će OpenAI preuzeti i povežite je s pravilom za ograničen pristup vašem KMS-u

OpenAI će pozvati AssumeRole s AWS računa u vlasništvu tvrtke OpenAI. Ovim korakom omogućujete sigurnosnom subjektu tvrtke OpenAI u AWS-u da preuzme ulogu s ograničenim ovlastima za pristup vašem KMS-u.

Idite na IAM > Uloge, a zatim odaberite Izradi ulogu.
U koraku Odabir pouzdanog entiteta odaberite Prilagođeno pravilo povjerenja.

AWS IAM Select trusted entity screen with Custom trust policy selected

Zatim u Prilagođeno pravilo povjerenja unesite sljedeći sadržaj kako biste omogućili pristup sigurnosnom subjektu tvrtke OpenAI u AWS-u.

Sigurnosni subjekt tvrtke OpenAI u AWS-u jest: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Navedite koji ExternalId OpenAI treba proslijediti tijekom postupka AssumeRole.
- Za ChatGPT ili API upotrijebite ID organizacije (org-xxx) povezan s vašim radnim prostorom: postavke organizacije.
- Za API možete upotrijebiti određeni ID API projekta radi preciznije kontrole.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Zatim u koraku Dodavanje dozvola potražite naziv pravila IAM-a koje ste izradili u prethodnom koraku. Označite potvrdni okvir pokraj naziva pravila, a zatim odaberite Dalje.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Na kraju u odjeljku Imenovanje, pregled i izrada odaberite proizvoljan naziv uloge.

4. Primijenite sva dodatna ograničenja u skladu s vlastitim sigurnosnim praksama

Gore su navedene minimalno potrebne informacije koje OpenAI treba za postavljanje EKM-a. Slobodno primijenite dodatna pravila za ključeve ili ograničenja u skladu s vlastitim internim sigurnosnim praksama, sve dok OpenAI može pozivati operacije šifriranja i dešifriranja na vašem KMS-u. Kada pozovete krajnju točku za registraciju ključa kod OpenAI-ja opisanu u nastavku, provjerit ćemo vaše postavljanje.

Nakon dovršetka prethodnih koraka

ChatGPT Enterprise

Obratite se svojoj kontakt-osobi u OpenAI-ju i podijelite sljedeće:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- ARN uloge koju će OpenAI preuzeti u vašem oblaku.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN sustava za upravljanje ključevima za glavni ključ kojim upravljate.

Omogućit ćemo EKM za vašu ChatGPT organizaciju/radni prostor.

API

Registrirajte svoj vanjski ključ kod tvrtke OpenAI

Slijedite upute iz ove referentne dokumentacije za API: Vanjski ključevi u API-ju za upravljanje.

Najprije registrirajte vanjski ključ na razini svoje organizacije na platformi OpenAI. Time će se generirati ID vanjskog ključa.
U ovom ćemo koraku provjeriti jesu li uneseni podaci valjani i možemo li se autentificirati u vašem KMS-u.
Time se EKM još neće dodati vašem projektu na platformi OpenAI.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Zatim izradite OpenAI projekt povezan s vanjskim ključem. Nakon toga EKM je aktiviran na vašem projektu. Tijelo odgovora ovog API poziva dat će vam ID projekta (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Konfiguriranje EKM-a uz OpenAI i AWS