OpenAI
Ez az oldal gépi fordítással készült. Tekintsd meg az eredeti angol nyelvű cikket.

Az EKM konfigurálása az OpenAI és az AWS használatával

Ismerd meg, hogyan állíthatod be az AWS-erőforrásokat és aktiválhatod a vállalati kulcskezelést (EKM).

Frissítve: 2 days ago

Áttekintés

Az Enterprise Key Management (EKM) lehetővé teszi, hogy az OpenAI az Ön által kezelt mesterkulccsal titkosítsa az adatokat. Ez a dokumentum bemutatja, hogyan állíthatja be AWS-fiókját úgy, hogy korlátozott engedélyeket adjon az OpenAI-nak a KMS-én.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Lépések

1. Hozz létre új KMS-kulcsot

  1. Nyisd meg a KMS > Ügyfél által kezelt kulcsok menüpontot, majd válaszd a Kulcs létrehozása lehetőséget.

  2. Válassz egy szimmetrikus titkosítási algoritmust.

  3. A kulcs létrehozása után jegyezd fel az ARN-jét. A támogatott formátumok közé tartozik az arn:aws:kms:<region>:<account_number>:key/<uuid>, a ...:key/mrk-* és a ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Hozz létre egyéni szabályzatot a KMS-kulcshoz való korlátozott hozzáféréshez

  1. Nyisd meg az IAM > Szabályzatok menüpontot, majd válaszd a Szabályzat létrehozása lehetőséget.

  2. Az Engedélyek megadása lépésben válaszd a JSON lehetőséget, és add meg az alábbiakat, hogy a szabályzat engedélyezze a KMS hozzáférési műveleteit. A YOUR_KMS_ARN helyére mindenképpen a létrehozott kulcs ARN-jét írd.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Hozz létre az OpenAI által felvehető IAM-szerepkört, és rendeld hozzá a KMS-hez korlátozott hozzáférést biztosító szabályzatot

Az OpenAI egy saját tulajdonú AWS-fiókból hívja meg az AssumeRole műveletet. Ez a lépés lehetővé teszi az OpenAI AWS-identitásának, hogy felvegye a KMS-ed elérésére szolgáló, korlátozott jogosultságú szerepkört.

  1. Nyisd meg az IAM > Szerepkörök menüpontot, majd válaszd a Szerepkör létrehozása lehetőséget.

  2. A Megbízható entitás kiválasztása lépésben válaszd az Egyéni megbízhatósági szabályzat lehetőséget.

AWS IAM Select trusted entity screen with Custom trust policy selected

Ezután add meg az alábbiakat az Egyéni megbízhatósági szabályzat mezőben, hogy engedélyezd a hozzáférést az OpenAI AWS-identitásának.

  • Az identitás az OpenAI AWS-identitása: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.

  • Add meg, melyik ExternalId értéket adja át az OpenAI az AssumeRole művelet során.

    • A ChatGPT vagy az API esetében a munkaterületedhez tartozó szervezetazonosítót (org-xxx) használd, amelyet a szervezeti beállításokban találsz.

    • Az API esetében a részletesebb szabályozáshoz egy adott API-projekt azonosítóját is használhatod.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Ezután az Engedélyek hozzáadása lépésben keress rá az előző lépésben létrehozott IAM-szabályzat nevére. Jelöld be a szabályzat neve melletti jelölőnégyzetet, majd válaszd a Tovább lehetőséget.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Végül az Elnevezés, ellenőrzés és létrehozás szakaszban adj meg egy tetszőleges szerepkörnevet.

4. Alkalmazzon további korlátozásokat a saját biztonsági gyakorlataival összhangban

Fent látható az a minimálisan szükséges információ, amelyre az OpenAI-nak szüksége van az EKM beállításához. Szabadon alkalmazhat további kulcsszabályzatokat vagy korlátozásokat a saját belső biztonsági gyakorlataival összhangban, amennyiben az OpenAI meg tudja hívni a titkosítási és visszafejtési műveleteket a KMS-én. Amikor meghívja az alább ismertetett kulcsregisztrációs végpontot az OpenAI-nál, ellenőrizni fogjuk a beállítását.

A fenti lépések elvégzése után

ChatGPT Enterprise

Kérjük, vegye fel a kapcsolatot az OpenAI-kapcsolattartójával, és ossza meg a következőket:

  • "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"

    • A szerepkör ARN-je, amelyet az OpenAI át fog venni az Ön felhőjében.

  • "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"

    • Az Ön által kezelt mesterkulcshoz tartozó Key Management System ARN.

Engedélyezni fogjuk az EKM-et az Ön ChatGPT-szervezetében/-munkaterületén.

API

Regisztráld a külső kulcsodat az OpenAI-nál

Kövesd az API-dokumentáció útmutatását: Külső kulcsok a felügyeleti API-ban.

  1. Először regisztráld a külső kulcsodat az OpenAI-szervezet szintjén. Ezzel létrejön egy külsőkulcs-azonosító.

  2. Ebben a lépésben ellenőrizzük, hogy a megadott adatok érvényesek-e, és hogy tudjuk-e hitelesíteni magunkat a KMS-ednél.

  3. Ez még nem adja hozzá az EKM-et az OpenAI-projektedhez.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Ezután hozzon létre egy OpenAI-projektet, amely a külső kulcshoz van társítva. Ezt követően az EKM aktiválódik a projektjén. Ennek az API-hívásnak a válasz törzse megadja a projektazonosítót (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Hasznos volt ez a cikk?