OpenAI
Այս էջը թարգմանվել է մեքենայական թարգմանությամբ։ Դիտել անգլերեն բնօրինակ հոդվածը.

EKM-ի կարգավորումը OpenAI-ի և AWS-ի միջոցով

Իմացեք՝ ինչպես պատրաստել AWS միջավայրը և ակտիվացնել ձեռնարկության բանալիների կառավարումը (EKM)։

Թարմացվել է՝ 2 minutes ago

Ընդհանուր ակնարկ

Enterprise Key Management-ը (EKM) թույլ է տալիս OpenAI-ին կոդավորել տվյալները՝ օգտագործելով ձեր կողմից վերահսկվող հիմնական բանալին։ Այս փաստաթուղթը ցույց է տալիս, թե ինչպես կարգավորել ձեր AWS հաշիվը՝ OpenAI-ին ձեր KMS-ում սահմանափակ թույլտվություններ տալու համար։

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Քայլեր

1. Ստեղծեք նոր KMS բանալի

  1. Անցեք KMS > Հաճախորդի կողմից կառավարվող բանալիներ, ապա ընտրեք Ստեղծել բանալի։

  2. Ընտրեք սիմետրիկ գաղտնագրման ալգորիթմ։

  3. Բանալին ստեղծելուց հետո գրի առեք դրա ARN-ը։ Աջակցվող ձևաչափերն են՝ arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* կամ ...:alias/<alias_name>։

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Ստեղծեք անհատական քաղաքականություն՝ KMS բանալուն սահմանափակ հասանելիություն տրամադրելու համար

  1. Անցեք IAM > Քաղաքականություններ, ապա ընտրեք Ստեղծել քաղաքականություն։

  2. Նշել թույլտվությունները քայլում ընտրեք JSON և մուտքագրեք հետևյալը՝ քաղաքականությամբ KMS-ի հասանելիության գործողությունները թույլատրելու համար։ Անպայման փոխարինեք YOUR_KMS_ARN-ը ձեր ստեղծած բանալու ARN-ով։

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Ստեղծեք IAM դեր, որը կստանձնի OpenAI-ը, և կցեք դրան ձեր KMS-ին սահմանափակ հասանելիություն տրամադրող քաղաքականությունը

OpenAI-ը կկանչի AssumeRole-ը իրեն պատկանող AWS հաշվից։ Այս քայլը թույլ է տալիս OpenAI-ի AWS սուբյեկտին ստանձնել սահմանափակ իրավունքներով դերը՝ ձեր KMS-ին հասանելիություն ստանալու համար։

  1. Անցեք IAM > Դերեր, ապա ընտրեք Ստեղծել դեր։

  2. Ընտրել վստահելի սուբյեկտ քայլում ընտրեք Վստահության անհատական քաղաքականություն։

AWS IAM Select trusted entity screen with Custom trust policy selected

Հաջորդիվ մուտքագրեք հետևյալը Վստահության անհատական քաղաքականություն բաժնում՝ OpenAI-ի AWS սուբյեկտին հասանելիություն տրամադրելու համար։

  • Սուբյեկտը OpenAI-ի AWS սուբյեկտն է՝ arn:aws:iam::790389265272:role/EnterpriseKeyManagement։

  • Նշեք, թե որ ExternalId-ը պետք է փոխանցի OpenAI-ը AssumeRole գործընթացի ընթացքում։

    • ChatGPT-ի կամ API-ի համար օգտագործեք ձեր աշխատատարածքի հետ կապված Կազմակերպության ID (org-xxx)-ը՝ կազմակերպության կարգավորումներից։

    • API-ի դեպքում ավելի մանրամասն վերահսկման համար կարող եք օգտագործել կոնկրետ API նախագծի ID։

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Այնուհետև Ավելացնել թույլտվություններ քայլում որոնեք նախորդ քայլում ստեղծած IAM քաղաքականության անունը։ Նշեք քաղաքականության անվան կողքի վանդակը, ապա ընտրեք Հաջորդը։

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Վերջում՝ Անվանում, ստուգում և ստեղծում բաժնում, դերի համար ընտրեք ցանկացած անուն։

4. Կիրառեք լրացուցիչ սահմանափակումներ՝ ձեր սեփական անվտանգության գործելակերպերին համապատասխան

Վերևում նշվածը նվազագույն պահանջվող տեղեկատվությունն է, որն անհրաժեշտ է OpenAI-ին EKM-ը կարգավորելու համար։ Կարող եք կիրառել լրացուցիչ բանալու քաղաքականություններ կամ սահմանափակումներ՝ ձեր ներքին անվտանգության գործելակերպերին համապատասխան, քանի դեռ OpenAI-ը կարող է ձեր KMS-ում կանչել կոդավորման և ապակոդավորման գործողությունները։ Երբ OpenAI-ի միջոցով կանչեք ստորև նկարագրված բանալու գրանցման վերջնակետը, մենք կվավերացնենք ձեր կարգավորումը։

Վերոնշյալ քայլերն ավարտելուց հետո

ChatGPT Enterprise

Խնդրում ենք կապ հաստատել OpenAI-ի ձեր կոնտակտի հետ և փոխանցել հետևյալը՝

  • "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"

    • Դերի ARN-ը, որը OpenAI-ը կստանձնի ձեր ամպում։

  • "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"

    • Ձեր կողմից կառավարվող հիմնական բանալու Բանալիների կառավարման համակարգի ARN-ը։

Մենք EKM-ը կմիացնենք ձեր ChatGPT կազմակերպության/աշխատատարածքի համար։

API

Գրանցեք ձեր արտաքին բանալին OpenAI-ում

Հետևեք API-ի այս տեղեկատուի հրահանգներին՝ Արտաքին բանալիները կառավարման API-ում։

  1. Նախ գրանցեք ձեր արտաքին բանալին OpenAI կազմակերպության մակարդակում․ արդյունքում կստեղծվի արտաքին բանալու ID։

  2. Այս քայլում մենք կստուգենք, որ ձեր մուտքագրած տվյալները վավեր են, և որ կարող ենք նույնականացվել ձեր KMS-ում։

  3. Այս քայլով EKM-ը դեռ չի ավելացվի ձեր OpenAI նախագծին։

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Այնուհետև ստեղծեք OpenAI նախագիծ՝ կապված արտաքին բանալու հետ։ Դրանից հետո EKM-ը ակտիվացվում է ձեր նախագծում։ Այս API կանչի պատասխանի մարմինը ձեզ կտա նախագծի ID-ն (proj_xxx)։

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Այս հոդվածն օգտակա՞ր էր։