Kynntu þér hvernig þú setur upp AWS og virkjar fyrirtækjalyklastjórnun (EKM).

Yfirlit

Enterprise Key Management (EKM) gerir OpenAI kleift að dulkóða gögn með aðallykli sem þú stjórnar. Þetta skjal sýnir hvernig á að setja upp AWS-reikninginn þinn til að veita OpenAI takmarkaðar heimildir á KMS þínu.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Skref

1. Búðu til nýjan KMS-lykil

Farðu í KMS > Lyklar í umsjón viðskiptavinar og veldu síðan Búa til lykil.
Veldu samhverft dulkóðunaralgrím.
Þegar lykillinn hefur verið búinn til skaltu skrá ARN-auðkenni hans hjá þér. Meðal sniða sem eru studd eru arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* og ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Búðu til sérsniðna aðgangsstefnu sem veitir takmarkaðan aðgang að KMS-lyklinum

Farðu í IAM > Aðgangsstefnur og veldu síðan Búa til aðgangsstefnu.
Í skrefinu Tilgreina heimildir skaltu velja JSON og slá inn eftirfarandi til að bæta heimildum fyrir KMS-aðgerðir við aðgangsstefnuna. Gættu þess að skipta YOUR_KMS_ARN út fyrir ARN-auðkenni lykilsins sem þú bjóst til.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Búðu til IAM-hlutverk sem OpenAI getur tekið að sér og tengdu það við aðgangsstefnuna sem veitir takmarkaðan aðgang að KMS-þjónustunni þinni

OpenAI mun kalla á AssumeRole frá AWS-reikningi í eigu OpenAI. Þetta skref gerir auðkenndum AWS-aðila OpenAI kleift að taka að sér hlutverkið með takmörkuðu heimildunum til að fá aðgang að KMS-þjónustunni þinni.

Farðu í IAM > Hlutverk og veldu síðan Búa til hlutverk.
Í skrefinu Velja traustan aðila skaltu velja Sérsniðin trauststefna.

AWS IAM Select trusted entity screen with Custom trust policy selected

Sláðu síðan inn eftirfarandi í Sérsniðin trauststefna til að veita auðkenndum AWS-aðila OpenAI aðgang.

Auðkenndi aðilinn er AWS-aðili OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Tilgreindu hvaða ExternalId OpenAI á að senda með þegar kallað er á AssumeRole.
- Fyrir ChatGPT eða API skaltu nota auðkenni fyrirtækis (org-xxx) sem tengist vinnusvæðinu þínu: fyrirtækisstillingar.
- Fyrir API geturðu notað tiltekið auðkenni API-verkefnis til að afmarka aðganginn nánar.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Í skrefinu Bæta við heimildum skaltu síðan leita að heiti IAM-aðgangsstefnunnar sem þú bjóst til í fyrra skrefi. Merktu við gátreitinn við hliðina á heiti aðgangsstefnunnar og veldu síðan Áfram.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Að lokum skaltu velja hlutverkinu heiti að eigin vali í hlutanum Nefna, yfirfara og búa til.

4. Beittu frekari takmörkunum í samræmi við eigin öryggisvenjur

Hér að ofan eru lágmarksupplýsingarnar sem krafist er og OpenAI þarf til að setja upp EKM. Þér er frjálst að beita frekari lykilstefnum eða takmörkunum í samræmi við eigin innri öryggisvenjur, svo framarlega sem OpenAI getur kallað á dulkóðunar- og afkóðunaraðgerðir á KMS þínu. Þegar þú kallar á endapunktinn fyrir skráningu lykils hjá OpenAI sem lýst er hér að neðan, staðfestum við uppsetninguna þína.

Eftir að skrefunum hér að ofan er lokið

ChatGPT Enterprise

Hafðu samband við tengiliðinn þinn hjá OpenAI og deildu eftirfarandi:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- ARN hlutverksins sem OpenAI mun taka að sér í skýinu þínu.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN lyklastjórnunarkerfisins fyrir aðallykilinn sem þú stjórnar.

Við munum virkja EKM fyrir ChatGPT-stofnunina/vinnusvæðið þitt.

API

Skráðu ytri lykilinn þinn hjá OpenAI

Fylgdu leiðbeiningunum í þessum API-tilvísunargögnum: Ytri lyklar í stjórnunar-API.

Skráðu fyrst ytri lykilinn á fyrirtækjastigi hjá OpenAI. Við það verður til auðkenni fyrir ytri lykilinn.
Í þessu skrefi staðfestum við að upplýsingarnar sem þú slóst inn séu gildar og að við getum auðkennt okkur gagnvart KMS-þjónustunni þinni.
Þetta virkjar ekki EKM fyrir OpenAI-verkefnið þitt enn sem komið er.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Síðan skaltu búa til OpenAI-verkefni sem tengist ytri lyklinum. Eftir þetta er EKM virkjað í verkefninu þínu. Svarmeginmál þessa API-kalls mun gefa þér verkefnisauðkennið (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Uppsetning EKM með OpenAI og AWS