OpenAI Mutual TLS ngidini organisasi ngonfigurasi lapisan keamanan tambahan kanggo lalu lintas OpenAI API. Sawise dikonfigurasi, panjaluk API kudu digawe menyang https://mtls.api.openai.com (utawa https://mtls-eu.api.openai.com kanggo pelanggan Domisili Data EU) lan lalu lintas mung bakal ditampa yen kunci API lan sertifikat klien sing bener diwenehake. mTLS ora ditrapake kanggo Dasbor https://platform.openai.com. Fitur iki saiki ana ing beta.
Kepiye carane nyiyapake integrasi mTLS?
Ing bilah navigasi setelan, sampeyan bakal weruh tab “Mutual TLS”.
Unggah Sertifikat
Aktifake Sertifikat
Sawise ngunggah sertifikat sampeyan, langkah sabanjure yaiku ngaktifake sertifikat sampeyan. Sawise sertifikat diaktifake kanggo proyek, kabeh panjaluk API sing menyang proyek kasebut bakal wiwit mbutuhake sertifikat klien sing cocog uga. Yen proyek duwe pirang-pirang sertifikat sing diaktifake, sampeyan bisa nerusake sertifikat klien apa wae sing cocog. Yen sertifikat diaktifake kanggo organisasi, iki bakal ditrapake kanggo kabeh panjaluk API lan “diwarisi” dening kabeh proyek.
Syarat sertifikat CA
Sampeyan bisa ngunggah sertifikat CA X.509 apa wae ing format PEM sing nyukupi syarat ing ngisor iki:
langsung nandatangani sertifikat klien sing arep sampeyan gunakake, utawa dadi jangkar rantai sertifikat valid sing ditampilake klien sampeyan.
nduweni ekstensi Certificate Authority, Subject Key Identifier, lan Authority Key Identifier (ing format KeyIdentifier)
nduweni idin Key Usage: “Certificate Sign, CRL Sign”
ora disetel supaya kedaluwarsa sajrone 1 dina
ukuran total sertifikat kudu kurang saka 16kb.
Syarat sertifikat klien
Yen dhukungan rantai sertifikat diaktifake kanggo organisasi sampeyan, klien sampeyan bisa nampilake sertifikat klien leaf lan sertifikat intermediate sing dibutuhake kanggo mbangun rantai valid menyang sertifikat unggahan sing aktif. Yen ora, sertifikat klien kudu ditandatangani langsung dening sertifikat sing wis sampeyan unggah sadurunge. Saliyane iki, sertifikat klien sampeyan kudu nyukupi syarat ing ngisor iki:
nduweni ekstensi Subject Key Identifier lan Authority Key Identifier (ing format KeyIdentifier)
nduweni idin Key Usage: “Digital Signature, Key Encipherment”
nduweni idin Extended Key Usage: “TLS Web Client Authentication”
nduweni ekstensi Subject Alternate Name
Dhukungan rantai sertifikat kanggo API mTLS
Dhukungan rantai sertifikat ngidini klien sampeyan nampilake sertifikat klien leaf karo sertifikat intermediate sing dibutuhake kanggo mbangun rantai valid menyang sertifikat unggahan sing aktif.
Iki bisa ngidini sampeyan nggilir sertifikat intermediate tanpa kudu ngunggah saben intermediate anyar, anggere sertifikat unggahan aktif sing digunakake minangka jangkar kapercayan tetep valid.
Dhukungan rantai sertifikat saiki kasedhiya kanthi panjaluk. Hubungi Account Director sampeyan utawa bukak tiket dhukungan kanggo njaluk akses.
Klien sampeyan kudu nampilake kabeh sertifikat intermediate sing dibutuhake. OpenAI ora njupuk sertifikat intermediate sing kurang liwat AIA. Pemeriksaan CRL lan OCSP tetep ora didhukung.
FAQ
Apa aku bisa ngonfigurasi mTLS liwat API?
Ya — sampeyan bisa ndeleng Referensi API ing https://platform.openai.com/docs/api-reference/ kanggo informasi luwih lengkap.
Titik pungkasan apa sing ndhukung mTLS?
Sajrone periode beta iki, mTLS resmi didhukung ing
/v1/chat/completions (with all supported extensions e.g. image, audio, streaming, etc.)/v1/completions/v1/embeddings/v1/audio/transcriptions/v1/audio/speech/v1/files/v1/batches/v1/responses/v1/images/v1/moderations/v1/realtime (via server-side web sockets)/v1/fine_tuning/v1/tunnels
Kepiye carane ngirim sertifikat klien bebarengan karo panjalukku?
Kanggo panjaluk cURL, sampeyan bisa nggunakake opsi --cert lan --key (delengen kaca manual ing kene). Ing umume klien HTTP liyane, uga ana cara kanggo ngirim sertifikat klien. Tuladha: requests ing Python, fetch ing JS. Liwat SDK resmi kita, kita uga ndhukung pangowahan klien HTTP — delengen ing kene kanggo tuladha Python.
Nalika dhukungan rantai sertifikat diaktifake, atur klien HTTP sampeyan supaya nampilake sertifikat klien leaf lan kabeh sertifikat intermediate sing dibutuhake. Konfigurasi pasé gumantung marang klien HTTP sampeyan.
Sadurunge ngetrapake mTLS kanggo lalu lintas produksi, pesthekake klien HTTP sing sampeyan gunakake bisa mlaku kanthi becik karo panjaluk sertifikat klien (sawetara, kayata WebSockets ing browser tartamtu, ora bisa). Elinga manawa server kita ora nyedhiyakake dhaptar certificate_authorities ing panjaluk sertifikat klien.
Sapa sing bisa ngakses lan ngowahi sertifikat?
Liwat UI Dasbor https://platform.openai.com/settings/organization/mtls, pamilik organisasi bisa ngakses lan ngowahi sertifikat. Sapa wae sing duwe Kunci API Admin (https://platform.openai.com/settings/organization/admin-keys) uga bisa ngakses/ngowahi sertifikat, nanging ati-ati — yen sampeyan ngaktifake Mutual TLS ing tingkat organisasi, sampeyan uga bakal ngetrapake sertifikat ing panjaluk API iki. Kabeh owah-owahan mTLS katon ing log audit.
Pira sertifikat sing bisa sampeyan duweni?
Saben organisasi bisa ngunggah nganti 50 sertifikat, sing bisa dienggo bareng ing antarane proyek nanging ora karo organisasi liyane. Sampeyan bisa ngaktifake/nonaktifake sertifikat kanthi atomik kanggo 10 proyek sekaligus. Utawa, sampeyan bisa ngaktifake/nonaktifake 10 sertifikat sekaligus kanggo organisasi sampeyan utawa kanggo 1 proyek tartamtu.
Apa aku bisa nganyari utawa mbusak sertifikat?
Sampeyan bisa nganyari jeneng sertifikat sampeyan, nanging ora isine. Sampeyan uga bisa mbusak sertifikat yen saiki ora aktif ing cakupan apa wae.
Kepiye cara kerja pencabutan sertifikat?
Saiki, kita ora ndhukung pemeriksaan CRL utawa OCSP. Alternatif sing disaranake yaiku mbusak utawa nggilir kunci API sampeyan. Sampeyan uga bisa ngganti sertifikat CA utawa nggunakake sertifikat klien kanthi masa berlaku sing luwih cendhak.
Apa aku bisa nggunakake rantai sertifikat sing luwih dawa?
Ya, yen dhukungan rantai sertifikat diaktifake kanggo organisasi sampeyan. Klien sampeyan kudu nampilake sertifikat klien leaf lan sertifikat intermediate apa wae sing dibutuhake supaya OpenAI bisa verifikasi rantai kasebut menyang sertifikat unggahan sing aktif. Hubungi Account Director sampeyan utawa bukak tiket dhukungan kanggo njaluk akses.
Apa persiyapan sing disaranake?
Nalika pisanan nyiyapake fitur iki, kita nyaranake miwiti nganggo proyek staging sing ora nglayani lalu lintas produksi resmi. Gunakake kesempatan iki kanggo mesthekake yen sertifikat sampeyan wis disetel kanthi bener ing mesin sampeyan lan sampeyan bisa ngirim lalu lintas API kanthi kasil. Kajaba saka iki, kita nyaranake konsultasi karo tim keamanan organisasi sampeyan supaya luwih ngerti kabutuhan sampeyan.
Dhukungan Tambahan
Sampeyan bisa ngatur fitur mTLS kanthi mandiri liwat dasbor lan API. Nanging, yen sampeyan pengin ngaktifake mTLS ing mode bayangan dhisik, mangga hubungi Account Director sampeyan utawa bukak tiket dhukungan kanthi miwiti obrolan anyar ing pojok tengen ngisor kaca iki.
Lampiran: Terminologi
Sertifikat CA: Salah siji sertifikat kapercayan sampeyan sing digunakake kanggo verifikasi sertifikat klien. Sertifikat iki bisa langsung nandatangani sertifikat klien sing sampeyan kirim karo panjaluk utawa dadi jangkar rantai sertifikat sing ditampilake klien sampeyan. Sampeyan bisa nggunakake sertifikat CA sing ditandatangani dhewe.
Ngunggah sertifikat: nambahake sertifikat CA menyang akun sampeyan. Iki durung ditrapake ing endi wae kanggo mTLS, nanging sampeyan bisa miwiti ngonfigurasi.
Cakupan: proyek tartamtu utawa kabeh organisasi sampeyan.
Ngaktifake sertifikat CA ing cakupan: ngaktifake mTLS khusus kanggo cakupan kasebut, lan kabeh panjaluk adhedhasar kunci API kudu ngemot sertifikat klien sing bisa diverifikasi nganggo sertifikat CA sing aktif.
Mateni sertifikat CA ing cakupan: mateni panggunaan sertifikat iki kanggo verifikasi panjaluk ing cakupan iki. Yen ora ana sertifikat sing isih ana kanggo cakupan kasebut, mTLS kanthi efektif dipateni.
Marisi sertifikat: Yen sampeyan ngaktifake sertifikat kanggo organisasi, sertifikat kasebut uga bakal diaktifake kanggo kabeh proyek.