Ringkesan

Enterprise Key Management (EKM) ngidini OpenAI ngenkripsi data nggunakake kunci master sing sampeyan kontrol. Dokumen iki nuduhake carane nyiyapake akun AWS sampeyan kanggo menehi idin winates marang OpenAI ing KMS sampeyan.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Langkah-langkah

1. Gawe kunci KMS anyar

Bukak KMS > Kunci sing dikelola pelanggan, banjur pilih Gawe Kunci.
Pilih algoritma enkripsi simetris.
Sawise kunci sampeyan digawe, cathet ARN-e. Format sing didhukung kalebu arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-*, utawa ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Gawe kabijakan khusus kanggo mbatesi akses menyang kunci KMS

Bukak IAM > Kabijakan, banjur pilih Gawe Kabijakan.
Ing langkah Temtokake idin, pilih JSON banjur lebokake kode ing ngisor iki kanggo menehi idin tumindak akses KMS ing kabijakan kasebut. Priksa manawa YOUR_KMS_ARN wis diganti nganggo ARN kunci sing sampeyan gawe.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Gawe peran IAM sing bisa digunakake OpenAI, banjur gandhengake karo kabijakan sing mbatesi akses menyang KMS sampeyan

OpenAI bakal nyeluk AssumeRole saka akun AWS duweke OpenAI. Langkah iki ngidini prinsipal AWS duweke OpenAI nggunakake peran winates kanggo ngakses KMS sampeyan.

Bukak IAM > Peran, banjur pilih Gawe Peran.
Ing langkah Pilih entitas sing dipercaya, pilih Kabijakan kapercayan khusus.

AWS IAM Select trusted entity screen with Custom trust policy selected

Sabanjure, lebokake kode ing ngisor iki ing Kabijakan kapercayan khusus kanggo menehi akses marang prinsipal AWS duweke OpenAI.

Prinsipal kasebut yaiku prinsipal AWS duweke OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Temtokake ExternalId sing kudu dikirim OpenAI sajrone proses AssumeRole.
- Kanggo ChatGPT utawa API, gunakake ID Organisasi (org-xxx) sing digandhengake karo papan kerja sampeyan: setelan organisasi.
- Kanggo API, sampeyan bisa nggunakake ID proyek API tartamtu supaya kontrol akses luwih rinci.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Banjur, ing langkah Tambah idin, goleki jeneng kabijakan IAM sing sampeyan gawe ing langkah sadurunge. Centhang kothak centhang ing jejere jeneng kabijakan, banjur pilih Sabanjure.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Pungkasan, ing bagean Wenehi jeneng, priksa, lan gawe, pilih jeneng peran sakarepe sampeyan.

4. Terapake watesan tambahan apa wae selaras karo praktik keamanan sampeyan dhewe

Ing ndhuwur yaiku informasi minimal sing dibutuhake OpenAI kanggo nyiyapake EKM. Sampeyan bebas ngetrapake kabijakan utawa watesan kunci tambahan sing selaras karo praktik keamanan internal sampeyan dhewe, anggere OpenAI bisa nelpon operasi enkripsi lan dekripsi ing KMS sampeyan. Nalika sampeyan nelpon titik pungkasan registrasi kunci karo OpenAI sing diterangake ing ngisor iki, kita bakal validasi panyiyapan sampeyan.

Sawise ngrampungake langkah-langkah ing ndhuwur

ChatGPT Enterprise

Mangga hubungi kontak OpenAI sampeyan lan bagikna ing ngisor iki:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- Role ARN sing bakal diasumsi OpenAI ing cloud sampeyan.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN Key Management System kanggo kunci master sing sampeyan kelola.

Kita bakal ngaktifake EKM kanggo organisasi/papan kerja ChatGPT sampeyan.

API

Daftarke kunci eksternal sampeyan ing OpenAI

Tindakake pandhuan ing referensi API iki: Kunci Eksternal ing API Manajemen.

Pisanan, daftarke kunci eksternal sampeyan ing tingkat organisasi OpenAI kanggo ngasilake ID kunci eksternal.
Ing langkah iki, kita bakal mesthekake manawa data sing sampeyan lebokake valid lan kita bisa nindakake autentikasi menyang KMS sampeyan.
Langkah iki durung nambahake EKM menyang proyek OpenAI sampeyan.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Banjur, gawe proyek OpenAI sing gegandhengan karo kunci eksternal kasebut. Sawise iki, EKM diaktifake ing proyek sampeyan. Isi respons saka panggilan API iki bakal menehi ID proyek (proj_xxx) marang sampeyan.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Nyetel EKM nganggo OpenAI lan AWS