OpenAI
ეს გვერდი მანქანური თარგმანის მეშვეობით ითარგმნა. სტატიის ინგლისური დედნის ნახვა.

EKM-ის კონფიგურაცია OpenAI-სა და AWS-თან

გაიგეთ, როგორ მოამზადოთ AWS-ის რესურსები და გაააქტიუროთ საწარმოს გასაღებების მართვა (EKM).

განახლებულია: 2 hours ago

მიმოხილვა

Enterprise Key Management (EKM) OpenAI-ს საშუალებას აძლევს, დაშიფროს მონაცემები თქვენი კონტროლირებადი მთავარი გასაღების გამოყენებით. ეს დოკუმენტი აჩვენებს, როგორ დააყენოთ თქვენი AWS ანგარიში, რათა OpenAI-ს თქვენს KMS-ზე შეზღუდული ნებართვები მიანიჭოთ.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

ნაბიჯები

1. შექმენით KMS-ის ახალი გასაღები

  1. გადადით განყოფილებაში KMS > მომხმარებლის მიერ მართული გასაღებები, შემდეგ აირჩიეთ გასაღების შექმნა.

  2. აირჩიეთ სიმეტრიული დაშიფვრის ალგორითმი.

  3. გასაღების შექმნის შემდეგ ჩაინიშნეთ მისი ARN. მხარდაჭერილი ფორმატებია: arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* ან ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. შექმენით მორგებული პოლიტიკა KMS-ის გასაღებზე შეზღუდული წვდომისთვის

  1. გადადით განყოფილებაში IAM > პოლიტიკები, შემდეგ აირჩიეთ პოლიტიკის შექმნა.

  2. ეტაპზე ნებართვების განსაზღვრა აირჩიეთ JSON და შეიყვანეთ ქვემოთ მოცემული კოდი, რათა პოლიტიკას KMS-ზე წვდომის მოქმედებები დაუმატოთ. აუცილებლად ჩაანაცვლეთ YOUR_KMS_ARN თქვენ მიერ შექმნილი გასაღების ARN-ით.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. შექმენით IAM-ის როლი, რომლის აღებასაც OpenAI შეძლებს, და მიანიჭეთ მას თქვენს KMS-ზე შეზღუდული წვდომის პოლიტიკა

OpenAI გამოიძახებს AssumeRole-ს საკუთარი AWS ანგარიშიდან. ეს ნაბიჯი OpenAI-ის AWS სუბიექტს საშუალებას აძლევს, აიღოს შეზღუდული როლი თქვენს KMS-ზე წვდომისთვის.

  1. გადადით განყოფილებაში IAM > როლები, შემდეგ აირჩიეთ როლის შექმნა.

  2. ეტაპზე სანდო სუბიექტის არჩევა აირჩიეთ მორგებული ნდობის პოლიტიკა.

AWS IAM Select trusted entity screen with Custom trust policy selected

შემდეგ მორგებულ ნდობის პოლიტიკაში შეიყვანეთ ქვემოთ მოცემული კოდი, რათა OpenAI-ის AWS სუბიექტს წვდომა მისცეთ.

  • სუბიექტია OpenAI-ის AWS სუბიექტი: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.

  • მიუთითეთ, რომელი ExternalId უნდა გადასცეს OpenAI-მ AssumeRole-ის პროცესში.

    • ChatGPT-ისთვის ან API-სთვის გამოიყენეთ თქვენს სამუშაო სივრცესთან დაკავშირებული ორგანიზაციის იდენტიფიკატორი (org-xxx): ორგანიზაციის პარამეტრები.

    • API-ს შემთხვევაში, უფრო დეტალური კონტროლისთვის შეგიძლიათ გამოიყენოთ კონკრეტული API პროექტის იდენტიფიკატორი.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

შემდეგ, ეტაპზე ნებართვების დამატება, სახელით მოძებნეთ IAM-ის პოლიტიკა, რომელიც წინა ეტაპზე შექმენით. მონიშნეთ პოლიტიკის სახელის გვერდით მდებარე მოსანიშნი ველი, შემდეგ აირჩიეთ შემდეგი.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

ბოლოს, განყოფილებაში სახელი, გადახედვა და შექმნა, როლს შეურჩიეთ ნებისმიერი სახელი.

4. გამოიყენეთ ნებისმიერი დამატებითი შეზღუდვა თქვენი უსაფრთხოების პრაქტიკის შესაბამისად

ზემოთ მოცემულია მინიმალური აუცილებელი ინფორმაცია, რომელიც OpenAI-ს EKM-ის დასაყენებლად სჭირდება. შეგიძლიათ გამოიყენოთ დამატებითი გასაღების პოლიტიკები ან შეზღუდვები თქვენი შიდა უსაფრთხოების პრაქტიკის შესაბამისად, თუ OpenAI-ს შეუძლია თქვენს KMS-ზე დაშიფვრისა და გაშიფვრის ოპერაციების გამოძახება. როდესაც ქვემოთ აღწერილ OpenAI-ის გასაღების რეგისტრაციის საბოლოო წერტილს გამოიძახებთ, ჩვენ თქვენს კონფიგურაციას შევამოწმებთ.

ზემო ნაბიჯების დასრულების შემდეგ

ChatGPT Enterprise

დაუკავშირდით თქვენს OpenAI კონტაქტს და გაუზიარეთ შემდეგი:

  • "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"

    • როლის ARN, რომელსაც OpenAI მიიღებს თქვენს ღრუბელში.

  • "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"

    • Key Management System-ის ARN თქვენ მიერ მართული მთავარი გასაღებისთვის.

ჩვენ ჩავრთავთ EKM-ს თქვენი ChatGPT ორგანიზაციისთვის/სამუშაო სივრცისთვის.

API

დაარეგისტრირეთ თქვენი გარე გასაღები OpenAI-ში

მიჰყევით API-ის ამ ცნობარში მოცემულ ინსტრუქციებს: გარე გასაღებები მართვის API-ში.

  1. ჯერ დაარეგისტრირეთ თქვენი გარე გასაღები OpenAI-ის ორგანიზაციის დონეზე. შედეგად შეიქმნება გარე გასაღების იდენტიფიკატორი.

  2. ამ ეტაპზე შევამოწმებთ, სწორია თუ არა თქვენ მიერ შეყვანილი მონაცემები და შეგვიძლია თუ არა თქვენს KMS-ში ავთენტიფიკაცია.

  3. ამით თქვენს OpenAI პროექტს EKM ჯერ არ დაემატება.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

შემდეგ შექმენით OpenAI პროექტი, რომელიც გარე გასაღებთან იქნება დაკავშირებული. ამის შემდეგ EKM გააქტიურდება თქვენს პროექტზე. ამ API გამოძახების პასუხის სხეული მოგაწვდით პროექტის ID-ს (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

სასარგებლო იყო ეს სტატია?