Sužinokite, kaip paruošti AWS išteklius ir aktyvinti įmonės raktų valdymą (EKM).

Apžvalga

Įmonės raktų valdymas (EKM) leidžia OpenAI šifruoti duomenis naudojant jūsų valdomą pagrindinį raktą. Šiame dokumente parodyta, kaip nustatyti AWS paskyrą, kad OpenAI būtų suteikti riboti leidimai jūsų KMS.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Veiksmai

1. Sukurkite naują KMS raktą

Eikite į KMS > Kliento valdomi raktai, tada pasirinkite Sukurti raktą.
Pasirinkite simetrinio šifravimo algoritmą.
Sukūrę raktą, užsirašykite jo ARN. Palaikomi šie formatai: arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* arba ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Sukurkite pasirinktinę politiką, suteikiančią ribotą prieigą prie KMS rakto

Eikite į IAM > Politikos, tada pasirinkite Sukurti politiką.
Atlikdami veiksmą Nurodyti leidimus, pasirinkite JSON ir įveskite toliau pateiktą kodą, kad politika leistų atlikti KMS prieigos veiksmus. Būtinai pakeiskite YOUR_KMS_ARN sukurto rakto ARN.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Sukurkite IAM vaidmenį, kurį galėtų perimti „OpenAI“, ir susiekite jį su politika, suteikiančia ribotą prieigą prie jūsų KMS

„OpenAI“ iškvies AssumeRole iš jai priklausančios AWS paskyros. Šiuo veiksmu „OpenAI“ AWS subjektui leidžiama perimti vaidmenį, suteikiantį ribotą prieigą prie jūsų KMS.

Eikite į IAM > Vaidmenys, tada pasirinkite Sukurti vaidmenį.
Atlikdami veiksmą Pasirinkti patikimą subjektą, pasirinkite Pasirinktinė pasitikėjimo politika.

AWS IAM Select trusted entity screen with Custom trust policy selected

Tada lauke Pasirinktinė pasitikėjimo politika įveskite toliau pateiktą kodą, kad suteiktumėte prieigą „OpenAI“ AWS subjektui.

Šis subjektas yra „OpenAI“ AWS subjektas: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Nurodykite, kokią ExternalId reikšmę „OpenAI“ turėtų perduoti vykdydama AssumeRole.
- Jei naudojate „ChatGPT“ arba API, nurodykite su jūsų darbo erdve susietą organizacijos identifikatorių (org-xxx), kurį rasite organizacijos nustatymuose.
- Jei naudojate API ir norite tiksliau apibrėžti prieigą, galite nurodyti konkretaus API projekto identifikatorių.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Tada, atlikdami veiksmą Pridėti leidimus, pagal pavadinimą raskite ankstesniame žingsnyje sukurtą IAM politiką. Pažymėkite žymimąjį langelį šalia politikos pavadinimo, tada pasirinkite Toliau.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Galiausiai skiltyje Pavadinimas, peržiūra ir kūrimas nurodykite bet kokį vaidmens pavadinimą.

4. Taikykite visus papildomus apribojimus pagal savo saugos praktiką

Aukščiau pateikta minimali būtina informacija, kurios OpenAI reikia EKM nustatyti. Galite taikyti papildomas raktų politikas arba apribojimus pagal savo vidinę saugos praktiką, jei OpenAI gali iškviesti šifravimo ir iššifravimo operacijas jūsų KMS. Kai iškviesite toliau aprašytą rakto registracijos prieigos tašką su OpenAI, patikrinsime jūsų sąranką.

Atlikę pirmiau nurodytus veiksmus

ChatGPT Enterprise

Susisiekite su savo OpenAI kontaktiniu asmeniu ir pasidalykite šia informacija:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- Vaidmens ARN, kurį OpenAI prisiims jūsų debesyje.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- Jūsų valdomo pagrindinio rakto raktų valdymo sistemos ARN.

Įjungsime EKM jūsų ChatGPT organizacijai / darbo erdvei.

API

Užregistruokite išorinį raktą „OpenAI“ platformoje

Vadovaukitės šioje API dokumentacijoje pateiktomis instrukcijomis: Išoriniai raktai valdymo API.

Pirmiausia užregistruokite išorinį raktą „OpenAI“ organizacijos lygmeniu. Taip bus sugeneruotas išorinio rakto identifikatorius.
Šiame žingsnyje patikrinsime, ar įvesti duomenys yra tinkami ir ar galime autentifikuotis jūsų KMS.
Atlikus šį veiksmą, EKM jūsų „OpenAI“ projekte dar nebus įjungtas.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Tada sukurkite OpenAI projektą, susietą su išoriniu raktu. Po to jūsų projekte bus suaktyvintas EKM. Šio API iškvietimo atsakymo tekstas pateiks projekto ID (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

EKM konfigūravimas naudojant „OpenAI“ ir AWS