Pārskats

Enterprise Key Management (EKM) ļauj šifrēt jūsu klientu saturu pakalpojumā OpenAI, izmantojot atslēgas, ko pārvalda jūsu pašu ārējā Key Management System (KMS), un tas ir pieejams gan ChatGPT Enterprise, gan API.

OpenAI atbalsta Bring Your Own Key (BYOK) šifrēšanu ar ārējiem kontiem pakalpojumos AWS KMS, Google Cloud (GCP) un Azure Key Vault.

Pašlaik EKM ieviešana ir ierobežota ar Enterprise un Edu darbvietām, kurām ir norīkots OpenAI konta pārstāvis.

Kā darbojas OpenAI EKM šifrēšana

Augsta līmeņa plūsma

1. Mēs ģenerējam Data Encryption Key (DEK) jūsu mākoņpakalpojumu sniedzējam.

2. Jūsu mākoņa KMS pārvalda galveno Key Encryption Key (KEK), kas tiek glabāta vai nu jūsu mākonī, vai ārēji. Ieviešana ir jūsu ziņā.

3. Mēs pieprasām no jūsu mākoņa DEK šifrēšanu, lai iegūtu encrypted DEK (eDEK). Ja jūsu KEK tiek glabāta ārēji, jūsu mākonis vienkārši veic papildu pārsūtīšanu uz jūsu ārējo krātuvi darbībā, kas OpenAI nav redzama.

Šifrēšana

Šifrēšanas laikā jūsu dati tiek šifrēti ar DEK, un eDEK tiek saglabāts kā faila metadati.

Atšifrēšana

Atšifrēšanas laikā mēs pieprasām, lai jūsu mākoņa KMS atšifrē eDEK par DEK, un pēc tam atšifrējam datus ar DEK.

Galvenie termini

• Data Encryption Key (DEK) — atslēga, kas šifrē jūsu datus.

• Encrypted Data Encryption Key (eDEK) — šifrētais DEK, ko ģenerē jūsu KMS

• Key Encryption Key (KEK) — galvenā atslēga, ko pārvaldāt jūs un kas šifrē DEK -> eDEK un atšifrē eDEK -> DEK. Šī atslēga vienmēr paliek ārpus OpenAI sistēmām.

Augsta līmeņa ieviešanas prasības

Jūsu mākoņpakalpojumu sniedzēja vidē

1. Izveidojiet jaunu atslēgu savā mākoņa KMS (Azure, AWS vai GCP)

2. Izveidojiet pielāgotu, ierobežotu politiku ar Encrypt/Decrypt atļaujām KMS

3. Izveidojiet OpenAI vajadzībām uzticības politiku (AWS), workload identity (GCP) vai pakalpojuma principālu (Azure)

4. Piešķiriet OpenAI lomu ar ierobežoto politiku, lai piekļūtu jūsu KMS

OpenAI platformās

ChatGPT Enterprise

Izveidojiet smilškastes ChatGPT darbvietu testēšanas nolūkiem.

API

OpenAI informācijas panelī izveidojiet jaunu projektu, kuram tiks piemērota šifrēšana.

Pakalpojumu sniedzējam specifiskas funkcijas

AWS gadījumā OpenAI:

• izsauks AssumeRole ar ExternalID

GCP gadījumā OpenAI:

• izsauks jūsu STS galapunktu no OpenAI GCP konta

• izmantos GCP piekļuves tekstvienību, lai jūsu KMS izsauktu encrypt/decrypt.

Azure gadījumā OpenAI:

• pieprasīs piekļuves tekstvienību jūsu Azure tenanta glabātuvei

• izmantos šo piekļuves tekstvienību, lai jūsu Key Vault izsauktu encrypt/decrypt.

Informācija, kas jums jāsaņem no OpenAI

Autentifikācija

Jums būs jāatpazīst OpenAI federētās identitātes tekstvienības AWS un GCP vidēm. Azure gadījumā jums būs jāatpazīst OpenAI lietotnes id tās lietotnes reģistrācijai.

Autentifikācijas parametru kopsavilkums

Ieviešanas laikā nepieciešamā informācija atkarībā no jūsu mākoņpakalpojumu sniedzēja

• Izmantojot AWS, jums jāiestata uzticēšanās politika, kas atpazīst:

  • OpenAI principāls (konta numurs + loma)

  • ExternalID, kas ir jūsu OpenAI projekta ID

• Izmantojot GCP, jums jāiestata darba slodzes identitāte, kas atpazīst:

  • OpenAI pakalpojuma konta ID

  • Auditorija, kas ir jūsu OpenAI projekta ID

• Izmantojot Azure, jums savā Azure nomniekā jāizveido pakalpojuma principāls OpenAI lietotnes reģistrācijai

  • Izveidojiet to OpenAI lietojumprogrammas klienta ID: 20a14814-5ab7-4612-a671-1382b412bf9

  • To varat izdarīt, nosūtot POST pieprasījumu uz https://graph.microsoft.com/v1.0/servicePrincipals galapunktu.

Autorizācija

Jums būs jāizveido politika, kas ļauj OpenAI identitātei iegūt ierobežotu piekļuvi jūsu KMS.

Cits

Azure vidē atslēgas tipam (atslēgas šifrēšanas algoritmam) izvēlieties RSA, nevis EC.

Informācija, kas OpenAI nepieciešama no jums

Izpildiet norādījumus šajā dokumentā, lai reģistrētu savu KMS OpenAI sistēmā. Tālāk ir sniegts kopsavilkums par parametriem, kas jums būs jānorāda.

1. Saistīts ar autentifikāciju

   1. AWS

      1. IAM lomas ARN — loma, ko OpenAI var uzņemties (piemērs: arn:aws:iam::123456789:role/role-name)

      2. ExternalID — jūsu OpenAI organizācijas ID

   2. GCP

      1. Workload Identity projekta numurs (piemērs: 123456789)

      2. Workload Identity pūla ID

      3. Workload Identity nodrošinātāja ID

      4. Atļautā auditorija: jūsu OpenAI organizācijas ID

   3. Azure

      1. Nomnieka ID

Kad būsiet reģistrējis savu KMS OpenAI sistēmā, turpiniet ievērot dokumentā sniegtos norādījumus, lai API projektā aktivizētu EKM konfigurāciju. Testēšanas nolūkiem izveidojiet jaunu OpenAI API projektu.

Pakalpojumu sniedzējiem specifiskas ieviešanas rokasgrāmatas

Detalizētus norādījumus skatiet attiecīgajās tālāk norādītajās saitēs. Lūdzu, ņemiet vērā, ka tajās galvenā uzmanība pievērsta integrācijas prasībām ar OpenAI un tās nav paredzētas kā visaptveroša rokasgrāmata visai jūsu videi

• OpenAI / AWS EKM integrācijas instrukcijas

• OpenAI / GCP EKM integrācijas instrukcijas

• OpenAI / Azure EKM integrācijas instrukcijas

Neatbalstītās funkcijas, ja ir iespējota EKM

Ja ir iespējota EKM, nav pieejamas šādas funkcijas:

• Funkcijas, kas nav vispārīgi pieejamas, tostarp beta vai alfa versijas funkcijas.