OpenAI
Энэ хуудсыг машинаар орчуулсан. Англи хэл дээрх нийтлэлийн эх хувилбарыг үзнэ үү.

OpenAI болон AWS ашиглан EKM тохируулах

AWS-ийн нөөцийг бэлтгэж, Байгууллагын түлхүүрийн удирдлага (EKM)-ыг хэрхэн идэвхжүүлэх талаар мэдэж аваарай.

Шинэчилсэн: 3 days ago

Тойм

Enterprise Key Management (EKM) нь таны хянадаг мастер түлхүүрийг ашиглан өгөгдлийг шифрлэх боломжийг OpenAI-д олгодог. Энэ баримт бичиг нь OpenAI-д таны KMS дээр хязгаарлагдмал зөвшөөрөл өгөхийн тулд AWS бүртгэлээ хэрхэн тохируулахыг харуулна.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Алхмууд

1. Шинэ KMS түлхүүр үүсгэх

  1. KMS > Хэрэглэгчийн удирддаг түлхүүрүүд рүү очоод Түлхүүр үүсгэх-ийг сонгоно уу.

  2. Симметр шифрлэлтийн алгоритм сонгоно уу.

  3. Түлхүүр үүссэний дараа түүний ARN-ийг тэмдэглэж авна уу. arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* эсвэл ...:alias/<alias_name> зэрэг форматыг дэмжинэ.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. KMS түлхүүрт хязгаарлагдмал хандалт олгох тусгай бодлого үүсгэх

  1. IAM > Бодлогууд руу очоод Бодлого үүсгэх-ийг сонгоно уу.

  2. Зөвшөөрөл заах алхамд JSON-ийг сонгоод, бодлогод KMS-д хандах үйлдлүүдийг зөвшөөрөхийн тулд дараахыг оруулна уу. YOUR_KMS_ARN-ийг үүсгэсэн түлхүүрийнхээ ARN-ээр заавал солино уу.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. OpenAI ашиглах боломжтой IAM үүрэг үүсгэж, KMS-д тань хязгаарлагдмал хандалт олгох бодлоготой холбоно уу

OpenAI өөрийн эзэмшлийн AWS бүртгэлээс AssumeRole-ийг дуудна. Энэ алхам нь OpenAI-ийн AWS дахь эрх бүхий этгээдэд хязгаарлагдмал эрхтэй үүргийг ашиглан таны KMS-д хандах боломж олгоно.

  1. IAM > Үүргүүд рүү очоод Үүрэг үүсгэх-ийг сонгоно уу.

  2. Итгэмжлэгдсэн этгээд сонгох алхамд Тусгай итгэмжлэлийн бодлого-ыг сонгоно уу.

AWS IAM Select trusted entity screen with Custom trust policy selected

Дараа нь OpenAI-ийн AWS дахь эрх бүхий этгээдэд хандах эрх олгохын тулд Тусгай итгэмжлэлийн бодлого хэсэгт дараахыг оруулна уу.

  • Эрх бүхий этгээд нь OpenAI-ийн AWS дахь дараах этгээд байна: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.

  • AssumeRole үйлдлийн үед OpenAI ямар ExternalId дамжуулахыг заана уу.

    • ChatGPT эсвэл API-д ажлын талбартайгаа холбоотой Байгууллагын ID (org-xxx)-г ашиглана уу: байгууллагын тохиргоо.

    • API-ийн хувьд хамрах хүрээг нарийвчлахын тулд тодорхой API төслийн ID ашиглаж болно.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Дараа нь Зөвшөөрөл нэмэх алхамд өмнөх алхамд үүсгэсэн IAM бодлогоо нэрээр нь хайна уу. Бодлогын нэрийн хажуу дахь сонгох нүдийг чагтлаад Дараах-ыг сонгоно уу.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Эцэст нь Нэрлэх, хянах, үүсгэх хэсэгт үүрэгт дурын нэр өгнө үү.

4. Өөрийн аюулгүй байдлын практикт нийцүүлэн нэмэлт хязгаарлалтууд хэрэглэнэ үү

Дээрх нь OpenAI-д EKM тохируулахад шаардлагатай хамгийн бага мэдээлэл юм. OpenAI таны KMS дээр шифрлэх болон шифр тайлах үйлдлүүдийг дуудаж чадаж байвал, та өөрийн дотоод аюулгүй байдлын практикт нийцүүлэн нэмэлт түлхүүрийн бодлого эсвэл хязгаарлалт хэрэглэж болно. Доор тайлбарласан OpenAI-тэй хийх түлхүүр бүртгэлийн эцсийн цэгийг дуудах үед бид таны тохиргоог шалгана.

Дээрх алхмуудыг гүйцэтгэсний дараа

ChatGPT Enterprise

OpenAI дахь холбоо барих хүнтэйгээ холбогдож, дараахыг хуваалцана уу:

  • "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"

    • OpenAI таны үүлэн орчинд ашиглах Role ARN.

  • "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"

    • Таны удирддаг мастер түлхүүрийн Key Management System ARN.

Бид таны ChatGPT байгууллага/ажлын талбарт EKM-г идэвхжүүлнэ.

API

Гадаад түлхүүрээ OpenAI-д бүртгүүлэх

Энэ API лавлахын зааврыг дагана уу: Удирдлагын API дахь гадаад түлхүүрүүд.

  1. Эхлээд гадаад түлхүүрээ OpenAI байгууллагын түвшинд бүртгүүлнэ үү. Ингэснээр гадаад түлхүүрийн ID үүснэ.

  2. Энэ алхамд бид таны оруулсан мэдээлэл зөв эсэх, мөн таны KMS-д нэвтрэх эрхээ баталгаажуулж чадах эсэхийг шалгана.

  3. Энэ алхам таны OpenAI төсөлд EKM-ыг хараахан нэмэхгүй.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Дараа нь гадаад түлхүүртэй холбоотой OpenAI төсөл үүсгэнэ үү. Үүний дараа таны төсөл дээр EKM идэвхжинэ. Энэ API дуудлагын хариуны их бие танд төслийн ID (proj_xxx)-г өгнө.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Энэ нийтлэл танд тус болсон уу?