Ketahui cara menyediakan AWS dan mengaktifkan Pengurusan Kunci Perusahaan (EKM).

Gambaran keseluruhan

Enterprise Key Management (EKM) membolehkan OpenAI menyulitkan data menggunakan kunci induk yang anda kawal. Dokumen ini menunjukkan cara menyediakan akaun AWS anda untuk memberikan kebenaran terhad kepada OpenAI pada KMS anda.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Langkah-langkah

1. Cipta kunci KMS baharu

Pergi ke KMS > Kunci yang diurus oleh pelanggan, kemudian pilih Cipta Kunci.
Pilih algoritma penyulitan simetri.
Selepas kunci anda dicipta, catat ARN kunci tersebut. Format yang disokong termasuk arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-*, atau ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Cipta dasar tersuai untuk akses terhad kepada kunci KMS

Pergi ke IAM > Dasar, kemudian pilih Cipta Dasar.
Dalam langkah Tentukan kebenaran, pilih JSON dan masukkan yang berikut untuk membenarkan tindakan akses KMS melalui dasar tersebut. Pastikan anda menggantikan YOUR_KMS_ARN dengan ARN kunci yang anda cipta.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Cipta peranan IAM untuk digunakan oleh OpenAI, dan kaitkan peranan itu dengan dasar yang mengehadkan akses kepada KMS anda

OpenAI akan memanggil AssumeRole daripada akaun AWS milik OpenAI. Langkah ini membolehkan prinsipal AWS OpenAI menggunakan peranan terhad tersebut untuk mengakses KMS anda.

Pergi ke IAM > Peranan, kemudian pilih Cipta Peranan.
Dalam langkah Pilih entiti yang dipercayai, pilih Dasar kepercayaan tersuai.

AWS IAM Select trusted entity screen with Custom trust policy selected

Seterusnya, masukkan yang berikut dalam Dasar kepercayaan tersuai untuk memberikan akses kepada prinsipal AWS OpenAI.

Prinsipal tersebut ialah prinsipal AWS OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Nyatakan ExternalId yang perlu dihantar oleh OpenAI semasa proses AssumeRole.
- Untuk ChatGPT atau API, gunakan ID Organisasi (org-xxx) yang dikaitkan dengan ruang kerja anda: tetapan organisasi.
- Untuk API, anda boleh menggunakan ID projek API tertentu bagi kawalan yang lebih terperinci.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Kemudian, dalam langkah Tambah kebenaran, cari nama dasar IAM yang anda cipta dalam langkah sebelumnya. Tandakan kotak semak di sebelah nama dasar, kemudian pilih Seterusnya.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Akhir sekali, dalam bahagian Namakan, semak dan cipta, pilih sebarang nama peranan.

4. Gunakan sebarang sekatan tambahan selaras dengan amalan keselamatan anda sendiri

Di atas ialah maklumat minimum yang diperlukan oleh OpenAI untuk menyediakan EKM. Anda bebas menggunakan dasar kunci atau sekatan tambahan selaras dengan amalan keselamatan dalaman anda sendiri, selagi OpenAI dapat memanggil operasi penyulitan dan penyahsulitan pada KMS anda. Apabila anda memanggil titik akhir pendaftaran kunci dengan OpenAI seperti yang diterangkan di bawah, kami akan mengesahkan persediaan anda.

Selepas melengkapkan langkah-langkah di atas

ChatGPT Enterprise

Sila hubungi wakil OpenAI anda dan kongsikan perkara berikut:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- ARN Peranan yang akan diandaikan oleh OpenAI dalam awan anda.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN Key Management System untuk kunci induk yang anda urus.

Kami akan mendayakan EKM untuk organisasi/ruang kerja ChatGPT anda.

API

Daftarkan kunci luaran anda dengan OpenAI

Ikuti arahan dalam rujukan API ini: Kunci Luaran dalam API Pengurusan.

Mula-mula, daftarkan kunci luaran anda pada peringkat organisasi OpenAI untuk menjana ID kunci luaran.
Dalam langkah ini, kami akan menyemak bahawa input anda sah dan kami boleh membuat pengesahan identiti dengan KMS anda.
Langkah ini belum menambahkan EKM pada projek OpenAI anda.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Kemudian, cipta projek OpenAI yang dikaitkan dengan kunci luaran tersebut. Selepas ini, EKM diaktifkan pada projek anda. Isi respons panggilan API ini akan memberikan ID projek (proj_xxx) kepada anda.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Mengkonfigurasi EKM dengan OpenAI dan AWS