OpenAI
Din il-paġna ġiet tradotta awtomatikament bl-IA. Ara l-artiklu oriġinali bl-Ingliż.

Konfigurazzjoni tal-EKM ma’ OpenAI u AWS

Tgħallem kif tħejji r-riżorsi tal-AWS u tattiva l-Ġestjoni taċ-Ċwievet għall-Intrapriżi (EKM).

Aġġornat: 5 hours ago

Ħarsa ġenerali

Enterprise Key Management (EKM) jippermetti lil OpenAI jikkripta d-data billi juża ċavetta ewlenija li tikkontrolla int. Dan id-dokument juri kif tistabbilixxi l-kont AWS tiegħek biex tagħti lil OpenAI permessi limitati fuq il-KMS tiegħek.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Passi

1. Oħloq ċavetta ġdida tal-KMS

  1. Mur f’KMS > Ċwievet ġestiti mill-klijent, imbagħad agħżel Oħloq ċavetta.

  2. Agħżel algoritmu ta’ kriptaġġ simmetriku.

  3. Wara li tinħoloq iċ-ċavetta tiegħek, ħu nota tal-ARN tagħha. Il-formati appoġġjati jinkludu arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-*, jew ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Oħloq politika personalizzata għal aċċess limitat għaċ-ċavetta tal-KMS

  1. Mur f’IAM > Politiki, imbagħad agħżel Oħloq politika.

  2. Fil-pass Speċifika l-permessi, agħżel JSON u daħħal dan li ġej biex iżżid l-azzjonijiet ta’ aċċess għall-KMS mal-politika. Kun żgur li tissostitwixxi YOUR_KMS_ARN bl-ARN taċ-ċavetta li ħloqt.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Oħloq rwol tal-IAM li OpenAI jista’ jassumi, u assenjah lill-politika b’aċċess limitat għall-KMS tiegħek

OpenAI se jsejjaħ AssumeRole minn kont tal-AWS li jappartjeni lil OpenAI. Dan il-pass jippermetti lill-prinċipal tal-AWS ta’ OpenAI jassumi r-rwol limitat biex jaċċessa l-KMS tiegħek.

  1. Mur f’IAM > Rwoli, imbagħad agħżel Oħloq rwol.

  2. Fil-pass Agħżel entità fdata, agħżel Politika ta’ fiduċja personalizzata.

AWS IAM Select trusted entity screen with Custom trust policy selected

Imbagħad, daħħal dan li ġej fil-Politika ta’ fiduċja personalizzata biex tippermetti aċċess lill-prinċipal tal-AWS ta’ OpenAI.

  • Il-prinċipal huwa l-prinċipal tal-AWS ta’ OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.

  • Indika liema ExternalId għandu jgħaddi OpenAI waqt il-proċess AssumeRole.

    • Għal ChatGPT jew l-API, uża l-ID tal-Organizzazzjoni (org-xxx) assoċjat mal-workspace tiegħek: settings tal-organizzazzjoni.

    • Għall-API, tista’ tuża ID ta’ proġett tal-API speċifiku għal kontroll aktar dettaljat.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Imbagħad, fil-pass Żid il-permessi, fittex l-isem tal-politika tal-IAM li ħloqt fil-pass preċedenti. Immarka l-kaxxa tal-għażla ħdejn l-isem tal-politika, imbagħad agħżel Li jmiss.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Fl-aħħar, fit-taqsima Semmi, irrevedi u oħloq, agħżel kwalunkwe isem għar-rwol.

4. Applika kwalunkwe restrizzjoni addizzjonali skont il-prattiki tas-sigurtà tiegħek

Hawn fuq hemm l-informazzjoni minima meħtieġa li OpenAI jeħtieġ biex jistabbilixxi EKM. Int liberu tapplika politiki taċ-ċwievet jew restrizzjonijiet addizzjonali skont il-prattiki tas-sigurtà interni tiegħek, sakemm OpenAI jkun jista' jsejjaħ operazzjonijiet ta' kriptaġġ u dekriptaġġ fuq il-KMS tiegħek. Meta ssejjaħ il-punt ta' tmiem tar-reġistrazzjoni taċ-ċavetta ma' OpenAI li huwa deskritt hawn taħt, aħna nivvalidaw is-setup tiegħek.

Wara li tlesti l-passi ta' hawn fuq

ChatGPT Enterprise

Jekk jogħġbok ikkuntattja lill-kuntatt tiegħek f'OpenAI u aqsam dan li ġej:

  • "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"

    • L-ARN tar-Rwol li OpenAI se jassumi fil-cloud tiegħek.

  • "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"

    • L-ARN tas-Sistema ta' Ġestjoni taċ-Ċwievet għaċ-ċavetta ewlenija li timmaniġġja int.

Se nattivaw EKM għall-organizzazzjoni/workspace ChatGPT tiegħek.

API

Irreġistra ċ-ċavetta esterna tiegħek ma’ OpenAI

Segwi l-istruzzjonijiet f’din ir-referenza tal-API: Ċwievet esterni fl-API tal-Ġestjoni.

  1. L-ewwel, irreġistra ċ-ċavetta esterna tiegħek fil-livell tal-organizzazzjoni ta’ OpenAI. Dan jiġġenera ID taċ-ċavetta esterna.

  2. F’dan il-pass, se nivverifikaw li d-data li ddaħħal hija valida u li nistgħu nawtentikaw ruħna mal-KMS tiegħek.

  3. Dan għadu mhux se jżid l-EKM mal-proġett tiegħek ta’ OpenAI.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Imbagħad, oħloq proġett OpenAI assoċjat maċ-ċavetta esterna. Wara dan, EKM jiġi attivat fuq il-proġett tiegħek. Il-korp tar-rispons ta' din is-sejħa API jagħtik l-ID tal-proġett (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Dan l-artiklu kien ta’ għajnuna?