Oversikt

Med Enterprise Key Management (EKM) kan du kryptere kundeinnholdet ditt hos OpenAI ved hjelp av nøkler som administreres av ditt eget eksterne nøkkeladministrasjonssystem (KMS). Dette er tilgjengelig for både ChatGPT Enterprise og API-et.

OpenAI støtter Bring Your Own Key-kryptering (BYOK) med eksterne kontoer i AWS KMS, Google Cloud (GCP) og Azure Key Vault.

For øyeblikket er EKM-implementering begrenset til Enterprise- og Edu-arbeidsområder med en fast kontaktperson hos OpenAI.

Slik fungerer OpenAI EKM-kryptering

Flyt på øverste nivå

1. Vi genererer en Data Encryption Key (DEK) for skyleverandøren din.

2. Sky-KMS-en din administrerer en overordnet Key Encryption Key (KEK), enten lagret i skyen din eller eksternt. Implementeringen er opp til deg.

3. Vi ber om kryptering av DEK fra skyen din for å få en encrypted DEK (eDEK). Hvis KEK-en din er lagret eksternt, gjør skyen din bare et ekstra hopp til den eksterne lagringen din, i et trinn som er ugjennomsiktig for OpenAI.

Kryptering

Ved kryptering krypteres dataene dine med DEK-en, og eDEK-en lagres som metadata i filen.

Dekryptering

Ved dekryptering ber vi om at eDEK dekrypteres av sky-KMS-en din til DEK, og vi dekrypterer dataene med DEK.

Nøkkelbegreper

• Data Encryption Key (DEK) - nøkkelen som krypterer dataene dine. 

• Encrypted Data Encryption Key (eDEK) - den krypterte DEK-en, generert av KMS-en din

• Key Encryption Key (KEK) - hovednøkkelen du administrerer som krypterer DEK -> eDEK og dekrypterer eDEK -> DEK. Denne nøkkelen forblir alltid utenfor OpenAIs systemer.

Overordnede krav for implementering

Hos skyleverandøren din

1. Opprett en ny nøkkel i skyplattformens KMS (Azure, AWS eller GCP)

2. Opprett en egendefinert, begrenset policy med Encrypt/Decrypt-tillatelser for KMS-et

3. Opprett en klareringspolicy (AWS), en arbeidsbelastningsidentitet (GCP) eller en tjenestekontohaver (for Azure) for OpenAI

4. Tildel OpenAI en rolle med den begrensede policyen for tilgang til KMS-et ditt

I OpenAI-plattformer

ChatGPT Enterprise

Opprett et ChatGPT-sandkassearbeidsområde for testformål.

API

Opprett et nytt prosjekt i OpenAI-dashbordet der kryptering skal brukes.

Leverandørspesifikke funksjoner

For AWS vil OpenAI:

• Kalle AssumeRole med en ExternalID

For GCP vil OpenAI:

• Kalle STS-endepunktet ditt fra en OpenAI GCP-konto

• Bruke GCP-tilgangstokenet til å kalle encrypt/decrypt på KMS-en din.

For Azure vil OpenAI:

• Be om et tilgangstoken for hvelvet i Azure-leieren din

• Bruke det tilgangstokenet til å kalle encrypt/decrypt på Key Vault.

Informasjon du trenger fra OpenAI

Autentisering

Du må gjenkjenne OpenAIs fødererte identitetstokener for AWS og GCP. For Azure må du gjenkjenne OpenAIs applikasjons-ID for appregistreringen.

Oppsummering av autentiseringsparametere

Nødvendig informasjon under implementeringen, basert på skyleverandøren din

• For AWS må du konfigurere en klareringspolicy som godtar:

• For GCP må du konfigurere en arbeidsbelastningsidentitet som godtar:

• For Azure må du opprette en tjenestekontohaver i Azure-leieren din for OpenAIs appregistrering

• Opprett en for OpenAIs klient-ID for applikasjonen: 20a14814-5ab7-4612-a671-1382b412bf9

• Du kan gjøre dette ved å sende en POST-forespørsel til endepunktet https://graph.microsoft.com/v1.0/servicePrincipals.

Autorisasjon

Du må opprette en policy som gir OpenAIs identitet begrenset tilgang til KMS-et ditt. 

Annet

I Azure skal du velge RSA, ikke EC, for nøkkeltype (nøkkelkrypteringsalgoritme).

Informasjon OpenAI trenger fra deg

Følg instruksjonene i dette dokumentet for å registrere KMS-et ditt hos OpenAI. Her er en oversikt over parameterne du må oppgi.

1. Autentiseringsrelatert

1. AWS

1. GCP

1. Azure

1. Leier-ID

Når du har registrert KMS-et hos OpenAI, følger du resten av instruksjonene i dokumentet for å aktivere EKM-konfigurasjonen for et API-prosjekt. Opprett et nytt OpenAI API-prosjekt for testing.

Leverandørspesifikke implementeringsveiledninger

Du finner trinnvise veiledninger via de aktuelle lenkene nedenfor. Vær oppmerksom på at disse fokuserer på integrasjonskravene for OpenAI og ikke er ment som en fullstendig veiledning for hele miljøet ditt

• Instruksjoner for OpenAI/AWS EKM-integrasjon

• Instruksjoner for OpenAI/GCP EKM-integrasjon

• Instruksjoner for OpenAI/Azure EKM-integrasjon

Funksjoner som ikke støttes når EKM er aktivert

Følgende funksjoner er ikke tilgjengelige når EKM er aktivert:

• Funksjoner som ikke er generelt tilgjengelige, inkludert funksjoner i beta eller alfa.