Oversikt

Enterprise Key Management (EKM) lar OpenAI kryptere data med en hovednøkkel som du kontrollerer. Dette dokumentet viser hvordan du konfigurerer AWS-kontoen din for å gi OpenAI begrensede tillatelser på KMS-en din.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Trinn

1. Opprett en ny KMS-nøkkel

Gå til KMS > Kundeadministrerte nøkler, og velg Opprett nøkkel.
Velg en symmetrisk krypteringsalgoritme.
Når nøkkelen er opprettet, noterer du nøkkelens ARN. Støttede formater inkluderer arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* og ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Opprett en egendefinert policy for begrenset tilgang til KMS-nøkkelen

Gå til IAM > Policyer, og velg Opprett policy.
I trinnet Angi tillatelser velger du JSON og skriver inn følgende for å gi policyen tillatelser til KMS-handlinger. Husk å erstatte YOUR_KMS_ARN med ARN-en til nøkkelen du opprettet.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Opprett en IAM-rolle som OpenAI kan påta seg, og knytt den til policyen med begrenset tilgang til KMS-en din

OpenAI vil kalle AssumeRole fra en AWS-konto som eies av OpenAI. Dette trinnet lar OpenAIs AWS-identitet påta seg rollen med begrenset tilgang til KMS-en din.

Gå til IAM > Roller, og velg Opprett rolle.
I trinnet Velg klarert enhet velger du Egendefinert tillitspolicy.

AWS IAM Select trusted entity screen with Custom trust policy selected

Skriv deretter inn følgende i Egendefinert tillitspolicy for å gi OpenAIs AWS-identitet tilgang.

Identiteten er OpenAIs AWS-identitet: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Angi hvilken ExternalId OpenAI skal sende med i AssumeRole-prosessen.
- For ChatGPT eller API-et bruker du Organisasjons-ID (org-xxx) som er knyttet til arbeidsområdet ditt: organisasjonsinnstillinger.
- For API-et kan du bruke en bestemt API-prosjekt-ID for mer detaljert kontroll.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

I trinnet Legg til tillatelser søker du deretter etter navnet på IAM-policyen du opprettet i forrige trinn. Merk av i avmerkingsboksen ved siden av policynavnet, og velg Neste.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Til slutt velger du et valgfritt rollenavn i delen Navngi, gjennomgå og opprett.

4. Bruk eventuelle ytterligere begrensninger i tråd med din egen sikkerhetspraksis

Ovenfor finner du minimumsinformasjonen som kreves for at OpenAI skal konfigurere EKM. Du står fritt til å bruke ytterligere nøkkelpolicyer eller begrensninger i tråd med din egen interne sikkerhetspraksis, så lenge OpenAI kan kalle krypterings- og dekrypteringsoperasjoner på KMS-en din. Når du kaller endepunktet for nøkkelregistrering hos OpenAI som er beskrevet nedenfor, validerer vi oppsettet ditt.

Etter at du har fullført trinnene ovenfor

ChatGPT Enterprise

Ta kontakt med OpenAI-kontakten din og del følgende:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- Rolle-ARN-en som OpenAI skal anta i skyen din.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- Key Management System-ARN-en for hovednøkkelen du administrerer.

Vi aktiverer EKM for ChatGPT-organisasjonen/-arbeidsområdet ditt.

API

Registrer den eksterne nøkkelen din hos OpenAI

Følg instruksjonene i denne API-referansen: Eksterne nøkler i administrasjons-API-et.

Registrer først den eksterne nøkkelen på organisasjonsnivå hos OpenAI. Dette genererer en ekstern nøkkel-ID.
I dette trinnet kontrollerer vi at opplysningene du har oppgitt, er gyldige, og at vi kan autentisere oss mot KMS-en din.
Dette legger ikke til EKM i OpenAI-prosjektet ditt ennå.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Deretter oppretter du et OpenAI-prosjekt som er knyttet til den eksterne nøkkelen. Etter dette er EKM aktivert i prosjektet ditt. Svarteksten fra dette API-kallet gir deg prosjekt-ID-en (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Konfigurere EKM med OpenAI og AWS