Overzicht

Met Enterprise Key Management (EKM) kan OpenAI gegevens versleutelen met een hoofdsleutel die jij beheert. Dit document laat zien hoe je je AWS-account instelt om OpenAI beperkte machtigingen voor je KMS te geven.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Stappen

1. Maak een nieuwe KMS-sleutel

Ga naar KMS > Door de klant beheerde sleutels en selecteer Sleutel maken.
Selecteer een symmetrisch versleutelingsalgoritme.
Noteer de ARN zodra je sleutel is gemaakt. Ondersteunde notaties zijn onder andere arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* en ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Maak een aangepast beleid voor beperkte toegang tot de KMS-sleutel

Ga naar IAM > Beleid en selecteer Beleid maken.
Selecteer in de stap Machtigingen opgeven de optie JSON en voer het volgende in om via het beleid KMS-acties toe te staan. Vervang YOUR_KMS_ARN door de ARN van de sleutel die je hebt gemaakt.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Maak een IAM-rol die OpenAI kan aannemen en koppel deze aan het beleid voor beperkte toegang tot je KMS

OpenAI roept AssumeRole aan vanuit een eigen AWS-account. Met deze stap kan de AWS-principal van OpenAI de rol met beperkte toegang tot je KMS aannemen.

Ga naar IAM > Rollen en selecteer Rol maken.
Selecteer in de stap Vertrouwde entiteit selecteren de optie Aangepast vertrouwensbeleid.

AWS IAM Select trusted entity screen with Custom trust policy selected

Voer vervolgens het volgende in bij Aangepast vertrouwensbeleid om de AWS-principal van OpenAI toegang te verlenen.

De principal is de AWS-principal van OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Geef aan welke ExternalId OpenAI moet doorgeven tijdens het AssumeRole-proces.
- Gebruik voor ChatGPT of de API de Organisatie-ID (org-xxx) die aan je werkruimte is gekoppeld: organisatie-instellingen.
- Voor de API kun je een specifieke API-project-ID gebruiken om de toegang nauwkeuriger af te bakenen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Zoek vervolgens in de stap Machtigingen toevoegen naar de naam van het IAM-beleid dat je in de vorige stap hebt gemaakt. Vink het selectievakje naast de beleidsnaam aan en selecteer Volgende.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Kies tot slot in de sectie Naam opgeven, controleren en maken een naam voor de rol.

4. Pas eventuele extra beperkingen toe in overeenstemming met je eigen beveiligingspraktijken

Hierboven staat de minimaal vereiste informatie die OpenAI nodig heeft om EKM in te stellen. Je kunt aanvullende sleutelbeleidsregels of beperkingen toepassen in overeenstemming met je eigen interne beveiligingspraktijken, zolang OpenAI versleutelings- en ontsleutelingsbewerkingen op je KMS kan aanroepen. Wanneer je de hieronder beschreven endpoint voor sleutelregistratie bij OpenAI aanroept, valideren we je configuratie.

Na het voltooien van de bovenstaande stappen

ChatGPT Enterprise

Neem contact op met je OpenAI-contactpersoon en deel het volgende:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- De rol-ARN die OpenAI in je cloud zal aannemen.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- De ARN van het Key Management System voor de hoofdsleutel die jij beheert.

We schakelen EKM in voor je ChatGPT-organisatie/werkruimte.

API

Registreer je externe sleutel bij OpenAI

Volg de instructies in deze API-referentie: Externe sleutels in de Management API.

Registreer eerst je externe sleutel op het niveau van je OpenAI-organisatie. Hiermee wordt een externe sleutel-ID gegenereerd.
In deze stap controleren we of je invoer geldig is en of we ons bij je KMS kunnen authenticeren.
Hiermee wordt EKM nog niet aan je OpenAI-project toegevoegd.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Maak vervolgens een OpenAI-project dat aan de externe sleutel is gekoppeld. Hierna is EKM geactiveerd voor je project. De responsbody van deze API-aanroep geeft je de project-ID (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

EKM configureren met OpenAI en AWS