Предварительные условия
Предполагается, что вы уже зарегистрировали свой внешний ключ KMS в OpenAI, следуя одному из этих руководств
Ключевые термины
Смена ключа и отзыв ключа преследуют разные цели. Убедитесь, что для вашего сценария использования выбрано правильное действие.
Смена ключа: создание нового криптографического материала для шифрования новых данных при сохранении возможности расшифровки старых данных, зашифрованных предыдущими ключами.
Смена ключа не влияет на доступ к данным OpenAI
Отзыв ключа: отзыв доступа ко всем данным, зашифрованным с помощью предыдущих ключей.
Отзыв ключа аннулирует доступ к данным OpenAI
Как проверить, что ваш ключ KMS используется
У вашего облачного провайдера должны быть следующие журналы:
Как сменить ключ
Вы можете настроить автоматическую смену ключей
AWS — https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html
GCP — https://cloud.google.com/kms/docs/rotate-key#automatic
Azure — https://learn.microsoft.com/en-us/azure/key-vault/keys/how-to-configure-key-rotation
Для проверки: ваш доступ к данным OpenAI не должен измениться после смены ключа
Как отозвать ключ
Существует множество способов отменить доступ OpenAI к вашему ключу — любые сбои в процессе аутентификации:
Если вы отзовете доступ у роли OpenAI к ключу KMS
Если вы удалите разрешения на шифрование и расшифровку для ключа KMS
Если вы используете псевдоним ключа AWS (не рекомендуется), если вы меняете ARN базовой KMS. Это действие иногда путают со сменой ключей, но на самом деле это отзыв ключа, поэтому выполнять его не рекомендуется, если только вы не уверены, что хотите это сделать.
Если вы запрашиваете у OpenAI обновление ARN KMS, используемого для вашей рабочей области ChatGPT Enterprise
Чтобы проверить отзыв вашего ключа:
Подождите один час, пока срок действия всех записей в кэше на стороне OpenAI не истечет, затем проверьте отзыв
Если вы используете ChatGPT Enterprise, вы больше не сможете читать предыдущие разговоры, поиск по разговорам не будет показывать результаты из предыдущих разговоров, и вы не сможете получить доступ к предыдущим пользовательским GPT.
Если вы используете API, вы больше не сможете скачивать предыдущие пакетные файлы, использовать предыдущие дообученные модели или ссылаться на предыдущие ответы, созданные с помощью API Responses.
Если вы используете API, вы также можете сразу убедиться, что отзыв вашего ключа был обработан OpenAI и вступит в силу в течение одного часа
Создайте API-ключ администратора (не обычный API-ключ):
Получите идентификатор внешнего ключа OpenAI (extkey_xxx), связанный с вашей рабочей областью или проектом, вызвав curl -X GET -H "Authorization: Bearer $ADMIN_API_KEY" https://api.openai.com/v1/organization/external_keys
Далее вызовите curl -X POST -H "Authorization: Bearer $ADMIN_API_KEY" "https://api.openai.com/v1/organization/external_keys/extkey_xxx/validate"
Рекомендации по отзыву ключей
Если вы используете API
Архивируйте проект API, данные которого вы сделали недоступными. Затем настройте новый ключ KMS и создайте новый проект API, связанный с новым ключом KMS.
Обратите внимание: вы не можете заменить ключ KMS, связанный со старым API-проектом, в котором вы выполнили отзыв ключа — необходимо архивировать старый проект. Проект, для которого был выполнен отзыв ключа, не должен оставаться в использовании. API позволяет очень легко создавать новые проекты, поэтому воспользуйтесь этой возможностью.
Если вы используете ChatGPT Enterprise
Обратитесь в службу поддержки OpenAI после того, как выполните отзыв ключа.
Мы поможем вам создать новую рабочую область. Мы не будем повторно использовать старую рабочую область, пытаясь обновить ее под использование нового ключа KMS. Когда отзыв ключа работает так, как задумано, ранее зашифрованные с помощью отозванного ключа данные становятся недоступными.