OpenAI Mutual TLS umožňuje organizáciám nakonfigurovať ďalšiu vrstvu zabezpečenia pre ich prevádzku OpenAI API. Po nakonfigurovaní by sa požiadavky API mali odosielať na https://mtls.api.openai.com (alebo na https://mtls-eu.api.openai.com pre zákazníkov s rezidenciou údajov v EÚ) a prevádzka bude prijatá iba vtedy, ak bude poskytnutý správny kľúč API a klientsky certifikát. mTLS sa nevzťahuje na informačný panel https://platform.openai.com. Táto funkcia je momentálne vo fáze beta.
Ako nastavím integráciu mTLS?
Na navigačnom paneli nastavení uvidíte kartu „Mutual TLS“.
Nahrať certifikát
Aktivovať certifikát
Po nahraní certifikátu je ďalším krokom aktivácia certifikátu. Keď je certifikát pre projekt aktivovaný, všetky požiadavky API smerujúce do daného projektu začnú vyžadovať aj zodpovedajúci klientsky certifikát. Ak má projekt aktivovaných viacero certifikátov, môžete odovzdať ktorýkoľvek zodpovedajúci klientsky certifikát. Ak je certifikát aktivovaný pre organizáciu, bude sa vzťahovať na všetky požiadavky API a „zdedia“ ho všetky projekty.
Požiadavky na certifikát CA
Môžete nahrať ľubovoľný certifikát CA X.509 vo formáte PEM, ktorý spĺňa tieto požiadavky:
priamo podpisuje klientske certifikáty, ktoré plánujete používať, alebo slúži ako kotva platného reťazca certifikátov predkladaného vaším klientom.
má rozšírenia Certificate Authority, Subject Key Identifier a Authority Key Identifier (vo formáte KeyIdentifier)
má oprávnenia Key Usage: „Certificate Sign, CRL Sign“
jeho platnosť nevyprší do 1 dňa
celková veľkosť certifikátu musí byť menšia ako 16 kb.
Požiadavky na klientsky certifikát
Ak je pre vašu organizáciu zapnutá podpora reťazcov certifikátov, váš klient môže predložiť koncový klientsky certifikát a sprostredkujúce certifikáty potrebné na vytvorenie platného reťazca k aktívnemu nahranému certifikátu. V opačnom prípade musia byť klientske certifikáty priamo podpísané certifikátmi, ktoré ste vopred nahrali. Okrem toho musia vaše klientske certifikáty spĺňať tieto požiadavky:
má rozšírenia Subject Key Identifier a Authority Key Identifier (vo formáte KeyIdentifier)
má oprávnenia Key Usage: „Digital Signature, Key Encipherment“
má oprávnenie Extended Key Usage: „TLS Web Client Authentication“
má rozšírenie Subject Alternate Name
Podpora reťazcov certifikátov pre API mTLS
Podpora reťazcov certifikátov umožňuje vášmu klientovi predložiť koncový klientsky certifikát spolu so sprostredkujúcimi certifikátmi potrebnými na vytvorenie platného reťazca k aktívnemu nahranému certifikátu.
Vďaka tomu môžete rotovať sprostredkujúce certifikáty bez nahrávania každého nového sprostredkujúceho certifikátu, pokiaľ aktívny nahraný certifikát používaný ako kotva dôvery zostáva platný.
Podpora reťazcov certifikátov je momentálne dostupná na požiadanie. Ak chcete požiadať o prístup, kontaktujte svojho Account Directora alebo otvorte tiket podpory.
Váš klient musí predložiť všetky požadované sprostredkujúce certifikáty. OpenAI nenačítava chýbajúce sprostredkujúce certifikáty prostredníctvom AIA. Kontroly CRL a OCSP naďalej nie sú podporované.
Najčastejšie otázky
Môžem nakonfigurovať mTLS cez API?
Áno — ďalšie informácie nájdete v referenčnej dokumentácii API na adrese https://platform.openai.com/docs/api-reference/.
Ktoré koncové body podporujú mTLS?
Počas tohto beta obdobia je mTLS oficiálne podporované v
/v1/chat/completions (with all supported extensions e.g. image, audio, streaming, etc.)/v1/completions/v1/embeddings/v1/audio/transcriptions/v1/audio/speech/v1/files/v1/batches/v1/responses/v1/images/v1/moderations/v1/realtime (via server-side web sockets)/v1/fine_tuning/v1/tunnels
Ako môžem odosielať klientske certifikáty so svojou požiadavkou?
Pri požiadavke cez cURL môžete použiť možnosti --cert a --key (pozrite si manuálovú stránku tu). Vo väčšine ostatných klientov HTTP existujú tiež spôsoby, ako odovzdať klientske certifikáty. Príklady: requests v Pythone, fetch v js. V našich oficiálnych SDK podporujeme aj prepísanie klienta HTTP — príklad pre Python nájdete tu.
Keď je zapnutá podpora reťazcov certifikátov, nakonfigurujte svojho klienta HTTP tak, aby predkladal koncový klientsky certifikát a všetky požadované sprostredkujúce certifikáty. Presná konfigurácia závisí od vášho klienta HTTP.
Pred vynucovaním mTLS pre produkčnú prevádzku sa uistite, že klient HTTP, ktorého používate, správne pracuje s požiadavkami na klientske certifikáty (niektoré, napríklad WebSockets v určitých prehliadačoch, to nerobia). Upozorňujeme, že náš server v požiadavke na klientsky certifikát neposkytuje zoznam certificate_authorities.
Kto môže pristupovať k certifikátom a upravovať ich?
Prostredníctvom používateľského rozhrania informačného panela https://platform.openai.com/settings/organization/mtls môžu k certifikátom pristupovať a upravovať ich vlastníci organizácie. Ktokoľvek s kľúčom Admin API Key (https://platform.openai.com/settings/organization/admin-keys) môže tiež pristupovať k certifikátom/upravovať ich, ale dávajte pozor — ak aktivujete Mutual TLS na úrovni organizácie, budete certifikáty vynucovať aj pri týchto požiadavkách API. Všetky zmeny mTLS sú viditeľné v auditných denníkoch.
Koľko certifikátov môžem mať?
Každá organizácia môže nahrať až 50 certifikátov, ktoré možno zdieľať medzi projektmi, ale nie s inými organizáciami. Certifikát môžete atomicky aktivovať/deaktivovať naraz pre 10 projektov. Prípadne môžete aktivovať/deaktivovať naraz 10 certifikátov pre svoju organizáciu alebo pre 1 konkrétny projekt.
Môžem certifikáty aktualizovať alebo odstrániť?
Názvy svojich certifikátov môžete aktualizovať, ale nie ich obsah. Certifikáty môžete tiež odstrániť, ak aktuálne nie sú aktívne v žiadnom rozsahu.
Ako funguje odvolávanie certifikátov?
Momentálne nepodporujeme kontroly CRL ani OCSP. Odporúčanou alternatívou je namiesto toho odstrániť alebo rotovať váš kľúč API. Môžete tiež vymeniť svoje certifikáty CA alebo používať klientske certifikáty s kratšou dobou platnosti.
Môžem používať dlhšie reťazce certifikátov?
Áno, ak je pre vašu organizáciu zapnutá podpora reťazcov certifikátov. Váš klient musí predložiť koncový klientsky certifikát a všetky požadované sprostredkujúce certifikáty, aby OpenAI mohla overiť reťazec voči aktívnemu nahranému certifikátu. Ak chcete požiadať o prístup, kontaktujte svojho Account Directora alebo otvorte tiket podpory.
Aké je odporúčané nastavenie?
Pri počiatočnom nastavovaní tejto funkcie odporúčame začať s prípravným projektom, ktorý neobsluhuje oficiálnu produkčnú prevádzku. Využite túto príležitosť na overenie, že certifikáty sú na vašich počítačoch správne nastavené a že môžete úspešne odosielať prevádzku API. Okrem toho odporúčame konzultovať s bezpečnostným tímom vašej organizácie, aby ste čo najlepšie porozumeli svojim potrebám.
Ďalšia podpora
Funkciu mTLS môžete plne obsluhovať sami cez informačný panel a API. Ak však chcete mTLS najprv povoliť v tieňovom režime, obráťte sa na svojho Account Director alebo otvorte lístok podpory spustením nového chatu v pravom dolnom rohu tejto stránky.
Príloha: Terminológia
Certifikát CA: Jeden z vašich dôveryhodných certifikátov používaných na overovanie klientskych certifikátov. Môže priamo podpisovať klientske certifikáty, ktoré odosielate s požiadavkami, alebo slúžiť ako kotva pre reťazec certifikátov predložený vaším klientom. Môžete používať certifikáty CA s vlastným podpisom.
Nahrať certifikát: pridanie certifikátu CA do vášho účtu. Zatiaľ sa nikde nevynucuje pre mTLS, ale môžete ho začať konfigurovať.
Rozsah: konkrétny projekt alebo celá vaša organizácia.
Aktivovať certifikát CA pre rozsah: zapne mTLS konkrétne pre daný rozsah a všetky požiadavky založené na kľúči API musia obsahovať klientsky certifikát, ktorý možno overiť voči aktívnemu certifikátu CA.
Deaktivovať certifikát CA pre rozsah: vypne používanie tohto certifikátu na overovanie požiadaviek v tomto rozsahu. Ak pre daný rozsah nezostali žiadne certifikáty, mTLS je v praxi vypnuté.
Dedenie certifikátu: Ak aktivujete certifikát pre svoju organizáciu, aktivuje sa aj pre všetky projekty.