Preberite, kako pripraviti okolje AWS in aktivirati upravljanje ključev za podjetja (EKM).

Pregled

Enterprise Key Management (EKM) omogoča OpenAI, da šifrira podatke z glavnim ključem, ki ga nadzorujete vi. Ta dokument prikazuje, kako nastavite svoj račun AWS, da OpenAI dodelite omejena dovoljenja za svoj KMS.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Koraki

1. Ustvarite nov ključ KMS

Pojdite na KMS > Ključi, ki jih upravlja stranka in izberite Ustvari ključ.
Izberite algoritem za simetrično šifriranje.
Ko je ključ ustvarjen, si zabeležite njegov ARN. Podprte oblike vključujejo arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* ali ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Ustvarite pravilnik po meri za omejen dostop do ključa KMS

Pojdite na IAM > Pravilniki in izberite Ustvari pravilnik.
V koraku Določitev dovoljenj izberite JSON in vnesite naslednjo kodo, da s pravilnikom omogočite dejanja za dostop do KMS. Ne pozabite zamenjati YOUR_KMS_ARN z ARN-jem ključa, ki ste ga ustvarili.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Ustvarite vlogo IAM, ki jo bo prevzel OpenAI, in jo povežite s pravilnikom za omejen dostop do vašega KMS

OpenAI bo poklical AssumeRole iz računa AWS v lasti OpenAI. Ta korak varnostnemu subjektu AWS podjetja OpenAI omogoči prevzem omejene vloge za dostop do vašega KMS.

Pojdite na IAM > Vloge in izberite Ustvari vlogo.
V koraku Izbira zaupanja vredne entitete izberite Pravilnik zaupanja po meri.

AWS IAM Select trusted entity screen with Custom trust policy selected

Nato v Pravilnik zaupanja po meri vnesite naslednjo kodo, da omogočite dostop varnostnemu subjektu AWS podjetja OpenAI.

Varnostni subjekt je subjekt AWS podjetja OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Določite, kateri ExternalId naj OpenAI posreduje med postopkom AssumeRole.
- Za ChatGPT ali API uporabite ID organizacije (org-xxx), povezan z vašim delovnim prostorom: nastavitve organizacije.
- Za API lahko uporabite določen ID projekta API, če želite natančnejši nadzor.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Nato v koraku Dodajanje dovoljenj poiščite ime pravilnika IAM, ki ste ga ustvarili v prejšnjem koraku. Označite potrditveno polje ob imenu pravilnika in izberite Naprej.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Na koncu v razdelku Poimenovanje, pregled in ustvarjanje določite poljubno ime vloge.

4. Uporabite morebitne dodatne omejitve v skladu s svojimi varnostnimi praksami

Zgoraj so minimalno zahtevane informacije, ki jih OpenAI potrebuje za nastavitev EKM. Uporabite lahko dodatne pravilnike za ključe ali omejitve v skladu s svojimi internimi varnostnimi praksami, če lahko OpenAI v vašem KMS kliče operacije šifriranja in dešifriranja. Ko pokličete spodaj opisano končno točko za registracijo ključa pri OpenAI, bomo preverili vašo nastavitev.

Po dokončanju zgornjih korakov

ChatGPT Enterprise

Obrnite se na svoj stik pri OpenAI in delite naslednje:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- ARN vloge, ki jo bo OpenAI prevzel v vašem oblaku.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN sistema za upravljanje ključev za glavni ključ, ki ga upravljate.

Omogočili bomo EKM za vašo organizacijo/delovni prostor ChatGPT.

API

Registrirajte zunanji ključ pri OpenAI

Sledite navodilom v tej referenčni dokumentaciji API-ja: Zunanji ključi v API-ju za upravljanje.

Najprej registrirajte zunanji ključ na ravni organizacije OpenAI. S tem bo ustvarjen ID zunanjega ključa.
V tem koraku bomo preverili, ali so vneseni podatki veljavni in ali se lahko overimo v vašem KMS.
S tem EKM še ne bo dodan vašemu projektu OpenAI.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Nato ustvarite projekt OpenAI, povezan z zunanjim ključem. Po tem je EKM aktiviran v vašem projektu. Telo odgovora tega klica API vam bo dalo ID projekta (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Konfiguracija EKM z OpenAI in AWS