Översikt
Med Enterprise Key Management (EKM) kan du kryptera ditt kundinnehåll hos OpenAI med nycklar som hanteras av ditt eget externa nyckelhanteringssystem (KMS). Funktionen är tillgänglig för både ChatGPT Enterprise och API.
OpenAI stöder Bring Your Own Key-kryptering (BYOK) med externa konton i AWS KMS, Google Cloud (GCP) och Azure Key Vault.
För närvarande är implementering av EKM begränsad till Enterprise- och Edu-arbetsytor med en utsedd kontoansvarig hos OpenAI.
Så fungerar OpenAI EKM-kryptering
Övergripande flöde
Vi genererar en Data Encryption Key (DEK) för din molnleverantör.
Ditt KMS i molnet hanterar en huvudnyckel, en Key Encryption Key (KEK), som antingen lagras i ditt moln eller externt. Implementeringen är upp till dig.
Vi begär kryptering av DEK från ditt moln för att få en krypterad DEK (eDEK). Om din KEK lagras externt gör ditt moln bara ett extra hopp till din externa lagring, i ett steg som är otransparent för OpenAI.
Kryptering
Vid kryptering krypteras dina data med DEK, och eDEK lagras som metadata i filen.
Dekryptering
Vid dekryptering begär vi att eDEK dekrypteras av ditt KMS i molnet till DEK, och vi dekrypterar data med DEK.
Nyckelbegrepp
Data Encryption Key (DEK) - nyckeln som krypterar dina data.
Encrypted Data Encryption Key (eDEK) - den krypterade DEK:en, som genereras av ditt KMS
Key Encryption Key (KEK) - huvudnyckeln som du hanterar och som krypterar DEK -> eDEK och dekrypterar eDEK -> DEK. Den här nyckeln stannar alltid utanför OpenAI:s system.
Övergripande krav för implementering
Hos din molnleverantör
Skapa en ny nyckel i molnets KMS (Azure, AWS eller GCP)
Skapa en anpassad, begränsad policy med behörighet att kryptera och dekryptera i KMS
Skapa en förtroendepolicy (AWS), en arbetsbelastningsidentitet (GCP) eller ett tjänsthuvudnamn (för Azure) åt OpenAI
Tilldela OpenAI en roll med den begränsade policyn för åtkomst till ditt KMS
I OpenAI-plattformar
ChatGPT Enterprise
Skapa en sandbox-arbetsyta i ChatGPT för teständamål.
API
Skapa ett nytt projekt i din OpenAI-dashboard där kryptering ska tillämpas.
Leverantörsspecifika funktioner
För AWS kommer OpenAI att:
Anropa AssumeRole med ett ExternalID
För GCP kommer OpenAI att:
Anropa din STS-slutpunkt från ett OpenAI GCP-konto
Använda GCP-åtkomsttoken för att anropa encrypt/decrypt på ditt KMS.
För Azure kommer OpenAI att:
Begära en åtkomsttoken för valvet i din Azure-tenant
Använda den åtkomsttoken för att anropa encrypt/decrypt på ditt Key Vault.
Information du behöver från OpenAI
Autentisering
Du behöver känna igen OpenAI:s federerade identitetstoken för AWS och GCP. För Azure behöver du känna igen OpenAI:s program-ID för dess appregistrering.
Sammanfattning av autentiseringsparametrar
| OpenAI AWS-principal | arn:aws:iam::790389265272:role/EnterpriseKeyManagement |
| OpenAI GCP service account id | 105900137572174660365 |
| OpenAI Azure application id | 20a14814-5ab7-4612-a671-1382b412bf93 |
Information som krävs under implementeringen utifrån din molnleverantör
För AWS måste du konfigurera en förtroendepolicy som känner igen:
För GCP måste du konfigurera en arbetsbelastningsidentitet som känner igen:
För Azure måste du skapa ett tjänsthuvudnamn i din Azure-klientorganisation för OpenAI:s appregistrering
Skapa ett för OpenAI:s programklient-ID: 20a14814-5ab7-4612-a671-1382b412bf9
Du kan göra detta genom att skicka en POST-begäran till slutpunkten https://graph.microsoft.com/v1.0/servicePrincipals.
Auktorisering
Du behöver skapa en policy som ger OpenAI:s identitet begränsad åtkomst till ditt KMS.
| AWS | GCP | Azure |
| kms:Decryptkms:Encrypt | cloudkms.cryptoKeyVersions.useToDecryptcloudkms.cryptoKeyVersions.useToEncrypt | Microsoft.KeyVault/vaults/keys/encrypt/actionMicrosoft.KeyVault/vaults/keys/decrypt/action |
Övrigt
I Azure, välj RSA och inte EC för nyckeltyp (nyckelkrypteringsalgoritm).
Information som OpenAI behöver från dig
Följ anvisningarna i det här dokumentet för att registrera ditt KMS hos OpenAI. Här är en sammanfattning av parametrarna som du behöver ange.
Autentiseringsrelaterat
AWS
GCP
Azure
Klientorganisations-ID
| AWS | GCP | Azure | |
| Autentiseringsrelaterat | Klientorganisations-ID | ||
| KMS-relaterat | KMS-ARN – (exempel: arn:aws:kms:REGION:ACCOUNT_NUMBER:key:KEY_UUID) | KMS-projekt-ID (exempel: adjective-noun-12345) Namn på KMS-nyckelringen Namn på KMS-nyckeln Plats för KMS-nyckeln (exempel: us-east1) | Valv-URI (exempel: https://your-vault-name.vault.azure.net/) Nyckelnamn |
När du har registrerat ditt KMS hos OpenAI fortsätter du att följa anvisningarna i dokumentet för att aktivera din EKM-konfiguration i ett API-projekt. Skapa ett nytt OpenAI API-projekt för testning.
Leverantörsspecifika implementeringsguider
Stegvisa anvisningar finns via länkarna nedan. Observera att dessa fokuserar på kraven för integrering med OpenAI och inte är avsedda som heltäckande guider för hela din miljö
Funktioner som inte stöds om EKM är aktiverat
Följande funktioner är inte tillgängliga om EKM är aktiverat:
Funktioner som inte är allmänt tillgängliga, inklusive funktioner i beta- eller alfaversion.