Jifunze jinsi ya kuandaa rasilimali za AWS na kuwasha Usimamizi wa Funguo za Shirika (EKM).

Muhtasari

Enterprise Key Management (EKM) huruhusu OpenAI kusimba data kwa njia fiche kwa kutumia ufunguo mkuu unaoudhibiti. Hati hii inaonyesha jinsi ya kusanidi akaunti yako ya AWS ili kuipa OpenAI ruhusa zenye mipaka kwenye KMS yako.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Hatua

1. Unda ufunguo mpya wa KMS

Nenda kwenye KMS > Funguo zinazosimamiwa na mteja, kisha uchague Unda ufunguo.
Chagua algoriti ya usimbaji fiche inayotumia ufunguo mmoja kusimba na kusimbua.
Baada ya ufunguo wako kuundwa, andika ARN yake. Miundo inayokubalika ni pamoja na arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-*, au ...:alias/<alias_name>.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. Unda sera maalumu yenye ruhusa chache za kufikia ufunguo wa KMS

Nenda kwenye IAM > Sera, kisha uchague Unda sera.
Katika hatua ya Bainisha ruhusa, chagua JSON na uweke yafuatayo ili sera iruhusu vitendo vya kufikia KMS. Hakikisha unabadilisha YOUR_KMS_ARN na kuweka ARN ya ufunguo uliounda.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. Unda jukumu la IAM ambalo OpenAI itatumia, na ulihusishe na sera yenye ruhusa chache za kufikia KMS yako

OpenAI itaita AssumeRole kutoka kwenye akaunti ya AWS inayomilikiwa na OpenAI. Hatua hii inaruhusu utambulisho wa AWS wa OpenAI kutumia jukumu lenye ruhusa chache za kufikia KMS yako.

Nenda kwenye IAM > Majukumu, kisha uchague Unda jukumu.
Katika hatua ya Chagua huluki inayoaminika, chagua Sera maalumu ya uaminifu.

AWS IAM Select trusted entity screen with Custom trust policy selected

Kisha, weka yafuatayo kwenye Sera maalumu ya uaminifu ili kuruhusu ufikiaji kupitia utambulisho wa AWS wa OpenAI.

Utambulisho unaotumika ni utambulisho wa AWS wa OpenAI: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.
Bainisha ExternalId ambayo OpenAI inapaswa kutuma wakati wa mchakato wa AssumeRole.
- Kwa ChatGPT au API, tumia Kitambulisho cha Shirika (org-xxx) kinachohusishwa na eneokazi lako: mipangilio ya shirika.
- Kwa API, unaweza kutumia kitambulisho cha mradi mahususi wa API ili kudhibiti ufikiaji kwa kiwango cha mradi.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Kisha, katika hatua ya Ongeza ruhusa, tafuta jina la sera ya IAM uliyounda katika hatua iliyotangulia. Weka alama kwenye kisanduku cha kuteua kilicho kando ya jina la sera, kisha uchague Endelea.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Hatimaye, katika sehemu ya Taja jina, kagua na uunde, chagua jina lolote la jukumu.

4. Tekeleza vizuizi vyovyote vya ziada kulingana na mbinu zako za usalama

Yaliyo hapo juu ndiyo maelezo ya chini zaidi yanayohitajika na OpenAI ili kusanidi EKM. Una uhuru wa kutumia sera au vizuizi vya ziada vya ufunguo kulingana na mbinu zako za ndani za usalama, mradi OpenAI inaweza kuita operesheni za usimbaji fiche na usimbuaji fiche kwenye KMS yako. Unapoita mwisho wa usajili wa ufunguo kwa OpenAI uliofafanuliwa hapa chini, tutathibitisha usanidi wako.

Baada ya kukamilisha hatua zilizo hapo juu

ChatGPT Enterprise

Tafadhali wasiliana na mwakilishi wako wa OpenAI na ushiriki yafuatayo:

"role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"
- ARN ya Role ambayo OpenAI itachukua katika wingu lako.
"kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"
- ARN ya Mfumo wa Usimamizi wa Funguo kwa ufunguo mkuu unaousimamia.

Tutawezesha EKM kwa shirika/eneokazi lako la ChatGPT.

API

Sajili ufunguo wako wa nje kwenye OpenAI

Fuata maagizo katika rejeleo hili la API: Funguo za Nje katika API ya Usimamizi.

Kwanza, sajili ufunguo wako wa nje katika kiwango cha shirika la OpenAI. Hatua hii itazalisha kitambulisho cha ufunguo wa nje.
Katika hatua hii, tutathibitisha kuwa taarifa ulizoweka ni halali na kwamba tunaweza kuthibitisha utambulisho wetu kwa KMS yako.
Hatua hii bado haitaongeza EKM kwenye mradi wako wa OpenAI.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Kisha, unda mradi wa OpenAI unaohusishwa na ufunguo wa nje. Baada ya hili, EKM huwashwa kwenye mradi wako. Mwili wa jibu la mwito huu wa API utakupa kitambulisho cha mradi (proj_xxx).

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Kusanidi EKM kwa kutumia OpenAI na AWS