OpenAI
இந்தப் பக்கம் இயந்திரத்தால் மொழிபெயர்க்கப்பட்டுள்ளது. மூல ஆங்கிலக் கட்டுரையைப் பாருங்கள்.

EKM Onboarding சிக்கல் தீர்க்கும் FAQ

AWS, GCP மற்றும் Azure-க்கான பொதுவான EKM onboarding பிழைகள் மற்றும் அவற்றைத் தீர்ப்பது எப்படி

புதுப்பிக்கப்பட்டது: 7 days ago

AWS

sts:AssumeRole செயலைச் செய்ய அனுமதி இல்லை

பயனர்: arn:aws:sts::xxxxx:assumed-role/EnterpriseKeyManagement/OpenAI-EKM-Service க்கு ஆதாரத்தில் sts:AssumeRole செயலைச் செய்ய அனுமதி இல்லை: arn:aws:iam::xxxxx:role/xxxxxx

உங்கள் trust policy-யில் principal மற்றும் ExternalId-ஐச் சரிபார்க்கவும்

OpenAI-ன் principal ஐ அடையாளம் காணுதல் மற்றும் sts:ExternalId ஒன்றை அமைத்தல் ஆகிய இரண்டையும் சேர்த்து, ஆவணங்களின் இந்தப் பகுதியைப் பின்பற்றியுள்ளீர்களா என்பதை உறுதிசெய்யவும்.

நீங்கள் ஏற்கனவே sts:ExternalId ஒன்றை வைத்திருந்தால், அது தனிப்பட்ட org போன்ற வேறு org அல்லாமல், EKM-ஐ நீங்கள் பயன்படுத்தும் அதே OpenAI organization ID ஆக இருப்பதை உறுதிசெய்யவும்.

role ARN உடன் trust policy இணைப்பைச் சரிபார்க்கவும்

நீங்கள் வழங்கிய role ARN-க்கு உங்கள் trust policy சரியாகச் சேமிக்கப்பட்டுள்ளதா என்பதைச் சரிபார்க்கவும்.

மேலும், நீங்கள் சரியான role ARN-ஐ வழங்கியுள்ளீர்களா என்பதையும் சரிபார்க்கவும். உங்கள் ARN தவறாக எழுதப்பட்டு இல்லாததாக இருந்தால், role இருந்தும் அனுமதிகளை மறுக்கும் போது வரும் அதே பிழை கிடைக்கும்.

AWS IAM role details with Trust relationships tab open and the role ARN highlighted

ஆதாரத்தில் kms:Encrypt செயலைச் செய்ய அனுமதி இல்லை

பயனர்: xxxxx-க்கு ஆதாரத்தில் kms:Encrypt செயலைச் செய்ய அனுமதி இல்லை

உங்கள் IAM policy OpenAI-ன் role-க்கு kms:Encrypt மற்றும் kms:Decrypt அனுமதிகளை வழங்குகிறதா என்பதை உறுதிசெய்யவும்.

நீங்கள் key policy-யையும் சேர்த்திருந்தால், அதுவும் OpenAI-ன் role-க்கு kms:Encrypt மற்றும் kms:Decrypt அனுமதிகளை வழங்குகிறதா என்பதை உறுதிசெய்யவும்.

GCP

audience-க்கான GCP STS டோக்கனைப் பெற முடியவில்லை

audience //iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx க்கான GCP STS டோக்கனைப் பெற முடியவில்லை: {'error': 'invalid_request', 'error_description': '\"audience\" க்கான மதிப்பு தவறானது. இந்த மதிப்பு Identity Provider-ன் முழு ஆதாரப் பெயராக இருக்க வேண்டும். சாத்தியமான வடிவங்களின் பட்டியலுக்கு https://cloud.google.com/iam/docs/reference/sts/rest/v1/TopLevel/token ஐப் பார்க்கவும்.

GCP பின்வரும் வடிவத்தில் audience-ஐ எதிர்பார்க்கிறது.

iam.googleapis.com/projects/xxxxxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxxxx


Management API-யில் வெளிப்புற விசைகள் பயன்படுத்தி OpenAI உடன் உங்கள் key-ஐப் பதிவு செய்யும்போது சரியான அளவுருக்களை வழங்கியுள்ளீர்களா என்பதை உறுதிசெய்யவும்.

  • workload_identity_project_number உங்கள் 12 இலக்க GCP project number ஆக இருப்பதை உறுதிசெய்யவும்

  • workload_identity_pool_id சரியாக உள்ளதா என்பதை உறுதிசெய்யவும்

  • workload_identity_provider_id சரியாக உள்ளதா என்பதை உறுதிசெய்யவும்

ID டோக்கனில் உள்ள audience எதிர்பார்க்கப்படும் audience உடன் பொருந்தவில்லை

audience //iam.googleapis.com/projects/xxxxxx/locations/global/workloadIdentityPools/xxxxxxx/providers/xxxxxxxx க்கான GCP STS டோக்கனைப் பெற முடியவில்லை: {'error': 'invalid_grant', 'error_description': 'ID டோக்கன் [xxxxx] இல் உள்ள audience எதிர்பார்க்கப்படும் audience xxxxxxx உடன் பொருந்தவில்லை.'}

OpenAI-யில் உங்கள் config-ஐப் பதிவு செய்யும்போது நீங்கள் வழங்கும் audience புலம் (Management API-யில் வெளிப்புற விசைகள் ) உங்கள் workload identity provider-க்கான அனுமதிக்கப்பட்ட audience மதிப்புகளில் ஒன்றாக உள்ளதா என்பதை உறுதிசெய்யவும். உங்கள் OpenAI organization ID-ஐப் பயன்படுத்த பரிந்துரைக்கிறோம்.

Azure

client application-ல் service principal இல்லை

client application xxxxx-க்கு tenant xxxxx-இல் service principal இல்லை. வழிமுறைகளை இங்கே பார்க்கவும்: https://go.microsoft.com/fwlink/?linkid=2225119

OpenAI / Azure EKM ஒருங்கிணைப்பு வழிமுறைகளில் விளக்கப்பட்டுள்ளபடி service principal உருவாக்கும் செயல்முறையைத் துல்லியமாகப் பின்பற்றியுள்ளீர்களா என்பதை உறுதிசெய்யவும்.

அழைப்பவருக்கு ஆதாரத்தில் செயலைச் செய்ய அனுமதி இல்லை

அழைப்பவருக்கு ஆதாரத்தில் செயலைச் செய்ய அனுமதி இல்லை. role assignments, deny assignments அல்லது role definitions சமீபத்தில் மாற்றப்பட்டிருந்தால், பரவுவதற்கான நேரத்தை காத்திருக்கவும்.

இதே பிழை பல காரணங்களால் தோன்றலாம்

  • நீங்கள் தவறான key name அல்லது vault URI-ஐ வழங்கியுள்ளீர்கள், அல்லது அது இல்லை

  • இந்த data actions உடன் ஒரு role-ஐ உருவாக்கி, அந்த role-ஐ OpenAI-ன் service principal-க்கு ஒதுக்கவில்லை

    • Microsoft.KeyVault/vaults/keys/encrypt/action

    • Microsoft.KeyVault/vaults/keys/decrypt/action

Key name pattern உடன் பொருந்தவில்லை

“தவறான 'key_name': string pattern உடன் பொருந்தவில்லை. '^org-[0-9a-zA-Z-]*--[0-9a-zA-Z-]*$' என்ற pattern உடன் பொருந்தும் string எதிர்பார்க்கப்பட்டது.”

உங்கள் Key Vault key name-க்கு முன் உங்கள் OpenAI organization ID-ஐச் சேர்க்கவும்.

வேறு பயனர் உங்கள் key vault key-ஐப் பதிவு செய்வதைத் தடுக்க, பாதுகாப்பு குழு பரிந்துரைக்கும் சிறந்த நடைமுறை இதுவாகும். key பதிவு செய்யும் போதும், உங்கள் key vault-க்கு அனுப்பும் ஒவ்வொரு கோரிக்கையிலும் org id பொருந்துகிறதா என்பதை நாங்கள் சரிபார்க்கிறோம்.

இந்தக் கட்டுரை உங்களுக்கு உதவியாக இருந்ததா?