OpenAI Mutual TLS, kuruluşların OpenAI API trafiği için ek bir güvenlik katmanı yapılandırmasına olanak tanır. Yapılandırıldıktan sonra API istekleri https://mtls.api.openai.com adresine (veya AB veri saklama ve işleme konumu gereksinimleri kapsamındaki müşteriler için https://mtls-eu.api.openai.com adresine) yapılmalıdır ve trafik yalnızca doğru API anahtarı ve istemci sertifikası sağlanırsa kabul edilir. mTLS, https://platform.openai.com Panosu için geçerli değildir. Bu özellik şu anda beta aşamasındadır.
mTLS entegrasyonunu nasıl ayarlarım?
Ayarlar gezinme çubuğunda “Karşılıklı TLS” sekmesini görürsünüz.
Sertifika Yükle
Sertifikayı Etkinleştir
Sertifikanızı yükledikten sonra bir sonraki adım sertifikanızı etkinleştirmektir. Bir sertifika bir proje için etkinleştirildiğinde, o projeye giden tüm API istekleri karşılık gelen bir istemci sertifikası da gerektirmeye başlar. Bir projede birden fazla sertifika etkinleştirilmişse karşılık gelen herhangi bir istemci sertifikasını iletebilirsiniz. Bir sertifika kuruluş için etkinleştirilirse tüm API isteklerine uygulanır ve tüm projeler tarafından “devralınır”.
CA sertifikası gereksinimleri
Aşağıdaki gereksinimleri karşılayan PEM biçimindeki herhangi bir X.509 CA sertifikasını yükleyebilirsiniz:
kullanmayı planladığınız istemci sertifikalarını doğrudan imzalar veya istemcinizin sunduğu geçerli bir sertifika zincirinin güven dayanağı olur.
Certificate Authority, Subject Key Identifier ve Authority Key Identifier (KeyIdentifier biçiminde) uzantılarına sahiptir
Key Usage: “Certificate Sign, CRL Sign” izinlerine sahiptir
1 gün içinde süresi dolacak şekilde ayarlanmamıştır
toplam sertifika boyutu 16kb’den küçük olmalıdır.
İstemci sertifikası gereksinimleri
Kuruluşunuz için sertifika zinciri desteği etkinleştirildiyse istemciniz, etkin ve yüklenmiş bir sertifikaya kadar geçerli bir zincir oluşturmak için gereken uç istemci sertifikasını ve ara sertifikaları sunabilir. Aksi takdirde, istemci sertifikalarının önceden yüklediğiniz sertifikalar tarafından doğrudan imzalanmış olması gerekir. Bunun dışında, istemci sertifikalarınız aşağıdaki gereksinimleri karşılamalıdır:
Subject Key Identifier ve Authority Key Identifier uzantılarına sahiptir (KeyIdentifier biçiminde)
Key Usage: “Digital Signature, Key Encipherment” izinlerine sahiptir
Extended Key Usage: “TLS Web Client Authentication” iznine sahiptir
Subject Alternate Name uzantısına sahiptir
API mTLS için sertifika zinciri desteği
Sertifika zinciri desteği, istemcinizin etkin ve yüklenmiş bir sertifikaya kadar geçerli bir zincir oluşturmak için gereken ara sertifikalarla birlikte bir uç istemci sertifikası sunmasına olanak tanır.
Güven dayanağı olarak kullanılan etkin ve yüklenmiş sertifika geçerli kaldığı sürece, bu özellik her yeni ara sertifikayı yüklemeden ara sertifikaları döndürmenizi sağlayabilir.
Sertifika zinciri desteği şu anda talep üzerine sunulmaktadır. Erişim istemek için Hesap Direktörünüzle iletişime geçin veya bir destek talebi açın.
İstemciniz gerekli tüm ara sertifikaları sunmalıdır. OpenAI, eksik ara sertifikaları AIA üzerinden getirmez. CRL ve OCSP kontrolleri desteklenmemeye devam etmektedir.
SSS
mTLS’yi API üzerinden yapılandırabilir miyim?
Evet — daha fazla bilgi için https://platform.openai.com/docs/api-reference/ adresindeki API Referansı’na bakabilirsiniz.
Hangi uç noktalar mTLS’yi destekliyor?
Bu beta dönemi boyunca mTLS resmi olarak şuralarda desteklenir:
/v1/chat/completions (with all supported extensions e.g. image, audio, streaming, etc.)/v1/completions/v1/embeddings/v1/audio/transcriptions/v1/audio/speech/v1/files/v1/batches/v1/responses/v1/images/v1/moderations/v1/realtime (via server-side web sockets)/v1/fine_tuning/v1/tunnels
İsteğimle birlikte istemci sertifikalarını nasıl gönderirim?
Bir cURL isteği için --cert ve --key seçeneklerini kullanabilirsiniz (man sayfasına buradan bakın). Diğer çoğu HTTP istemcisinde de istemci sertifikalarını iletmenin yolları vardır. Örnekler: Python’da requests, JS’de fetch. Resmî SDK’larımız üzerinden HTTP istemcisini geçersiz kılmayı da destekliyoruz — Python örneği için buraya bakın.
Sertifika zinciri desteği etkinleştirildiğinde, HTTP istemcinizi uç istemci sertifikasını ve gerekli tüm ara sertifikaları sunacak şekilde yapılandırın. Kesin yapılandırma HTTP istemcinize bağlıdır.
Üretim trafiği için mTLS’i zorunlu kılmadan önce, kullandığınız HTTP istemcisinin istemci sertifikası istekleriyle düzgün çalıştığından emin olun (belirli tarayıcılardaki WebSocket’ler gibi bazıları çalışmaz). Sunucumuzun, istemci sertifikası isteğinde certificate_authorities listesi sağlamadığını unutmayın.
Sertifikalara kimler erişebilir ve bunları değiştirebilir?
https://platform.openai.com/settings/organization/mtls Pano kullanıcı arayüzü aracılığıyla kuruluş sahipleri sertifikalara erişebilir ve bunları değiştirebilir. Admin API Key’e (https://platform.openai.com/settings/organization/admin-keys) sahip herkes de sertifikalara erişebilir/değiştirebilir; ancak dikkatli olun — Mutual TLS’yi kuruluş düzeyinde etkinleştirirseniz bu API isteklerinde de sertifikaları zorunlu kılmış olursunuz. Tüm mTLS değişiklikleri denetim günlüklerinde görünür.
Kaç sertifikam olabilir?
Her kuruluş en fazla 50 sertifika yükleyebilir; bunlar projeler arasında paylaşılabilir ancak diğer kuruluşlarla paylaşılamaz. Bir sertifikayı aynı anda 10 proje için atomik olarak etkinleştirebilir/devre dışı bırakabilirsiniz. Alternatif olarak, kuruluşunuz veya belirli 1 proje için aynı anda 10 sertifikayı etkinleştirebilir/devre dışı bırakabilirsiniz.
Sertifikaları güncelleyebilir veya silebilir miyim?
Sertifikalarınızın adlarını güncelleyebilirsiniz, ancak içeriğini güncelleyemezsiniz. Sertifikalar herhangi bir kapsamda şu anda etkin değilse bunları da silebilirsiniz.
Sertifika iptali nasıl çalışır?
Şu anda CRL veya OCSP kontrollerini desteklemiyoruz. Bunun yerine önerilen alternatif, API anahtarınızı silmek veya döndürmektir. Ayrıca CA sertifikalarınızı değiştirebilir veya daha kısa geçerlilik sürelerine sahip istemci sertifikaları kullanabilirsiniz.
Daha uzun sertifika zincirleri kullanabilir miyim?
Evet, kuruluşunuz için sertifika zinciri desteği etkinleştirildiyse kullanabilirsiniz. OpenAI’nin zinciri etkin ve yüklenmiş bir sertifikaya kadar doğrulayabilmesi için istemciniz uç istemci sertifikasını ve gerekli ara sertifikaları sunmalıdır. Erişim istemek için Hesap Direktörünüzle iletişime geçin veya bir destek talebi açın.
Önerilen kurulum nedir?
Bu özelliği ilk kez ayarlarken, resmi üretim trafiğine hizmet etmeyen bir hazırlama projesiyle başlamanızı öneririz. Bu fırsatı, sertifikalarınızın makinelerinizde doğru şekilde ayarlandığından ve API trafiğini başarıyla gönderebildiğinizden emin olmak için kullanın. Bunun dışında, ihtiyaçlarınızı en iyi şekilde anlamak için kuruluşunuzun güvenlik ekibine danışmanızı öneririz.
Ek Destek
mTLS özelliğini pano ve API üzerinden tamamen kendi kendinize yönetebilirsiniz. Ancak mTLS’yi başlangıçta gölge modunda etkinleştirmek isterseniz lütfen Hesap Direktörünüzle iletişime geçin veya bu sayfanın sağ alt köşesinden yeni bir sohbet başlatarak destek talebi açın.
Ek: Terminoloji
CA sertifikası: İstemci sertifikalarını doğrulamak için kullanılan güvenilir sertifikalarınızdan biri. İsteklerle birlikte gönderdiğiniz istemci sertifikalarını doğrudan imzalayabilir veya istemcinizin sunduğu bir sertifika zincirinin güven dayanağı olabilir. Kendinden imzalı CA sertifikaları kullanabilirsiniz.
Sertifika yükleme: hesabınıza bir CA sertifikası ekleme. Henüz mTLS için hiçbir yerde zorunlu kılınmaz, ancak yapılandırmaya başlayabilirsiniz.
Kapsam: belirli bir proje veya kuruluşunuzun tamamı.
Bir kapsamda CA sertifikasını etkinleştirme: mTLS’i özellikle bu kapsam için etkinleştirir ve API anahtarına dayalı tüm isteklerin, etkin CA sertifikasına göre doğrulanabilen bir istemci sertifikası içermesi gerekir.
Bir kapsamda CA sertifikasını devre dışı bırakma: bu kapsamda istekleri doğrulamak için bu sertifikanın kullanılmasını devre dışı bırakır. Kapsam için hiç sertifikanız kalmadıysa mTLS fiilen kapatılmış olur.
Sertifika devralma: Kuruluşunuz için bir sertifikayı etkinleştirirseniz, tüm projeler için de etkinleştirilir.