OpenAI
Bu sayfanın çevirisi otomatik olarak yapılmıştır. Orijinal İngilizce makaleyi görüntüleyin.

OpenAI ve AWS ile EKM yapılandırması

AWS kaynaklarını nasıl hazırlayacağınızı ve Kurumsal Anahtar Yönetimi'ni (EKM) nasıl etkinleştireceğinizi öğrenin.

Güncellenme zamanı: 3 days ago

Genel Bakış

Enterprise Key Management (EKM), OpenAI'nin verileri sizin denetlediğiniz bir ana anahtar kullanarak şifrelemesini sağlar. Bu belge, OpenAI'ye KMS'nizde sınırlı izin vermek için AWS hesabınızı nasıl ayarlayacağınızı gösterir.

AWS EKM integration flow between OpenAI EKM Service, your STS, your KMS, and your master KEK

Adımlar

1. Yeni bir KMS anahtarı oluşturun

  1. KMS > Müşteri tarafından yönetilen anahtarlar bölümüne gidin ve Anahtar oluştur seçeneğini seçin.

  2. Simetrik bir şifreleme algoritması seçin.

  3. Anahtarınız oluşturulduktan sonra ARN değerini not edin. Desteklenen biçimler arasında arn:aws:kms:<region>:<account_number>:key/<uuid>, ...:key/mrk-* veya ...:alias/<alias_name> bulunur.

AWS KMS customer managed key details page with key ID and ARN for test-kms

2. KMS anahtarına sınırlı erişim sağlayan özel bir politika oluşturun

  1. IAM > Politikalar bölümüne gidin ve Politika oluştur seçeneğini seçin.

  2. İzinleri belirt adımında JSON seçeneğini seçin ve politikaya KMS erişim işlemlerini eklemek için aşağıdaki kodu girin. YOUR_KMS_ARN değerini oluşturduğunuz anahtarın ARN'siyle değiştirdiğinizden emin olun.

AWS IAM Create policy page with Specify permissions open and the JSON policy editor selected
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEncryptDecrypt",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt"
            ],
            "Resource": "<YOUR_KMS_ARN>"
        }
    ]
}

3. OpenAI'ın üstleneceği bir IAM rolü oluşturun ve bu rolü KMS'nize sınırlı erişim sağlayan politikaya atayın

OpenAI, kendisine ait bir AWS hesabından AssumeRole çağrısı yapacaktır. Bu adım, OpenAI'ın AWS kimliğinin KMS'nize erişmek için sınırlı yetkilere sahip rolü üstlenmesini sağlar.

  1. IAM > Roller bölümüne gidin ve Rol oluştur seçeneğini seçin.

  2. Güvenilen varlığı seç adımında Özel güven politikası seçeneğini seçin.

AWS IAM Select trusted entity screen with Custom trust policy selected

Ardından, OpenAI'ın AWS kimliğine erişim izni vermek için Özel güven politikası alanına aşağıdaki kodu girin.

  • Kullanılacak kimlik, OpenAI'ın AWS kimliğidir: arn:aws:iam::790389265272:role/EnterpriseKeyManagement.

  • OpenAI'ın AssumeRole işlemi sırasında hangi ExternalId değerini iletmesi gerektiğini belirtin.

    • ChatGPT veya API için çalışma alanınızla ilişkili Kuruluş Kimliği (org-xxx) değerini kullanın: kuruluş ayarları.

    • API için daha ayrıntılı kontrol sağlamak üzere belirli bir API proje kimliği kullanabilirsiniz.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": [
                         "<YOUR_OPENAI_ORGANIZATION_ID>"
                     ]
                }
            }
        }
    ]
}

Ardından İzin ekle adımında, önceki adımda oluşturduğunuz IAM politikasının adını arayın. Politika adının yanındaki onay kutusunu işaretleyin ve İleri seçeneğini seçin.

AWS IAM Add permissions page filtered to customer managed KMS policies with test-allow-kms-access selected

Son olarak Adlandır, gözden geçir ve oluştur bölümünde istediğiniz bir rol adı belirleyin.

4. Kendi güvenlik uygulamalarınıza uygun ek kısıtlamalar uygulayın

Yukarıda, OpenAI'nin EKM'yi ayarlamak için ihtiyaç duyduğu asgari gerekli bilgiler yer almaktadır. OpenAI KMS'nizde şifreleme ve şifre çözme işlemlerini çağırabildiği sürece, kendi dahili güvenlik uygulamalarınıza uygun ek anahtar politikaları veya kısıtlamalar uygulamakta özgürsünüz. Aşağıda açıklanan OpenAI anahtar kayıt uç noktasını çağırdığınızda, kurulumunuzu doğrulayacağız.

Yukarıdaki adımları tamamladıktan sonra

ChatGPT Enterprise

Lütfen OpenAI irtibat kişinizle iletişime geçin ve şunları paylaşın:

  • "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>"

    • OpenAI'nin bulutunuzda üstleneceği Rol ARN'si.

  • "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>"

    • Yönettiğiniz ana anahtarın Anahtar Yönetim Sistemi ARN'si.

ChatGPT kuruluşunuz/çalışma alanınız için EKM'yi etkinleştireceğiz.

API

Harici anahtarınızı OpenAI'a kaydedin

Şu API başvuru belgesindeki talimatları izleyin: Yönetim API'sinde Harici Anahtarlar.

  1. Önce harici anahtarınızı OpenAI kuruluş düzeyinde kaydedin. Bu işlem bir harici anahtar kimliği oluşturacaktır.

  2. Bu adımda, girdiğiniz bilgilerin geçerli olduğunu ve KMS'nizde kimlik doğrulaması yapabildiğimizi doğrulayacağız.

  3. Bu işlem henüz OpenAI projenize EKM eklemez.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/external_keys" \
-d '{
  "type": "aws",
  "name": "AWS EKM Config",
  "role_arn": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:role/<YOUR_ROLE>",
  "kms_arn": "arn:aws:kms:<REGION>:<YOUR_AWS_ACCOUNT_NUMBER>:key/<UUID>",
  "external_id": "<your org id or project id>"
}'

Ardından, harici anahtarla ilişkili bir OpenAI projesi oluşturun. Bundan sonra, projenizde EKM etkinleştirilir. Bu API çağrısının yanıt gövdesi size proje kimliğini (proj_xxx) verecektir.

curl -X POST \
-H "Content-type: application/json" \
-H "Authorization: Bearer $TOKEN" \
"https://api.openai.com/v1/organization/projects" \
-d '{
   "name": "Some Project",
   "external_key_id": "extkey_xxxx"
}'

Bu makale yararlı oldu mu?