Genel Bakış

Enterprise Key Management (EKM), OpenAI’ın verileri sizin kontrol ettiğiniz bir ana anahtar kullanarak şifrelemesini sağlar. Bu belge, OpenAI’a KMS’niz üzerinde sınırlı izinler vermek için GCP hesabınızı nasıl ayarlayacağınızı gösterir.

Adımlar

1. OpenAI için birleşik kimlik oluşturun

OpenAI, OpenAI’a ait bir GCP hesabından aşağıdakine benzer bir kimlik token’ı yayınlayacaktır.

• azp ve sub, OpenAI’ın GCP’deki hizmet hesabı kimliğidir

• aud, OpenAI kuruluş kimliğinizdir. OpenAI proje kimliğiniz gibi başka bir hedef kitle de seçebilirsiniz; aşağıdaki talimatlara bakın

Bu adım, söz konusu kimlik token’ı tarafından yapılan talepleri tanır ve bu kimlik token’ı sağlandığında GCP STS’nizin bir erişim token’ı yayınlamasını sağlar.

1. IAM & Yönetici -> Workload Identity Federation bölümüne gidin ve Havuz Oluştur seçeneğine tıklayın

1. Kimlik havuzu oluştur, adımında havuz adı için herhangi bir değer girin.

1. Havuza sağlayıcı ekle adımında:

1. Sağlayıcı seç bölümünde OpenID Connect (OIDC) seçeneğini belirleyin

2. Sağlayıcı adı için herhangi bir değer girin.

3. Yayıncı (URL) bölümüne https://accounts.google.com girin

4. Hedef kitleler bölümünde

1. İzin verilen hedef kitleler seçeneğini belirleyin

2. Size bir token ilettiğimizde OpenAI’ın belirtmesi gereken hedef kitleyi girin.

1. ChatGPT veya API için: OpenAI API kuruluş kimliğini (org-xxx) girebilirsiniz

2. API için: daha fazla ayrıntı düzeyi için belirli bir API proje kimliği girebilirsiniz.

1. Öznitelik eşleme bölümünde

1. google.subject için assertion.sub girin

1. Öznitelik koşulları bölümünde

1. Artık workload identity pool ve workload identity provider öğelerinizin https://console.cloud.google.com/iam-admin/workload-identity-pools sayfasında listelendiğini görmelisiniz

1. Workload identity pool id

1. Workload identity provider ID

2. KMS’nin etkin olduğundan emin olun

KMS’yi etkinleştirmek için https://console.developers.google.com/apis/api/cloudkms.googleapis.com/overview adresine gidin. KMS’nizi OpenAI’ın birleşik kimliğini tanıttığınız GCP projesiyle aynı projede oluşturmanız gerekmez; ancak projeler farklıysa, KMS ürünü en azından her iki projede de etkinleştirilmiş olmalıdır.

3. Yeni bir KMS anahtarı oluşturun

1. Güvenlik -> Veri Koruma > Anahtar Yönetimi bölümüne gidin

2. Genel Bakış sekmesi altında Anahtar halkası oluştur seçeneğine tıklayın

1. Anahtar halkanız için herhangi bir ad seçin

2. Amaç ve algoritma için Simetrik şifreleme/şifre çözme seçeneğini belirleyin

1. Bir anahtar halkası oluşturduğunuzda, Anahtar Halkaları sekmesinde listelenmelidir. Anahtar halkasına tıklayın.

2. Anahtar halkası ayrıntılarında Anahtar Oluştur seçeneğine tıklayın

1. Anahtarınız için herhangi bir ad seçin

4. KMS üzerinde şifreleme/şifre çözme işlemleri için sınırlı bir rol oluşturun

1. IAM & Yönetici -> Roller -> Rol oluştur bölümüne gidin

2. Rol başlığı ve kimliği için herhangi bir değer girin

3. İzin Ekle’ye tıklayın, ardından aşağıdakileri ekleyin

1. cloudkms.cryptoKeyVersions.useToDecrypt

2. cloudkms.cryptoKeyVersions.useToEncrypt

5. OpenAI’ın birleşik kimliğini, şifreleme/şifre çözme işlemleri için sınırlı KMS rolüne atayın

1. Güvenlik -> Veri Koruma > Anahtar Yönetimi bölümüne gidin

2. Anahtar ayrıntıları sayfanıza gitmek için anahtar halkası adınıza tıklayın, ardından anahtar adına tıklayın.

1. İzinler sekmesine tıklayın, ardından Erişim Ver düğmesine tıklayın

1. OpenAI birleşik kimliğini daha önce oluşturduğunuz özel role atayın

1. Asıl öğeler ekle bölümü için principal://iam.googleapis.com/projects/<YOUR_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<YOUR_GCP_WORKLOAD_IDENTITY_POOL>/subject/105900137572174660365 girin

1. Rolleri ata bölümünde, sınırlı EKM izinleri için önceki adımda oluşturduğunuz özel rolü seçin

6. Kendi güvenlik uygulamalarınıza uygun ek kısıtlamaları uygulayın

Yukarıdaki bilgiler, OpenAI’ın EKM’yi ayarlamak için ihtiyaç duyduğu gerekli asgari bilgilerdir. OpenAI KMS’nizde şifreleme ve şifre çözme işlemlerini çağırabildiği sürece, kendi iç güvenlik uygulamalarınıza uygun ek anahtar politikaları veya kısıtlamalar uygulamakta özgürsünüz. Aşağıda açıklanan şekilde OpenAI ile anahtar kayıt uç noktasını çağırdığınızda kurulumunuzu doğrulayacağız.

Yukarıdaki adımları tamamladıktan sonra

ChatGPT Enterprise

Lütfen OpenAI iletişim kişinize ulaşın ve aşağıdakileri paylaşın:

• "workload_identity_project_number": "123456789012",

• "workload_identity_pool_id": "openai-azure",

• "workload_identity_provider_id": "openai-ekm-service-role",

• "kms_project_id": "adjective-noun-12345",

• "kms_key_name": "openai-kms-key",

• "kms_key_ring_name": "openai-kms-key-ring",

• "kms_key_location": "us-east1"

• Key Management System ana anahtarınızın bulunduğu bölge

ChatGPT kuruluşunuz/çalışma alanınız için EKM’yi etkinleştireceğiz.

API

Harici anahtarınızı OpenAI’a kaydedin

Bu API referansındaki talimatları izleyin: Yönetim API’sinde Harici Anahtarlar

• Önce harici anahtarınızı OpenAI kuruluş düzeyinde kaydedin; bu, bir harici anahtar kimliği oluşturacaktır.

• Bu adımda, KMS’nize kimlik doğrulaması yapabildiğimizi kontrol ederek GCP’deki kurulumunuzu doğrulayacağız.

• Bu işlem, OpenAI projenize henüz EKM eklemez.

Ardından, harici anahtarla ilişkilendirilmiş bir OpenAI projesi oluşturun. Bundan sonra, projenizde EKM etkinleştirilir.