OpenAI Mutual TLS cho phép các tổ chức cấu hình một lớp bảo mật bổ sung cho lưu lượng OpenAI API của họ. Sau khi cấu hình, các yêu cầu API nên được gửi đến https://mtls.api.openai.com (hoặc https://mtls-eu.api.openai.com cho khách hàng Nơi lưu trú dữ liệu tại EU) và lưu lượng sẽ chỉ được chấp nhận nếu cung cấp đúng khóa API và chứng chỉ máy khách. mTLS không áp dụng cho Bảng điều khiển https://platform.openai.com. Tính năng này hiện đang ở giai đoạn beta.
Làm cách nào để thiết lập tích hợp mTLS?
Trên thanh điều hướng cài đặt, bạn sẽ thấy thẻ “Mutual TLS”.
Tải lên chứng chỉ
Kích hoạt chứng chỉ
Sau khi tải chứng chỉ của bạn lên, bước tiếp theo là kích hoạt chứng chỉ của bạn. Sau khi một chứng chỉ được kích hoạt cho một dự án, tất cả yêu cầu API đi đến dự án đó cũng sẽ bắt đầu yêu cầu chứng chỉ máy khách tương ứng. Nếu một dự án có nhiều chứng chỉ được kích hoạt, bạn có thể truyền vào bất kỳ chứng chỉ máy khách tương ứng nào. Nếu một chứng chỉ được kích hoạt cho tổ chức, chứng chỉ đó sẽ áp dụng cho tất cả yêu cầu API và được tất cả dự án “kế thừa”.
Yêu cầu đối với chứng chỉ CA
Bạn có thể tải lên bất kỳ chứng chỉ CA X.509 nào ở định dạng PEM đáp ứng các yêu cầu sau:
trực tiếp ký các chứng chỉ máy khách mà bạn dự định sử dụng, hoặc làm điểm neo cho một chuỗi chứng chỉ hợp lệ do client của bạn xuất trình.
có các phần mở rộng Certificate Authority, Subject Key Identifier và Authority Key Identifier (ở định dạng KeyIdentifier)
có quyền Key Usage: “Certificate Sign, CRL Sign”
không được đặt hết hạn trong vòng 1 ngày
tổng kích thước chứng chỉ phải nhỏ hơn 16kb.
Yêu cầu đối với chứng chỉ máy khách
Nếu tổ chức của bạn đã bật hỗ trợ chuỗi chứng chỉ, client của bạn có thể xuất trình chứng chỉ máy khách lá và các chứng chỉ trung gian cần thiết để xây dựng chuỗi hợp lệ đến một chứng chỉ đã tải lên đang hoạt động. Nếu không, chứng chỉ máy khách phải được ký trực tiếp bởi các chứng chỉ mà bạn đã tải lên trước. Ngoài yêu cầu này, chứng chỉ máy khách của bạn phải đáp ứng các yêu cầu sau:
có phần mở rộng Subject Key Identifier và Authority Key Identifier (ở định dạng KeyIdentifier)
có quyền Key Usage: “Digital Signature, Key Encipherment”
có quyền Extended Key Usage: “TLS Web Client Authentication”
có phần mở rộng Subject Alternate Name
Hỗ trợ chuỗi chứng chỉ cho API mTLS
Hỗ trợ chuỗi chứng chỉ cho phép client của bạn xuất trình chứng chỉ máy khách lá cùng với các chứng chỉ trung gian cần thiết để xây dựng chuỗi hợp lệ đến một chứng chỉ đã tải lên đang hoạt động.
Nhờ đó, bạn có thể xoay vòng chứng chỉ trung gian mà không cần tải lên từng chứng chỉ trung gian mới, miễn là chứng chỉ đã tải lên đang hoạt động được dùng làm điểm neo tin cậy vẫn còn hợp lệ.
Hỗ trợ chuỗi chứng chỉ hiện được cung cấp theo yêu cầu. Hãy liên hệ với Giám đốc phụ trách tài khoản của bạn hoặc mở yêu cầu hỗ trợ để đề nghị quyền truy cập.
Client của bạn phải xuất trình tất cả chứng chỉ trung gian bắt buộc. OpenAI không truy xuất các chứng chỉ trung gian còn thiếu qua AIA. Kiểm tra CRL và OCSP vẫn chưa được hỗ trợ.
Câu hỏi thường gặp
Tôi có thể cấu hình mTLS qua API không?
Có — bạn có thể xem Tài liệu tham khảo API tại https://platform.openai.com/docs/api-reference/ để biết thêm thông tin.
Những điểm cuối nào hỗ trợ mTLS?
Trong giai đoạn beta này, mTLS được hỗ trợ chính thức trong
/v1/chat/completions (with all supported extensions e.g. image, audio, streaming, etc.)/v1/completions/v1/embeddings/v1/audio/transcriptions/v1/audio/speech/v1/files/v1/batches/v1/responses/v1/images/v1/moderations/v1/realtime (via server-side web sockets)/v1/fine_tuning/v1/tunnels
Làm thế nào để gửi chứng chỉ máy khách cùng với yêu cầu của tôi?
Với yêu cầu cURL, bạn có thể dùng các tùy chọn --cert và --key (xem trang hướng dẫn tại đây). Trong hầu hết các HTTP client khác, cũng có cách để truyền chứng chỉ máy khách. Ví dụ: requests trong Python, fetch trong JS. Thông qua các SDK chính thức, chúng tôi cũng hỗ trợ ghi đè HTTP client — xem ví dụ Python tại đây.
Khi bật hỗ trợ chuỗi chứng chỉ, hãy cấu hình HTTP client của bạn để xuất trình chứng chỉ máy khách lá và tất cả chứng chỉ trung gian bắt buộc. Cấu hình cụ thể phụ thuộc vào HTTP client của bạn.
Trước khi bắt buộc dùng mTLS cho lưu lượng sản xuất, hãy đảm bảo HTTP client bạn đang dùng hoạt động tốt với các yêu cầu chứng chỉ máy khách (một số client, chẳng hạn WebSockets trong một số trình duyệt, thì không). Lưu ý rằng máy chủ của chúng tôi không cung cấp danh sách certificate_authorities trong yêu cầu chứng chỉ máy khách.
Ai có thể truy cập và sửa đổi chứng chỉ?
Thông qua giao diện Bảng điều khiển https://platform.openai.com/settings/organization/mtls, chủ sở hữu tổ chức có thể truy cập và sửa đổi chứng chỉ. Bất kỳ ai có Khóa API quản trị (https://platform.openai.com/settings/organization/admin-keys) cũng có thể truy cập/sửa đổi chứng chỉ, tuy nhiên hãy lưu ý — nếu bạn kích hoạt Mutual TLS ở cấp tổ chức, bạn cũng sẽ thực thi chứng chỉ đối với các yêu cầu API này. Mọi thay đổi mTLS đều hiển thị trong nhật ký kiểm tra.
Tôi có thể có bao nhiêu chứng chỉ?
Mỗi tổ chức có thể tải lên tối đa 50 chứng chỉ, có thể được chia sẻ giữa các dự án nhưng không chia sẻ với tổ chức khác. Bạn có thể kích hoạt/hủy kích hoạt một chứng chỉ một cách nguyên tử cho 10 dự án cùng lúc. Ngoài ra, bạn có thể kích hoạt/hủy kích hoạt 10 chứng chỉ cùng lúc cho tổ chức của mình hoặc cho 1 dự án cụ thể.
Tôi có thể cập nhật hoặc xóa chứng chỉ không?
Bạn có thể cập nhật tên chứng chỉ của mình, nhưng không thể cập nhật nội dung. Bạn cũng có thể xóa chứng chỉ nếu chúng hiện không hoạt động ở bất kỳ phạm vi nào.
Thu hồi chứng chỉ hoạt động như thế nào?
Hiện tại, chúng tôi chưa hỗ trợ kiểm tra CRL hoặc OCSP. Phương án thay thế được khuyến nghị là xóa hoặc xoay vòng khóa API của bạn. Bạn cũng có thể thay chứng chỉ CA hoặc dùng chứng chỉ máy khách có thời hạn hiệu lực ngắn hơn.
Tôi có thể dùng chuỗi chứng chỉ dài hơn không?
Có, nếu tổ chức của bạn đã bật hỗ trợ chuỗi chứng chỉ. Client của bạn phải xuất trình chứng chỉ máy khách lá và mọi chứng chỉ trung gian bắt buộc để OpenAI có thể xác minh chuỗi đến một chứng chỉ đã tải lên đang hoạt động. Hãy liên hệ với Giám đốc phụ trách tài khoản của bạn hoặc mở yêu cầu hỗ trợ để đề nghị quyền truy cập.
Thiết lập được khuyến nghị là gì?
Khi thiết lập tính năng này lần đầu, chúng tôi khuyên bạn nên bắt đầu bằng một dự án staging không phục vụ lưu lượng sản xuất chính thức. Hãy tận dụng cơ hội này để đảm bảo chứng chỉ của bạn được thiết lập đúng cách trên máy của bạn và bạn có thể gửi lưu lượng API thành công. Ngoài ra, chúng tôi khuyên bạn nên tham khảo ý kiến nhóm bảo mật của tổ chức để hiểu rõ nhất nhu cầu của bạn.
Hỗ trợ bổ sung
Bạn có thể tự phục vụ hoàn toàn tính năng mTLS qua bảng điều khiển và API. Tuy nhiên, nếu bạn muốn bật mTLS ở chế độ bóng trước tiên, vui lòng liên hệ với Giám đốc tài khoản của bạn hoặc mở phiếu hỗ trợ bằng cách bắt đầu cuộc trò chuyện mới ở góc dưới bên phải của trang này.
Phụ lục: Thuật ngữ
Chứng chỉ CA: Một trong các chứng chỉ tin cậy của bạn, dùng để xác minh chứng chỉ máy khách. Chứng chỉ này có thể trực tiếp ký các chứng chỉ máy khách mà bạn gửi kèm yêu cầu, hoặc làm điểm neo cho chuỗi chứng chỉ do client của bạn xuất trình. Bạn có thể dùng chứng chỉ CA tự ký.
Tải chứng chỉ lên: thêm một chứng chỉ CA vào tài khoản của bạn. Chứng chỉ này chưa được thực thi ở đâu cho mTLS, nhưng bạn có thể bắt đầu cấu hình.
Phạm vi: một dự án cụ thể hoặc toàn bộ tổ chức của bạn.
Kích hoạt chứng chỉ CA tại một phạm vi: bật mTLS riêng cho phạm vi đó; mọi yêu cầu dựa trên khóa API đều phải kèm chứng chỉ máy khách có thể được xác minh bằng chứng chỉ CA đang hoạt động.
Hủy kích hoạt chứng chỉ CA tại một phạm vi: tắt việc dùng chứng chỉ này để xác minh yêu cầu trong phạm vi đó. Nếu không còn chứng chỉ nào cho phạm vi đó, mTLS trên thực tế sẽ bị tắt.
Kế thừa chứng chỉ: Nếu bạn kích hoạt một chứng chỉ cho tổ chức, chứng chỉ đó cũng sẽ được kích hoạt cho tất cả dự án.