Przegląd

Enterprise Key Management (EKM) pozwala szyfrować treści klientów w OpenAI przy użyciu kluczy zarządzanych przez własny zewnętrzny system zarządzania kluczami (KMS), dostępny zarówno dla ChatGPT Enterprise, jak i API.

OpenAI obsługuje szyfrowanie Bring Your Own Key (BYOK) z kontami zewnętrznymi w AWS KMS, Google Cloud (GCP) i Azure Key Vault.

Obecnie wdrożenie EKM jest ograniczone do przestrzeni roboczych Enterprise i Edu z przypisanym przedstawicielem handlowym OpenAI.

Jak działa szyfrowanie EKM w OpenAI

Przepływ wysokiego poziomu

1. Generujemy Data Encryption Key (DEK) dla Twojego dostawcy chmury.

2. Twój chmurowy KMS zarządza głównym Key Encryption Key (KEK), przechowywanym w chmurze lub poza nią. Sposób wdrożenia zależy od Ciebie.

3. Żądamy zaszyfrowania DEK przez Twoją chmurę, aby uzyskać encrypted DEK (eDEK). Jeśli Twój KEK jest przechowywany zewnętrznie, chmura wykonuje jedynie dodatkowy przeskok do zewnętrznego magazynu w kroku, który jest nieprzejrzysty dla OpenAI.

Szyfrowanie

Podczas szyfrowania Twoje dane są szyfrowane przy użyciu DEK, a eDEK jest przechowywany jako metadane pliku.

Odszyfrowywanie

Podczas odszyfrowywania żądamy odszyfrowania eDEK przez Twój chmurowy KMS do postaci DEK, a następnie odszyfrowujemy dane za pomocą DEK.

Kluczowe pojęcia

• Data Encryption Key (DEK) — klucz szyfrujący Twoje dane. 

• Encrypted Data Encryption Key (eDEK) — zaszyfrowany DEK generowany przez Twój KMS

• Key Encryption Key (KEK) — zarządzany przez Ciebie klucz główny, który szyfruje DEK -> eDEK i odszyfrowuje eDEK -> DEK. Ten klucz zawsze pozostaje poza systemami OpenAI.

Ogólne wymagania wdrożeniowe

U dostawcy chmury

1. Utwórz nowy klucz w swoim chmurowym KMS (Azure, AWS lub GCP)

2. Utwórz niestandardowe, ograniczone zasady z uprawnieniami Encrypt/Decrypt dla KMS

3. Utwórz zasady zaufania (AWS), tożsamość obciążenia (GCP) lub podmiot usługi (dla Azure) dla OpenAI

4. Przypisz OpenAI rolę z ograniczonymi zasadami dostępu do Twojego KMS

Na platformach OpenAI

ChatGPT Enterprise

Utwórz testową przestrzeń roboczą ChatGPT typu sandbox.

API

W panelu OpenAI utwórz nowy projekt, w którym będzie stosowane szyfrowanie.

Funkcje specyficzne dla dostawcy

W przypadku AWS OpenAI będzie:

• wywoływać AssumeRole z parametrem ExternalID

W przypadku GCP OpenAI będzie:

• wywoływać Twój punkt końcowy STS z konta GCP OpenAI

• używać tokenu dostępu GCP do wywoływania encrypt/decrypt w Twoim KMS.

W przypadku Azure OpenAI będzie:

• żądać tokenu dostępu do magazynu w dzierżawie Azure

• używać tego tokenu dostępu do wywoływania encrypt/decrypt w Twoim Key Vault.

Informacje, których potrzebujesz od OpenAI

Uwierzytelnianie

Musisz rozpoznawać federacyjne tokeny tożsamości OpenAI dla AWS i GCP. W przypadku Azure musisz rozpoznawać identyfikator aplikacji OpenAI dla rejestracji jej aplikacji.

Podsumowanie parametrów uwierzytelniania

Wymagane informacje podczas wdrożenia zależnie od dostawcy chmury

• W przypadku AWS musisz skonfigurować zasady zaufania, które rozpoznają:

  • Podmiot zabezpieczeń OpenAI (numer konta + rola)

  • ExternalID będący identyfikatorem Twojego projektu OpenAI

• W przypadku GCP musisz skonfigurować tożsamość obciążenia, która rozpoznaje:

  • Identyfikator konta usługi OpenAI

  • Odbiorcę będącego identyfikatorem Twojego projektu OpenAI

• W przypadku Azure musisz utworzyć jednostkę usługi w swojej dzierżawie Azure dla rejestracji aplikacji OpenAI

  • Utwórz ją dla identyfikatora klienta aplikacji OpenAI: 20a14814-5ab7-4612-a671-1382b412bf9

  • Możesz to zrobić, wysyłając żądanie POST do punktu końcowego https://graph.microsoft.com/v1.0/servicePrincipals.

Autoryzacja

Musisz utworzyć zasady, które pozwolą tożsamości OpenAI uzyskać ograniczony dostęp do Twojego KMS. 

Inne

W Azure dla typu klucza (algorytmu szyfrowania klucza) wybierz RSA, a nie EC.

Informacje, których OpenAI potrzebuje od Ciebie

Postępuj zgodnie z instrukcjami w tym dokumencie, aby zarejestrować swój KMS w OpenAI. Oto podsumowanie parametrów, które musisz podać.

1. Związane z uwierzytelnianiem

   1. AWS

      1. IAM Role ARN – rola, którą OpenAI ma przyjąć (przykład: arn:aws:iam::123456789:role/role-name)

      2. ExternalID – identyfikator Twojej organizacji OpenAI

   2. GCP

      1. Numer projektu Workload Identity (przykład: 123456789)

      2. Identyfikator puli Workload Identity

      3. Identyfikator dostawcy Workload Identity

      4. Dozwoleni odbiorcy: identyfikator Twojej organizacji OpenAI

   3. Azure

      1. Identyfikator dzierżawy

Po zarejestrowaniu KMS w OpenAI nadal postępuj zgodnie z instrukcjami w dokumencie, aby aktywować konfigurację EKM w projekcie API. Utwórz nowy projekt OpenAI API do celów testowych.

Przewodniki wdrożeniowe dla poszczególnych dostawców

Aby uzyskać szczegółowe wskazówki krok po kroku, skorzystaj z odpowiednich linków poniżej. Pamiętaj, że koncentrują się one na wymaganiach integracji z OpenAI i nie mają służyć jako kompleksowy przewodnik po całym Twoim środowisku

• Instrukcje integracji OpenAI / AWS EKM

• Instrukcje integracji OpenAI / GCP EKM

• Instrukcje integracji OpenAI / Azure EKM

Nieobsługiwane funkcje po włączeniu EKM

W tej początkowej wersji poniższe funkcje nie są dostępne, jeśli EKM jest włączone:

• Aplikacje z synchronizacją

• Funkcje, które nie są ogólnie dostępne (tj. wszystko, co nadal jest w wersji beta/alfa)