ZDR con procesamiento privado de seguridad

Usa una clave de API de administrador de la organización con acceso de lectura y escritura al proyecto. Cárgala de forma segura en OPENAI_ADMIN_KEY. Las claves de inferencia del proyecto no sirven para esta operación. Los ejemplos usan curl y un shell compatible con Bash.

Define el ID de la organización, el ID del proyecto y el ID de extkey que obtuviste al registrar la clave:

123456API_BASE="https://api.openai.com/v1"
ORG_ID="<OPENAI_ORG_ID>"
PROJECT_ID="<CUSTOMER_PROJECT_ID>"
KEY_ID="<EXTERNAL_KEY_ID>"
OPENAI_ADMIN_KEY="<OPENAI_ADMIN_KEY>"
PROJECTS_URL="$API_BASE/organization/projects"

Asigna a psp_decryption_key_id el ID de extkey obtenido en la misma organización. Deja sin cambios external_key_id, que selecciona la clave de EKM del proyecto.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data "{\"psp_decryption_key_id\":\"$KEY_ID\"}"

Si la operación se completa correctamente, la API devuelve HTTP 200. Consulta el proyecto para confirmar la selección:

123curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID"

Las listas de proyectos también devuelven psp_decryption_key_id. El campo api_project_ids del registro muestra los proyectos asociados a la clave. Si omites psp_decryption_key_id, se conserva la selección. Puedes volver a seleccionar el mismo ID.

Primero define las variables de la API que se muestran en Seleccionar una clave para el descifrado de PSP.

Envía null para quitar la selección. Si omites el campo, la selección no cambia.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data '{"psp_decryption_key_id":null}'

Completa estos pasos si usas AWS. Si usas otro proveedor, ve a Azure Blob Storage, Google Cloud Storage u OCI Object Storage.

1. Crear el bucket

Crea un bucket de S3 dedicado en una región compatible con la residencia de datos de tu proyecto. Si la residencia de datos está desactivada, puedes elegir cualquier región para tu bucket.

• Mantén las ACL deshabilitadas.
• Activa Bloquear todo el acceso público.
• Anota el ARN del bucket. Lo usarás como CUSTOMER_BUCKET_ARN más adelante.

2. Configurar la regla de ciclo de vida

Abre Administración > Crear regla de ciclo de vida en el bucket y usa estos valores:

• Nombre de la regla: psp-retention
• Prefijo: openai/
• Acción: hacer que caduquen las versiones actuales de los objetos
• Antigüedad: 30 días

Habilita la regla. Comprueba que ninguna otra regla haga que estos registros caduquen antes. Esta regla determina cuándo caducan los objetos. El vencimiento de la clave de descifrado de OpenAI se gestiona por separado.

3. Crear la política de acceso

En IAM > Políticas > Crear política, elige JSON. Reemplaza CUSTOMER_BUCKET_ARN por el ARN de tu bucket, por ejemplo, arn:aws:s3:::your-psp-bucket, y guarda la política con el nombre psp-bucket-policy.

123456789101112131415{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetLifecycleConfiguration",
      "Resource": "CUSTOMER_BUCKET_ARN"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "CUSTOMER_BUCKET_ARN/*"
    }
  ]
}

4. Crear el rol de IAM

En IAM > Roles > Crear rol, elige Política de confianza personalizada.

Usa la siguiente política. Reemplaza CUSTOMER_PROJECT_ID por el ID de tu proyecto de OpenAI. Deja sin cambios el ARN de la entidad principal de OpenAI.

1234567891011121314151617{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::790389265272:role/CustomerStorage"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": ["CUSTOMER_PROJECT_ID"]
        }
      }
    }
  ]
}

Asocia psp-bucket-policy al rol que estás creando. Puedes darle al rol el nombre psp-role. Anota su ARN como CUSTOMER_ROLE_ARN. El ID del proyecto en sts:ExternalId debe coincidir con el del proyecto que registres.

Continúa con Registrar el almacenamiento.

Completa estos pasos si usas Azure.

1. Crear la cuenta de almacenamiento

Crea una cuenta dedicada en la nube comercial de Azure. Elige una región de almacenamiento aprobada en EE. UU. o la UE que coincida con la residencia de datos de tu proyecto.

• Tipo de cuenta: StorageV2
• Datos básicos > Rendimiento: estándar
• Datos básicos > Redundancia: LRS o ZRS (preferida)
• Opciones avanzadas > Nivel de acceso: frecuente
• Opciones avanzadas > Espacio de nombres jerárquico: deshabilitado
• Redes > Acceso a la red pública: habilitado desde todas las redes
• Seguridad > Transferencia segura: HTTPS obligatorio, TLS 1.2 como mínimo
• Seguridad > Acceso anónimo a blobs: deshabilitado
• Seguridad > Acceso mediante claves de la cuenta de almacenamiento: deshabilitado
• Seguridad > Autorización de Microsoft Entra: habilitada

Confirma que la configuración de red cumpla los requisitos de tu nube. Usa el punto de acceso principal de Blob de la cuenta. No uses un punto de acceso personalizado ni uno de una nube soberana.

2. Crear el contenedor

Crea un contenedor privado en Cuenta de almacenamiento > Almacenamiento de datos > Contenedores > Agregar contenedor. Abre Contenedor > Configuración > Metadatos y asigna a openai_organization_id el ID exacto de tu organización de OpenAI. Este campo es obligatorio.

Para restringir el contenedor a un solo proyecto de OpenAI, asigna también a openai_project_id el ID exacto del proyecto. Este campo es opcional. Si lo configuras, solo el proyecto cuyo ID coincida podrá registrar o validar el contenedor, leer datos de él o escribir datos en él.

Dos proyectos de OpenAI de la misma organización pueden compartir el contenedor si omites openai_project_id y la región de almacenamiento cumple los requisitos de residencia de datos de ambos proyectos. Registra y valida el contenedor para cada proyecto.

Agrega los metadatos al contenedor, no a la cuenta de almacenamiento ni a los blobs individuales.

3. Configurar la regla de ciclo de vida

En Cuenta de almacenamiento > Administración de datos > Administración del ciclo de vida > Agregar, agrega una regla habilitada que se aplique a todos los blobs en bloques actuales (blobs base) de la cuenta dedicada:

• Acción: eliminar cuando hayan transcurrido 30 días desde la última modificación
• Filtros: sin filtros de prefijo ni de etiqueta

4. Otorgar acceso a OpenAI

Pídele al administrador del directorio que agregue la aplicación de OpenAI a tu inquilino. Reemplaza CUSTOMER_TENANT_ID en el siguiente comando por el ID de tu inquilino de Azure. Deja sin cambios el ID de la aplicación.

123az login --tenant '<CUSTOMER_TENANT_ID>'
az ad sp create --id 'e5627955-3059-4a88-89f8-73843190624d' \
  --query '{name:displayName,objectId:id}' -o table

Si la aplicación ya existe, usa az ad sp show con el mismo --id y la misma consulta. Anota el nombre de la aplicación y el ID de su objeto local en el inquilino.

En tu cuenta de almacenamiento, abre Cuenta de almacenamiento > Control de acceso (IAM) > Agregar asignación de roles. Selecciona el rol Lector. En Asignar acceso a, elige Usuario, grupo o entidad de servicio. Luego busca y selecciona CSG - Azure Blob Storage Prod.

Luego selecciona el rol Colaborador de datos de blobs de almacenamiento. En Asignar acceso a, elige Usuario, grupo o entidad de servicio, y busca y selecciona CSG - Azure Blob Storage Prod.

OpenAI administra las credenciales de la aplicación. No crees ni compartas claves de almacenamiento, tokens de SAS ni secretos de cliente.

1. Crear el bucket

En Cloud Storage > Buckets, crea un bucket en una ubicación compatible con la residencia de datos de tu proyecto de OpenAI y usa esta configuración:

• Prevención del acceso público: activada.
• Control de acceso: uniforme.

Si lo deseas, puedes desactivar la Política de eliminación no definitiva (para la recuperación de datos) predeterminada. En el siguiente paso configurarás la eliminación mediante una regla de ciclo de vida.

Para proyectos globales, repite esta configuración de GCP en cada región que planees usar.

2. Configurar la regla de ciclo de vida

En la pestaña Ciclo de vida del bucket, agrega una regla Eliminar objeto con estas condiciones:

• El nombre del objeto coincide con el prefijo: openai/.
• Antigüedad: 30 días.

3. Buscar el número de tu proyecto de Google Cloud

En IAM y administración > Configuración, copia el valor numérico de Número de proyecto del proyecto que contiene tu grupo de identidades de cargas de trabajo. Lo usarás como <CUSTOMER_GCP_PROJECT_NUMBER>.

4. Crear el grupo y el proveedor de identidades de cargas de trabajo

En IAM y administración > Federación de identidades de cargas de trabajo, crea un grupo de identidades de cargas de trabajo y agrega un proveedor de OpenID Connect (OIDC) con estos valores:

• Emisor (URL): https://accounts.google.com.
• Públicos permitidos: <CUSTOMER_PROJECT_ID> (el ID de tu proyecto de OpenAI).

Configura las siguientes asignaciones de atributos:

Configura la siguiente condición de atributos. Deja sin cambios el identificador de sujeto de la identidad de producción de OpenAI, 112981926705442324573.

assertion.sub == '112981926705442324573' && assertion.aud == '<CUSTOMER_PROJECT_ID>'

Anota los ID del grupo y del proveedor como <CUSTOMER_GCP_POOL_ID> y <CUSTOMER_GCP_PROVIDER_ID>, respectivamente.

assertion.sub == '112981926705442324573' &&
(assertion.aud == '<CUSTOMER_PROJECT_ID_1>' || assertion.aud == '<CUSTOMER_PROJECT_ID_2>')

5. Crear el rol de almacenamiento personalizado

En IAM y administración > Roles, crea un rol personalizado en el proyecto de Google Cloud al que pertenece el bucket y asígnale estos permisos:

storage.buckets.get
storage.objects.create
storage.objects.get
storage.objects.delete

6. Otorgar a OpenAI acceso al bucket

En Permisos > Otorgar acceso del bucket, agrega esta entidad principal:

principalSet://iam.googleapis.com/projects/<CUSTOMER_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<CUSTOMER_GCP_POOL_ID>/attribute.openai_project/<CUSTOMER_PROJECT_ID>

Selecciona el rol personalizado que creaste en el paso 5.

Continúa con Registrar el almacenamiento.

1. Crear el bucket

En la consola de OCI, abre Almacenamiento > Object Storage y Archive Storage > Buckets y crea un bucket dedicado. Elige de esta tabla una región comercial que coincida con la residencia de datos de tu proyecto:

Usa esta configuración para el bucket:

• Nivel de almacenamiento: estándar, con el cambio automático de nivel deshabilitado
• Visibilidad: privada
• Control de versiones de objetos: deshabilitado

Mantén la replicación deshabilitada. Anota el nombre del bucket y el identificador de la región como CUSTOMER_BUCKET_NAME y CUSTOMER_OCI_REGION. Abre Perfil, selecciona Tenencia y luego el nombre de tu tenencia. Copia su OCID como CUSTOMER_TENANCY_OCID. Tu tenencia debe estar suscrita a la región del bucket.

2. Agregar las etiquetas del bucket

Agrega estas etiquetas al crear el bucket o abre la pestaña Etiquetas del bucket y selecciona Agregar. En Espacio de nombres, selecciona Ninguno (etiqueta de formato libre) y usa los ID exactos de tu organización y tu proyecto de OpenAI:

Usa los mismos ID en la política de acceso y en el registro del almacenamiento. Cada bucket queda vinculado a una sola organización y a un solo proyecto de OpenAI.

3. Otorgar acceso a OpenAI

En Identidad y seguridad > Políticas, selecciona el compartimento raíz de tu tenencia y crea una política llamada psp-storage-access. Activa Mostrar editor manual e ingresa las siguientes sentencias. Sustituye los marcadores CUSTOMER_... por el nombre de tu bucket, la región y los ID de tu organización y tu proyecto de OpenAI. Deja sin cambios los valores de OCID de la tenencia y del grupo de OpenAI.

Define tenancy OpenAICSG as ocid1.tenancy.oc1..aaaaaaaa4kzwe5jdr4gsxft7dfnwbnp3aozhxeskabsqo7czdkbp6fkh3uha
Define group OpenAICSGProduction as ocid1.group.oc1..aaaaaaaanuot5i5kooasr6qh6qo4ohqljrrxx3javkl2tkedb7ljsluq62sa
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECTSTORAGE_NAMESPACE_READ} in tenancy
Admit group OpenAICSGProduction of tenancy OpenAICSG to {BUCKET_READ} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECT_READ, OBJECT_CREATE, OBJECT_OVERWRITE} in tenancy where all {target.bucket.name = 'CUSTOMER_BUCKET_NAME', target.object.name = 'openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/*'}
Allow service objectstorage-CUSTOMER_OCI_REGION to {BUCKET_INSPECT, BUCKET_READ, OBJECT_INSPECT, OBJECT_DELETE} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'

La política permite que OpenAI consulte tu espacio de nombres de Object Storage, lea la configuración del bucket y lea y escriba objetos bajo el prefijo de tu proyecto. La consulta del espacio de nombres requiere un permiso a nivel de tenencia sin ninguna condición sobre el bucket. La última sentencia permite que el servicio regional de Object Storage de Oracle elimine los objetos vencidos. Para la región us-ashburn-1, usa objectstorage-us-ashburn-1 como nombre del servicio.

Guarda la política. OpenAI administra sus credenciales. No necesitas crear ni compartir una clave de firma de API ni una clave de acceso.

4. Configurar la regla de ciclo de vida

Abre la pestaña Políticas del bucket. En Reglas de la política de ciclo de vida, selecciona Crear regla y usa estos valores:

• Nombre: psp-retention
• Destino: objetos
• Acción de ciclo de vida: eliminar
• Número de días: 30

Despliega Opciones avanzadas y deja Estado en Habilitado. En Filtros de nombre de objeto, selecciona Agregar filtro, elige Incluir por prefijo e ingresa openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/, incluida la barra final.

Guarda la regla. Si OCI ofrece agregar permisos de ciclo de vida automáticamente, conserva los permisos limitados al bucket que otorgaste en el paso 3. Comprueba que ninguna otra regla elimine estos objetos antes de tiempo ni los mueva a Archive Storage. Una regla de retención no sustituye la regla de eliminación por ciclo de vida.

Continúa con Registrar el almacenamiento.