Configurez des clés asymétriques

1. Créez une clé RSA

Ouvrez KMS > Clés gérées par le client > Créer une clé et choisissez votre région. Utilisez les paramètres suivants :

• Type de clé : Asymétrique
• Utilisation de la clé : Chiffrement et déchiffrement
• Spécification de la clé : RSA_3072

Terminez la création de la clé en désignant vos propres administrateurs de clés. Laissez la clé active et copiez son ARN complet, qui se termine par key/<CUSTOMER_KMS_KEY_ID>. N’utilisez pas l’ARN d’un alias.

2. Créez une politique de lecture de la clé publique

Ouvrez IAM > Politiques > Créer une politique > JSON. Remplacez <CUSTOMER_KMS_KEY_ARN> et enregistrez cette politique sous le nom OpenAI-PublicKeyRead.

12345678910{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["kms:DescribeKey", "kms:GetPublicKey"],
      "Resource": "<CUSTOMER_KMS_KEY_ARN>"
    }
  ]
}

La clé permet le déchiffrement, mais OpenAI a uniquement besoin de ces autorisations de lecture. N’accordez à OpenAI ni les droits d’utilisateur ni les droits d’administrateur de la clé.

3. Créez le rôle IAM de confiance

Ouvrez IAM > Rôles > Créer un rôle > Politique de confiance personnalisée. Remplacez <OPENAI_ORG_ID> par votre identifiant d’organisation OpenAI. Conservez le principal OpenAI tel quel.

1234567891011121314151617{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "<OPENAI_ORG_ID>"
        }
      }
    }
  ]
}

Associez la politique OpenAI-PublicKeyRead au rôle, puis créez le rôle. Copiez son ARN. Lors de l’enregistrement de la clé, utilisez le même identifiant d’organisation comme valeur de external_id.

4. Vérifiez la politique de la clé KMS

Vérifiez que la politique de la clé accorde au rôle les autorisations nécessaires. Si elle ne délègue pas la gestion des autorisations à IAM, ajoutez la déclaration suivante. Remplacez <CUSTOMER_ROLE_ARN> et conservez les droits d’administration existants.

Dans cette politique KMS, "Resource": "*" s’applique uniquement à la clé à laquelle la politique est associée. La politique IAM utilise l’ARN exact de la clé.

123456789{
  "Sid": "AllowPublicKeyRead",
  "Effect": "Allow",
  "Principal": {
    "AWS": "<CUSTOMER_ROLE_ARN>"
  },
  "Action": ["kms:DescribeKey", "kms:GetPublicKey"],
  "Resource": "*"
}

Conservez l’ARN du rôle et celui de la clé pour l’enregistrement.

1. Ajoutez l’application d’entreprise OpenAI

Demandez à un administrateur de votre locataire d’y ajouter EKM - OpenAI Azure. Son identifiant d’application est 20a14814-5ab7-4612-a671-1382b412bf93.

Installez Azure CLI, puis connectez-vous et vérifiez que l’application est présente :

123az login --tenant '<CUSTOMER_TENANT_ID>'
az ad sp show --id '20a14814-5ab7-4612-a671-1382b412bf93' \
  --query '{name:displayName,objectId:id}' -o table

Si l’application est absente, ajoutez-la :

az ad sp create --id '20a14814-5ab7-4612-a671-1382b412bf93' \
  --query '{name:displayName,objectId:id}' -o table

Conservez l’identifiant d’objet propre à votre locataire pour l’attribution du rôle.

2. Créez la clé

Ouvrez Coffres de clés > Créer. Choisissez votre abonnement, votre groupe de ressources, le nom du coffre et la région. Sous Configuration de l’accès, choisissez Contrôle d’accès en fonction du rôle Azure.

Votre administrateur doit disposer d’un rôle qui autorise la création de clés, par exemple Key Vault Crypto Officer sur ce coffre. N’attribuez pas ce rôle à OpenAI.

Dans le coffre, ouvrez Objets > Clés > Générer/Importer et utilisez les paramètres suivants :

• Nom : <OPENAI_ORG_ID>--asymmetric-key, en remplaçant le paramètre par votre identifiant d’organisation OpenAI
• Type de clé : RSA
• Taille de la clé RSA : 3072
• Activée : Oui

Si vous définissez une date d’activation ou d’expiration, vérifiez que la clé est actuellement valide. Incluez Déchiffrer parmi les opérations autorisées pour la clé. OpenAI dispose uniquement d’un accès en lecture à la clé.

Les clés RSA-HSM hébergées dans un coffre de clés sont également prises en charge. Les points de terminaison Managed HSM autonomes ne sont pas pris en charge.

3. Accordez l’accès en lecture à la clé

Créez un rôle personnalisé avec la DataAction qui autorise la lecture de la clé. Enregistrez la définition suivante dans public-key-reader.json et remplacez les valeurs de l’abonnement et du groupe de ressources.

123456789101112{
  "Name": "OpenAI Public Key Reader",
  "IsCustom": true,
  "Description": "Read key metadata and public keys.",
  "Actions": [],
  "NotActions": [],
  "DataActions": ["Microsoft.KeyVault/vaults/keys/read"],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/<CUSTOMER_SUBSCRIPTION_ID>/resourceGroups/<CUSTOMER_RESOURCE_GROUP>"
  ]
}

Pour VAULT_RESOURCE_ID, utilisez l’identifiant de ressource Azure du coffre indiqué dans Propriétés, et non son URI HTTPS. Définissez OPENAI_SP_ID sur l’identifiant d’objet de l’application dans votre locataire, puis attribuez le rôle au niveau de la clé :

123456789101112az role definition create --role-definition @public-key-reader.json

OPENAI_SP_ID='<CUSTOMER_OPENAI_SP_OBJECT_ID>'
VAULT_RESOURCE_ID='<CUSTOMER_VAULT_RESOURCE_ID>'
KEY_NAME='<OPENAI_ORG_ID>--asymmetric-key'
KEY_SCOPE="$VAULT_RESOURCE_ID/keys/$KEY_NAME"

az role assignment create \
  --assignee-object-id "$OPENAI_SP_ID" \
  --assignee-principal-type ServicePrincipal \
  --role 'OpenAI Public Key Reader' \
  --scope "$KEY_SCOPE"

Si le coffre utilise les anciennes stratégies d’accès, accordez plutôt l’autorisation Get sur la clé. Conservez le modèle d’autorisations existant.

4. Notez la version exacte

Notez l’identifiant du locataire, l’URI du coffre et le nom de la clé. Ouvrez la version active de la clé et copiez les 32 caractères hexadécimaux qui identifient la version à la fin du champ Identificateur de clé.

1. Préparez le projet et la clé

Activez Cloud KMS dans le projet qui héberge la clé, puis IAM et Security Token Service dans le projet de fédération. S’il s’agit de deux projets distincts, activez Cloud KMS dans les deux.

Notez le numéro à 12 chiffres de votre projet de fédération. Le projet KMS peut être différent.

Ouvrez Sécurité > Gestion des clés. Créez un trousseau de clés, puis créez une clé avec les paramètres suivants :

• Niveau de protection : Logiciel
• Usage : Déchiffrement asymétrique
• Algorithme : RSA 3072 bits avec remplissage OAEP et hachage SHA256

Copiez l’identifiant du projet KMS, l’emplacement, le nom du trousseau, le nom de la clé et sa version active. Indiquez une version précise, par exemple "1". N’utilisez ni "latest" ni "0". Les clés asymétriques n’ont pas de version principale.

2. Configurez la fédération d’identités de charge de travail

Ouvrez IAM et administration > Fédération d’identités de charge de travail. Créez un pool global, par exemple openai-keys, et un fournisseur OIDC, par exemple openai-google, avec les paramètres suivants :

Utilisez votre identifiant d’organisation OpenAI comme audience. Conservez l’émetteur et le sujet OpenAI tels quels.

3. Créez et attribuez le rôle de lecture de la clé

Dans IAM et administration > Rôles, créez un rôle personnalisé dans le projet KMS avec les autorisations suivantes :

cloudkms.cryptoKeyVersions.get
cloudkms.cryptoKeyVersions.viewPublicKey

Les deux autorisations sont requises. Le rôle de lecteur de clé publique ne suffit pas à lui seul. Aucune autorisation de déchiffrement, de signature ou d’emprunt d’identité d’un compte de service n’est nécessaire.

Dans l’onglet Autorisations de la clé, choisissez Accorder l’accès. Attribuez le rôle au principal suivant en remplaçant <CUSTOMER_GCP_PROJECT_NUMBER> et <CUSTOMER_GCP_POOL_ID> :

principal://iam.googleapis.com/projects/<CUSTOMER_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<CUSTOMER_GCP_POOL_ID>/subject/105900137572174660365

Utilisez le numéro du projet qui héberge le pool et limitez l’autorisation à cette clé. Les autorisations IAM définies au niveau de la clé s’appliquent à ses versions. Pour l’enregistrement, conservez les identifiants du pool et du fournisseur, l’audience de l’organisation et les identifiants KMS.