ZDR avec traitement privé des contrôles de sécurité

Utilisez une clé API d’administration de l’organisation disposant d’un accès en lecture et en écriture au projet. Chargez-la de manière sécurisée dans OPENAI_ADMIN_KEY. Les clés d’inférence du projet ne conviennent pas. Les exemples utilisent curl et un shell compatible avec Bash.

Définissez votre identifiant d’organisation, l’identifiant du projet et l’identifiant extkey renvoyé lors de l’enregistrement de la clé :

123456API_BASE="https://api.openai.com/v1"
ORG_ID="<OPENAI_ORG_ID>"
PROJECT_ID="<CUSTOMER_PROJECT_ID>"
KEY_ID="<EXTERNAL_KEY_ID>"
OPENAI_ADMIN_KEY="<OPENAI_ADMIN_KEY>"
PROJECTS_URL="$API_BASE/organization/projects"

Attribuez à psp_decryption_key_id l’identifiant extkey renvoyé pour la même organisation. Conservez la valeur de external_key_id, qui détermine la clé EKM du projet.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data "{\"psp_decryption_key_id\":\"$KEY_ID\"}"

En cas de réussite, l’API renvoie le code HTTP 200. Récupérez les informations du projet pour confirmer la sélection :

123curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID"

Les listes de projets renvoient également psp_decryption_key_id. Le champ api_project_ids de la clé enregistrée indique les projets associés. Si vous omettez psp_decryption_key_id, la sélection est conservée. Vous pouvez sélectionner à nouveau le même identifiant.

Définissez d’abord les variables d’API indiquées dans la section Sélection d’une clé de déchiffrement PSP.

Envoyez null pour annuler la sélection. Si vous omettez le champ, la sélection est conservée.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data '{"psp_decryption_key_id":null}'

Si vous utilisez AWS, suivez les étapes ci-dessous. Pour les autres fournisseurs cloud, passez à Azure Blob Storage, Google Cloud Storage ou OCI Object Storage.

1. Créez le bucket

Créez un bucket S3 dédié dans une région compatible avec les exigences de résidence des données du projet. Si la résidence des données est désactivée, vous pouvez choisir n’importe quelle région pour votre bucket.

• Laissez les ACL désactivées.
• Activez Bloquer tous les accès publics.
• Notez l’ARN du bucket. Vous l’utiliserez comme valeur de CUSTOMER_BUCKET_ARN ci-dessous.

2. Configurez la règle de cycle de vie

Dans le bucket, ouvrez Gestion > Créer une règle de cycle de vie et utilisez les paramètres suivants :

• Nom de la règle : psp-retention
• Préfixe : openai/
• Action : faire expirer les versions actuelles des objets
• Âge : 30 jours

Activez la règle. Vérifiez qu’aucune autre règle ne fait expirer ces enregistrements plus tôt. Cette règle détermine la date d’expiration des objets. L’expiration de la clé de déchiffrement d’OpenAI est gérée séparément.

3. Créez la politique d’accès

Dans IAM > Politiques > Créer une politique, choisissez JSON. Remplacez CUSTOMER_BUCKET_ARN par l’ARN de votre bucket, par exemple arn:aws:s3:::your-psp-bucket, puis enregistrez la politique sous le nom psp-bucket-policy.

123456789101112131415{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetLifecycleConfiguration",
      "Resource": "CUSTOMER_BUCKET_ARN"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "CUSTOMER_BUCKET_ARN/*"
    }
  ]
}

4. Créez le rôle IAM

Dans IAM > Rôles > Créer un rôle, choisissez Politique de confiance personnalisée.

Utilisez la politique ci-dessous. Remplacez CUSTOMER_PROJECT_ID par l’identifiant de votre projet OpenAI. Conservez l’ARN du principal OpenAI tel quel.

1234567891011121314151617{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::790389265272:role/CustomerStorage"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": ["CUSTOMER_PROJECT_ID"]
        }
      }
    }
  ]
}

Associez psp-bucket-policy au rôle que vous créez. Vous pouvez nommer ce rôle psp-role. Notez son ARN comme valeur de CUSTOMER_ROLE_ARN. L’identifiant de projet dans sts:ExternalId doit correspondre au projet que vous enregistrez.

Passez à la section Enregistrement du stockage.

Si vous utilisez Azure, suivez les étapes ci-dessous.

1. Créez le compte de stockage

Créez un compte dédié dans le cloud commercial Azure. Choisissez une région de stockage approuvée aux États-Unis ou dans l’UE qui respecte les exigences de résidence des données du projet.

• Type de compte : StorageV2
• Informations de base > Performances : Standard
• Informations de base > Redondance : LRS ou ZRS (de préférence)
• Avancé > Niveau d’accès : Chaud
• Avancé > Espace de noms hiérarchique : désactivé
• Mise en réseau > Accès au réseau public : activé depuis tous les réseaux
• Sécurité > Transfert sécurisé : HTTPS obligatoire, TLS 1.2 minimum
• Sécurité > Accès anonyme aux blobs : désactivé
• Sécurité > Accès par clé au compte de stockage : désactivé
• Sécurité > Autorisation Microsoft Entra : activée

Vérifiez que le paramètre réseau respecte les exigences de votre environnement cloud. Utilisez le point de terminaison Blob principal du compte. Les points de terminaison de clouds souverains ou personnalisés ne conviennent pas.

2. Créez le conteneur

Créez un conteneur privé dans Compte de stockage > Stockage des données > Conteneurs > Ajouter un conteneur. Ouvrez Conteneur > Paramètres > Métadonnées et attribuez à openai_organization_id la valeur exacte de votre identifiant d’organisation OpenAI. Ce champ est obligatoire.

Pour réserver le conteneur à un seul projet OpenAI, attribuez également à openai_project_id l’identifiant exact du projet. Ce champ est facultatif. Seul le projet correspondant peut enregistrer ou valider le conteneur, y lire des données ou y écrire.

Deux projets OpenAI de la même organisation peuvent partager le conteneur si vous omettez openai_project_id et si la région de stockage respecte les exigences de résidence des données des deux projets. Enregistrez et validez le conteneur pour chaque projet.

Ajoutez ces métadonnées au conteneur, et non au compte de stockage ou aux blobs individuels.

3. Configurez la règle de cycle de vie

Dans Compte de stockage > Gestion des données > Gestion du cycle de vie > Ajouter, ajoutez une règle activée qui s’applique à tous les blobs de blocs dans leur version actuelle (blobs de base) du compte dédié :

• Action : supprimer 30 jours après la dernière modification
• Filtres : aucun filtre par préfixe ou par balise

4. Accordez l’accès à OpenAI

Demandez à l’administrateur de votre annuaire d’ajouter l’application d’OpenAI à votre locataire. Remplacez CUSTOMER_TENANT_ID ci-dessous par l’identifiant de votre locataire Azure. Conservez l’identifiant de l’application tel quel.

123az login --tenant '<CUSTOMER_TENANT_ID>'
az ad sp create --id 'e5627955-3059-4a88-89f8-73843190624d' \
  --query '{name:displayName,objectId:id}' -o table

Si l’application existe déjà, utilisez az ad sp show avec le même --id et la même requête. Notez le nom de l’application et son identifiant d’objet propre au locataire.

Dans votre compte de stockage, ouvrez Compte de stockage > Contrôle d’accès (IAM) > Ajouter une attribution de rôle. Sélectionnez le rôle Lecteur, réglez Attribuer l’accès à sur Utilisateur, groupe ou principal de service, puis recherchez et sélectionnez CSG - Azure Blob Storage Prod.

Sélectionnez ensuite le rôle Contributeur aux données Blob du stockage, réglez Attribuer l’accès à sur Utilisateur, groupe ou principal de service, puis recherchez et sélectionnez CSG - Azure Blob Storage Prod.

OpenAI gère les informations d’identification de l’application. Ne créez et ne partagez aucune clé de stockage, aucun jeton SAS ni aucun secret client.

1. Créez le bucket

Dans Cloud Storage > Buckets, créez un bucket à un emplacement compatible avec les exigences de résidence des données de votre projet OpenAI. Utilisez les paramètres suivants :

• Prévention de l’accès public : activée.
• Contrôle des accès : uniforme.

Vous pouvez désactiver la politique de suppression réversible (pour la récupération des données) activée par défaut. L’étape suivante configure la suppression selon le cycle de vie.

Pour les projets à portée mondiale, répétez cette configuration GCP dans chaque région que vous comptez utiliser.

2. Configurez la règle de cycle de vie

Dans l’onglet Cycle de vie du bucket, ajoutez une règle Supprimer l’objet avec les conditions suivantes :

• Le nom de l’objet commence par le préfixe : openai/.
• Âge : 30 jours.

3. Relevez le numéro de votre projet Google Cloud

Dans IAM et administration > Paramètres, copiez la valeur numérique du champ Numéro du projet du projet qui contient votre pool d’identités de charge de travail. Elle correspond à <CUSTOMER_GCP_PROJECT_NUMBER>.

4. Créez le pool d’identités de charge de travail et le fournisseur

Dans IAM et administration > Fédération d’identités de charge de travail, créez un pool d’identités de charge de travail et ajoutez un fournisseur OpenID Connect (OIDC) avec les paramètres suivants :

• Émetteur (URL) : https://accounts.google.com.
• Audiences autorisées : <CUSTOMER_PROJECT_ID> (identifiant de votre projet OpenAI).

Configurez les correspondances d’attributs suivantes :

Définissez la condition d’attribut ci-dessous. Conservez la valeur 112981926705442324573 du sujet de l’identité de production d’OpenAI.

assertion.sub == '112981926705442324573' && assertion.aud == '<CUSTOMER_PROJECT_ID>'

Notez les identifiants du pool et du fournisseur. Ils correspondent respectivement à <CUSTOMER_GCP_POOL_ID> et à <CUSTOMER_GCP_PROVIDER_ID>.

assertion.sub == '112981926705442324573' &&
(assertion.aud == '<CUSTOMER_PROJECT_ID_1>' || assertion.aud == '<CUSTOMER_PROJECT_ID_2>')

5. Créez le rôle de stockage personnalisé

Dans IAM et administration > Rôles, créez un rôle personnalisé dans le projet Google Cloud du bucket et attribuez-lui les permissions suivantes :

storage.buckets.get
storage.objects.create
storage.objects.get
storage.objects.delete

6. Accordez à OpenAI l’accès au bucket

Dans Autorisations > Accorder l’accès pour le bucket, ajoutez le principal suivant :

principalSet://iam.googleapis.com/projects/<CUSTOMER_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<CUSTOMER_GCP_POOL_ID>/attribute.openai_project/<CUSTOMER_PROJECT_ID>

Sélectionnez le rôle personnalisé créé à l’étape 5.

Passez à la section Enregistrement du stockage.

1. Créez le bucket

Dans la console OCI, ouvrez Stockage > Stockage d’objets et stockage d’archives > Buckets et créez un bucket dédié. Dans le tableau ci-dessous, choisissez une région commerciale compatible avec les exigences de résidence des données du projet :

Utilisez les paramètres de bucket suivants :

• Niveau de stockage : Standard, avec changement automatique de niveau désactivé
• Visibilité : privé
• Gestion des versions d’objets : désactivée

Laissez la réplication désactivée. Notez le nom du bucket et l’identifiant de la région comme valeurs respectives de CUSTOMER_BUCKET_NAME et de CUSTOMER_OCI_REGION. Ouvrez Profil, sélectionnez Location, puis le nom de votre location, et copiez son OCID comme valeur de CUSTOMER_TENANCY_OCID. Votre location doit être abonnée à la région du bucket.

2. Ajoutez les balises du bucket

Ajoutez les balises suivantes lors de la création du bucket, ou ouvrez son onglet Balises et sélectionnez Ajouter. Réglez Espace de noms sur Aucun (balise à format libre) et utilisez les identifiants exacts de votre organisation et de votre projet OpenAI :

Utilisez les mêmes identifiants dans la politique d’accès et lors de l’enregistrement du stockage. Chaque bucket est associé à une seule organisation OpenAI et à un seul projet.

3. Accordez l’accès à OpenAI

Dans Identité et sécurité > Politiques, sélectionnez le compartiment racine de votre location et créez une politique nommée psp-storage-access. Activez Afficher l’éditeur manuel et saisissez les instructions suivantes en remplaçant les paramètres CUSTOMER_... par le nom du bucket, la région et les identifiants de votre organisation et de votre projet OpenAI. Conservez les valeurs des OCID de la location et du groupe d’OpenAI telles quelles.

Define tenancy OpenAICSG as ocid1.tenancy.oc1..aaaaaaaa4kzwe5jdr4gsxft7dfnwbnp3aozhxeskabsqo7czdkbp6fkh3uha
Define group OpenAICSGProduction as ocid1.group.oc1..aaaaaaaanuot5i5kooasr6qh6qo4ohqljrrxx3javkl2tkedb7ljsluq62sa
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECTSTORAGE_NAMESPACE_READ} in tenancy
Admit group OpenAICSGProduction of tenancy OpenAICSG to {BUCKET_READ} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECT_READ, OBJECT_CREATE, OBJECT_OVERWRITE} in tenancy where all {target.bucket.name = 'CUSTOMER_BUCKET_NAME', target.object.name = 'openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/*'}
Allow service objectstorage-CUSTOMER_OCI_REGION to {BUCKET_INSPECT, BUCKET_READ, OBJECT_INSPECT, OBJECT_DELETE} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'

Cette politique permet à OpenAI de rechercher votre espace de noms Object Storage, de lire la configuration du bucket, ainsi que de lire et d’écrire les objets dont le nom commence par le préfixe du projet. La recherche de l’espace de noms nécessite une permission au niveau de la location, sans condition portant sur le bucket. La dernière instruction permet au service Object Storage régional d’Oracle de supprimer les objets expirés. Pour la région us-ashburn-1, utilisez objectstorage-us-ashburn-1 comme nom de service.

Enregistrez la politique. OpenAI gère ses informations d’identification. Vous n’avez pas besoin de créer ni de partager de clé de signature d’API ou de clé d’accès.

4. Configurez la règle de cycle de vie

Ouvrez l’onglet Politiques du bucket. Sous Règles de politique de cycle de vie, sélectionnez Créer une règle et utilisez les paramètres suivants :

• Nom : psp-retention
• Cible : objets
• Action de cycle de vie : supprimer
• Nombre de jours : 30

Développez les Options avancées et laissez le champ État sur Activé. Sous Filtres de nom d’objet, sélectionnez Ajouter un filtre, choisissez Inclure par préfixe et saisissez openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/, en conservant la barre oblique finale.

Enregistrez la règle. Si OCI propose d’ajouter automatiquement les permissions de cycle de vie, conservez l’autorisation limitée au bucket définie à l’étape 3. Vérifiez qu’aucune autre règle ne supprime ces objets plus tôt ni ne les déplace vers le stockage d’archives. Une règle de conservation ne remplace pas la règle de suppression liée au cycle de vie.

Passez à la section Enregistrement du stockage.