Private Safety Processing を併用した ZDR

プロジェクトの読み取りと書き込みが可能な組織の Admin API キーを使用します。OPENAI_ADMIN_KEY に安全な方法で読み込んでください。プロジェクトの推論用キーは使用できません。以下の例では curl と Bash 互換のシェルを使用します。

組織 ID、プロジェクト ID、鍵の登録時に返された extkey ID を設定します。

123456API_BASE="https://api.openai.com/v1"
ORG_ID="<OPENAI_ORG_ID>"
PROJECT_ID="<CUSTOMER_PROJECT_ID>"
KEY_ID="<EXTERNAL_KEY_ID>"
OPENAI_ADMIN_KEY="<OPENAI_ADMIN_KEY>"
PROJECTS_URL="$API_BASE/organization/projects"

psp_decryption_key_id に、同じ組織で返された extkey ID を設定します。プロジェクトの EKM 鍵を指定する external_key_id は変更しないでください。

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data "{\"psp_decryption_key_id\":\"$KEY_ID\"}"

成功すると HTTP 200 が返ります。プロジェクト情報を取得し、選択した鍵を確認します。

123curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID"

プロジェクト一覧にも psp_decryption_key_id が含まれます。鍵の登録情報の api_project_ids には、その鍵を使用するプロジェクトが表示されます。psp_decryption_key_id を省略すると、現在の選択が維持されます。同じ ID を再度選択することもできます。

まず、PSP 復号用の鍵の選択に示した API 用の変数を設定します。

null を送信すると選択が解除されます。フィールドを省略すると、現在の選択が維持されます。

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data '{"psp_decryption_key_id":null}'

AWS を使用する場合は、以下の手順を実行します。他のクラウドを使用する場合は、Azure Blob Storage、Google Cloud Storage、または OCI Object Storage に進んでください。

1. バケットの作成

プロジェクトのデータレジデンシーに対応するリージョンに専用の S3 バケットを作成します。データレジデンシーが無効の場合は、バケットのリージョンを自由に選択できます。

• ACL 無効の設定を維持します。
• パブリックアクセスをすべてブロックを有効にします。
• バケットの ARN を控えます。以下の手順で CUSTOMER_BUCKET_ARN として使用します。

2. ライフサイクルルールの設定

バケットの管理 > ライフサイクルルールを作成を開き、次のように設定します。

• ルール名： psp-retention
• プレフィックス： openai/
• アクション： オブジェクトの現行バージョンを期限切れにする
• 経過日数： 30 日

ルールを有効にします。他のルールでこれらのレコードが 30 日より前に期限切れにならないことを確認してください。このルールはオブジェクトのライフサイクル上の有効期限を設定するものです。OpenAI の復号鍵の有効期限は別途設定されます。

3. アクセスポリシーの作成

IAM > ポリシー > ポリシーの作成で JSON を選択します。CUSTOMER_BUCKET_ARN をお客様のバケットの ARN（例：arn:aws:s3:::your-psp-bucket）に置き換え、ポリシーを psp-bucket-policy という名前で保存します。

123456789101112131415{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetLifecycleConfiguration",
      "Resource": "CUSTOMER_BUCKET_ARN"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "CUSTOMER_BUCKET_ARN/*"
    }
  ]
}

4. IAM ロールの作成

IAM > ロール > ロールを作成でカスタム信頼ポリシーを選択します。

以下のポリシーを使用します。CUSTOMER_PROJECT_ID をお客様の OpenAI プロジェクト ID に置き換えてください。OpenAI のプリンシパル ARN は変更しないでください。

1234567891011121314151617{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::790389265272:role/CustomerStorage"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": ["CUSTOMER_PROJECT_ID"]
        }
      }
    }
  ]
}

作成するロールに psp-bucket-policy をアタッチします。ロール名には psp-role を使用できます。ロールの ARN を CUSTOMER_ROLE_ARN として控えます。sts:ExternalId のプロジェクト ID は、登録先のプロジェクトと一致する必要があります。

ストレージの登録に進みます。

Azure を使用する場合は、以下の手順を実行します。

1. ストレージアカウントの作成

商用 Azure に専用アカウントを作成します。プロジェクトのデータレジデンシーに合う、承認済みの米国または EU のストレージリージョンを選択してください。

• アカウントの種類： StorageV2
• 基本 > パフォーマンス： Standard
• 基本 > 冗長性： LRS または ZRS（推奨）
• 詳細設定 > アクセス層： ホット
• 詳細設定 > 階層型名前空間： 無効
• ネットワーク > パブリックネットワークアクセス： すべてのネットワークから有効
• セキュリティ > 安全な転送： HTTPS 必須、TLS 1.2 以上
• セキュリティ > Blob への匿名アクセス： 無効
• セキュリティ > ストレージアカウントキーへのアクセス： 無効
• セキュリティ > Microsoft Entra 認可： 有効

ネットワーク設定がお客様のクラウド要件を満たしていることを確認します。アカウントのプライマリ Blob エンドポイントを使用してください。ソブリンクラウドのエンドポイントやカスタムエンドポイントは使用できません。

2. コンテナの作成

ストレージアカウント > データストレージ > コンテナ > コンテナの追加でプライベートコンテナを作成します。コンテナ > 設定 > メタデータを開き、openai_organization_id にお客様の OpenAI 組織 ID を正確に入力します。このフィールドは必須です。

コンテナの利用を 1 つの OpenAI プロジェクトに制限するには、openai_project_id にも対象のプロジェクト ID を正確に入力します。このフィールドは任意です。設定した場合、その ID と一致するプロジェクトだけが、コンテナの登録と検証、およびコンテナ内のデータの読み書きを行えます。

openai_project_id を省略し、ストレージのリージョンが両方のプロジェクトのデータレジデンシー要件を満たしていれば、同じ組織の 2 つの OpenAI プロジェクトでコンテナを共有できます。コンテナの登録と検証は、プロジェクトごとに行ってください。

メタデータの追加先はコンテナです。ストレージアカウントや個々の Blob には追加しないでください。

3. ライフサイクルルールの設定

ストレージアカウント > データ管理 > ライフサイクル管理 > 追加で、専用アカウント内のすべてのブロック Blob の現行バージョン（ベース Blob）を対象とするルールを追加し、有効にします。

• アクション： 最終更新から 30 日後に削除
• フィルター： プレフィックスフィルター、タグフィルターともになし

4. OpenAI へのアクセス権の付与

ディレクトリ管理者に依頼して、OpenAI のアプリケーションをテナントに追加します。以下の CUSTOMER_TENANT_ID をお客様の Azure テナント ID に置き換えてください。アプリケーション ID は変更しないでください。

123az login --tenant '<CUSTOMER_TENANT_ID>'
az ad sp create --id 'e5627955-3059-4a88-89f8-73843190624d' \
  --query '{name:displayName,objectId:id}' -o table

アプリケーションがすでに存在する場合は、az ad sp show に同じ --id とクエリを指定します。アプリケーション名と、テナント内でそのアプリケーションを識別するオブジェクト ID を控えます。

ストレージアカウントでストレージアカウント > アクセス制御（IAM）> ロールの割り当ての追加を開きます。閲覧者ロールを選び、アクセスの割り当て先をユーザー、グループ、またはサービスプリンシパルに設定して、CSG - Azure Blob Storage Prod を検索し、選択します。

次に、ストレージ Blob データ共同作成者ロールを選び、アクセスの割り当て先をユーザー、グループ、またはサービスプリンシパルに設定して、CSG - Azure Blob Storage Prod を検索し、選択します。

アプリケーションの資格情報は OpenAI が管理します。ストレージキー、SAS トークン、クライアントシークレットを作成したり共有したりしないでください。

1. バケットの作成

Cloud Storage > バケットで、OpenAI プロジェクトのデータレジデンシーに対応するロケーションにバケットを作成し、次のように設定します。

• 公開アクセスの防止：オン
• アクセス制御：均一

必要に応じて、デフォルトのデータ復元用の論理削除ポリシーを無効にできます。次の手順で、ライフサイクルルールによる削除を設定します。

グローバルプロジェクトの場合、使用するリージョンごとにこの GCP 設定を行います。

2. ライフサイクルルールの設定

バケットのライフサイクルタブで、オブジェクトを削除ルールを追加し、次の条件を設定します。

• オブジェクト名がプレフィックスと一致：openai/
• 経過日数：30 日

3. Google Cloud プロジェクト番号の確認

IAM と管理 > 設定で、ワークロード ID プールを含むプロジェクトのプロジェクト番号（数値）をコピーします。この値を <CUSTOMER_GCP_PROJECT_NUMBER> として使用します。

4. ワークロード ID プールとプロバイダの作成

IAM と管理 > ワークロード ID 連携でワークロード ID プールを作成し、OpenID Connect（OIDC） プロバイダを次の設定で追加します。

• 発行元（URL）：https://accounts.google.com
• 許可するオーディエンス：<CUSTOMER_PROJECT_ID>（お客様の OpenAI プロジェクト ID）

属性マッピングを次のように設定します。

以下の属性条件を設定します。OpenAI の本番 ID のサブジェクト 112981926705442324573 は変更しないでください。

assertion.sub == '112981926705442324573' && assertion.aud == '<CUSTOMER_PROJECT_ID>'

プール ID とプロバイダ ID を、それぞれ <CUSTOMER_GCP_POOL_ID> と <CUSTOMER_GCP_PROVIDER_ID> として控えます。

assertion.sub == '112981926705442324573' &&
(assertion.aud == '<CUSTOMER_PROJECT_ID_1>' || assertion.aud == '<CUSTOMER_PROJECT_ID_2>')

5. ストレージ用カスタムロールの作成

IAM と管理 > ロールで、バケットが属する Google Cloud プロジェクトに次の権限を持つカスタムロールを作成します。

storage.buckets.get
storage.objects.create
storage.objects.get
storage.objects.delete

6. OpenAI へのバケットアクセス権の付与

バケットの権限 > アクセス権を付与で、次のプリンシパルを追加します。

principalSet://iam.googleapis.com/projects/<CUSTOMER_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<CUSTOMER_GCP_POOL_ID>/attribute.openai_project/<CUSTOMER_PROJECT_ID>

手順 5 で作成したカスタムロールを選択します。

ストレージの登録に進みます。

1. バケットの作成

OCI コンソールでストレージ > オブジェクト・ストレージとアーカイブ・ストレージ > バケットを開き、専用バケットを作成します。プロジェクトのデータレジデンシーに合う商用リージョンを次の表から選択してください。

バケットは次のように設定します。

• ストレージ層： 標準（自動階層化は無効）
• 可視性： 非公開
• オブジェクトのバージョニング： 無効

レプリケーションは無効のままにします。バケット名とリージョン識別子を、それぞれ CUSTOMER_BUCKET_NAME と CUSTOMER_OCI_REGION として控えます。プロファイルを開き、テナンシ、お客様のテナンシ名の順に選択し、その OCID を CUSTOMER_TENANCY_OCID としてコピーします。テナンシは、バケットのリージョンをサブスクライブしている必要があります。

2. バケットタグの追加

バケットの作成時に以下のタグを追加するか、バケットの タグ タブを開いて 追加 を選択します。ネームスペース を なし（フリーフォーム・タグ） に設定し、OpenAI 組織 ID とプロジェクト ID を正確に入力してください。

アクセスポリシーとストレージ登録にも同じ ID を使用します。各バケットは、1 つの OpenAI 組織とその組織の 1 つのプロジェクトに紐付きます。

3. OpenAI へのアクセス権の付与

アイデンティティとセキュリティ > ポリシーでテナンシのルートコンパートメントを選択し、psp-storage-access という名前のポリシーを作成します。手動エディタの表示を有効にし、以下のステートメントを入力します。CUSTOMER_... の各プレースホルダーには、バケット名、リージョン、OpenAI 組織 ID、プロジェクト ID を指定してください。OpenAI のテナンシとグループの OCID の値は変更しないでください。

Define tenancy OpenAICSG as ocid1.tenancy.oc1..aaaaaaaa4kzwe5jdr4gsxft7dfnwbnp3aozhxeskabsqo7czdkbp6fkh3uha
Define group OpenAICSGProduction as ocid1.group.oc1..aaaaaaaanuot5i5kooasr6qh6qo4ohqljrrxx3javkl2tkedb7ljsluq62sa
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECTSTORAGE_NAMESPACE_READ} in tenancy
Admit group OpenAICSGProduction of tenancy OpenAICSG to {BUCKET_READ} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECT_READ, OBJECT_CREATE, OBJECT_OVERWRITE} in tenancy where all {target.bucket.name = 'CUSTOMER_BUCKET_NAME', target.object.name = 'openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/*'}
Allow service objectstorage-CUSTOMER_OCI_REGION to {BUCKET_INSPECT, BUCKET_READ, OBJECT_INSPECT, OBJECT_DELETE} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'

このポリシーにより、OpenAI はお客様の Object Storage ネームスペースを検索し、バケット設定を読み取り、プロジェクトのプレフィックス配下のオブジェクトを読み書きできます。ネームスペースの検索には、バケット条件のないテナンシレベルの権限が必要です。最後のステートメントは、Oracle のリージョン別 Object Storage サービスに、期限切れオブジェクトの削除を許可します。us-ashburn-1 リージョンでは、サービス名に objectstorage-us-ashburn-1 を使用してください。

ポリシーを保存します。資格情報は OpenAI が管理するため、API 署名キーやアクセスキーを作成したり共有したりする必要はありません。

4. ライフサイクルルールの設定

バケットのポリシータブを開きます。ライフサイクル・ポリシー・ルールでルールの作成を選択し、次のように設定します。

• 名前： psp-retention
• ターゲット： オブジェクト
• ライフサイクル・アクション： 削除
• 日数： 30

拡張オプションを展開し、状態は有効のままにします。オブジェクト名フィルタでフィルタの追加を選び、プレフィックスで含めるを選択して、末尾のスラッシュを含めた openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/ を入力します。

ルールを保存します。OCI からライフサイクル管理に必要な権限の自動追加を提案された場合も、手順 3 で付与したバケット単位の権限を維持してください。他のルールがこれらのオブジェクトを 30 日より前に削除したり、アーカイブストレージに移動したりしないことを確認します。保持ルールは、ライフサイクルによる削除ルールの代わりにはなりません。

ストレージの登録に進みます。