프라이빗 안전 처리를 적용한 ZDR

프로젝트 읽기 및 쓰기 권한이 있는 조직 Admin API 키를 사용하세요. 키를 OPENAI_ADMIN_KEY에 안전하게 불러오세요. 프로젝트 추론 키는 사용할 수 없습니다. 예제에서는 curl과 Bash 호환 셸을 사용합니다.

조직 ID, 프로젝트 ID, 키 등록 시 반환된 extkey ID를 설정하세요.

123456API_BASE="https://api.openai.com/v1"
ORG_ID="<OPENAI_ORG_ID>"
PROJECT_ID="<CUSTOMER_PROJECT_ID>"
KEY_ID="<EXTERNAL_KEY_ID>"
OPENAI_ADMIN_KEY="<OPENAI_ADMIN_KEY>"
PROJECTS_URL="$API_BASE/organization/projects"

psp_decryption_key_id를 같은 조직에서 반환된 extkey ID로 설정하세요. 프로젝트의 EKM 키를 지정하는 external_key_id는 변경하지 마세요.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data "{\"psp_decryption_key_id\":\"$KEY_ID\"}"

성공하면 HTTP 200이 반환됩니다. 프로젝트를 조회해 선택한 키를 확인하세요.

123curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID"

프로젝트 목록을 조회해도 psp_decryption_key_id가 반환됩니다. 키 등록 정보의 api_project_ids에는 연결된 프로젝트가 표시됩니다. psp_decryption_key_id를 생략하면 기존 선택이 유지됩니다. 같은 ID를 다시 선택해도 됩니다.

먼저 PSP 복호화 키 선택에 나온 API 변수를 설정하세요.

null을 보내면 키 선택이 해제됩니다. 필드를 생략하면 기존 선택이 유지됩니다.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data '{"psp_decryption_key_id":null}'

AWS를 사용한다면 다음 절차를 완료하세요. 다른 클라우드를 사용한다면 Azure Blob Storage, Google Cloud Storage, OCI Object Storage 중 해당 섹션으로 이동하세요.

1. 버킷 생성

프로젝트의 데이터 레지던시 요건을 충족하는 리전에 전용 S3 버킷을 생성하세요. 데이터 레지던시가 꺼져 있다면 어느 리전에나 버킷을 생성할 수 있습니다.

• ACL 비활성화 설정을 유지하세요.
• 모든 퍼블릭 액세스 차단을 켜세요.
• 버킷 ARN을 기록해 두세요. 아래에서 CUSTOMER_BUCKET_ARN으로 사용합니다.

2. 수명 주기 규칙 설정

버킷의 관리 > 수명 주기 규칙 생성 페이지를 열고 다음과 같이 설정하세요.

• 규칙 이름: psp-retention
• 접두사: openai/
• 작업: 객체의 현재 버전 만료
• 경과 일수: 30일

규칙을 활성화하세요. 다른 규칙에 따라 이 기록들이 더 일찍 만료되지 않는지 확인하세요. 이 설정은 객체의 수명 주기 만료 시점을 결정합니다. OpenAI의 복호화 키 만료 시점은 별도로 관리됩니다.

3. 접근 정책 생성

IAM > 정책 > 정책 생성에서 JSON을 선택하세요. CUSTOMER_BUCKET_ARN을 실제 버킷 ARN(예: arn:aws:s3:::your-psp-bucket)으로 바꾸고 정책 이름을 psp-bucket-policy로 저장하세요.

123456789101112131415{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetLifecycleConfiguration",
      "Resource": "CUSTOMER_BUCKET_ARN"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "CUSTOMER_BUCKET_ARN/*"
    }
  ]
}

4. IAM 역할 생성

IAM > 역할 > 역할 생성에서 사용자 지정 신뢰 정책을 선택하세요.

아래 정책을 사용하세요. CUSTOMER_PROJECT_ID를 실제 OpenAI 프로젝트 ID로 바꾸세요. OpenAI 보안 주체의 ARN은 변경하지 마세요.

1234567891011121314151617{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::790389265272:role/CustomerStorage"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": ["CUSTOMER_PROJECT_ID"]
        }
      }
    }
  ]
}

생성 중인 역할에 psp-bucket-policy를 연결하세요. 역할 이름은 psp-role로 지정해도 됩니다. 역할 ARN을 CUSTOMER_ROLE_ARN으로 기록해 두세요. sts:ExternalId의 프로젝트 ID는 등록할 프로젝트의 ID와 일치해야 합니다.

스토리지 등록으로 이동하세요.

Azure를 사용한다면 다음 절차를 완료하세요.

1. 스토리지 계정 생성

Azure 상용 클라우드에 전용 계정을 생성하세요. 프로젝트의 데이터 레지던시와 일치하는 미국 또는 EU의 승인된 스토리지 리전을 선택하세요.

• 계정 종류: StorageV2
• 기본 사항 > 성능: 표준
• 기본 사항 > 중복성: LRS 또는 ZRS(권장)
• 고급 > 액세스 계층: 핫
• 고급 > 계층 구조 네임스페이스: 사용 안 함
• 네트워킹 > 공용 네트워크 액세스: 모든 네트워크에서 사용
• 보안 > 보안 전송: HTTPS 필수, 최소 TLS 1.2
• 보안 > 익명 Blob 액세스: 사용 안 함
• 보안 > 스토리지 계정 키 액세스: 사용 안 함
• 보안 > Microsoft Entra 권한 부여: 사용

네트워크 설정이 고객의 클라우드 요건을 충족하는지 확인하세요. 소버린 클라우드 엔드포인트나 사용자 지정 엔드포인트 대신 계정의 기본 Blob 엔드포인트를 사용하세요.

2. 컨테이너 생성

스토리지 계정 > 데이터 스토리지 > 컨테이너 > 컨테이너 추가에서 프라이빗 컨테이너를 생성하세요. 컨테이너 > 설정 > 메타데이터를 열고 openai_organization_id에 정확한 OpenAI 조직 ID를 입력하세요. 이 필드는 필수입니다.

하나의 OpenAI 프로젝트만 컨테이너를 사용하도록 제한하려면 openai_project_id에도 해당 프로젝트의 정확한 ID를 입력하세요. 이 필드는 선택 사항입니다. 값을 지정하면 ID가 일치하는 프로젝트만 컨테이너를 등록하거나 검증할 수 있고, 컨테이너에서 데이터를 읽거나 컨테이너에 데이터를 쓸 수 있습니다.

openai_project_id를 생략하고 스토리지 리전이 두 프로젝트의 데이터 레지던시 요건을 모두 충족하면 같은 조직에 속한 두 OpenAI 프로젝트가 컨테이너를 공유할 수 있습니다. 각 프로젝트에서 컨테이너를 등록하고 검증하세요.

메타데이터는 스토리지 계정이나 개별 Blob이 아닌 컨테이너에 추가하세요.

3. 수명 주기 규칙 설정

스토리지 계정 > 데이터 관리 > 수명 주기 관리 > 추가에서 전용 계정의 모든 현재(기본) 블록 Blob에 적용되는 규칙을 추가하고 활성화하세요.

• 작업: 마지막 수정 후 30일이 지나면 삭제
• 필터: 접두사 또는 태그 필터 없음

4. OpenAI에 접근 권한 부여

디렉터리 관리자에게 OpenAI 애플리케이션을 테넌트에 추가하도록 요청하세요. 아래의 CUSTOMER_TENANT_ID를 실제 Azure 테넌트 ID로 바꾸세요. 애플리케이션 ID는 변경하지 마세요.

123az login --tenant '<CUSTOMER_TENANT_ID>'
az ad sp create --id 'e5627955-3059-4a88-89f8-73843190624d' \
  --query '{name:displayName,objectId:id}' -o table

애플리케이션이 이미 있으면 az ad sp show에 동일한 --id와 쿼리를 사용하세요. 애플리케이션 이름과 해당 테넌트 내의 개체 ID를 기록해 두세요.

스토리지 계정에서 스토리지 계정 > 액세스 제어(IAM) > 역할 할당 추가를 여세요. 읽기 권한자 역할을 선택하고 다음에 대한 액세스 할당을 사용자, 그룹 또는 서비스 주체로 설정한 다음 CSG - Azure Blob Storage Prod를 검색해 선택하세요.

그런 다음 Storage Blob 데이터 기여자 역할을 선택하고 다음에 대한 액세스 할당을 사용자, 그룹 또는 서비스 주체로 설정한 후 CSG - Azure Blob Storage Prod를 검색해 선택하세요.

애플리케이션 자격 증명은 OpenAI가 관리합니다. 스토리지 키, SAS 토큰, 클라이언트 비밀을 생성하거나 공유하지 마세요.

1. 버킷 생성

Cloud Storage > 버킷에서 OpenAI 프로젝트의 데이터 레지던시 요건을 충족하는 위치에 버킷을 생성하고 다음과 같이 설정하세요.

• 공개 액세스 방지: 사용
• 액세스 제어: 균일

기본 소프트 삭제 정책(데이터 복구용) 설정은 필요에 따라 비활성화해도 됩니다. 다음 단계에서 수명 주기에 따른 삭제를 구성합니다.

글로벌 프로젝트의 경우 사용할 리전마다 이 GCP 설정을 반복하세요.

2. 수명 주기 규칙 설정

버킷의 수명 주기 탭에서 다음 조건으로 객체 삭제 규칙을 추가하세요.

• 객체 이름이 접두사와 일치: openai/
• 경과 일수: 30일

3. Google Cloud 프로젝트 번호 확인

IAM 및 관리자 > 설정에서 워크로드 아이덴티티 풀이 속한 프로젝트의 프로젝트 번호(숫자)를 복사해 <CUSTOMER_GCP_PROJECT_NUMBER>로 사용하세요.

4. 워크로드 아이덴티티 풀 및 공급자 생성

IAM 및 관리자 > 워크로드 아이덴티티 제휴에서 워크로드 아이덴티티 풀을 생성하고 다음 설정으로 OpenID Connect(OIDC) 공급자를 추가하세요.

• 발급기관(URL): https://accounts.google.com
• 허용된 대상: <CUSTOMER_PROJECT_ID>(고객의 OpenAI 프로젝트 ID)

다음과 같이 속성을 매핑하세요.

아래 속성 조건을 설정하세요. OpenAI 프로덕션 ID의 주체 값 112981926705442324573은 변경하지 마세요.

assertion.sub == '112981926705442324573' && assertion.aud == '<CUSTOMER_PROJECT_ID>'

풀 ID와 공급자 ID를 각각 <CUSTOMER_GCP_POOL_ID>와 <CUSTOMER_GCP_PROVIDER_ID>로 기록해 두세요.

assertion.sub == '112981926705442324573' &&
(assertion.aud == '<CUSTOMER_PROJECT_ID_1>' || assertion.aud == '<CUSTOMER_PROJECT_ID_2>')

5. 커스텀 스토리지 역할 생성

IAM 및 관리자 > 역할에서 버킷이 속한 Google Cloud 프로젝트에 다음 권한을 가진 커스텀 역할을 생성하세요.

storage.buckets.get
storage.objects.create
storage.objects.get
storage.objects.delete

6. OpenAI에 버킷 접근 권한 부여

버킷의 권한 > 액세스 권한 부여에서 다음 주체를 추가하세요.

principalSet://iam.googleapis.com/projects/<CUSTOMER_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<CUSTOMER_GCP_POOL_ID>/attribute.openai_project/<CUSTOMER_PROJECT_ID>

5단계에서 생성한 커스텀 역할을 선택하세요.

스토리지 등록으로 이동하세요.

1. 버킷 생성

OCI 콘솔에서 스토리지 > 오브젝트 스토리지 및 아카이브 스토리지 > 버킷을 열고 전용 버킷을 생성하세요. 다음 표에서 프로젝트의 데이터 레지던시와 일치하는 상용 리전을 선택하세요.

버킷을 다음과 같이 설정하세요.

• 스토리지 계층: 표준(자동 계층화 비활성화)
• 공개 범위: 비공개
• 객체 버전 관리: 사용 안 함

복제는 비활성화 상태로 두세요. 버킷 이름과 리전 식별자를 각각 CUSTOMER_BUCKET_NAME과 CUSTOMER_OCI_REGION으로 기록해 두세요. 프로필을 열고 테넌시를 선택한 다음 테넌시 이름을 선택하세요. 해당 OCID를 복사해 CUSTOMER_TENANCY_OCID로 사용하세요. 테넌시에서 버킷의 리전을 구독하고 있어야 합니다.

2. 버킷 태그 추가

버킷을 생성할 때 다음 태그를 추가하거나 버킷의 태그 탭을 열고 추가를 선택하세요. 네임스페이스에서 없음(자유 형식 태그) 항목을 선택하고 정확한 OpenAI 조직 ID와 프로젝트 ID를 입력하세요.

접근 정책과 스토리지 등록에도 동일한 ID를 사용하세요. 각 버킷은 하나의 OpenAI 조직과 하나의 프로젝트에 연결됩니다.

3. OpenAI에 접근 권한 부여

ID 및 보안 > 정책에서 테넌시의 루트 구획을 선택하고 psp-storage-access라는 정책을 생성하세요. 수동 편집기 표시를 켠 다음 아래 정책문을 입력하세요. CUSTOMER_... 자리표시자에는 실제 버킷 이름, 리전, OpenAI 조직 ID와 프로젝트 ID를 입력하세요. OpenAI의 테넌시 및 그룹 OCID 값은 변경하지 마세요.

Define tenancy OpenAICSG as ocid1.tenancy.oc1..aaaaaaaa4kzwe5jdr4gsxft7dfnwbnp3aozhxeskabsqo7czdkbp6fkh3uha
Define group OpenAICSGProduction as ocid1.group.oc1..aaaaaaaanuot5i5kooasr6qh6qo4ohqljrrxx3javkl2tkedb7ljsluq62sa
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECTSTORAGE_NAMESPACE_READ} in tenancy
Admit group OpenAICSGProduction of tenancy OpenAICSG to {BUCKET_READ} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECT_READ, OBJECT_CREATE, OBJECT_OVERWRITE} in tenancy where all {target.bucket.name = 'CUSTOMER_BUCKET_NAME', target.object.name = 'openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/*'}
Allow service objectstorage-CUSTOMER_OCI_REGION to {BUCKET_INSPECT, BUCKET_READ, OBJECT_INSPECT, OBJECT_DELETE} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'

이 정책은 OpenAI가 고객의 Object Storage 네임스페이스를 조회하고, 버킷 구성을 읽고, 프로젝트 접두사 아래의 객체를 읽고 쓸 수 있도록 허용합니다. 네임스페이스를 조회하려면 버킷 조건이 없는 테넌시 수준 권한이 필요합니다. 마지막 정책문은 Oracle의 리전별 Object Storage 서비스가 만료된 객체를 삭제할 수 있도록 허용합니다. us-ashburn-1 리전에서는 서비스 이름으로 objectstorage-us-ashburn-1을 사용하세요.

정책을 저장하세요. OpenAI가 자체 자격 증명을 관리하므로 API 서명 키나 액세스 키를 생성하거나 공유할 필요가 없습니다.

4. 수명 주기 규칙 설정

버킷의 정책 탭을 여세요. 수명 주기 정책 규칙에서 규칙 생성을 선택하고 다음과 같이 설정하세요.

• 이름: psp-retention
• 대상: 객체
• 수명 주기 작업: 삭제
• 일수: 30

고급 옵션을 펼치고 상태는 사용으로 유지하세요. 객체 이름 필터에서 필터 추가를 선택하고 접두사로 포함을 선택한 다음 마지막 슬래시까지 포함해 openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/를 입력하세요.

규칙을 저장하세요. OCI에서 수명 주기 권한을 자동으로 추가할지 묻더라도 3단계에서 버킷 범위로 제한한 권한을 유지하세요. 다른 규칙이 이 객체들을 더 일찍 삭제하거나 아카이브 스토리지로 이동시키지 않는지 확인하세요. 보존 규칙으로 수명 주기 삭제 규칙을 대체할 수 없습니다.

스토리지 등록으로 이동하세요.