Configurar chaves assimétricas

1. Crie uma chave RSA

Acesse KMS > Chaves gerenciadas pelo cliente > Criar chave e escolha sua região. Use as seguintes configurações:

• Tipo de chave: Assimétrica
• Uso da chave: Criptografar e descriptografar
• Especificação da chave: RSA_3072

Conclua a criação da chave selecionando seus próprios administradores de chaves. Mantenha a chave habilitada e copie o ARN completo, que termina em key/<CUSTOMER_KMS_KEY_ID>. Não use o ARN de um alias.

2. Crie uma política de leitura da chave pública

Acesse IAM > Políticas > Criar política > JSON. Substitua <CUSTOMER_KMS_KEY_ARN> e salve esta política como OpenAI-PublicKeyRead.

12345678910{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["kms:DescribeKey", "kms:GetPublicKey"],
      "Resource": "<CUSTOMER_KMS_KEY_ARN>"
    }
  ]
}

A chave permite descriptografar dados, mas a OpenAI precisa apenas dessas permissões de leitura. Não conceda à OpenAI acesso de usuário ou de administrador da chave.

3. Crie a função do IAM com a política de confiança

Acesse IAM > Funções > Criar função > Política de confiança personalizada. Substitua <OPENAI_ORG_ID> pelo ID da organização na OpenAI. Mantenha o principal da OpenAI como está.

1234567891011121314151617{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::790389265272:role/EnterpriseKeyManagement"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "<OPENAI_ORG_ID>"
        }
      }
    }
  ]
}

Anexe a política OpenAI-PublicKeyRead e crie a função. Copie o ARN da função. Ao registrar a chave, use o mesmo ID da organização como valor de external_id.

4. Verifique a política da chave do KMS

Confirme se a política da chave autoriza a função. Se a política não delegar a autorização ao IAM, adicione a declaração abaixo. Substitua <CUSTOMER_ROLE_ARN> e preserve o acesso dos administradores atuais.

Nesta política do KMS, "Resource": "*" se aplica apenas à chave à qual a política está anexada. A política do IAM usa o ARN exato da chave.

123456789{
  "Sid": "AllowPublicKeyRead",
  "Effect": "Allow",
  "Principal": {
    "AWS": "<CUSTOMER_ROLE_ARN>"
  },
  "Action": ["kms:DescribeKey", "kms:GetPublicKey"],
  "Resource": "*"
}

Guarde o ARN da função e o ARN da chave para o registro.

1. Adicione o aplicativo empresarial da OpenAI

Peça a um administrador do locatário que adicione EKM - OpenAI Azure ao seu locatário. O ID do aplicativo é 20a14814-5ab7-4612-a671-1382b412bf93.

Instale a CLI do Azure, entre na sua conta e verifique se o aplicativo está presente:

123az login --tenant '<CUSTOMER_TENANT_ID>'
az ad sp show --id '20a14814-5ab7-4612-a671-1382b412bf93' \
  --query '{name:displayName,objectId:id}' -o table

Se o aplicativo estiver ausente, adicione-o:

az ad sp create --id '20a14814-5ab7-4612-a671-1382b412bf93' \
  --query '{name:displayName,objectId:id}' -o table

Guarde o ID do objeto no seu locatário para atribuir a função.

2. Crie a chave

Acesse Cofres de chaves > Criar. Selecione a assinatura, o grupo de recursos, o nome do cofre e a região. Em Configuração de acesso, escolha Controle de acesso baseado em funções do Azure.

Seu administrador precisa de uma função que permita criar chaves, como Key Vault Crypto Officer neste cofre. Não conceda essa função à OpenAI.

No cofre, acesse Objetos > Chaves > Gerar/Importar e use as seguintes configurações:

• Nome: <OPENAI_ORG_ID>--asymmetric-key, usando o ID da organização na OpenAI
• Tipo de chave: RSA
• Tamanho da chave RSA: 3072
• Habilitada: Sim

Se você definir datas de ativação ou expiração, verifique se a chave está válida no momento. Inclua Descriptografar entre as operações permitidas para a chave. A OpenAI recebe apenas acesso de leitura à chave.

Também há suporte a chaves RSA-HSM armazenadas em um cofre do Azure Key Vault. Não há suporte a endpoints autônomos do HSM Gerenciado.

3. Conceda acesso de leitura à chave

Crie uma função personalizada com a DataAction de leitura de chaves. Salve a definição abaixo como public-key-reader.json e substitua os valores da assinatura e do grupo de recursos.

123456789101112{
  "Name": "OpenAI Public Key Reader",
  "IsCustom": true,
  "Description": "Read key metadata and public keys.",
  "Actions": [],
  "NotActions": [],
  "DataActions": ["Microsoft.KeyVault/vaults/keys/read"],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/<CUSTOMER_SUBSCRIPTION_ID>/resourceGroups/<CUSTOMER_RESOURCE_GROUP>"
  ]
}

Em VAULT_RESOURCE_ID, use o ID de recurso do Azure que aparece em Propriedades do cofre. Não use o URI HTTPS do cofre. Em OPENAI_SP_ID, use o ID do objeto do aplicativo no seu locatário. Em seguida, atribua a função no escopo da chave:

123456789101112az role definition create --role-definition @public-key-reader.json

OPENAI_SP_ID='<CUSTOMER_OPENAI_SP_OBJECT_ID>'
VAULT_RESOURCE_ID='<CUSTOMER_VAULT_RESOURCE_ID>'
KEY_NAME='<OPENAI_ORG_ID>--asymmetric-key'
KEY_SCOPE="$VAULT_RESOURCE_ID/keys/$KEY_NAME"

az role assignment create \
  --assignee-object-id "$OPENAI_SP_ID" \
  --assignee-principal-type ServicePrincipal \
  --role 'OpenAI Public Key Reader' \
  --scope "$KEY_SCOPE"

Se o cofre usar o modelo anterior de políticas de acesso, conceda a permissão Obter para chaves em vez de atribuir a função. Mantenha o modelo de permissões atual do cofre.

4. Anote a versão exata

Anote o ID do locatário, o URI do cofre e o nome da chave. Abra a versão habilitada da chave e copie os 32 caracteres hexadecimais que identificam a versão no final do Identificador da chave.

1. Prepare o projeto e a chave

Ative o Cloud KMS no projeto da chave. No projeto da federação, ative o IAM e o Security Token Service. Se forem projetos diferentes, ative o Cloud KMS em ambos.

Anote o número de 12 dígitos do projeto da federação. O projeto do KMS pode ser outro.

Acesse Segurança > Gerenciamento de chaves. Crie um keyring e, em seguida, crie uma chave com as seguintes configurações:

• Nível de proteção: Software
• Finalidade: Descriptografia assimétrica
• Algoritmo: RSA de 3072 bits com preenchimento OAEP e resumo SHA256

Copie o ID do projeto do KMS, o local, o keyring, o nome da chave e a versão habilitada. Use uma versão específica, como "1". Não use "latest" nem "0". Chaves assimétricas não têm versão primária.

2. Configure a federação de identidade da carga de trabalho

Acesse IAM e administrador > Federação de identidade da carga de trabalho. Crie um pool global, como openai-keys, e um provedor OIDC, como openai-google, com as seguintes configurações:

Use o ID da organização na OpenAI como público. Mantenha os valores do emissor e do identificador de sujeito da OpenAI como estão.

3. Crie e atribua a função de leitura de chaves

Em IAM e administrador > Funções, crie uma função personalizada no projeto do KMS com estas permissões:

cloudkms.cryptoKeyVersions.get
cloudkms.cryptoKeyVersions.viewPublicKey

As duas permissões são obrigatórias. A função de visualizador de chaves públicas, por si só, é insuficiente. Não é necessário conceder permissão para descriptografar, assinar ou representar uma conta de serviço.

Na aba Permissões da chave, selecione Conceder acesso. Atribua a função ao principal abaixo, substituindo <CUSTOMER_GCP_PROJECT_NUMBER> e <CUSTOMER_GCP_POOL_ID>:

principal://iam.googleapis.com/projects/<CUSTOMER_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<CUSTOMER_GCP_POOL_ID>/subject/105900137572174660365

Use o número do projeto do pool e restrinja a concessão de acesso a esta chave. As permissões do IAM atribuídas à chave abrangem suas versões. Guarde os IDs do pool e do provedor, o público que identifica a organização e os identificadores do KMS para o registro.