ZDR com processamento privado de segurança

Use uma chave de API de administrador da organização com acesso de leitura e gravação ao projeto. Carregue-a de forma segura em OPENAI_ADMIN_KEY. As chaves de inferência do projeto não funcionam para essa operação. Os exemplos usam curl e um shell compatível com Bash.

Defina o ID da organização, o ID do projeto e o ID extkey retornado no registro da chave:

123456API_BASE="https://api.openai.com/v1"
ORG_ID="<OPENAI_ORG_ID>"
PROJECT_ID="<CUSTOMER_PROJECT_ID>"
KEY_ID="<EXTERNAL_KEY_ID>"
OPENAI_ADMIN_KEY="<OPENAI_ADMIN_KEY>"
PROJECTS_URL="$API_BASE/organization/projects"

Defina psp_decryption_key_id como o ID extkey retornado para a mesma organização. Mantenha o valor de external_key_id, que seleciona a chave EKM do projeto.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data "{\"psp_decryption_key_id\":\"$KEY_ID\"}"

Em caso de sucesso, a API retorna HTTP 200. Consulte o projeto para confirmar a seleção:

123curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID"

As listas de projetos também retornam psp_decryption_key_id. O campo api_project_ids do registro da chave mostra os projetos associados a ela. Omitir psp_decryption_key_id preserva a seleção. Você pode selecionar o mesmo ID novamente.

Primeiro, defina as variáveis da API indicadas em Selecionar uma chave para descriptografia do PSP.

Envie null para limpar a seleção. Omitir o campo mantém a seleção atual.

12345curl --fail-with-body -sS "$PROJECTS_URL/$PROJECT_ID" \
  -H "Authorization: Bearer $OPENAI_ADMIN_KEY" \
  -H "OpenAI-Organization: $ORG_ID" \
  -H "Content-Type: application/json" \
  --data '{"psp_decryption_key_id":null}'

Siga estas etapas se estiver usando a AWS. Para outros provedores, vá para Azure Blob Storage, Google Cloud Storage ou OCI Object Storage.

1. Crie o bucket

Crie um bucket S3 dedicado em uma região compatível com a residência de dados do projeto. Se a residência de dados estiver desativada, você pode escolher qualquer região para o bucket.

• Mantenha as ACLs desabilitadas.
• Ative Bloquear todo o acesso público.
• Anote o ARN do bucket. Você o usará como CUSTOMER_BUCKET_ARN nas etapas a seguir.

2. Configure a regra de ciclo de vida

No bucket, abra Gerenciamento > Criar regra de ciclo de vida e use estas configurações:

• Nome da regra: psp-retention
• Prefixo: openai/
• Ação: Expirar as versões atuais dos objetos
• Idade: 30 dias

Habilite a regra. Verifique se nenhuma outra regra faz esses registros expirarem antes desse prazo. Essa configuração define a expiração dos objetos no ciclo de vida. A chave de descriptografia da OpenAI expira de forma independente.

3. Crie a política de acesso

Em IAM > Políticas > Criar política, escolha JSON. Substitua CUSTOMER_BUCKET_ARN pelo ARN do bucket, por exemplo, arn:aws:s3:::your-psp-bucket, e salve a política como psp-bucket-policy.

123456789101112131415{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetLifecycleConfiguration",
      "Resource": "CUSTOMER_BUCKET_ARN"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "CUSTOMER_BUCKET_ARN/*"
    }
  ]
}

4. Crie a função do IAM

Em IAM > Funções > Criar função, escolha Política de confiança personalizada.

Use a política abaixo. Substitua CUSTOMER_PROJECT_ID pelo ID do seu projeto da OpenAI. Mantenha o ARN da entidade principal da OpenAI como está.

1234567891011121314151617{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::790389265272:role/CustomerStorage"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": ["CUSTOMER_PROJECT_ID"]
        }
      }
    }
  ]
}

Anexe psp-bucket-policy à função que você está criando. Você pode dar à função o nome psp-role. Anote o ARN da função como CUSTOMER_ROLE_ARN. O ID do projeto em sts:ExternalId deve corresponder ao projeto que você registrar.

Prossiga para Registrar o armazenamento.

Siga estas etapas se estiver usando o Azure.

1. Crie a conta de armazenamento

Crie uma conta dedicada na nuvem comercial do Azure. Escolha uma região de armazenamento aprovada nos EUA ou na UE que seja compatível com a residência de dados do projeto.

• Tipo de conta: StorageV2
• Básico > Desempenho: Padrão
• Básico > Redundância: LRS ou ZRS (preferencial)
• Avançado > Camada de acesso: Frequente
• Avançado > Namespace hierárquico: Desabilitado
• Rede > Acesso à rede pública: Habilitado para todas as redes
• Segurança > Transferência segura: HTTPS obrigatório, com TLS 1.2 ou superior
• Segurança > Acesso anônimo a blobs: Desabilitado
• Segurança > Acesso por chave da conta de armazenamento: Desabilitado
• Segurança > Autorização do Microsoft Entra: Habilitada

Confirme se a configuração de rede atende aos requisitos do seu ambiente de nuvem. Use o endpoint primário de Blob da conta. Não use um endpoint de nuvem soberana ou personalizado.

2. Crie o contêiner

Crie um contêiner privado em Conta de armazenamento > Armazenamento de dados > Contêineres > Adicionar contêiner. Abra Contêiner > Configurações > Metadados e defina openai_organization_id como o ID exato da sua organização na OpenAI. Esse campo é obrigatório.

Para restringir o contêiner a um único projeto da OpenAI, defina também openai_project_id como o ID exato do projeto. Esse campo é opcional. Quando você o define, apenas o projeto com esse ID pode registrar ou validar o contêiner, ler dados dele ou gravar dados nele.

Dois projetos da OpenAI da mesma organização podem compartilhar o contêiner se você omitir openai_project_id e a região de armazenamento atender aos requisitos de residência de dados de ambos os projetos. Registre e valide o contêiner para cada projeto.

Adicione os metadados ao contêiner. Não os adicione à conta de armazenamento nem aos blobs individuais.

3. Configure a regra de ciclo de vida

Em Conta de armazenamento > Gerenciamento de dados > Gerenciamento do ciclo de vida > Adicionar, adicione uma regra habilitada que se aplique a todos os blobs de blocos atuais (blobs de base) da conta dedicada:

• Ação: Excluir 30 dias após a última modificação
• Filtros: Nenhum filtro de prefixo ou marca

4. Conceda acesso à OpenAI

Peça ao administrador do diretório que adicione o aplicativo da OpenAI ao seu locatário. Substitua CUSTOMER_TENANT_ID abaixo pelo ID do seu locatário do Azure. Mantenha o ID do aplicativo como está.

123az login --tenant '<CUSTOMER_TENANT_ID>'
az ad sp create --id 'e5627955-3059-4a88-89f8-73843190624d' \
  --query '{name:displayName,objectId:id}' -o table

Se o aplicativo já existir, use az ad sp show com o mesmo --id e a mesma consulta. Anote o nome do aplicativo e o ID do objeto que o representa no seu locatário.

Na conta de armazenamento, abra Conta de armazenamento > Controle de acesso (IAM) > Adicionar atribuição de função. Selecione a função Leitor. Em Atribuir acesso a, selecione Usuário, grupo ou entidade de serviço. Depois, procure e selecione CSG - Azure Blob Storage Prod.

Em seguida, selecione a função Colaborador de Dados de Blob de Armazenamento. Em Atribuir acesso a, selecione Usuário, grupo ou entidade de serviço. Procure e selecione CSG - Azure Blob Storage Prod.

A OpenAI gerencia as credenciais do aplicativo. Não crie nem compartilhe chaves de armazenamento, tokens SAS ou segredos do cliente.

1. Crie o bucket

Em Cloud Storage > Buckets, crie um bucket em um local compatível com a residência de dados do seu projeto da OpenAI. Use estas configurações:

• Prevenção de acesso público: Ativada.
• Controle de acesso: Uniforme.

Se quiser, desative a Política de exclusão reversível (para recuperação de dados) padrão. Na próxima etapa, você configurará a exclusão por ciclo de vida.

Para projetos globais, repita a configuração do GCP para cada região que pretende usar.

2. Configure a regra de ciclo de vida

Na aba Ciclo de vida do bucket, adicione uma regra Excluir objeto com estas condições:

• O nome do objeto corresponde ao prefixo: openai/.
• Idade: 30 dias.

3. Localize o número do projeto do Google Cloud

Em IAM e administrador > Configurações, localize o projeto que contém seu pool de identidades de carga de trabalho. Copie o valor numérico de Número do projeto e use-o como <CUSTOMER_GCP_PROJECT_NUMBER>.

4. Crie o pool e o provedor de identidades de carga de trabalho

Em IAM e administrador > Federação de identidades de carga de trabalho, crie um pool de identidades de carga de trabalho e adicione um provedor OpenID Connect (OIDC) com estes valores:

• Emissor (URL): https://accounts.google.com.
• Públicos-alvo permitidos: <CUSTOMER_PROJECT_ID> (ID do seu projeto da OpenAI).

Configure estes mapeamentos de atributos:

Defina a condição de atributo abaixo. Mantenha o identificador de sujeito da identidade de produção da OpenAI exatamente como 112981926705442324573.

assertion.sub == '112981926705442324573' && assertion.aud == '<CUSTOMER_PROJECT_ID>'

Anote os IDs do pool e do provedor como <CUSTOMER_GCP_POOL_ID> e <CUSTOMER_GCP_PROVIDER_ID>, respectivamente.

assertion.sub == '112981926705442324573' &&
(assertion.aud == '<CUSTOMER_PROJECT_ID_1>' || assertion.aud == '<CUSTOMER_PROJECT_ID_2>')

5. Crie a função personalizada de armazenamento

Em IAM e administrador > Funções, crie uma função personalizada no projeto do Google Cloud ao qual o bucket pertence, com estas permissões:

storage.buckets.get
storage.objects.create
storage.objects.get
storage.objects.delete

6. Conceda à OpenAI acesso ao bucket

No bucket, abra Permissões > Conceder acesso e adicione esta entidade principal:

principalSet://iam.googleapis.com/projects/<CUSTOMER_GCP_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<CUSTOMER_GCP_POOL_ID>/attribute.openai_project/<CUSTOMER_PROJECT_ID>

Selecione a função personalizada que você criou na etapa 5.

Prossiga para Registrar o armazenamento.

1. Crie o bucket

No console da OCI, abra Armazenamento > Object Storage e Archive Storage > Buckets e crie um bucket dedicado. Na tabela, escolha uma região comercial compatível com a residência de dados do seu projeto:

Use estas configurações para o bucket:

• Camada de armazenamento: Padrão, com a seleção automática de camada desabilitada
• Visibilidade: Privada
• Versionamento de objetos: Desabilitado

Mantenha a replicação desabilitada. Anote o nome do bucket e o identificador da região como CUSTOMER_BUCKET_NAME e CUSTOMER_OCI_REGION. Abra Perfil, selecione Tenancy e depois o nome da sua tenancy. Copie o OCID dela como CUSTOMER_TENANCY_OCID. Sua tenancy deve estar inscrita na região do bucket.

2. Adicione as tags do bucket

Adicione estas tags ao criar o bucket ou abra a aba Tags do bucket e selecione Adicionar. Defina Namespace como Nenhum (tag de formato livre) e use os IDs exatos da sua organização e do seu projeto da OpenAI:

Use os mesmos IDs na política de acesso e no registro do armazenamento. Cada bucket fica vinculado a uma única organização e a um único projeto da OpenAI.

3. Conceda acesso à OpenAI

Em Identidade e segurança > Políticas, selecione o compartimento raiz da sua tenancy e crie uma política chamada psp-storage-access. Ative Mostrar editor manual e insira as instruções abaixo. Substitua os marcadores CUSTOMER_... pelo nome do bucket, pela região e pelos IDs da organização e do projeto da OpenAI, conforme indicado. Mantenha os valores dos OCIDs da tenancy e do grupo da OpenAI como estão.

Define tenancy OpenAICSG as ocid1.tenancy.oc1..aaaaaaaa4kzwe5jdr4gsxft7dfnwbnp3aozhxeskabsqo7czdkbp6fkh3uha
Define group OpenAICSGProduction as ocid1.group.oc1..aaaaaaaanuot5i5kooasr6qh6qo4ohqljrrxx3javkl2tkedb7ljsluq62sa
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECTSTORAGE_NAMESPACE_READ} in tenancy
Admit group OpenAICSGProduction of tenancy OpenAICSG to {BUCKET_READ} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'
Admit group OpenAICSGProduction of tenancy OpenAICSG to {OBJECT_READ, OBJECT_CREATE, OBJECT_OVERWRITE} in tenancy where all {target.bucket.name = 'CUSTOMER_BUCKET_NAME', target.object.name = 'openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/*'}
Allow service objectstorage-CUSTOMER_OCI_REGION to {BUCKET_INSPECT, BUCKET_READ, OBJECT_INSPECT, OBJECT_DELETE} in tenancy where target.bucket.name = 'CUSTOMER_BUCKET_NAME'

A política permite à OpenAI consultar o namespace do Object Storage, ler a configuração do bucket e ler e gravar objetos sob o prefixo do projeto. A consulta ao namespace exige permissão no nível da tenancy, sem condição de bucket. A última instrução permite que o serviço regional de Object Storage da Oracle exclua objetos expirados. Para a região us-ashburn-1, use objectstorage-us-ashburn-1 como nome do serviço.

Salve a política. A OpenAI gerencia as próprias credenciais. Você não precisa criar nem compartilhar uma chave de assinatura da API ou uma chave de acesso.

4. Configure a regra de ciclo de vida

Abra a aba Políticas do bucket. Em Regras de política de ciclo de vida, selecione Criar regra e use estas configurações:

• Nome: psp-retention
• Destino: Objetos
• Ação de ciclo de vida: Excluir
• Número de dias: 30

Expanda Opções avançadas e mantenha Estado como Habilitado. Em Filtros de nome de objeto, selecione Adicionar filtro, escolha Incluir por prefixo e insira openai/CUSTOMER_ORG_ID/CUSTOMER_PROJECT_ID/, incluindo a barra final.

Salve a regra. Se a OCI oferecer a opção de adicionar permissões de ciclo de vida automaticamente, mantenha a permissão restrita ao bucket concedida na etapa 3. Verifique se nenhuma outra regra exclui esses objetos antes do prazo ou os move para o Archive Storage. Uma regra de retenção não substitui a regra de exclusão por ciclo de vida.

Prossiga para Registrar o armazenamento.