The problem
Ihre Prompts und Dateien liegen unter einem Schlüssel, den Sie nicht halten
Standardmässig kontrolliert der Anbieter, der Ihre KI-Daten speichert, auch den Schlüssel dazu.
Teams fügen heute Verträge, Quellcode und Kundendaten in ChatGPT Enterprise und die OpenAI API ein. Ohne kundenverwalteten Schlüssel können Sie einem Auditor die Schlüsselhoheit nicht nachweisen und den Zugriff nicht selbst abschalten. OpenAI EKM löst das, sofern der Schlüssel korrekt berechtigt, registriert und geprüft wird.
Schlüssel beim Anbieter
Die Schlüssel bleiben beim KI-Anbieter, solange Sie keinen eigenen mitbringen.
Berechtigungen je Cloud
AWS-Key-Policies, Azure-Rollen und Google-WIF haben jeweils eigene Fallstricke.
Stille Abweichung
Eine entzogene Berechtigung oder ein widerrufener Schlüssel fällt erst bei einem Ausfall auf.
Audit-Nachweise
Prüfer fragen, wo der Schlüssel der KI-Daten liegt und wer ihn abschalten kann.
So funktioniert es
DuoKey registriert den Schlüssel. OpenAI nutzt ihn direkt in Ihrer Cloud.
OpenAI umhüllt seine Data Encryption Keys (DEK) mit Ihrem Key Encryption Key (KEK) und ruft bei jeder Ver- oder Entschlüsselung Ihren Cloud-KMS auf. DuoKey richtet dies über die Management API von OpenAI ein und überwacht es.
Registrierung · einmal pro Schlüssel, über DuoKey
DuoKey Cockpit
Hält den versiegelten Admin API Key
OpenAI Management API
Erhält die KEK-Koordinaten
Externe Schlüssel-ID
Von OpenAI vergeben
Laufzeit · DuoKey ist nicht beteiligt
OpenAI
Muss ver- oder entschlüsseln
Ihr Cloud-KMS
Umhüllt und enthüllt den DEK
Ihr KEK
Verlässt Ihr Konto nie
DuoKey liegt nicht im Datenpfad: Es umhüllt oder enthüllt nie die Schlüssel von OpenAI, und Ihr KEK läuft nie über DuoKey.
Multi-Cloud
Behalten Sie den KEK in der Cloud, die Sie bereits betreiben
Jeder Anbieter braucht eine andere Berechtigung. Cockpit zeigt die genaue Anleitung mit bereits eingetragener Organisations-ID, damit die Berechtigung beim ersten Versuch stimmt.
AWS KMS
Key-Policy-Statement
Erlaubt der EKM-IAM-Rolle von OpenAI Encrypt und Decrypt auf Ihrem KEK, nur wenn sts:ExternalId Ihrer Organisations-ID entspricht.
Registriert mit: dem ARN des KMS-Schlüssels
Azure Key Vault
Service Principal + Rolle
Service Principal von OpenAI anlegen, RSA-Schlüssel erstellen, dann Key Vault Crypto User nur auf diesem Schlüssel zuweisen.
Registriert mit: Vault-URI und Schlüsselname
Google Cloud KMS
Workload Identity Federation
Ein Pool und OIDC-Provider mit Ihrer Organisations-ID als Audience, berechtigt als CryptoKey Encrypter/Decrypter auf dem KEK.
Registriert mit: der Schlüsselressource
Einrichtung
Von Cockpit zum registrierten Schlüssel in fünf Schritten
- 01
App anlegen
In Cockpit Apps öffnen, Create new app, dann OpenAI EKM. Eine App pro OpenAI-Organisation.
- 02
Organisation
App benennen und Ihre OpenAI-Organisations-ID (org-…) eingeben.
- 03
Admin API Key
Einen Admin Key der Organisation einfügen. Er wird versiegelt gespeichert und von der API nie wieder ausgegeben.
- 04
Berechtigen und registrieren
Cloud wählen, Berechtigung anwenden, Schlüsselkoordinaten eingeben. DuoKey übermittelt sie an OpenAI.
- 05
In OpenAI aktivieren
Sobald der Schlüssel registriert ist, aktivieren Sie ihn für die OpenAI-Projekte, die ihn nutzen sollen.
Lebenszyklus
Jederzeit wissen, ob Ihr Schlüssel noch registriert ist
Jeder registrierte Schlüssel hat einen Status, den Sie bei OpenAI erneut prüfen können, sobald ein Auditor danach fragt.
- draftAngelegt, noch nicht übermittelt
- registeredVon OpenAI akzeptiert, externe ID vergeben
- errorAbgelehnt, mit Grund zur Korrektur der Berechtigung
- revokedNicht mehr in der Liste externer Schlüssel von OpenAI
Validieren
Bestätigen, dass der Schlüssel bei OpenAI noch registriert ist.
Verbindung testen
Prüfen, ob der Admin Key die Management API erreicht.
Admin Key rotieren
Ersetzen, ohne eine Registrierung zu verlieren.
Deregistrieren
Schlüssel bei OpenAI entfernen, dann den lokalen Eintrag.
Um den Zugriff von OpenAI zu beenden, entziehen Sie die Berechtigung
Das Deregistrieren in DuoKey hindert OpenAI nicht an der Nutzung des Schlüssels. Entfernen Sie die IAM-Berechtigung, Rollenzuweisung oder Federation-Bindung auf Ihrem KMS: Laut OpenAI endet der Zugriff innerhalb von etwa einer Stunde.
- Eine OpenAI-Enterprise-Organisation mit verfügbarem EKM
- Einen Admin API Key der Organisation aus den Einstellungen der OpenAI-Plattform
- Einen KEK in AWS KMS, Azure Key Vault oder Google Cloud KMS (oder das Recht, einen anzulegen)
- Das Recht, IAM-Richtlinien, Rollenzuweisungen oder Workload Identity Federation in diesem Konto zu ändern
Tiefenanalysen
Leitfäden für Ihr Programm
Kontakt
Bringen Sie Ihren eigenen Schlüssel zu OpenAI, ohne neuen Schlüsselpfad
Sehen Sie OpenAI EKM mit Ihrem eigenen Cloud-KMS-Schlüssel registriert, mit Berechtigungsanleitung, Statusverfolgung und Validierung auf Abruf in Cockpit.
Demo anfragenSprechen Sie über die Entscheidungen, die für Ihr Sicherheitsprogramm zählen.
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.