OpenAI, resmi SDK'larına iş yükü kimlik federasyonu kaynaklarını ekledi ve uzun ömürlü OpenAI kimlik bilgilerini depolamadan API ve Codex otomasyonunun doğrulanması için belgeler yayınladı.
Sistem, desteklenen bulut, CI ve iş yükü platformları tarafından verilen kimlikleri kabul eder ve ardından bunları kısa ömürlü OpenAI erişim jetonlarıyla değiştirir. OpenAI, Amazon Web Services, Microsoft Azure, Google Cloud, Oracle Cloud, Kubernetes, GitHub Actions ve SPIFFE uyumlu ortamlar dahil olmak üzere kimlik kaynaklarına yönelik desteği belgeliyor.
Bu, SDK kolaylıktan çok daha fazlasıdır. Kuruluşlara mevcut bir iş yükü kimlik sistemini OpenAI'e bağlama ve sızdırılmış, kopyalanmış veya kötü şekilde döndürülmüş API tuşlarının neden olduğu hasarı sınırlamanın bir yolunu sunar. Ayrıca, ağ geçitlerinin ve geliştirici platformlarının, müşteri adına otomatik iş yüklerinin kimliğini doğrularken kaydetmeleri gerekenleri de değiştirir.
OpenAI iş yükü kimlik federasyonu nasıl çalışır
Bir iş yükü, öncelikle kendi yerel ortamından bir kimlik bilgisi alır. Platforma ve OpenAI hizmetine bağlı olarak bu kimlik OpenID Connect, SPIFFE veya X.509 sertifikası aracılığıyla temsil edilebilir. Daha sonra uygulama yapılandırmasına gömülü kalıcı bir API anahtarı kullanmak yerine geçici bir OpenAI erişim belirteciyle değiştirilir.
OpenAI, yapılandırmayı iş yükü kimlik sağlayıcıları ve federasyon kuralları olarak ayırır. Sağlayıcı hangi harici kimlik sistemine güvenildiğini belirler. Federasyon kuralları, söz konusu sistemdeki kimliklerin OpenAI.
ile nasıl eşleneceğini belirlerOpenAI API iş yükleri için, harici bir kimlik bir proje hizmeti hesabıyla eşlenebilir. Yönetilen Codex ortamlarda, OpenAI çalışma alanı kullanıcıları veya hizmet hesaplarıyla eşlemeleri belgelendirir. Bu ayrım önemlidir, çünkü gözetimsiz bir arka uç süreci normalde bireysel bir geliştiriciyle aynı kimliği ve izinleri devralmamalıdır.
3 Kasım tarihli resmi Python ve Düğüm SDK sürümleri, iş yükü kimlik sağlayıcılarını ve federasyon kurallarını yönetmek için oluşturulan kaynakları ekledi. OpenAI, tam kullanıma sunma kapsamını tanımlayan ayrı bir lansman makalesi yayınlamadı; bu nedenle kuruluşların, taşıma işlemini planlamadan önce hesap uygunluğunu ve yapılandırma kullanılabilirliğini onaylaması gerekir.
Kısa ömürlü kimlik bilgileri neden önemlidir?
Geleneksel API anahtarları basittir ancak operasyonel yükümlülükler oluşturur. Bir CI değişkenine, kapsayıcı görüntüsüne veya dağıtım komut dosyasına kopyalanan bir anahtar, birisi onu döndürene veya iptal edene kadar yararlı olmaya devam edebilir. Federasyon, bu geçerli kimlik bilgisini, iş yükünün halihazırda sahip olduğu ve sınırlı bir süre sonra sona eren bir kimlikten türetilen bir erişim jetonuyla değiştirir.
Pratik fayda, uzlaşmaya karşı bağışıklık değil, daha dar bir erişimdir. Yetkili bir ortamda çalışan kötü amaçlı bir süreç yine de bir belirteç isteyebilir ve API'ı çağırabilir. Bu nedenle ekiplerin kısıtlayıcı federasyon kurallarına, dar kapsamlı OpenAI hizmet hesaplarına, harici kimlik veren kuruluş etrafındaki kontrollere ve her bir jeton değişimini onu başlatan iş yüküne bağlayan günlüklere ihtiyacı vardır.
GitHub Eylemler acil kullanım örneklerinden biridir. Bir kuruluş, depoya veya kuruluş sırlarına yeniden kullanılabilir bir OpenAI anahtarı yerleştirmek yerine iş akışının kimliğini kullanabilir. Bulutta barındırılan hizmetler ve Kubernetes iş yükleri, yerel kimlik sistemleri aracılığıyla aynı genel modeli izleyebilir.
Ağ geçitleri ve iş ortağı platformları için sonuçlar
Federasyon, geliştirici ekipleri tarafından kullanılan tüm AI API kontrol düzlemleri için yeni bir kimlik doğrulama yolu sunar.Bir platform artık her yukarı akış talebinin statik bir müşteri anahtarı tarafından yetkilendirildiğini varsayamaz. Harici iş yükü kimliğini koruması, kısa ömürlü belirteçleri alması veya kabul etmesi ve kullanımı doğru OpenAI proje hizmeti hesabıyla ilişkilendirmesi gerekebilir.
Çok modelli bir ağ geçidi için bu özellik aynı zamanda bir taşınabilirlik sorununu da vurgular. Çıkarım istekleri OpenAI uyumlu bir biçimi paylaştığında bile kimlik federasyonu sağlayıcıya özeldir. Satıcılar arasında bunu desteklemek, ayrı bir güven yapılandırması, belirteç değişim mantığı, süre sonu yönetimi ve hata raporlamayı gerektirir. Birleştirilmiş uç nokta, otomatik olarak birleştirilmiş kimlik modeli oluşturmaz.
Aynı sorun AI API bayi platformu için de geçerlidir. Her müşteri iş yükünü dar kapsamlı bir hizmet hesabıyla eşlemek, kuruluş düzeyinde bir kimlik bilgisini paylaşmaktan daha güvenlidir ancak platformun, bir kiracının harici kimliğinin başka bir kiracının OpenAI projesine çözümlenmesini engellemesi gerekir. Denetim kayıtları, harici kimliği, federasyon kuralını, eşlenen OpenAI ana öğeyi ve sonuçta ortaya çıkan kullanım ilişkilendirmesini korumalıdır.
Model Gate ve benzer iş ortağı platformları, federasyonu, desteklenen kurumsal entegrasyonlar için müşteri tarafından sağlanan sağlayıcı anahtarlarına alternatif olarak değerlendirebilir. Bunu yapmak, geçici belirteçleri sıradan API anahtarlar olarak ele almak yerine, açıkça kiracı izolasyonu ve yaşam döngüsü yönetimi gerektirir.
Ne olduğu belirsizliğini koruyor
Belgeler, kimlik doğrulama modelini ve desteklenen kimlik sağlayıcı kategorilerini oluşturuyor ancak hesaba özgü birkaç dağıtım sorusu kalıyor. OpenAI, bağımsız bir duyuruda hangi planların veya kuruluşların federasyonu hemen yapılandırabileceğini açıkça belirtmedi. SDK eklemeleri istemci desteğini gösterir, ancak SDK türü tek başına her hesabın karşılık gelen arka uç yetkisine sahip olduğunu doğrulamaz.
Ayrıca dikkat edilmesi gereken bir hizmet düzeyi farkı da vardır: OpenAI, API yolu için X.509 federasyonunu belgeler, ancak Codex yolu için geçerli değildir. Ekipler, her kimlik mekanizmasının aynı şekilde uygulandığını varsaymak yerine, amaçladıkları hizmet tarafından desteklenen kimlik bilgisi türünü doğrulamalıdır.
Bu özelliği benimseyen kuruluşlar, mevcut anahtarları kaldırmadan önce belirteç alımı, süresinin dolması, iptal edilmesi ve geri dönüş davranışını test etmelidir. Ana kazanç, daha küçük, uzun ömürlü bir kimlik bilgisi ayak izidir. Gerçek güvenlik hâlâ hassas kimlik eşlemelerine, kısıtlı hizmet hesaplarına ve kimlik doğrulama, çıkarım ve faturalandırma yoluyla iş yükünü takip eden bir denetim yoluna bağlıdır.