検索結果に基づいて、セキュリティを向上させるためにトークン サーバーで OpenAI API キーを使用する際の重要なポイントを次に示します。
OpenAI API キーに関する主なセキュリティ上の懸念は、キーが公開されると、誰でもそのキーを使用して OpenAI アカウントにアクセスでき、料金が発生する可能性があることです。このリスクを軽減するために、検索結果ではいくつかのアプローチが推奨されています。
1. 環境変数または AWS Secrets Manager、HashiCorp Vault、CyberArk Conjur などのシークレット管理サービスを使用して、API キーをクライアント側のコードに埋め込むのではなく、サーバー側に安全に保存します。[1][3]
2. OpenAI への API 呼び出しを処理するミドルウェア API を独自のサーバーに実装します。これにより、API キーがクライアントに公開されなくなります。[3]
3. プロキシとして機能する Zuplo などのゲートウェイ サービスを使用し、API キーを安全に保存し、リクエストを OpenAI に転送する前に必要な認証ヘッダーを追加します。[4]
4. 無制限のキーを使用するのではなく、API キーの権限を必要なエンドポイントのみに制限します。[2]
5. API キーを定期的にローテーションし、古いキーを使用してサービスを更新します。[3]
要約すると、推奨されるアプローチは、OpenAI API キーをクライアント アプリケーションに直接公開するのではなく、トークン サーバーまたはミドルウェア API を使用して安全に管理することです。これにより、追加のセキュリティ層が提供され、誰が API にアクセスできるかが制御されます。[1][3][4]
引用:[1] https://www.gitguardian.com/remediation/openai-api-key
[2] https://community.openai.com/t/bring-your-own-key-policy/446168
[3] https://community.openai.com/t/web-implentation-and-keeper-the-api-key-private/150422
[4] https://zuplo.com/blog/2023/02/27/protect-open-ai-api-keys
[5] https://community.openai.com/t/is-this-allowed-this-bring-your-own-key-usage/161185