Aplikácia ChatGPT desktop je dostupná na Amazon Bedrock v prostredí AWS GovCloud (US). Inferencia modelu sa pritom smeruje cez Responses API na Amazon Bedrock. Zverejnený postup sa sústreďuje na riadené lokálne nasadenie Codexu, v ktorom požiadavky modelu prechádzajú cez Amazon Bedrock Mantle v regióne us-gov-west-1 a používajú identity, koncové body a regionálne kontroly AWS GovCloud (US).

Takéto nastavenie nie je iba zámenou adresy služby. Je to súbor navzájom previazaných rozhodnutí o autentifikácii, administrátorských pravidlách, prevádzkovej konfigurácii a sieťových obmedzeniach. Riadený model nasadenia používa prihlásenie v režime API, politiku spravovaného zariadenia a pomenovaný profil AWS. Sieť má povoliť iba schválený koncový bod Amazon Bedrock, zatiaľ čo ostatné externé spojenia a funkcie vyžadujúce sieť zostávajú vypnuté.

Čo musí byť pripravené

Pred konfiguráciou je potrebná kompatibilná verzia aplikácie ChatGPT desktop, schválený účet AWS GovCloud (US), autorizovaná identita IAM a príslušné prihlasovacie údaje. Nasadzujúci tím potrebuje aj prístup k schválenému modelu, regiónu a koncovému bodu. Súčasťou vstupov sú dva konfiguračné súbory: requirements.toml a config.toml.

Úlohy týchto súborov sa líšia. requirements.toml je administrátorom kontrolovaný súbor pravidiel. Určuje bezpečnostné hranice, ktoré používateľ nemôže prepísať. config.toml obsahuje prevádzkové nastavenia, medzi ktoré patria poskytovateľ amazon-bedrock, model, oprávnenia a limity kontextu. Oddelenie pravidiel od prevádzkových volieb umožňuje pri kontrole jasne rozlíšiť záväzné obmedzenia od parametrov fungovania aplikácie.

Tri fázy konfigurácie

Postup má tri hlavné fázy: nastavenie autentifikácie, vytvorenie konfiguračných súborov aplikácie ChatGPT desktop a následné spustenie, inicializáciu a overenie nasadenia. Poradie je dôležité, pretože oba súbory TOML musia byť nainštalované ešte pred spustením aplikácie. Aplikácia sa tak inicializuje už v rámci pripravených pravidiel a prevádzkových nastavení.

1. Autentifikácia

ChatGPT desktop podporuje pre Amazon Bedrock dve cesty autentifikácie: API kľúč Amazon Bedrock alebo štandardný reťazec poverení AWS SDK. Cez druhú možnosť je podporované aj jednotné prihlásenie AWS IAM Identity Center SSO. Voľba autentifikačnej cesty preto ovplyvňuje, odkiaľ aplikácia načíta poverenia a ktoré existujúce mechanizmy AWS môže použiť.

Aplikácia najskôr kontroluje premennú AWS_BEARER_TOKEN_BEDROCK. Ak je bearer token vložený do platformovo špecifického súboru .codex/.env, má prednosť pred autentifikáciou pomocou profilu. Táto priorita je podstatná pri overovaní konfigurácie: samotná existencia pomenovaného profilu ešte neznamená, že ho aplikácia skutočne používa, ak je súčasne dostupný token s vyššou prioritou.

Ak bearer token nie je dostupný, aplikácia prejde na štandardný reťazec poverení AWS SDK. Ten môže používať súbory poverení a konfigurácie AWS, profily SSO aj uložené relácie SSO. V kontrolovanom nasadení preto treba posudzovať nielen deklarovaný profil, ale aj to, ktoré zdroje poverení sú na zariadení reálne dostupné podľa tohto poradia.

2. Pravidlá a prevádzkové nastavenia

Po zvolení autentifikácie sa pripravia requirements.toml a config.toml. Prvý súbor presadzuje administrátorské limity, druhý určuje poskytovateľa a ďalšie parametre prevádzky. Konfigurácia má zároveň zachovať sieťové obmedzenia: povolený zostáva schválený koncový bod Amazon Bedrock, ostatné externé spojenia a sieťové funkcie sú zakázané.

3. Spustenie a kontrola

Po inštalácii oboch súborov možno aplikáciu spustiť a inicializovať. Úspešné nastavenie sa kontroluje tak, že sa v stavovom zobrazení Codex CLI alebo v nastaveniach aplikácie ChatGPT desktop potvrdí amazon-bedrock ako poskytovateľ modelu. Táto kontrola spája deklarovanú konfiguráciu s tým, čo aplikácia po spustení skutočne zobrazuje.

Čo robiť pri neúspešnej validácii

Ak overenie zlyhá, zavádzanie sa má zastaviť. Dotknuté zariadenia sa majú vrátiť k predtým schválenej politike a nastaveniam poskytovateľa. Dočasné poverenia AWS alebo API kľúče sa majú zrušiť, následne sa má potvrdiť strata spojenia s Amazon Bedrock. Zlyhanie treba zdokumentovať ešte pred ďalším pokusom, aby nový pokus nevychádzal z nejasného alebo čiastočne zmeneného stavu.

Hranica technického postupu

Používanie AWS GovCloud (US) ani dodržanie tohto návodu samo osebe neautorizuje pracovnú záťaž. Organizácia naďalej zodpovedá za preskúmanie nasadenia voči vlastnému bezpečnostnému plánu a autorizačnému procesu. Technické overenie poskytovateľa, autentifikácie a konektivity je teda iba jednou časťou rozhodnutia; nenahrádza interné posúdenie ani formálne schválenie organizácie.