Gérer les clés API

Trouvez, créez et supprimez des clés API W&B, et limitez la manière dont les membres de votre organisation peuvent les créer et les utiliser.

Une clé API authentifie une personne ou un compte de service auprès de W&B. Cette page décrit les types de clés API délivrées par W&B, où les trouver et les gérer, ainsi que les paramètres de l’organisation qui limitent la façon dont les membres les créent et les utilisent. Elle s’adresse aux administrateurs de l’organisation et aux administrateurs d’équipe qui gèrent les identifiants d’authentification, ainsi qu’aux membres qui gèrent leurs propres clés.

Pour stocker vos clés de manière sécurisée une fois obtenues, voir Stocker et gérer les clés API de manière sécurisée.

​

Types de clés API

W&B attribue des clés API aux utilisateurs et aux comptes de service.

Type de clé	Appartient à	Accès
Clé API personnelle	Un utilisateur	Toutes les organisations auxquelles appartient l’utilisateur
Clé de compte de service d’équipe	Un compte de service	Une équipe
Clé de compte de service d’organisation	Un compte de service	Toutes les équipes de l’organisation

​

Trouver et gérer les clés API

Les administrateurs de l’organisation, les administrateurs d’équipe et les membres gèrent les clés depuis l’onglet API Keys.

Cloud mutualisé

1. Cliquez sur l’icône de votre profil en haut à droite, puis sélectionnez votre organisation.

2. Accédez à https://wandb.ai/account-settings/[ORGANIZATION]/api-keys. Remplacez [ORGANIZATION] par le nom de votre organisation.

   L’onglet API Keys répertorie les clés que vous êtes autorisé à consulter.

Cloud dédié et Autogéré

1. Accédez au tableau de bord de l’organisation :

   • Cloud dédié : https://[ORG-NAME].io/org/dashboard/. Remplacez [ORG-NAME] par le nom de votre organisation.
   • Autogéré : https://[YOUR-W&B-SERVER-IP]/org/dashboard. Remplacez [YOUR-W&B-SERVER-IP] par l’adresse IP de votre déploiement.

2. Cliquez sur l’onglet API Keys.

   L’onglet répertorie les clés que vous êtes autorisé à consulter.

Pour trouver uniquement vos clés API personnelles, cliquez sur l’icône de votre profil, puis sur Paramètres utilisateur, et faites défiler jusqu’à API Keys. Voir Paramètres utilisateur.

Dans le Cloud mutualisé, les utilisateurs ayant le rôle d’administrateur de la facturation au sein de l’organisation ne peuvent pas voir l’onglet API Keys. Dans le Cloud dédié et les déploiements Autogérés, l’accès à cet onglet n’est pas limité par le rôle de facturation.

​

Visibilité des clés par rôle

Les clés répertoriées dans l’onglet API Keys dépendent de votre rôle :

Rôle	Peut voir
membre	Ses propres clés API d’organisation
Administrateur d’équipe	Ses propres clés API d’organisation, ainsi que les clés des comptes de service des équipes qu’il administre.
administrateur de l’organisation	Toutes les clés API de l’organisation, y compris celles des comptes de service de l’organisation.
administrateur de la facturation	Dans le Cloud mutualisé, aucune clé. L’onglet API Keys est masqué pour ce rôle. Dans le Cloud dédié et les déploiements autogérés, les mêmes clés qu’un membre.

​

Consulter le tableau des clés API

Le tableau répertorie chaque clé dans les colonnes suivantes :

• Nom de la clé : Nom descriptif attribué à la clé lors de sa création.
• ID de clé : Première partie de la clé, utilisée pour l’identifier.
• Propriétaire : Utilisateur ou compte de service propriétaire de la clé.
• Dernière utilisation : Date à laquelle la clé a authentifié une requête pour la dernière fois.
• Créée le : Date de création de la clé.

Pour des raisons de sécurité, le tableau affiche uniquement l’ID de la clé. W&B affiche la clé secrète complète une seule fois, lorsque vous la créez. Si vous ne disposez plus du secret complet d’une clé, faites pivoter la clé.

Pour affiner la liste, saisissez du texte dans le champ de recherche pour rechercher un nom de clé, un ID de clé ou un propriétaire, ou cliquez sur Filtres pour filtrer selon des attributs tels que le type de clé.

​

Créer une clé API

1. Accédez à l’onglet API Keys.
2. Cliquez sur New key.
3. Donnez à la clé un nom descriptif.
4. Cliquez sur Create.
5. Copiez immédiatement la clé et conservez-la en lieu sûr.

W&B affiche la clé API complète une seule fois, au moment où vous la créez. Une fois la boîte de dialogue fermée, vous ne pourrez plus voir la clé API complète. Vos paramètres n’affichent que l’ID de la clé (la première partie de la clé). Si vous perdez la clé API complète, vous devrez créer une nouvelle clé API.

Dans le Cloud mutualisé, les clés créées depuis cet onglet appartiennent à l’organisation affichée. Créez une clé distincte pour chaque organisation avec laquelle vous travaillez.

​

Renommer une clé API

Renommez une clé pour indiquer à quoi elle sert, afin de faciliter l’identification ultérieure d’une clé inconnue. Le renommage ne modifie pas le secret de la clé et n’interrompt rien de ce qui l’utilise.

1. Trouvez la clé dans le tableau.
2. Cliquez sur le menu d’actions à la fin de la ligne de la clé, puis sur Edit.
3. Saisissez un nouveau nom, puis enregistrez.

​

Supprimer des clés API

Supprimez une clé lorsque vous n’en avez plus besoin ou immédiatement si elle a pu être exposée.

Pour supprimer une seule clé, trouvez-la dans le tableau, cliquez sur le menu d’actions à la fin de sa ligne, puis sur supprimer et confirmez.

Pour supprimer plusieurs clés à la fois :

1. Cochez la case à côté de chaque clé que vous souhaitez supprimer.
2. Cliquez sur supprimer. Le bouton affiche le nombre de clés sélectionnées.
3. Confirmez la suppression.

La suppression d’une clé révoque immédiatement l’accès de tout script ou service qui l’utilise. Mettez à jour vos systèmes pour qu’ils utilisent une clé de remplacement avant de supprimer l’ancienne.

​

Faire pivoter une clé API

Faites pivoter une clé à une fréquence conforme à votre politique de sécurité, et immédiatement si elle a pu être exposée. Faites pivoter une clé plutôt que de la supprimer lorsque les charges de travail qui l’utilisent doivent continuer à s’exécuter.

W&B ne propose pas d’action unique pour faire pivoter une clé. Comme le secret complet d’une clé n’est affiché qu’à sa création, vous devez la remplacer pour la faire pivoter :

1. Créez une nouvelle clé API. Donnez-lui un nom qui la distingue de la clé que vous remplacez.
2. Mettez à jour chaque script, job et secret stocké qui utilise l’ancienne clé. Pour les options de stockage, voir Stocker et gérer les clés API de manière sécurisée.
3. Vérifiez que vos charges de travail s’authentifient avec la nouvelle clé.
4. Supprimez l’ancienne clé.

Jusqu’à ce que vous terminiez la dernière étape, les deux clés fonctionnent. Ce chevauchement vous permet d’effectuer la rotation sans interruption de service ; limitez-en donc la durée.

Si une clé a été exposée publiquement, supprimez-la immédiatement plutôt que d’attendre de mettre à jour vos systèmes. Une clé exposée reste valide jusqu’à ce que vous la supprimiez.

​

Restreindre l’utilisation des clés API par les membres

Les administrateurs de l’organisation peuvent restreindre la création et l’utilisation des clés API. Les restrictions disponibles varient selon le type de déploiement. Elles se définissent toutes via la mutation GraphQL updateOrganizationPrivacySettings, et non dans la W&B App.

​

Exiger des clés API d’organisation

Disponible dans le Cloud mutualisé pour les organisations Enterprise.

Lorsqu’elle est activée, seules les clés API d’organisation peuvent accéder aux ressources de l’organisation. Les clés API personnelles qu’un membre utilise dans plusieurs organisations ne fonctionnent plus avec cette organisation, ce qui empêche qu’une clé divulguée ailleurs donne accès à vos données.

Remplacez [ORGANIZATION-ID] par l’ID de votre organisation.

mutation RequireOrgScopedAPIKeys {
  updateOrganizationPrivacySettings(
    input: {organizationId: "[ORGANIZATION-ID]", requireOrgScopedAPIKeys: true}
  ) {
    success
  }
}

Ce paramètre nécessite que les clés API d’organisation soient déjà activées pour votre organisation. Contactez votre équipe de compte W&B pour le confirmer.

​

Disponibilité

Les fonctionnalités des clés API diffèrent selon le type de déploiement et, dans le Cloud mutualisé, selon l’abonnement. Le tableau suivant indique la disponibilité de chaque fonctionnalité.

Fonctionnalité	Cloud mutualisé	Cloud dédié	Autogéré
Rechercher et filtrer le tableau des clés API	Oui	v0.84.0+	v0.84.0+
Créer une clé depuis l’onglet API Keys	Organisations Enterprise	v0.84.0+	v0.84.0+
Supprimer plusieurs clés à la fois	Organisations Enterprise	v0.84.0+	v0.84.0+
Désactiver la création de clés API	Non disponible	v0.84.0+	v0.84.0+

​

Stockez et manipulez les clés API en toute sécurité

Les clés API donnent accès à votre compte W&B et doivent être protégées comme des mots de passe. Les sections suivantes décrivent les méthodes de stockage recommandées, les pratiques à éviter, la façon de transmettre les clés à votre code et les exigences de version du SDK pour les clés plus récentes.

​

Méthodes de stockage recommandées

Utilisez l’une des méthodes suivantes pour stocker votre clé API en toute sécurité.

• Gestionnaire de secrets : Utilisez un système dédié de gestion des secrets, tel que AWS Secrets Manager, HashiCorp Vault, Azure Key Vault ou Google Secret Manager.
• Gestionnaire de mots de passe : Utilisez une application de gestion de mots de passe fiable.
• Trousseaux du système d’exploitation : Stockez les clés dans le Trousseau macOS, le Gestionnaire d’identifiants Windows ou le service de secrets Linux. Déconseillé en production.

​

Ce qu’il faut éviter

Évitez les pratiques suivantes, qui peuvent exposer votre clé API :

• N’enregistrez jamais de clés API dans un système de gestion de versions comme Git.
• Ne stockez pas de clés API dans des fichiers de configuration en texte brut.
• Ne transmettez pas de clés API en ligne de commande, car elles seront visibles dans la sortie de commandes du système d’exploitation telles que ps.
• Évitez de partager des clés API par e-mail, via le chat ou par d’autres canaux non chiffrés.
• N’intégrez pas de clés API en dur dans votre code source.

Si une clé API est exposée, supprimez-la immédiatement de votre compte W&B et contactez l’assistance ou votre AISE.

​

Variables d’environnement

Lorsque vous utilisez des clés API dans votre code, transmettez-les via des variables d’environnement :

export WANDB_API_KEY="[YOUR-API-KEY]"

Cette approche évite d’exposer les clés dans votre code source et facilite leur renouvellement si nécessaire.

Évitez de définir la variable d’environnement sur la même ligne que la commande, car elle est visible dans la sortie de commandes système comme ps :

# Évitez cette pratique, qui peut exposer la clé API dans les gestionnaires de processus
export WANDB_API_KEY="[YOUR-API-KEY]" ./my-script.sh

​

Compatibilité des versions du SDK

Si vous utilisez une clé API plus récente, vérifiez que votre version du SDK la prend en charge. Les nouvelles clés API sont plus longues que les clés héritées. Lors de l’authentification avec des versions antérieures des SDK wandb ou weave, vous pouvez rencontrer une erreur liée à la longueur de la clé API.

Solution : mettez à jour vers une version plus récente du SDK :

• wandb SDK v0.22.3+

  pip install --upgrade wandb==0.22.3
  

• weave SDK v0.52.17+

  pip install --upgrade weave==0.52.17
  

Si vous ne pouvez pas mettre à jour le SDK immédiatement, utilisez la variable d’environnement WANDB_API_KEY pour définir la clé API en guise de solution de contournement.