メインコンテンツへスキップ

Documentation Index

Fetch the complete documentation index at: https://wb-21fd5541-docs-2661.mintlify.app/llms.txt

Use this file to discover all available pages before exploring further.

このガイドは、OpenID Connect (OIDC) 互換のアイデンティティプロバイダを使用してシングルサインオン (SSO) を有効にしたい、W&B 専用クラウド またはセルフマネージド インスタンスの管理者向けです。このガイドを完了すると、アイデンティティプロバイダの設定と W&B への接続が完了し、ユーザーは組織の既存のアイデンティティシステムを通じてサインインできるようになります。また、Okta、Keycloak、Auth0、Google、Entra などのプロバイダを通じて、ユーザーのアイデンティティやグループメンバーシップを管理できるようになります。

​
OpenID Connect

W&B は、外部の アイデンティティプロバイダ (IdP) と統合するために、以下の OIDC 認証フローをサポートしています。
  • form post を使用する implicit flow。
  • Proof Key for Code Exchange (PKCE) を使用する authorization code flow。
これらのフローはユーザーを認証し、アクセス制御の管理に必要なアイデンティティ情報を W&B に提供します (ID トークンの形式で) 。 ID トークンは JWT であり、ユーザーの名、ユーザー名、メールアドレス、グループ メンバーシップなどのアイデンティティ情報を含みます。W&B はこのトークンを使用してユーザーを認証し、システム内の適切なロールまたはグループにマッピングします。 W&B では、アクセストークンはユーザーに代わって API へのリクエストを認可するために使用されますが、W&B が主に重視するのはユーザー認証とアイデンティティであるため、必要なのは ID トークンのみです。 環境変数を使用して、IAM オプションを設定できます。対象は、専用クラウド または セルフマネージド インスタンスです。 専用クラウド または セルフマネージド デプロイメントの アイデンティティプロバイダ の設定を支援するために、以下のガイドラインに従ってください。W&B Multi-tenant Cloud を使用している場合は、サポートが必要な際に support@wandb.com までお問い合わせください。

​
IdP を設定する

以下のセクションでは、OIDC 用にアイデンティティプロバイダ (IdP) を設定する方法を説明します。まず、IdP の設定手順を完了してください。次のセクションで W&B の SSO を設定する際に、ここで取得した Client ID、Issuer URL、および (必要に応じて) Client Secret を使用します。詳細は、ご利用の IdP に対応するタブを選択してください。
AWS Cognito をアイデンティティプロバイダとして設定するには、次の手順に従ってください。最後に、W&B の設定時に使用する Client ID と OIDC issuer URL を取得します。
  1. AWS アカウントにサインインし、AWS Cognito アプリにアクセスします。
    AWS Cognito の設定
  2. アイデンティティプロバイダでアプリケーションを設定するため、許可するコールバック URL を指定します。コールバック URL として http(s)://[YOUR-W-AND-B-HOST]/oidc/callback を追加します。[YOUR-W-AND-B-HOST] は W&B のホストパスに置き換えてください。
  3. アイデンティティプロバイダがユニバーサルログアウトをサポートしている場合は、Logout URL を http(s)://[YOUR-W-AND-B-HOST] に設定します。[YOUR-W-AND-B-HOST] は W&B のホストパスに置き換えてください。 たとえば、アプリケーションが https://wandb.mycompany.com で実行されている場合は、[YOUR-W-AND-B-HOST] を wandb.mycompany.com に置き換えます。 次の画像は、AWS Cognito で許可するコールバック URL とサインアウト URL を指定する方法を示しています。
    ホスト設定
    wandb/local は、デフォルトで form_post レスポンスタイプを使用する implicit grant を使用します。 また、PKCE Code Exchange フローを使用する authorization_code grant を実行するように wandb/local を設定することもできます。
  4. AWS Cognito がアプリにトークンを渡す方法を設定するために、1 つ以上の OAuth grant type を選択します。
  5. W&B では、特定の OpenID Connect (OIDC) scope が必要です。AWS Cognito アプリから次を選択します。
    • openid
    • profile
    • email
    たとえば、AWS Cognito の App UI は次の画像のようになります。
    必須フィールド
    wandb/local が使用する grant を指定するには、設定ページで Auth Method を選択するか、OIDC_AUTH_METHOD 環境変数を設定します。 Auth Method は pkce に設定する必要があります。
  6. Client ID と OIDC issuer の URL が必要です。OpenID discovery document は $OIDC_ISSUER/.well-known/openid-configuration で利用できる必要があります。 たとえば、User Pools セクション内の App Integration タブにある Cognito IdP URL に User Pool ID を追加して、issuer URL を生成できます。
    AWS Cognito issuer URL
    IdP URL に Cognito ドメインは使用しないでください。Cognito は discovery document を https://cognito-idp.$REGION.amazonaws.com/$USER_POOL_ID で提供します。
次に、W&B で SSO を設定する。

​
W&B で SSO を設定する

アイデンティティプロバイダ (IdP) の設定が完了したら、W&B で次の手順を実行して IdP を接続し、インスタンスで SSO を有効にします。 SSO を設定するには、管理者権限と次の情報が必要です。
  • OIDC Client ID。
  • OIDC Auth method (implicit または pkce) 。
  • OIDC Issuer URL。
  • OIDC Client Secret (任意。IdP の設定方法によって異なります) 。
IdP で OIDC Client Secret が必要な場合は、環境変数 GORILLA_OIDC_SECRET を指定します。
  • W&B App で System Console > Settings > Advanced > User Spec に移動し、次の例のように extraENV セクションに GORILLA_OIDC_SECRET を追加します。
  • Helm では、次の例のように values.global.extraEnv を設定します。 
    values:
global:
    extraEnv:
    GORILLA_OIDC_SECRET="[YOUR-SECRET]"
SSO の設定後にインスタンスにサインインできない場合は、環境変数 LOCAL_RESTORE=true を設定してインスタンスを再起動できます。これにより、コンテナーのログに一時的なパスワードが出力され、SSO が無効になります。SSO の問題を解決したら、SSO を再度有効にするために、この環境変数を削除する必要があります。
W&B Kubernetes Operator を使用して W&B をデプロイしている場合は、このタブを使用してください。System Console は System Settings ページの後継です。W&B Kubernetes Operator ベースのデプロイで利用できます。
  1. Access the W&B Management Console を参照してください。
  2. Settings、次に Authentication にアクセスします。Type ドロップダウンで OIDC を選択します。
    System Console OIDC 設定
  3. 値を入力します。
  4. Save をクリックします。
  5. サインアウトし、今度は IdP のサインイン画面を使用して再度サインインします。

​
Customer Namespace を確認する

W&B 専用クラウド またはセルフマネージドで、CoreWeave ストレージを使用するチームレベルの BYOB を設定する前に、組織の Customer Namespace を取得する必要があります。これは Authentication タブの下部で確認してコピーできます。Customer Namespace を使用して CoreWeave ストレージを設定する詳しい手順については、CoreWeave requirements for Dedicated Cloud or Self-Managed を参照してください。
SSO の設定後にインスタンスにサインインできない場合は、環境変数 LOCAL_RESTORE=true を設定してインスタンスを再起動できます。これにより、コンテナーのログに一時的なパスワードが出力され、SSO が無効になります。SSO の問題を解決したら、SSO を再度有効にするために、この環境変数を削除する必要があります。

​
Security Assertion Markup Language (SAML)

W&B は SAML をサポートしていません。