Skip to main content
Une clé API authentifie une personne ou un compte de service auprès de W&B. Cette page décrit les types de clés API délivrées par W&B, où les trouver et les gérer, ainsi que les paramètres de l’organisation qui limitent la façon dont les membres les créent et les utilisent. Elle s’adresse aux administrateurs de l’organisation et aux administrateurs d’équipe qui gèrent les identifiants d’authentification, ainsi qu’aux membres qui gèrent leurs propres clés. Pour stocker vos clés de manière sécurisée une fois obtenues, voir Stocker et gérer les clés API de manière sécurisée.

​
Types de clés API

W&B attribue des clés API aux utilisateurs et aux comptes de service.

​
Trouver et gérer les clés API

Les administrateurs de l’organisation, les administrateurs d’équipe et les membres gèrent les clés depuis l’onglet API Keys.
  1. Cliquez sur l’icône de votre profil en haut à droite, puis sélectionnez votre organisation.
  2. Accédez à https://wandb.ai/account-settings/[ORGANIZATION]/api-keys. Remplacez [ORGANIZATION] par le nom de votre organisation. L’onglet API Keys répertorie les clés que vous êtes autorisé à consulter.
Pour trouver uniquement vos clés API personnelles, cliquez sur l’icône de votre profil, puis sur Paramètres utilisateur, et faites défiler jusqu’à API Keys. Voir Paramètres utilisateur.
Dans le Cloud mutualisé, les utilisateurs ayant le rôle d’administrateur de la facturation au sein de l’organisation ne peuvent pas voir l’onglet API Keys. Dans le Cloud dédié et les déploiements Autogérés, l’accès à cet onglet n’est pas limité par le rôle de facturation.

​
Visibilité des clés par rôle

Les clés répertoriées dans l’onglet API Keys dépendent de votre rôle :

​
Consulter le tableau des clés API

Le tableau répertorie chaque clé dans les colonnes suivantes :
  • Nom de la clé : Nom descriptif attribué à la clé lors de sa création.
  • ID de clé : Première partie de la clé, utilisée pour l’identifier.
  • Propriétaire : Utilisateur ou compte de service propriétaire de la clé.
  • Dernière utilisation : Date à laquelle la clé a authentifié une requête pour la dernière fois.
  • Créée le : Date de création de la clé.
Pour des raisons de sécurité, le tableau affiche uniquement l’ID de la clé. W&B affiche la clé secrète complète une seule fois, lorsque vous la créez. Si vous ne disposez plus du secret complet d’une clé, faites pivoter la clé.
Pour affiner la liste, saisissez du texte dans le champ de recherche pour rechercher un nom de clé, un ID de clé ou un propriétaire, ou cliquez sur Filtres pour filtrer selon des attributs tels que le type de clé.

​
Créer une clé API

  1. Accédez à l’onglet API Keys.
  2. Cliquez sur New key.
  3. Donnez à la clé un nom descriptif.
  4. Cliquez sur Create.
  5. Copiez immédiatement la clé et conservez-la en lieu sûr.
W&B affiche la clé API complète une seule fois, au moment où vous la créez. Une fois la boîte de dialogue fermée, vous ne pourrez plus voir la clé API complète. Vos paramètres n’affichent que l’ID de la clé (la première partie de la clé). Si vous perdez la clé API complète, vous devrez créer une nouvelle clé API.
Dans le Cloud mutualisé, les clés créées depuis cet onglet appartiennent à l’organisation affichée. Créez une clé distincte pour chaque organisation avec laquelle vous travaillez.

​
Renommer une clé API

Renommez une clé pour indiquer à quoi elle sert, afin de faciliter l’identification ultérieure d’une clé inconnue. Le renommage ne modifie pas le secret de la clé et n’interrompt rien de ce qui l’utilise.
  1. Trouvez la clé dans le tableau.
  2. Cliquez sur le menu d’actions à la fin de la ligne de la clé, puis sur Edit.
  3. Saisissez un nouveau nom, puis enregistrez.

​
Supprimer des clés API

Supprimez une clé lorsque vous n’en avez plus besoin ou immédiatement si elle a pu être exposée. Pour supprimer une seule clé, trouvez-la dans le tableau, cliquez sur le menu d’actions à la fin de sa ligne, puis sur supprimer et confirmez. Pour supprimer plusieurs clés à la fois :
  1. Cochez la case à côté de chaque clé que vous souhaitez supprimer.
  2. Cliquez sur supprimer. Le bouton affiche le nombre de clés sélectionnées.
  3. Confirmez la suppression.
La suppression d’une clé révoque immédiatement l’accès de tout script ou service qui l’utilise. Mettez à jour vos systèmes pour qu’ils utilisent une clé de remplacement avant de supprimer l’ancienne.

​
Faire pivoter une clé API

Faites pivoter une clé à une fréquence conforme à votre politique de sécurité, et immédiatement si elle a pu être exposée. Faites pivoter une clé plutôt que de la supprimer lorsque les charges de travail qui l’utilisent doivent continuer à s’exécuter. W&B ne propose pas d’action unique pour faire pivoter une clé. Comme le secret complet d’une clé n’est affiché qu’à sa création, vous devez la remplacer pour la faire pivoter :
  1. Créez une nouvelle clé API. Donnez-lui un nom qui la distingue de la clé que vous remplacez.
  2. Mettez à jour chaque script, job et secret stocké qui utilise l’ancienne clé. Pour les options de stockage, voir Stocker et gérer les clés API de manière sécurisée.
  3. Vérifiez que vos charges de travail s’authentifient avec la nouvelle clé.
  4. Supprimez l’ancienne clé.
Jusqu’à ce que vous terminiez la dernière étape, les deux clés fonctionnent. Ce chevauchement vous permet d’effectuer la rotation sans interruption de service ; limitez-en donc la durée.
Si une clé a été exposée publiquement, supprimez-la immédiatement plutôt que d’attendre de mettre à jour vos systèmes. Une clé exposée reste valide jusqu’à ce que vous la supprimiez.

​
Restreindre l’utilisation des clés API par les membres

Les administrateurs de l’organisation peuvent restreindre la création et l’utilisation des clés API depuis les paramètres de l’organisation dans la W&B App. Ces restrictions limitent les clés pouvant accéder aux ressources de votre organisation ainsi que les personnes autorisées à en créer de nouvelles. Les sections suivantes décrivent les restrictions disponibles, qui varient selon le type de déploiement.

​
Appliquer des clés API limitées à l’organisation

Disponible dans Cloud mutualisé pour les organisations Enterprise. W&B active ce paramètre organisation par organisation. Si vous ne le voyez pas, contactez votre équipe de compte W&B. Lorsque ce paramètre est appliqué, seules les clés API d’organisation et les clés appartenant à des comptes de service de l’organisation peuvent accéder aux ressources de celle-ci. Une clé API personnelle qu’un membre utilise dans plusieurs organisations ne fonctionne plus pour cette organisation, ce qui empêche une clé divulguée ailleurs d’atteindre vos données.
Les clés API personnelles perdent l’accès en lecture et en écriture à l’organisation dès que vous appliquez ce paramètre, et toute intégration qui utilise une clé personnelle cesse de fonctionner. Prévenez vos utilisateurs avant de l’appliquer.
Pour appliquer des clés API limitées à l’organisation, procédez comme suit :
  1. Connectez-vous en tant qu’administrateur de l’organisation.
  2. Ouvrez les paramètres de votre organisation, puis sélectionnez Authentication dans le menu de navigation de gauche.
  3. À côté de Enforce organization-scoped API keys, cliquez sur Enforce.
  4. Saisissez le nom de votre organisation pour confirmer, puis cliquez sur Enforce Organization-Scoped API Keys.
W&B affiche alors l’étiquette Enforced à côté du paramètre. Pour cesser de l’appliquer, revenez à Authentication et cliquez sur Disable.

​
Désactiver la création de clés API

Disponible dans Cloud dédié et Autogéré v0.84.0 et versions ultérieures. Lorsque ce paramètre est activé, les utilisateurs et les comptes de service d’équipe ne peuvent plus créer de clés API. Les comptes de service de l’organisation peuvent toujours en créer et les clés existantes continuent de fonctionner : activer cette option n’interrompt donc pas les jobs en cours. Utilisez-la lorsque votre organisation délivre les clés via un processus contrôlé et que vous souhaitez empêcher les membres de créer les leurs. Pour désactiver la création de clés API, procédez comme suit :
  1. Connectez-vous en tant qu’administrateur de l’organisation.
  2. Ouvrez le tableau de bord de votre organisation, puis sélectionnez Privacy dans le menu de navigation de gauche.
  3. Dans la section Access Control, activez Disable API key creation.
W&B enregistre la modification immédiatement. Pour les autres paramètres de cet onglet, voir Configurer les paramètres de confidentialité. Tant que ce paramètre est activé, l’onglet API Keys désactive le bouton New key et affiche le message suivant :
Pour restreindre également la création de comptes de service, voir GORILLA_DISABLE_TEAM_SERVICE_ACCOUNT_CREATION, qui empêche la création de nouveaux comptes de service à portée d’équipe dans Cloud dédié et Autogéré à partir de la version v0.83.0.

​
Disponibilité

Les fonctionnalités des clés API diffèrent selon le type de déploiement et, dans le Cloud mutualisé, selon l’abonnement. Le tableau suivant indique la disponibilité de chaque fonctionnalité.

​
Stockez et manipulez les clés API en toute sécurité

Les clés API donnent accès à votre compte W&B et doivent être protégées comme des mots de passe. Les sections suivantes décrivent les méthodes de stockage recommandées, les pratiques à éviter, la façon de transmettre les clés à votre code et les exigences de version du SDK pour les clés plus récentes. Utilisez l’une des méthodes suivantes pour stocker votre clé API en toute sécurité.
  • Gestionnaire de secrets : Utilisez un système dédié de gestion des secrets, tel que AWS Secrets Manager, HashiCorp Vault, Azure Key Vault ou Google Secret Manager.
  • Gestionnaire de mots de passe : Utilisez une application de gestion de mots de passe fiable.
  • Trousseaux du système d’exploitation : Stockez les clés dans le Trousseau macOS, le Gestionnaire d’identifiants Windows ou le service de secrets Linux. Déconseillé en production.

​
Ce qu’il faut éviter

Évitez les pratiques suivantes, qui peuvent exposer votre clé API :
  • N’enregistrez jamais de clés API dans un système de gestion de versions comme Git.
  • Ne stockez pas de clés API dans des fichiers de configuration en texte brut.
  • Ne transmettez pas de clés API en ligne de commande, car elles seront visibles dans la sortie de commandes du système d’exploitation telles que ps.
  • Évitez de partager des clés API par e-mail, via le chat ou par d’autres canaux non chiffrés.
  • N’intégrez pas de clés API en dur dans votre code source.
Si une clé API est exposée, supprimez-la immédiatement de votre compte W&B et contactez l’assistance ou votre AISE.

​
Variables d’environnement

Lorsque vous utilisez des clés API dans votre code, transmettez-les via des variables d’environnement :
Cette approche évite d’exposer les clés dans votre code source et facilite leur renouvellement si nécessaire.
Évitez de définir la variable d’environnement sur la même ligne que la commande, car elle est visible dans la sortie de commandes système comme ps :

​
Compatibilité des versions du SDK

Si vous utilisez une clé API plus récente, vérifiez que votre version du SDK la prend en charge. Les nouvelles clés API sont plus longues que les clés héritées. Lors de l’authentification avec des versions antérieures des SDK wandb ou weave, vous pouvez rencontrer une erreur liée à la longueur de la clé API. Solution : mettez à jour vers une version plus récente du SDK :
  • wandb SDK v0.22.3+
  • weave SDK v0.52.17+
Si vous ne pouvez pas mettre à jour le SDK immédiatement, utilisez la variable d’environnement WANDB_API_KEY pour définir la clé API en guise de solution de contournement.