Skip to main content
APIキーは、ユーザーまたはサービスアカウントをW&Bで認証するために使用します。このページでは、W&Bが発行するAPIキーの種類、キーの確認・管理方法、メンバーによるキーの作成と使用を制限する組織設定について説明します。認証情報を管理する組織管理者およびチーム管理者と、自身のキーを管理するメンバーを対象としています。 取得したAPIキーを安全に保存する方法については、APIキーを安全に保存して取り扱うを参照してください。

​
APIキーの種類

W&B では、ユーザーとサービスアカウントの両方に APIキーを発行します。

​
APIキーを検索して管理する

組織管理者、チーム管理者、メンバーは、APIキー タブからキーを管理できます。
  1. 右上のプロフィールアイコンをクリックし、組織を選択します。
  2. https://wandb.ai/account-settings/[ORGANIZATION]/api-keys にアクセスします。[ORGANIZATION] は組織名に置き換えてください。 APIキー タブには、表示権限のあるキーが一覧表示されます。
自分の個人用APIキーのみを確認するには、プロフィールアイコンをクリックして User Settings をクリックし、APIキー までスクロールします。詳細は、User settingsを参照してください。
Multi-tenant Cloud では、組織ロールが billing admin のユーザーは APIキー タブを表示できません。専用クラウド と セルフマネージド では、このタブは billing ロールによる制限を受けません。

​
ロール別のキーの表示範囲

APIキー タブに表示されるキーは、ロールによって異なります。

​
APIキーの表を確認する

表には、各キーに関する次の列が表示されます。
  • キー名: キーの作成時に付けた説明的な名前。
  • キー ID: 識別に使用されるキーの先頭部分。
  • 所有者: キーを所有するユーザーまたはサービスアカウント。
  • 最終使用日時: キーが最後にリクエストの認証に使用された日時。
  • 作成日時: キーが作成された日時。
セキュリティ上の理由から、表にはキー ID のみが表示されます。W&B では、完全なシークレットキーは作成時に一度だけ表示されます。キーの完全なシークレットが手元にない場合は、キーをローテーションしてください。
リストを絞り込むには、検索フィールドにキー名、キー ID、または所有者を入力するか、フィルターをクリックしてキータイプなどの属性でフィルタリングします。

​
APIキーを作成する

  1. APIキー タブに移動します。
  2. New key をクリックします。
  3. キーにわかりやすい名前を付けます。
  4. Create をクリックします。
  5. キーをすぐにコピーし、安全な場所に保管します。
W&B がAPIキー全体を表示するのは、作成時の一度だけです。ダイアログを閉じた後は、APIキー全体を再度表示できません。Settings に表示されるのはキーID (キーの先頭部分) のみです。APIキー全体を紛失した場合は、新しいAPIキーを作成する必要があります。
Multi-tenant Cloud では、このタブから作成したキーは、現在表示している組織に属します。利用する組織ごとに個別のキーを作成してください。

​
APIキーの名前を変更する

キーの用途がわかる名前に変更しておくと、後で見慣れないキーを特定しやすくなります。名前を変更してもキーのシークレットは変わらず、そのキーを使用しているものが中断されることもありません。
  1. 表でキーを検索します。
  2. キーの行の末尾にあるアクションメニューをクリックし、Edit をクリックします。
  3. 新しい名前を入力し、保存します。

​
APIキーを削除する

不要になったキーは削除してください。キーが漏洩した可能性がある場合は、直ちに削除してください。 1 つのキーを削除するには、表でキーを見つけ、その行の末尾にあるアクションメニューをクリックし、Delete をクリックして削除を確認します。 複数のキーを一度に削除するには:
  1. 削除する各キーの横にあるチェックボックスを選択します。
  2. Delete をクリックします。ボタンには選択したキーの数が表示されます。
  3. 削除を確認します。
キーを削除すると、そのキーを使用しているすべてのスクリプトまたはサービスのアクセスが直ちに取り消されます。古いキーを削除する前に、システムを更新して置き換え用のキーを使用するようにしてください。

​
APIキーをローテーションする

セキュリティポリシーに沿ったスケジュールでキーをローテーションし、キーが漏洩した可能性がある場合は直ちにローテーションしてください。キーを使用するワークロードを継続して実行する必要がある場合は、キーを削除するのではなくローテーションしてください。 W&B には、単一のローテーション操作はありません。キーのシークレット全体は作成時にのみ表示されるため、キーを置き換えることでローテーションします。
  1. 新しいAPIキーを作成します。置き換えるキーと区別できる名前を付けます。
  2. 古いキーを使用するすべてのスクリプト、ジョブ、保存済みシークレットを更新します。保存オプションについては、APIキーを安全に保存および処理するを参照してください。
  3. ワークロードが新しいキーで認証されることを確認します。
  4. 古いキーを削除します。
最後の手順を完了するまで、両方のキーが有効です。この重複期間があるため、ダウンタイムなしでローテーションできます。重複期間は短くしてください。
キーが公開された場合は、システムの更新を待たずに直ちに削除してください。公開されたキーは、削除するまで有効なままです。

​
メンバーによるAPIキーの使用を制限する

組織管理者は、W&B Appの組織設定からAPIキーの作成と使用を制限できます。これらの制限により、組織のリソースにアクセスできるキーと、新しいキーを作成できるユーザーを限定できます。以下のセクションでは、利用できる制限について説明します。制限内容はデプロイメントタイプによって異なります。

​
組織スコープの APIキーを強制する

Enterprise 組織向けの Multi-tenant Cloud で利用できます。この設定は W&B が組織ごとに有効化します。表示されない場合は、W&B のアカウントチームにお問い合わせください。 強制すると、組織 APIキーと、その組織内のサービスアカウントに属するキーのみが組織のリソースにアクセスできます。メンバーが複数の組織にまたがって使用している個人用 APIキーはこの組織に対して使用できなくなるため、他所から漏洩したキーによってデータにアクセスされることを防げます。
この設定を強制すると、個人用 APIキーは直ちに組織への読み取りおよび書き込みアクセスを失い、個人用キーを使用しているインテグレーションは動作しなくなります。強制する前にユーザーに通知してください。
組織スコープの APIキーを強制するには、次の手順を実行します。
  1. 組織管理者としてサインインします。
  2. 組織の設定を開き、左側のナビゲーションで Authentication を選択します。
  3. Enforce organization-scoped API keys の横にある Enforce をクリックします。
  4. 確認のために組織名を入力し、Enforce Organization-Scoped API Keys をクリックします。
設定の横に Enforced ラベルが表示されます。強制を停止するには、Authentication に戻り、Disable をクリックします。

​
APIキーの作成を無効にする

専用クラウド および セルフマネージド v0.84.0 以降で利用できます。 有効にすると、ユーザーおよびチームサービスアカウントは新しいAPIキーを作成できなくなります。組織サービスアカウントは引き続きキーを作成でき、既存のキーもそのまま使用できるため、この設定をオンにしても実行中のジョブが中断されることはありません。管理されたプロセスを通じて組織がキーを発行しており、メンバーが独自にキーを作成することを防ぎたい場合に使用してください。 APIキーの作成を無効にするには、次の手順を実行します。
  1. 組織管理者としてサインインします。
  2. 組織のダッシュボードを開き、左側のナビゲーションで Privacy を選択します。
  3. Access Control セクションで、APIキーの作成を無効にする をオンにします。
変更内容は W&B によってただちに保存されます。このタブのその他の設定については、プライバシー設定の構成 を参照してください。 この設定がオンの間、APIキー タブでは New key ボタンが無効になり、次のメッセージが表示されます。
サービスアカウントの作成も制限するには、GORILLA_DISABLE_TEAM_SERVICE_ACCOUNT_CREATION を参照してください。この環境変数を使用すると、専用クラウドおよびセルフマネージド v0.83.0 以降で、新しいチームスコープのサービスアカウントが作成されないようにできます。

​
利用可能性

APIキーで利用できる機能はデプロイメントタイプによって異なり、Multi-tenant Cloud ではサブスクリプションによっても異なります。次の表に、各機能を利用できる環境を示します。

​
APIキーを安全に保管・管理する

APIキーを使うとW&Bアカウントにアクセスできるため、パスワードと同様に厳重に保護する必要があります。以下のセクションでは、推奨される保管方法、避けるべき運用、コードにキーを渡す方法、新しいキーに必要なSDKバージョン要件について説明します。 次のいずれかの方法を使用して、APIキーを安全に保管してください。
  • シークレットマネージャー: AWS Secrets Manager、HashiCorp Vault、Azure Key Vault、Google Secret Manager などの専用のシークレット管理システムを使用してください。
  • パスワードマネージャー: 信頼できるパスワードマネージャーアプリを使用してください。
  • OS レベルのキーチェーン: macOS Keychain、Windows Credential Manager、または Linux Secret Service にキーを保存します。本番環境での使用は推奨されません。

​
避けるべきこと

次のような行為は APIキーの漏えいにつながるおそれがあるため、避けてください。
  • APIキーを Git などのバージョン管理システムにコミットしないでください。
  • APIキーを平文の設定ファイルに保存しないでください。
  • APIキーをコマンドライン引数として渡さないでください。ps のような OS コマンドの出力に表示されるためです。
  • APIキーをメール、チャット、その他の暗号化されていないチャネルで共有しないでください。
  • APIキーをソースコードにハードコードしないでください。
APIキーが漏えいした場合は、ただちに W&B アカウントから該当の APIキーを削除し、サポート または担当の AISE に連絡してください。

​
環境変数

コード内でAPIキーを使用する場合は、環境変数経由で渡します。
この方法では、キーをソースコードに含めずに済み、必要に応じてローテーションしやすくなります。
ps などの OS コマンドの出力に表示される可能性があるため、環境変数を コマンド と同じ行で設定するのは避けてください。

​
SDKのバージョン互換性

新しいAPIキーを使用する場合は、お使いのSDKバージョンがそのAPIキーをサポートしていることを確認してください。新しいAPIキーは、従来のキーより長くなっています。古いバージョンのwandbまたはweave SDKで認証すると、APIキーの長さに関するエラーが発生することがあります。 解決策: より新しいバージョンのSDKに更新してください。
  • wandb SDK v0.22.3+
  • weave SDK v0.52.17+
すぐにSDKをアップグレードできない場合は、回避策としてWANDB_API_KEY環境変数でAPIキーを設定してください。