OIDC で SSO を設定する

Okta、Azure AD、AWS Cognito などのアイデンティティプロバイダで OpenID Connect を使用して、W&B インスタンスの SSO を設定します。

W&B は OpenID Connect (OIDC) 互換のアイデンティティプロバイダに対応しているため、Okta、Keycloak、Auth0、Google、Entra などの外部アイデンティティプロバイダを通じて、ユーザーのアイデンティティやグループメンバーシップを管理できます。

​

OpenID Connect (OIDC)

W&B は、外部の Identity Provider (IdP) と統合するために、以下の OIDC 認証フローをサポートしています。

1. Form Post を使用する Implicit Flow
2. Proof Key for Code Exchange (PKCE) を使用する Authorization Code Flow

これらのフローはユーザーを認証し、アクセス制御の管理に必要なアイデンティティ情報を W&B に提供します (ID トークンの形式で) 。

ID トークンは JWT であり、ユーザーの名、ユーザー名、メールアドレス、グループ メンバーシップなどのアイデンティティ情報を含みます。W&B はこのトークンを使用してユーザーを認証し、システム内の適切なロールまたはグループにマッピングします。

W&B では、アクセストークンはユーザーに代わって API へのリクエストを認可するために使用されますが、W&B が主に重視するのはユーザー認証とアイデンティティであるため、必要なのは ID トークンのみです。

環境変数を使用して、IAM オプションを設定できます。対象は、専用クラウド または セルフマネージド インスタンスです。

専用クラウド または セルフマネージド の W&B インストールで Identity Provider を設定する際は、各 IdP について以下のガイドラインに従ってください。W&B の SaaS 版を使用している場合は、組織向けの Auth0 テナント設定について [e-mail] までお問い合わせください。

​

IdP を設定する

このセクションでは、OIDC 向けにアイデンティティプロバイダ (IdP) を設定する方法を説明します。詳細は、ご利用の IdP に対応するタブを選択してください。

Cognito

認可のために AWS Cognito を設定するには、次の手順に従ってください。

1. まず、AWS アカウントにサインインし、AWS Cognito アプリにアクセスします。

   

2. IdP でアプリケーションを設定するため、許可するコールバック URL を指定します。

   • コールバック URL として http(s)://YOUR-W&B-HOST/oidc/callback を追加します。YOUR-W&B-HOST は W&B ホストのパスに置き換えてください。

3. IdP がユニバーサルログアウトをサポートしている場合は、Logout URL を http(s)://YOUR-W&B-HOST に設定します。YOUR-W&B-HOST は W&B ホストのパスに置き換えてください。

   たとえば、アプリケーションが https://wandb.mycompany.com で実行されている場合は、YOUR-W&B-HOST を wandb.mycompany.com に置き換えます。

   以下の画像は、AWS Cognito で許可するコールバック URL とサインアウト URL を指定する方法を示しています。

   

   wandb/local はデフォルトで、implicit grant と form_post response type を使用します。

   また、PKCE Code Exchange フローを使用する authorization_code grant を実行するように wandb/local を設定することもできます。

4. AWS Cognito がアプリにトークンを渡す方法を設定するため、1 つ以上の OAuth grant type を選択します。

5. W&B では特定の OpenID Connect (OIDC) scope が必要です。AWS Cognito アプリで次の項目を選択します。

   • “openid”
   • “profile”
   • “email”

   たとえば、AWS Cognito App UI は次の画像のようになります。

   

   設定ページで Auth Method を選択するか、OIDC_AUTH_METHOD 環境変数を設定して、使用する grant を wandb/local に指定します。

   Auth Method は pkce に設定する必要があります。

6. Client ID と OIDC issuer の URL が必要です。OpenID discovery document は $OIDC_ISSUER/.well-known/openid-configuration で利用できる必要があります

   たとえば、User Pools セクション内の App Integration タブにある Cognito IdP URL に User Pool ID を追加することで、issuer URL を生成できます。

   

   IDP URL には “Cognito domain” を使用しないでください。Cognito は discovery document を https://cognito-idp.$REGION.amazonaws.com/$USER_POOL_ID で提供します

次に、W&B で SSO を設定します。

Okta

認可のために Okta を設定するには、以下の手順に従ってください。

1. Okta Portal にログインします。

2. 左側で Applications を選択し、続けてもう一度 Applications を選択します。

   

3. “Create App integration” をクリックします。

   

4. “Create a new app integration” 画面で、OIDC - OpenID Connect と Single-Page Application を選択します。次に “Next” をクリックします。

   

5. “New Single-Page App Integration” 画面で、次のように入力して Save をクリックします。

   • App integration name: たとえば “W&B”
   • Grant type: Authorization Code と Implicit (hybrid) の両方を選択します
   • Sign-in redirect URIs: https://YOUR_W_AND_B_URL/oidc/callback
   • Sign-out redirect URIs: https://YOUR_W_AND_B_URL/logout
   • Assignments: Skip group assignment for now を選択します
   

6. 作成した Okta アプリケーションの概要画面で、General タブの Client Credentials にある Client ID を控えておきます。

   

7. Okta OIDC Issuer URL を確認するには、左側で Settings、次に Account を選択します。 Okta の UI には、会社名が Organization Contact の下に表示されます。

   

OIDC issuer URL の形式は次のとおりです: https://COMPANY.okta.com。COMPANY を該当する値に置き換えてください。これも控えておきます。

次に、W&B で SSO を設定する。

Entra

Azure AD (Entra ID) は W&B 向けに2つの OIDC 設定モードをサポートしています。セキュリティ要件に合った設定を選択してください。

• パブリッククライアント: クライアントシークレットなしで PKCE を使用します。設定が簡単で、ほとんどのデプロイに適しています。
• Confidential Client: セキュリティ強化のため、クライアントシークレットとともに PKCE を使用します。GORILLA_OIDC_SECRET環境変数を設定する必要がある場合は必須です。

設定を混在させないでください。Azure AD で “Single-page application” を選択した場合は、クライアント シークレットを指定しないでください。クライアント シークレットが必要な場合は、プラットフォーム タイプとして “Web” を選択してください。

公開クライアント

クライアントシークレットを指定する必要がない場合は、この設定を使用します。この設定は、高度なセキュリティ要件がないデプロイに適しています。

1. Azure Portal にログインします。
2. Microsoft Entra ID サービスにアクセスし、左サイドバーから App registrations を選択します。
3. ページ上部の New registration をクリックします。
4. “Register an application” 画面で、以下を設定します。
   • Name: わかりやすい名前を入力します。
   • Supported account types: デフォルトの “Single tenant” のままにするか、必要に応じて変更します。
   • Redirect URI: プラットフォームタイプ Single-page application を選択し、https://YOUR_W_AND_B_URL/oidc/callback を入力します。
   • Register をクリックします。
5. 登録後、Overview ページで以下の値を控えます。
   • Application (client) ID: OIDC Client ID です。
   • Directory (tenant) ID: OIDC Issuer URL に使用する値です。
   
6. 認証設定を行います。
   • 左サイドバーから Authentication を選択します。
   • Front-channel logout URL に https://YOUR_W_AND_B_URL/logout を入力します。
   • Save をクリックします。

以下の内容を控えておきます。

• OIDC Client ID: step 5 の Application (client) ID
• OIDC Issuer URL: https://login.microsoftonline.com/{TenantID}/v2.0 ( は step 5 の Directory ID に置き換えます)

W&B を設定する際は、以下を使用します。

• Auth Method: pkce
• OIDC Client Secret: 空のままにします (GORILLA_OIDC_SECRET は設定しません)

次に、W&B で SSO を設定します。

コンフィデンシャルクライアント

クライアントシークレットを使用して認証する必要がある場合は、この設定を使用します。

1. Azure Portal にログインします。
2. Microsoft Entra ID サービスにアクセスし、左サイドバーから App registrations を選択します。
3. ページ上部の New registration をクリックします。
4. “Register an application” 画面で、以下を設定します。
   • Name: わかりやすい名前を入力します。
   • Supported account types: 既定の “Single tenant” のままにするか、必要に応じて変更します。
   • Redirect URI: プラットフォームタイプ Web を選択し、https://YOUR_W_AND_B_URL/oidc/callback を入力します。
   • Register をクリックします。
5. 登録後、Overview ページで次の値を控えます。
   • Application (client) ID: OIDC Client ID。
   • Directory (tenant) ID: OIDC Issuer URL に使用する値。
   
6. 認証設定を行います。
   • 左サイドバーから Authentication を選択します。
   • Front-channel logout URL に https://<YOUR_W_AND_B_URL>/logout を入力します。
   • Save をクリックします
7. クライアントシークレットを作成します。
   • 左サイドバーから Certificates & secrets を選択します。
   • New client secret をクリックします。
   • シークレットの説明を追加します。
   • 有効期限を選択します。
   • Add をクリックします。
     シークレットの Value はすぐにコピーして保存してください (Secret ID ではなく Value です)
     。
   

次の詳細を控えておいてください。

• OIDC Client ID: step 5 の Application (client) ID。
• OIDC Client Secret: step 7 のシークレット値。
• OIDC Issuer URL: https://login.microsoftonline.com/{TenantID}/v2.0 ( は step 5 の Directory ID に置き換えてください) 。

W&B を設定するときは、次を使用します。

• Auth Method: pkce
• OIDC Client Secret: GORILLA_OIDC_SECRET 環境変数に step 7 のシークレット値を設定します

v2.0 endpoint は、個人の Microsoft アカウントと職場または学校のアカウントの両方をサポートします。組織で v1.0 endpoint が必要な場合は、代わりに https://login.microsoftonline.com/{TenantID} を使用してください。

次に、W&B で SSO を設定します。

​

W&B で SSO を設定する

SSO を設定するには、管理者権限と以下の情報が必要です。

• OIDC Client ID
• OIDC Auth method (implicit または pkce)
• OIDC Issuer URL
• OIDC Client Secret (任意。IdP の設定内容によって異なります)

IdP で OIDC Client Secret が必要な場合は、環境変数 GORILLA_OIDC_SECRET を設定して指定します。

• W&B App で System Console > Settings > Advanced > User Spec に移動し、以下のように extraENV セクションに GORILLA_OIDC_SECRET を追加します。
• Helm では、以下のように values.global.extraEnv を設定します。
  values:
  global:
      extraEnv:
      GORILLA_OIDC_SECRET="<your_secret>"
  

SSO の設定後にインスタンスへログインできなくなった場合は、環境変数 LOCAL_RESTORE=true を設定してインスタンスを再起動できます。これにより、一時パスワードがコンテナーのログに出力され、SSO は無効になります。SSO の問題を解消したら、SSO を再度有効にするために、この環境変数を削除する必要があります。

System Console

System Console は System Settings ページの後継です。W&B Kubernetes Operator ベースのデプロイで利用できます。

1. Access the W&B Management Console を参照してください。

2. Settings、次に Authentication にアクセスします。Type ドロップダウンで OIDC を選択します。

   

3. 各値を入力します。

4. Save をクリックします。

5. ログアウトしてから再度ログインします。今度は IdP のログイン画面を使用します。

​

Customer Namespace を確認する

W&B 専用クラウド または セルフマネージドで CoreWeave storage を使用したチームレベルの BYOB を設定するには、まず組織の Customer Namespace を取得する必要があります。これは Authentication タブの下部で確認してコピーできます。

Customer Namespace を使用して CoreWeave storage を設定する詳細な手順については、CoreWeave requirements for 専用クラウド / セルフマネージド を参照してください。

System settings

1. Weights & Biases インスタンスにログインします。

2. W&B App にアクセスします。

   

3. ドロップダウンから System Settings を選択します。

   

4. Issuer、Client ID、Authentication Method を入力します。

5. Update settings を選択します。

SSO の設定後にインスタンスへログインできなくなった場合は、環境変数 LOCAL_RESTORE=true を設定してインスタンスを再起動できます。これにより、一時パスワードがコンテナーのログに出力され、SSO は無効になります。SSO の問題を解消したら、SSO を再度有効にするために、この環境変数を削除する必要があります。

​

Security Assertion Markup Language (SAML)

W&B は SAML をサポートしていません。