> ## Documentation Index
> Fetch the complete documentation index at: https://wb-21fd5541-wbdocs-1882.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.
# Configurer le SSO avec OIDC
> Configurez le SSO à l’aide d’OpenID Connect avec des fournisseurs d’identité comme Okta, Azure AD et AWS Cognito pour les instances W&B.
La prise en charge par W\&B des fournisseurs d’identité compatibles avec OpenID Connect (OIDC) permet de gérer les identités des utilisateurs et leur appartenance à des groupes via des fournisseurs d’identité externes comme Okta, Keycloak, Auth0, Google et Entra.
## OpenID Connect (OIDC)
W\&B prend en charge les flux d’authentification OIDC suivants pour l’intégration avec des fournisseurs d’identité (IdP) externes.
1. Flux implicite avec Form Post
2. Flux de code d’autorisation avec Proof Key for Code Exchange (PKCE)
Ces flux authentifient les utilisateurs et fournissent à W\&B les informations d’identité nécessaires (sous forme de jetons ID) pour gérer le contrôle d’accès.
Le jeton ID est un JWT qui contient les informations d’identité de l’utilisateur, telles que son nom, son nom d’utilisateur, son adresse e-mail et son appartenance à des groupes. W\&B utilise ce jeton pour authentifier l’utilisateur et l’associer aux rôles ou groupes appropriés dans le système.
Dans le contexte de W\&B, les jetons d’accès autorisent les requêtes aux API au nom de l’utilisateur, mais comme W\&B s’intéresse avant tout à l’authentification et à l’identité de l’utilisateur, seul le jeton ID est nécessaire.
Vous pouvez utiliser des variables d’environnement pour [configurer les options IAM](/fr/platform/hosting/iam/advanced_env_vars) de votre instance [Cloud dédié](/fr/platform/hosting/hosting-options/dedicated-cloud) ou [Autogéré](/fr/platform/hosting/hosting-options/self-managed).
Pour vous aider à configurer des fournisseurs d’identité pour des installations W\&B [Cloud dédié](/fr/platform/hosting/hosting-options/dedicated-cloud) ou [Autogéré](/fr/platform/hosting/hosting-options/self-managed), suivez les recommandations ci-dessous pour différents IdP. Si vous utilisez la version SaaS de W\&B, contactez [support@wandb.com](mailto:support@wandb.com) pour obtenir de l’assistance dans la configuration d’un tenant Auth0 pour votre organisation.
## Configurez votre IdP
Cette section explique comment configurer votre fournisseur d’identité (IdP) pour OIDC. Sélectionnez l’onglet correspondant à votre IdP pour plus de détails.
Suivez la procédure ci-dessous pour configurer AWS Cognito pour l’autorisation :
1. Commencez par vous connecter à votre compte AWS, puis accédez à l’application [AWS Cognito](https://aws.amazon.com/cognito/).
2. Indiquez une URL de rappel autorisée pour configurer l’application dans votre IdP :
* Ajoutez `http(s)://YOUR-W&B-HOST/oidc/callback` comme URL de rappel. Remplacez `YOUR-W&B-HOST` par le chemin d’hôte de votre instance W\&B.
3. Si votre IdP prend en charge la déconnexion universelle, définissez l’URL de déconnexion sur `http(s)://YOUR-W&B-HOST`. Remplacez `YOUR-W&B-HOST` par le chemin d’hôte de votre instance W\&B.
Par exemple, si votre application s’exécute à l’adresse `https://wandb.mycompany.com`, remplacez `YOUR-W&B-HOST` par `wandb.mycompany.com`.
L’image ci-dessous montre comment renseigner les URL de rappel autorisées et de déconnexion dans AWS Cognito.
Par défaut, *wandb/local* utilise l’grant [`implicit` avec le type de réponse `form_post`](https://auth0.com/docs/get-started/authentication-and-authorization-flow/implicit-flow-with-form-post).
Vous pouvez également configurer *wandb/local* pour utiliser un grant `authorization_code` avec le flux [PKCE Code Exchange](https://www.oauth.com/oauth2-servers/pkce/).
4. Sélectionnez un ou plusieurs types de grant OAuth pour configurer la manière dont AWS Cognito transmet les jetons à votre application.
5. W\&B exige des scopes OpenID Connect (OIDC) spécifiques. Sélectionnez les éléments suivants dans l’application AWS Cognito :
* "openid"
* "profile"
* "email"
Par exemple, l’interface de votre application AWS Cognito devrait ressembler à l’image suivante :
Sélectionnez la **méthode d’authentification** dans la page des paramètres ou définissez la variable d’environnement OIDC\_AUTH\_METHOD pour indiquer à *wandb/local* quel grant utiliser.
Vous devez définir la méthode d’authentification sur `pkce`.
6. Vous avez besoin d’un ID client et de l’URL de votre émetteur OIDC. Le document de découverte OpenID doit être disponible à l’adresse `$OIDC_ISSUER/.well-known/openid-configuration`
Par exemple, vous pouvez générer l’URL de votre émetteur en ajoutant l’ID de votre pool d’utilisateurs à l’URL de l’IdP Cognito depuis l’onglet **App Integration** de la section **User Pools** :
N’utilisez pas le "domaine Cognito" pour l’URL de l’IdP. Cognito fournit son document de découverte à l’adresse `https://cognito-idp.$REGION.amazonaws.com/$USER_POOL_ID`
Ensuite, [Configurez le SSO dans W\&B](#set-up-sso-in-w%26b).
Suivez la procédure ci-dessous pour configurer Okta pour l’autorisation :
1. Connectez-vous au [portail Okta](https://login.okta.com/).
2. Dans le menu de gauche, sélectionnez **Applications**, puis de nouveau **Applications**.
3. Cliquez sur "Create App integration."
4. Sur l’écran intitulé "Create a new app integration," sélectionnez **OIDC - OpenID Connect** et **Single-Page Application**. Cliquez ensuite sur "Next."
5. Sur l’écran intitulé "New Single-Page App Integration," renseignez les champs comme suit, puis cliquez sur **Save** :
* Nom de l’intégration d’application, par exemple "W\&B"
* Type d’autorisation : sélectionnez **Authorization Code** et **Implicit (hybrid)**
* URI de redirection de connexion : [https://YOUR\_W\_AND\_B\_URL/oidc/callback](https://YOUR\_W\_AND\_B\_URL/oidc/callback)
* URI de redirection de déconnexion : [https://YOUR\_W\_AND\_B\_URL/logout](https://YOUR\_W\_AND\_B\_URL/logout)
* Attributions : sélectionnez **Skip group assignment for now**
6. Sur l’écran d’aperçu de l’application Okta que vous venez de créer, notez le **Client ID** sous **Client Credentials**, dans l’onglet **General** :
7. Pour identifier l’URL de l’émetteur OIDC d’Okta, sélectionnez **Settings**, puis **Account** dans le menu de gauche.
L’interface utilisateur d’Okta affiche le nom de l’entreprise sous **Organization Contact**.
L’URL de l’émetteur OIDC a le format suivant : `https://COMPANY.okta.com`. Remplacez COMPANY par la valeur correspondante. Notez-la.
Ensuite, [Configurez le SSO dans W\&B](#set-up-sso-in-w%26b).
Azure AD (Entra ID) prend en charge deux modes de configuration OIDC pour W\&B. Choisissez la configuration qui correspond à vos exigences de sécurité :
* [Client public](#public-client) : Utilise PKCE sans secret du client. Plus simple à configurer, il convient à la plupart des déploiements.
* [Client confidentiel](#confidential-client) : utilise PKCE avec un secret du client pour une sécurité renforcée. Requis si vous devez définir la variable d'environnement `GORILLA_OIDC_SECRET`.
Ne mélangez pas les configurations. Si vous sélectionnez "Single-page application" dans Azure AD, n’indiquez pas de secret client. Si vous avez besoin d’un secret client, vous devez sélectionner "Web" comme type de plateforme.
Utilisez cette configuration si vous n’avez pas besoin d’indiquer de secret client. Cette configuration convient aux déploiements sans exigences de sécurité avancées.
1. Connectez-vous au [portail Azure](https://portal.azure.com/).
2. Accédez au service **Microsoft Entra ID** et sélectionnez **App registrations** dans la barre latérale gauche.
3. Cliquez sur **New registration** en haut de la page.
4. Sur l’écran "Register an application", configurez les éléments suivants :
* **Nom** : saisissez un nom explicite.
* **Types de comptes pris en charge** : conservez la valeur par défaut "Single tenant" ou modifiez-la selon vos besoins.
* **URI de redirection** : sélectionnez le type de plateforme **Single-page application** et saisissez `https://YOUR_W_AND_B_URL/oidc/callback`.
* Cliquez sur **Register**.
5. Après l’enregistrement, notez les valeurs suivantes sur la page Aperçu :
* **ID d’application (client)** : votre ID client OIDC.
* **ID de répertoire (locataire)** : votre URL d’émetteur OIDC.
6. Configurez les paramètres d’authentification :
* Sélectionnez **Authentication** dans la barre latérale gauche.
* Sous **Front-channel logout URL**, saisissez `https://YOUR_W_AND_B_URL/logout`.
* Cliquez sur **Save**.
Notez les informations suivantes :
* **ID client OIDC** : l’ID d’application (client) de l’étape 5
* **URL d’émetteur OIDC** : `https://login.microsoftonline.com/{TenantID}/v2.0` (remplacez {TenantID} par votre ID de répertoire de l’étape 5)
Lors de la configuration de W\&B, utilisez :
* **Méthode d’authentification** : `pkce`
* **Secret client OIDC** : laissez vide (ne définissez pas `GORILLA_OIDC_SECRET`)
Ensuite, [configurez le SSO dans W\&B](#set-up-sso-in-w%26b).
Utilisez cette configuration si vous devez vous authentifier à l’aide d’un secret client.
1. Connectez-vous au [portail Azure](https://portal.azure.com/).
2. Accédez au service **Microsoft Entra ID** et sélectionnez **App registrations** dans la barre latérale gauche.
3. Cliquez sur **New registration** en haut de la page.
4. Dans l’écran "Register an application", configurez les éléments suivants :
* **Name** : saisissez un nom explicite.
* **Supported account types** : conservez la valeur par défaut "Single tenant" ou modifiez-la selon vos besoins.
* **Redirect URI** : sélectionnez le type de plateforme **Web** et saisissez `https://YOUR_W_AND_B_URL/oidc/callback`.
* Cliquez sur **Register**.
5. Après l’enregistrement, relevez les valeurs suivantes sur la page Aperçu :
* **Application (client) ID** : votre ID client OIDC.
* **Directory (tenant) ID** : votre URL d’émetteur OIDC.
6. Configurez les paramètres d’authentification :
* Sélectionnez **Authentication** dans la barre latérale gauche.
* Sous **Front-channel logout URL**, saisissez `https:///logout`.
* Cliquez sur **Save**
7. Créez un secret client :
* Sélectionnez **Certificates & secrets** dans la barre latérale gauche.
* Cliquez sur **New client secret**.
* Ajoutez une description pour le secret.
* Choisissez une durée d’expiration.
* Cliquez sur **Add**. Copiez et enregistrez immédiatement la **Value** du secret (et non le Secret ID).
Notez les informations suivantes :
* **OIDC Client ID** : l’Application (client) ID de l’étape 5.
* **OIDC Client Secret** : la valeur du secret de l’étape 7.
* **OIDC Issuer URL** : `https://login.microsoftonline.com/{TenantID}/v2.0` (remplacez {TenantID} par votre Directory ID de l’étape 5).
Lors de la configuration de W\&B, utilisez :
* **Auth Method** : `pkce`
* **OIDC Client Secret** : définissez la variable d’environnement `GORILLA_OIDC_SECRET` sur la valeur du secret de l’étape 7
Le point de terminaison v2.0 prend en charge à la fois les comptes Microsoft personnels et les comptes professionnels ou scolaires. Si votre organisation exige le point de terminaison v1.0, utilisez `https://login.microsoftonline.com/{TenantID}` à la place.
Ensuite, [Configurez le SSO dans W\&B](#set-up-sso-in-w%26b).
## Configurer le SSO dans W\&B
Pour configurer le SSO, vous devez disposer de privilèges d’administrateur et des informations suivantes :
* ID client OIDC
* Méthode d’authentification OIDC (`implicit` ou `pkce`)
* URL de l’émetteur OIDC
* Secret client OIDC (facultatif ; dépend de la façon dont votre IdP est configuré)
Si votre IdP exige un secret client OIDC, indiquez-le en définissant la [variable d’environnement](/fr/platform/hosting/env-vars) `GORILLA_OIDC_SECRET`.
* Dans W\&B App, accédez à **System Console** > **Settings** > **Advanced** > **User Spec** et ajoutez `GORILLA_OIDC_SECRET` à la section `extraENV`, comme indiqué ci-dessous.
* Dans Helm, configurez `values.global.extraEnv` comme indiqué ci-dessous.
```yaml theme={null}
values:
global:
extraEnv:
GORILLA_OIDC_SECRET=""
```
Si vous ne parvenez pas à vous connecter à votre instance après avoir configuré le SSO, vous pouvez redémarrer l’instance avec la variable d’environnement `LOCAL_RESTORE=true` définie. Cela génère un mot de passe temporaire dans les logs des conteneurs et désactive le SSO. Une fois les problèmes de SSO résolus, vous devez supprimer cette variable d’environnement pour réactiver le SSO.
System Console remplace la page System Settings. Elle est disponible dans les déploiements basés sur l’[opérateur Kubernetes W\&B](/fr/platform/hosting/self-managed/operator).
1. Reportez-vous à [Accéder à la console de gestion W\&B](/fr/platform/hosting/self-managed/operator#access-the-wb-management-console).
2. Accédez à **Settings**, puis à **Authentication**. Sélectionnez **OIDC** dans la liste déroulante **Type**.
3. Saisissez les valeurs.
4. Cliquez sur **Save**.
5. Déconnectez-vous, puis reconnectez-vous, cette fois via l’écran de connexion de l’IdP.
## Trouvez votre espace de noms client
Avant de pouvoir configurer BYOB au niveau de l’équipe avec le stockage CoreWeave sur W\&B Cloud dédié ou Autogéré, vous devez obtenir le **Customer Namespace** de votre organisation. Vous pouvez l’afficher et le copier en bas de l’onglet **Authentication**.
Pour obtenir des instructions détaillées sur la configuration du stockage CoreWeave avec votre Customer Namespace, voir [Exigences CoreWeave pour Cloud dédié / Autogéré](/fr/platform/hosting/data-security/secure-storage-connector#coreweave-customer-namespace).
1. Connectez-vous à votre instance Weights & Biases.
2. Accédez à W\&B App.
3. Dans la liste déroulante, sélectionnez **System Settings** :
4. Saisissez votre émetteur, votre ID client et votre méthode d’authentification.
5. Sélectionnez **Update settings**.
Si vous ne parvenez pas à vous connecter à votre instance après avoir configuré le SSO, vous pouvez redémarrer l’instance avec la variable d’environnement `LOCAL_RESTORE=true` définie. Cela génère un mot de passe temporaire dans les logs des conteneurs et désactive le SSO. Une fois les problèmes de SSO résolus, vous devez supprimer cette variable d’environnement pour réactiver le SSO.
## Security Assertion Markup Language (SAML)
W\&B ne prend pas en charge le protocole SAML.