OIDC を使用した SSO の設定

W&B による OpenID Connect (OIDC) 互換のアイデンティティプロバイダーのサポートにより、Okta、Keycloak、Auth0、Google、Entra などの外部アイデンティティプロバイダーを通じて、ユーザー ID およびグループメンバーシップを管理できます。

​

OpenID Connect (OIDC)

W&B は、外部の Identity Provider (IdP) と統合するために、次の OIDC 認証フローをサポートしています。

1. Implicit Flow with Form Post
2. Authorization Code Flow with Proof Key for Code Exchange (PKCE)

これらのフローではユーザーを認証し、アクセス制御を管理するために必要な ID 情報（ID トークンとして提供される）を W&B に渡します。

ID トークンは JWT であり、氏名、ユーザー名、メールアドレス、グループメンバーシップなどのユーザーの ID 情報を含みます。W&B はこのトークンを使用してユーザーを認証し、システム内の適切なロールやグループにマッピングします。

W&B においては、アクセストークンはユーザーに代わって API へのリクエストを許可するために使用されますが、W&B の主な関心はユーザー認証とユーザーのアイデンティティであるため、必要なのは ID トークンのみです。

環境変数を使用して、Dedicated Cloud または Self-Managed インスタンス向けに IAM オプションを設定 できます。

Dedicated Cloud または Self-Managed の W&B インストール向けに Identity Provider を構成する際は、各種 IdP に対して以下のガイドラインに従ってください。W&B の SaaS 版を使用している場合は、組織向けの Auth0 テナント構成について支援が必要な際に [e-mail] までお問い合わせください。

​

IdP を設定する

このセクションでは、OIDC 用に IdP（アイデンティティプロバイダ）を設定する方法を説明します。詳しくは、使用している IdP のタブを選択してください。

Cognito

以下の手順に従って、AWS Cognito を認可用に設定します。

1. まず、AWS アカウントにサインインし、AWS Cognito アプリに移動します。

   

2. IdP でアプリケーションを設定するために、許可されたコールバック URL を指定します：

   • コールバック URL として http(s)://YOUR-W&B-HOST/oidc/callback を追加します。YOUR-W&B-HOST を W&B ホストのパスに置き換えます。

3. IdP がユニバーサルログアウトをサポートしている場合、ログアウト URL を http(s)://YOUR-W&B-HOST に設定します。YOUR-W&B-HOST を W&B ホストのパスに置き換えます。

   たとえば、アプリケーションが https://wandb.mycompany.com で動作している場合、YOUR-W&B-HOST を wandb.mycompany.com に置き換えます。

   下の画像は、AWS Cognito で許可されたコールバック URL およびサインアウト URL を指定する方法を示しています。

   

   wandb/local はデフォルトで、implicit グラントと form_post レスポンスタイプ を使用します。

   また、wandb/local を、authorization_code グラントを用いた PKCE Code Exchange フローを実行するように設定することもできます。

4. 1 つ以上の OAuth グラントタイプを選択して、AWS Cognito がトークンをアプリにどのように配信するかを設定します。

5. W&B では特定の OpenID Connect (OIDC) スコープが必要です。AWS Cognito アプリで次のスコープを選択します：

   • 「openid」
   • 「profile」
   • 「email」

   たとえば、AWS Cognito アプリの UI は次の画像のようになります。

   

   設定ページで Auth Method を選択するか、環境変数 OIDC_AUTH_METHOD を設定して、wandb/local にどのグラントを使用するかを指定します。

   Auth Method を pkce に設定する必要があります。

6. Client ID と OIDC issuer の URL が必要です。OpenID のディスカバリードキュメントは $OIDC_ISSUER/.well-known/openid-configuration で利用可能である必要があります。

   たとえば、User Pools セクション内の App Integration タブにある Cognito IdP URL に User Pool ID を付加することで、issuer URL を生成できます。

   

   IdP URL には「Cognito domain」を使用しないでください。Cognito はディスカバリードキュメントを https://cognito-idp.$REGION.amazonaws.com/$USER_POOL_ID で提供します。

次に、W&B で SSO を設定します。

Okta

以下の手順に従って、Okta を認可用に設定します。

1. Okta Portal にログインします。

2. 左側のメニューで Applications を選択し、もう一度 Applications を選択します。

   

3. “Create App integration” をクリックします。

   

4. “Create a new app integration” という画面で、OIDC - OpenID Connect と Single-Page Application を選択し、“Next” をクリックします。

   

5. “New Single-Page App Integration” という画面で、次の項目を入力して Save をクリックします:

   • App integration name: 例として “W&B”
   • Grant type: Authorization Code と Implicit (hybrid) の両方を選択
   • Sign-in redirect URIs: https://YOUR_W_AND_B_URL/oidc/callback
   • Sign-out redirect URIs: https://YOUR_W_AND_B_URL/logout
   • Assignments: Skip group assignment for now を選択
   

6. 作成した Okta アプリケーションの概要画面で、General タブの Client Credentials セクションにある Client ID を確認し、控えておきます。

   

7. Okta の OIDC Issuer URL を特定するには、左側で Settings を選択し、続いて Account を選択します。 Okta の UI では、Organization Contact の下に会社名が表示されます。

   

OIDC issuer URL は次の形式になります: https://COMPANY.okta.com。COMPANY を該当する値に置き換えて、控えておきます。

次に、W&B で SSO をセットアップします。

Entra

Azure AD (Entra ID) は W&B 向けに2つの OIDC 設定モードをサポートしています。セキュリティ要件に合った設定を選択してください。

• Public Client: クライアントシークレットを必要としない PKCE を使用します。設定が簡単で、ほとんどのデプロイに適しています。
• Confidential Client：セキュリティを強化するために、クライアントシークレット付きの PKCE を使用します。GORILLA_OIDC_SECRET 環境変数を設定する必要がある場合に必須です。

設定を混在させないでください。Azure AD でプラットフォームとして “Single-page application” を選択した場合は、クライアント シークレットを設定しないでください。クライアント シークレットが必要な場合は、プラットフォームの種類として “Web” を選択する必要があります。

パブリッククライアント

クライアントシークレットを指定する必要がない場合は、この設定を使用してください。この設定は、高度なセキュリティ要件のないデプロイメントに適しています。

1. Azure Portal にログインします。
2. Microsoft Entra ID サービスに移動し、左サイドバーから App registrations を選択します。
3. ページ上部の New registration をクリックします。
4. “Register an application” 画面で、次の項目を設定します:
   • Name: 分かりやすい名前を入力します。
   • Supported account types: 既定の “Single tenant” のままにするか、必要に応じて変更します。
   • Redirect URI: プラットフォームの種類に Single-page application を選択し、https://YOUR_W_AND_B_URL/oidc/callback を入力します。
   • Register をクリックします。
5. 登録後、Overview ページから次の値を控えておいてください:
   • Application (client) ID: OIDC Client ID。
   • Directory (tenant) ID: OIDC Issuer URL。
   
6. 認証設定を行います:
   • 左サイドバーから Authentication を選択します。
   • Front-channel logout URL に https://YOUR_W_AND_B_URL/logout を入力します。
   • Save をクリックします。

次の情報を控えておいてください:

• OIDC Client ID: 手順 5 の Application (client) ID
• OIDC Issuer URL: https://login.microsoftonline.com/{TenantID}/v2.0 ( を手順 5 の Directory ID に置き換えます)

W&B を設定する際は、次を使用します:

• Auth Method: pkce
• OIDC Client Secret: 空のままにします (GORILLA_OIDC_SECRET は設定しないでください)

次に、W&B で SSO を設定します。

機密クライアント

クライアントシークレットを使って認証する必要がある場合は、この設定を使用してください。

1. Azure Portal にログインします。
2. Microsoft Entra ID サービスに移動し、左サイドバーから App registrations を選択します。
3. ページ上部の New registration をクリックします。
4. 「Register an application」画面で次の項目を設定します:
   • Name: わかりやすい名前を入力します。
   • Supported account types: 既定の「Single tenant」のままにするか、必要に応じて変更します。
   • Redirect URI: プラットフォームの種類として Web を選択し、https://YOUR_W_AND_B_URL/oidc/callback を入力します。
   • Register をクリックします。
5. 登録後、Overview ページから次の値を控えておきます:
   • Application (client) ID: OIDC Client ID となる ID。
   • Directory (tenant) ID: OIDC Issuer URL で使用する ID。
   
6. 認証の設定を行います:
   • 左サイドバーから Authentication を選択します。
   • Front-channel logout URL に https://<YOUR_W_AND_B_URL>/logout を入力します。
   • Save をクリックします。
7. クライアントシークレットを作成します:
   • 左サイドバーから Certificates & secrets を選択します。
   • New client secret をクリックします。
   • シークレットの説明を追加します。
   • 有効期限を選択します。
   • Add をクリックします。
     シークレットの Value をすぐにコピーして保存してください (Secret ID ではありません)。
   

次の情報を控えておいてください:

• OIDC Client ID: ステップ 5 の Application (client) ID。
• OIDC Client Secret: ステップ 7 のシークレットの値。
• OIDC Issuer URL: https://login.microsoftonline.com/{TenantID}/v2.0 ( はステップ 5 の Directory ID に置き換えます)。

W&B を設定するときは、次を使用します:

• Auth Method: pkce
• OIDC Client Secret: 環境変数 GORILLA_OIDC_SECRET にステップ 7 のシークレットの値を設定します

v2.0 エンドポイントは、個人用の Microsoft アカウントと職場/学校アカウントの両方をサポートします。組織で v1.0 エンドポイントを使用する必要がある場合は、代わりに https://login.microsoftonline.com/{TenantID} を使用してください。

次に、W&B で SSO をセットアップします。

​

W&B で SSO を設定する

SSO を設定するには、管理者権限と以下の情報が必要です。

• OIDC Client ID
• OIDC Auth method（implicit または pkce）
• OIDC Issuer URL
• OIDC Client Secret（任意。IdP の設定方法に依存）

IdP が OIDC Client Secret を必須としている場合は、環境変数 environment variables GORILLA_OIDC_SECRET を指定します。

• W&B App で System Console > Settings > Advanced > User Spec に移動し、以下の例のように extraENV セクションへ GORILLA_OIDC_SECRET を追加します。
• Helm を使用する場合は、以下のように values.global.extraEnv を設定します。
  values:
  global:
      extraEnv:
      GORILLA_OIDC_SECRET="<your_secret>"
  

SSO を設定した後にインスタンスへログインできなくなった場合は、環境変数 LOCAL_RESTORE=true を設定してインスタンスを再起動できます。これにより、一時的なパスワードがコンテナのログに出力され、SSO が無効化されます。SSO に関する問題を解決したら、その環境変数を削除して SSO を再度有効にする必要があります。

System Console

System Console は System Settings ページの後継です。W&B Kubernetes Operator ベースのデプロイで利用できます。

1. Access the W&B Management Console を参照してください。

2. Settings に移動し、次に Authentication に移動します。Type のドロップダウンから OIDC を選択します。

   

3. 各値を入力します。

4. Save をクリックします。

5. 一度ログアウトしてから、今度は IdP のログイン画面を使ってログインし直します。

​

Customer Namespace を確認する

W&B Dedicated Cloud または Self-Managed 上で、CoreWeave ストレージを用いたチームレベルの BYOB を設定する前に、組織の Customer Namespace を取得する必要があります。これは Authentication タブの下部で表示およびコピーできます。

Customer Namespace を用いた CoreWeave ストレージの詳細な設定手順については、CoreWeave requirements for Dedicated Cloud / Self-Managed を参照してください。

System settings

1. Weights&Biases インスタンスにサインインします。

2. W&B App に移動します。

   

3. ドロップダウンから System Settings を選択します。

   

4. Issuer、Client ID、Authentication Method を入力します。

5. Update settings を選択します。

SSO を設定した後にインスタンスへログインできなくなった場合は、環境変数 LOCAL_RESTORE=true を設定してインスタンスを再起動できます。これにより、一時的なパスワードがコンテナのログに出力され、SSO が無効化されます。SSO に関する問題を解決したら、その環境変数を削除して SSO を再度有効にする必要があります。

​

Security Assertion Markup Language (SAML)

W&B では SAML をサポートしていません。