> ## Documentation Index
> Fetch the complete documentation index at: https://docs.coreweave.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Configurer le SSO avec OIDC
> Configurez le SSO à l’aide d’OpenID Connect avec des fournisseurs d’identité tels qu’Okta, Azure AD et AWS Cognito pour les instances W&B.
Ce guide s’adresse aux administrateurs d’instances en Cloud dédié de W\&B ou autogérées qui souhaitent activer l’authentification unique (SSO) à l’aide d’un fournisseur d’identité compatible OpenID Connect (OIDC). À l’issue de ce guide, vous aurez configuré votre fournisseur d’identité et l’aurez connecté à W\&B pour que les utilisateurs puissent se connecter avec le système d’identité existant de votre organisation. Vous pourrez également gérer les identités des utilisateurs et leur appartenance aux groupes via des fournisseurs tels qu’Okta, Keycloak, Auth0, Google et Entra.
OpenID Connect
W\&B prend en charge les flux d’authentification OIDC suivants pour l’intégration avec des fournisseurs d’identité (IdP) externes :
* Flux implicite avec publication de formulaire (form post).
* Flux de code d’autorisation avec Proof Key for Code Exchange (PKCE).
Ces flux authentifient les utilisateurs et fournissent à W\&B les informations d’identité (sous forme de jetons d’ID) nécessaires à la gestion du contrôle d’accès.
Le jeton d’ID est un JWT qui contient les informations d’identité de l’utilisateur, telles que son nom, son nom d’utilisateur, son adresse e-mail et les groupes dont il est membre. W\&B utilise ce jeton pour authentifier l’utilisateur et l’associer aux rôles ou groupes appropriés dans le système.
Dans W\&B, les jetons d’accès autorisent les requêtes vers les API au nom de l’utilisateur. Toutefois, comme W\&B s’intéresse avant tout à l’authentification et à l’identité des utilisateurs, seul le jeton d’ID est requis.
Vous pouvez utiliser des variables d’environnement pour [configurer les options IAM](/fr/products/wandb/platform/hosting/iam/advanced_env_vars) de votre instance [Cloud dédié](/fr/products/wandb/platform/hosting/hosting-options/dedicated-cloud) ou [autogérée](/fr/products/wandb/platform/hosting/hosting-options/self-managed).
Pour configurer les fournisseurs d’identité des déploiements [Cloud dédié](/fr/products/wandb/platform/hosting/hosting-options/dedicated-cloud) ou [autogérés](/fr/products/wandb/platform/hosting/hosting-options/self-managed), suivez les recommandations ci-dessous. Si vous utilisez le Cloud mutualisé de W\&B, contactez [forge-support@coreweave.com](mailto:forge-support@coreweave.com) pour obtenir de l’assistance.
Les sections suivantes expliquent comment configurer votre fournisseur d’identité (IdP) pour OIDC. Commencez par effectuer les étapes de configuration de votre IdP. Vous utiliserez ensuite les valeurs **Client ID**, **Issuer URL** et, le cas échéant, **Client Secret** ainsi obtenues pour configurer le SSO dans W\&B, comme décrit dans la section suivante. Pour plus de détails, sélectionnez l’onglet correspondant à votre IdP.
Suivez cette procédure pour configurer AWS Cognito comme IdP. Vous obtiendrez ainsi un **Client ID** et une **OIDC issuer URL**, que vous utiliserez pour configurer W\&B.
1. Connectez-vous à votre compte AWS et accédez à l’application [AWS Cognito](https://aws.amazon.com/cognito/).
2. Pour configurer l’application dans votre IdP, fournissez une URL de rappel autorisée. Ajoutez `http(s)://[YOUR-W-AND-B-HOST]/oidc/callback` comme URL de rappel. Remplacez `[YOUR-W-AND-B-HOST]` par le chemin de votre hôte W\&B.
3. Si votre IdP prend en charge la déconnexion universelle, définissez l’URL de déconnexion sur `http(s)://[YOUR-W-AND-B-HOST]`. Remplacez `[YOUR-W-AND-B-HOST]` par le chemin de votre hôte W\&B.
Par exemple, si votre application s’exécute à l’adresse `https://wandb.mycompany.com`, remplacez `[YOUR-W-AND-B-HOST]` par `wandb.mycompany.com`.
L’image suivante montre comment renseigner les URL de rappel et de déconnexion autorisées dans AWS Cognito.
Par défaut, `wandb/local` utilise l’[octroi `implicit` avec le type de réponse `form_post`](https://auth0.com/docs/get-started/authentication-and-authorization-flow/implicit-flow-with-form-post).
Vous pouvez également configurer `wandb/local` pour effectuer un octroi `authorization_code` reposant sur le flux [PKCE Code Exchange](https://www.oauth.com/oauth2-servers/pkce/).
4. Sélectionnez un ou plusieurs types d’octroi OAuth pour définir la manière dont AWS Cognito transmet les jetons à votre application.
5. W\&B requiert des portées OpenID Connect (OIDC) spécifiques. Sélectionnez les portées suivantes dans l’application AWS Cognito :
* `openid`
* `profile`
* `email`
Par exemple, l’interface de votre application AWS Cognito devrait ressembler à l’image suivante :
Pour indiquer l’octroi utilisé par `wandb/local`, sélectionnez l’**Auth Method** dans la page des paramètres ou définissez la variable d’environnement `OIDC_AUTH_METHOD`.
Vous devez définir l’**Auth Method** sur `pkce`.
6. Vous avez besoin d’un **Client ID** et de l’URL de votre émetteur OIDC. Le document de découverte OpenID doit être accessible à l’adresse `$OIDC_ISSUER/.well-known/openid-configuration`.
Par exemple, vous pouvez générer l’URL de votre émetteur en ajoutant l’ID de votre User Pool à l’URL de l’IdP Cognito, indiquée dans l’onglet **App Integration** de la section **User Pools** :
N’utilisez pas le domaine Cognito comme URL de l’IdP. Cognito publie son document de découverte à l’adresse `https://cognito-idp.$REGION.amazonaws.com/$USER_POOL_ID`.
Ensuite, [configurez le SSO dans W\&B](#set-up-sso-in-w%26b).
Suivez cette procédure pour configurer Okta comme IdP. Vous obtiendrez ainsi un **Client ID** et une **OIDC issuer URL**, que vous utiliserez pour configurer W\&B.
1. Connectez-vous au [portail Okta](https://login.okta.com/).
2. Dans le volet de gauche, sélectionnez **Applications**, puis de nouveau **Applications**.
3. Cliquez sur **Create App integration**.
4. Sur l’écran **Create a new app integration**, sélectionnez **OIDC - OpenID Connect** et **Single-Page Application**. Cliquez ensuite sur **Next**.
5. Sur l’écran **New Single-Page App Integration**, renseignez les champs comme suit, puis cliquez sur **Save** :
* **App integration name** : par exemple `W&B`.
* **Grant type** : sélectionnez à la fois **Authorization Code** et **Implicit (hybrid)**.
* **Sign-in redirect URIs** : `https://[YOUR-W-AND-B-URL]/oidc/callback`.
* **Sign-out redirect URIs** : `https://[YOUR-W-AND-B-URL]/logout`.
* **Assignments** : sélectionnez **Skip group assignment for now**.
6. Sur l’écran d’aperçu de l’application Okta que vous avez créée, notez le **Client ID** indiqué sous **Client Credentials**, dans l’onglet **General** :
7. Pour identifier l’**OIDC Issuer URL** d’Okta, sélectionnez **Settings**, puis **Account** dans le volet de gauche.
L’interface d’Okta affiche le nom de l’entreprise sous **Organization Contact**.
L’OIDC issuer URL se présente sous la forme suivante : `https://[COMPANY].okta.com`. Remplacez `[COMPANY]` par la valeur correspondante, puis notez cette URL.
Ensuite, [configurez le SSO dans W\&B](#set-up-sso-in-w%26b).
Azure AD (Entra ID) prend en charge deux modes de configuration OIDC pour W\&B. Choisissez la configuration qui correspond à vos exigences de sécurité :
* [Client public](#public-client) : utilise PKCE sans secret client. Plus simple à configurer, il convient à la plupart des déploiements.
* [Client confidentiel](#confidential-client) : utilise PKCE avec un secret client. Requis si vous devez définir la variable d’environnement `GORILLA_OIDC_SECRET`.
Ne mélangez pas les configurations. Si vous sélectionnez **Single-page application** dans Azure AD, ne fournissez pas de secret client. Si vous avez besoin d'un secret client, vous devez choisir **Web** comme type de plateforme.
Utilisez cette configuration si vous n'avez pas besoin de spécifier de secret client. Elle convient aux déploiements sans exigences de sécurité avancées.
1. Connectez-vous au [portail Azure](https://portal.azure.com/).
2. Accédez au service **Microsoft Entra ID** et sélectionnez **App registrations** dans la barre latérale gauche.
3. Cliquez sur **New registration** en haut de la page.
4. Sur l'écran **Register an application**, configurez les éléments suivants :
* **Name** : saisissez un nom descriptif.
* **Supported account types** : conservez la valeur par défaut **Single tenant** ou modifiez-la selon vos besoins.
* **Redirect URI** : sélectionnez le type de plateforme **Single-page application** et saisissez `https://[YOUR-W-AND-B-URL]/oidc/callback`.
* Cliquez sur **Register**.
5. Une fois l'inscription terminée, relevez les valeurs suivantes sur la page Overview :
* **Application (client) ID** : votre ID client OIDC.
* **Directory (tenant) ID** : votre URL d'émetteur OIDC.
6. Configurez les paramètres d'authentification :
* Sélectionnez **Authentication** dans la barre latérale gauche.
* Sous **Front-channel logout URL**, saisissez `https://[YOUR-W-AND-B-URL]/logout`.
* Cliquez sur **Save**.
Notez les informations suivantes :
* **OIDC Client ID** : l'Application (client) ID relevé à l'étape 5.
* **OIDC Issuer URL** : `https://login.microsoftonline.com/[TENANT-ID]/v2.0` (remplacez `[TENANT-ID]` par le Directory ID relevé à l'étape 5).
Lors de la configuration de W\&B, utilisez :
* **Auth Method** : `pkce`.
* **OIDC Client Secret** : laissez ce champ vide (ne définissez pas `GORILLA_OIDC_SECRET`).
[Configurez ensuite le SSO dans W\&B](#set-up-sso-in-w%26b).
Utilisez cette configuration si vous devez vous authentifier à l’aide d’un secret client.
1. Connectez-vous au [portail Azure](https://portal.azure.com/).
2. Accédez au service **Microsoft Entra ID** et sélectionnez **App registrations** dans la barre latérale gauche.
3. Cliquez sur **New registration** en haut de la page.
4. Sur l’écran **Register an application**, configurez les éléments suivants :
* **Name** : saisissez un nom descriptif.
* **Supported account types** : conservez la valeur par défaut **Single tenant** ou modifiez-la selon vos besoins.
* **Redirect URI** : sélectionnez le type de plateforme **Web** et saisissez `https://[YOUR-W-AND-B-URL]/oidc/callback`.
* Cliquez sur **Register**.
5. Une fois l’application inscrite, notez les valeurs suivantes sur la page Overview :
* **Application (client) ID** : votre ID client OIDC.
* **Directory (tenant) ID** : votre URL d’émetteur OIDC.
6. Configurez les paramètres d’authentification :
* Sélectionnez **Authentication** dans la barre latérale gauche.
* Sous **Front-channel logout URL**, saisissez `https://[YOUR-W-AND-B-URL]/logout`.
* Cliquez sur **Save**.
7. Créez un secret client :
* Sélectionnez **Certificates & secrets** dans la barre latérale gauche.
* Cliquez sur **New client secret**.
* Ajoutez une description pour le secret.
* Choisissez une durée d’expiration.
* Cliquez sur **Add**. Copiez et enregistrez immédiatement la **Value** du secret (et non le Secret ID).
Notez les informations suivantes :
* **OIDC Client ID** : l’Application (client) ID obtenu à l’étape 5.
* **OIDC Client Secret** : la valeur du secret obtenue à l’étape 7.
* **OIDC Issuer URL** : `https://login.microsoftonline.com/[TENANT-ID]/v2.0` (remplacez `[TENANT-ID]` par votre Directory ID obtenu à l’étape 5).
Lors de la configuration de W\&B, utilisez :
* **Auth Method** : `pkce`.
* **OIDC Client Secret** : définissez la variable d’environnement `GORILLA_OIDC_SECRET` sur la valeur du secret obtenue à l’étape 7.
Le point de terminaison v2.0 prend en charge aussi bien les comptes Microsoft personnels que les comptes professionnels ou scolaires. Si votre organisation exige le point de terminaison v1.0, utilisez plutôt `https://login.microsoftonline.com/[TENANT-ID]`.
Ensuite, [configurez le SSO dans W\&B](#set-up-sso-in-w%26b).
Configurer le SSO dans W\&B
Une fois la configuration de votre IdP terminée, effectuez les étapes suivantes dans W\&B pour connecter l’IdP et activer le SSO sur votre instance.
Pour configurer le SSO, vous devez disposer de privilèges d’administrateur et des informations suivantes :
* **OIDC Client ID**.
* **OIDC Auth method** (`implicit` ou `pkce`).
* **OIDC Issuer URL**.
* **OIDC Client Secret** (facultatif, selon la manière dont vous avez configuré votre IdP).
Si votre IdP exige un OIDC Client Secret, spécifiez-le à l’aide de la [variable d’environnement](/fr/products/wandb/platform/hosting/env-vars) `GORILLA_OIDC_SECRET` :
* Dans la W\&B App, accédez à **System Console** > **Settings** > **Advanced** > **User Spec** et ajoutez `GORILLA_OIDC_SECRET` à la section `extraENV`, comme dans l’exemple suivant.
* Dans Helm, configurez `values.global.extraEnv` comme dans l’exemple suivant.
```yaml theme={"system"}
values:
global:
extraEnv:
GORILLA_OIDC_SECRET="[YOUR-SECRET]"
```
Si vous ne parvenez pas à vous connecter à votre instance après avoir configuré le SSO, vous pouvez redémarrer l’instance en définissant la variable d’environnement `LOCAL_RESTORE=true`. Un mot de passe temporaire est alors écrit dans les journaux du conteneur et le SSO est désactivé. Une fois les problèmes de SSO résolus, vous devez supprimer cette variable d’environnement pour réactiver le SSO.
Utilisez cet onglet si vous déployez W\&B avec l’opérateur Kubernetes W\&B. La System Console remplace la page System Settings. Elle est disponible pour les déploiements basés sur l’[opérateur Kubernetes W\&B](/fr/products/wandb/platform/hosting/self-managed/operator).
1. Reportez-vous à [Accéder à la W\&B Management Console](/fr/products/wandb/platform/hosting/self-managed/operator#access-the-wb-management-console).
2. Accédez à **Settings**, puis à **Authentication**. Sélectionnez **OIDC** dans la liste déroulante **Type**.
3. Saisissez les valeurs.
4. Cliquez sur **Save**.
5. Déconnectez-vous, puis reconnectez-vous, cette fois via l’écran de connexion de l’IdP.
Trouver votre namespace client
Avant de pouvoir configurer le BYOB au niveau de l’équipe avec le stockage CoreWeave sur le Cloud dédié de W\&B ou une instance autogérée, vous devez obtenir le **Customer Namespace** de votre organisation. Vous pouvez le consulter et le copier en bas de l’onglet **Authentication**.
Pour des instructions détaillées sur la configuration du stockage CoreWeave avec votre Customer Namespace, consultez [Exigences CoreWeave pour le Cloud dédié ou autogéré](/fr/products/wandb/platform/hosting/data-security/secure-storage-connector#coreweave-customer-namespace).
1. Connectez-vous à votre instance W\&B.
2. Accédez à la W\&B App.
3. Cliquez sur l’icône de votre profil utilisateur. Dans la liste déroulante, sélectionnez **System Settings** :
4. Saisissez les valeurs **Issuer**, **Client ID** et **Authentication Method**.
5. Sélectionnez **Update settings**.
Si vous ne parvenez pas à vous connecter à votre instance après avoir configuré le SSO, vous pouvez redémarrer l’instance en définissant la variable d’environnement `LOCAL_RESTORE=true`. Un mot de passe temporaire est alors écrit dans les journaux du conteneur et le SSO est désactivé. Une fois les problèmes de SSO résolus, vous devez supprimer cette variable d’environnement pour réactiver le SSO.
Security Assertion Markup Language (SAML)
W\&B ne prend pas en charge SAML.
## Related topics
- [Configurer le SSO avec LDAP](/fr/products/wandb/platform/hosting/iam/ldap.md)