Gérer les secrets

Secret Manager vous permet de stocker, de gérer et d’injecter de manière sécurisée et centralisée des secrets, c’est-à-dire des chaînes de caractères sensibles telles que des jetons d’accès, des jetons Bearer, des clés API ou des mots de passe. Les fonctionnalités de Forge peuvent lire la valeur d’un secret à partir de son nom : vous n’avez donc plus besoin de la coller ni de la stocker dans du code, des scripts d’entraînement ou une configuration d’automatisation en texte brut. Forge propose deux types de secrets : Forge ne propose pas de secrets au niveau de l’organisation. Les administrateurs de l’organisation peuvent lister les noms des secrets personnels des membres, sans jamais voir leurs valeurs, et peuvent les supprimer. Sur le Cloud dédié et en déploiement autogéré, les administrateurs de l’organisation peuvent également créer des secrets personnels pour les membres et en remplacer les valeurs. Les administrateurs gèrent les secrets des membres via l’API. Les paramètres utilisateur n’affichent que vos propres secrets personnels. Une fois un secret enregistré, ni l’interface utilisateur ni l’API n’affichent plus sa valeur. Vous pouvez voir le nom d’un secret et la date de sa dernière mise à jour, mais pas sa valeur. Pour modifier une valeur, remplacez le secret.

​

Comment Forge choisit entre un secret personnel et un secret d’équipe

Les fonctionnalités de Forge identifient un secret par son nom. Par exemple, W&B Weave Playground recherche OPENAI_API_KEY pour appeler les modèles OpenAI. Pour mettre un identifiant d’authentification à la disposition d’une fonctionnalité, enregistrez-le sous le nom attendu par cette fonctionnalité. Un secret personnel et un secret d’équipe peuvent porter le même nom. Lorsqu’une fonctionnalité recherche un secret en votre nom dans le projet d’une équipe, elle résout ce nom dans l’ordre suivant :

1. Votre secret personnel portant ce nom, dans l’organisation à laquelle appartient l’équipe. Une équipe appartient à une seule organisation.
2. Le secret d’équipe portant ce nom, si vous n’avez aucun secret personnel de ce nom.

Votre secret personnel masque un secret d’équipe de même nom pour les tâches exécutées sous votre identité, y compris les évaluateurs distants et les moniteurs que l’équipe a configurés pour utiliser le secret d’équipe. Vos coéquipiers continuent d’utiliser le secret d’équipe, sauf s’ils créent leur propre secret personnel. Un moniteur s’exécute sous l’identité de l’utilisateur qui a enregistré sa version actuelle. Si c’est vous qui l’avez enregistrée, le moniteur utilise vos secrets personnels pour chaque trace qu’il évalue, y compris celles de vos coéquipiers. Si votre secret personnel contient une valeur expirée ou incorrecte, la fonctionnalité l’utilise quand même, sans se rabattre sur le secret d’équipe. Pour revenir au secret d’équipe, supprimez votre secret personnel. Weave met en cache les valeurs de secrets résolues pendant 60 secondes au maximum. Après la création, le remplacement ou la suppression d’un secret personnel ou d’équipe, Weave peut mettre jusqu’à une minute à prendre en compte la modification.

​

Où s’appliquent les secrets personnels

Les secrets personnels s’appliquent partout où une fonctionnalité recherche un secret en votre nom dans le projet d’une équipe. Cela comprend :

• Weave : l’espace d’expérimentation (Playground), l’onglet AI Providers du projet, les environnements d’exécution personnalisés, les évaluations et les évaluateurs, y compris les évaluateurs distants.
• Sandbox sur capacité sans serveur : la sandbox résout les secrets de l’utilisateur propriétaire de la clé API qui a servi à la créer.

Les secrets personnels ne s’appliquent pas dans les cas suivants :

• Automatisations par webhook : un webhook utilise uniquement les secrets de l’équipe que vous sélectionnez lors de sa configuration.
• Tâches sans utilisateur : une tâche exécutée en tant que compte de service, comme un moniteur enregistré par un compte de service, n’est associée à aucun utilisateur dont Forge pourrait utiliser les secrets personnels. Dans un tel moniteur, les évaluateurs distants et les évaluateurs de type juge LLM utilisent à la place les secrets de l’équipe. Un évaluateur de type juge LLM qui utilise un modèle Inférence W&B échoue dans un tel moniteur.
• WANDB_API_KEY : Weave ne résout jamais WANDB_API_KEY à partir d’un secret personnel.

ARIA fonctionne différemment. Il reçoit uniquement les secrets personnels auxquels vous lui accordez l’accès, sous forme de variables d’environnement dans sa sandbox, et ne se rabat jamais sur un secret de l’équipe. Le tableau suivant indique le type de secret que chaque fonctionnalité peut utiliser :

​

Disponibilité

​

Gérer les secrets personnels

Gérez vos secrets personnels dans la section Personal secrets de vos paramètres utilisateur. Pour ouvrir cette section :

1. Cliquez sur le sélecteur de compte dans le coin supérieur droit.
2. Sélectionnez User settings.
3. Faites défiler la page jusqu’à Personal secrets.

Sur le Cloud mutualisé, la section répertorie vos secrets personnels dans l’organisation de votre compte actuel et affiche l’étiquette Scoped to the organization. Si votre compte actuel n’est associé à aucune organisation, la section ne s’affiche pas. Pour gérer les secrets personnels d’une autre organisation, cliquez sur le sélecteur de compte dans le coin supérieur droit, puis sélectionnez l’organisation sous Other accounts. Pour trouver un secret, saisissez une partie de son nom dans Search by name.

​

Créer un secret personnel

Pour créer un secret personnel :

1. Dans la section Personal secrets, cliquez sur New secret. Si vous n’avez encore aucun secret personnel, cliquez plutôt sur Create new secret.
2. Saisissez un Name pour le secret, au format d’une variable d’environnement : lettres, chiffres et caractères de soulignement (_), sans commencer par un chiffre. Par exemple, GITHUB_TOKEN. Vous ne pouvez pas réutiliser le nom d’un autre de vos secrets personnels dans la même organisation. Si un secret d’équipe portant le même nom existe déjà, le volet latéral affiche A team secret with this name exists et liste les équipes concernées, mais vous permet tout de même d’enregistrer. Pour vous, votre secret personnel a alors priorité sur le secret d’équipe.
3. Collez la valeur sensible dans le champ Value. Pour vérifier ce que vous avez collé, cliquez sur Reveal secret value. Pour la masquer de nouveau, cliquez sur Hide secret value.
4. Sur le Cloud mutualisé, le volet latéral comprend également l’option Allow ARIA to use this secret, activée par défaut. Pour stocker le secret sans en accorder l’accès à ARIA, désactivez-la.
5. Cliquez sur Save secret.

Vous pouvez également enregistrer une clé de fournisseur de modèles en tant que secret personnel directement depuis le volet latéral des fournisseurs du Weave Playground ou depuis l’onglet AI Providers d’un projet. Dans ces volets, Personal est sélectionné par défaut. Seuls les administrateurs d’équipe peuvent enregistrer une clé en tant que Team. Un fournisseur configuré avec une clé personnelle n’est utilisé que pour les tâches exécutées en votre nom, y compris les moniteurs dont vous avez enregistré la version actuelle. Vos coéquipiers doivent disposer de leur propre clé personnelle ou d’une clé d’équipe.

​

Remplacer la valeur d’un secret personnel

Pour remplacer la valeur d’un secret personnel, par exemple lorsque vous faites pivoter un jeton :

1. Dans la ligne du secret, cliquez sur Edit secret (l’icône en forme de crayon).
2. Collez la nouvelle valeur dans le champ New value. Vous ne pouvez pas modifier le nom du secret.
3. Cliquez sur Replace secret.

​

Supprimer un secret personnel

La suppression d’un secret personnel est définitive, que vous la fassiez vous-même ou qu’un administrateur de l’organisation s’en charge. Les fonctionnalités qui prennent en charge les secrets personnels se rabattent sur un secret d’équipe portant le même nom, s’il en existe un, ou cessent de fonctionner dans le cas contraire. ARIA n’a plus accès au secret. Pour supprimer un secret personnel :

1. Dans la ligne du secret, cliquez sur Delete secret (l’icône de corbeille).
2. Dans Enter the secret name to confirm, saisissez le nom du secret.
3. Cliquez sur Delete.

Retirer une clé personnelle d’un fournisseur dans l’onglet AI Providers d’un projet supprime également ce secret personnel de vos paramètres utilisateur dans cette organisation, et pas seulement du fournisseur.

​

Gérer les secrets de l’équipe

Les secrets de l’équipe sont conservés dans le Secret Manager de chaque équipe Forge, dans la section secrets de l’équipe des paramètres de l’équipe. Seuls les administrateurs d’équipe peuvent créer, modifier ou supprimer un secret de l’équipe, et la section secrets de l’équipe n’apparaît que si vous disposez de l’autorisation de modifier les paramètres de l’équipe.

​

Ajouter un secret

Ajoutez un secret d’équipe lorsque vous souhaitez mettre une valeur sensible à la disposition de toute l’équipe sans l’exposer dans le code ou la configuration. Une fois ces étapes terminées, le secret est accessible par son nom depuis les fonctionnalités Weave et Sandboxes répertoriées dans Où s’appliquent les secrets personnels, ainsi que depuis les automatisations par webhook que vous configurez pour l’utiliser. Pour ajouter un secret d’équipe :

1. Si un service externe vous fournit un jeton ou une clé API, obtenez cette valeur en suivant la procédure habituelle de ce service. Si nécessaire, conservez la chaîne sensible en lieu sûr, par exemple dans un gestionnaire de mots de passe, avant de la coller dans Secret Manager. Une fois le secret créé, Forge n’en affiche plus la valeur.
2. Connectez-vous à Forge et accédez à la page Settings de l’équipe.
3. Dans la section Team secrets, cliquez sur New secret.
4. Attribuez un nom au secret, composé de lettres, de chiffres et de caractères de soulignement (_). Le nom doit commencer par une lettre ou un caractère de soulignement.
5. Collez la chaîne sensible dans le champ Value.
6. Cliquez sur Add secret.

Lorsque vous configurez le webhook d’une automatisation, sélectionnez les secrets de l’équipe que le webhook peut utiliser : au maximum un jeton d’accès et un autre secret. Pour en savoir plus sur les noms de champs, les jetons d’accès et les variables de charge utile, consultez Créer une automatisation par webhook.

​

Faire pivoter un secret

Faites pivoter un secret d’équipe lorsque sa valeur change, par exemple lorsqu’un identifiant d’authentification en amont est régénéré ou lorsque vous soupçonnez que la valeur existante a été compromise. Comme Forge n’affiche plus la valeur actuelle d’un secret après sa création, la rotation permet également de remplacer une valeur dont vous n’avez plus de copie. Pour faire pivoter un secret d’équipe et mettre à jour sa valeur :

1. Pour ouvrir les détails du secret, cliquez sur l’icône en forme de crayon sur la ligne du secret.
2. Saisissez la nouvelle valeur dans le champ New value. Vous pouvez également cliquer sur Reveal secret value pour vérifier la nouvelle valeur.
3. Cliquez sur Replace secret.

La valeur du secret est mise à jour et ne correspond plus à la valeur précédente. La rotation ou le remplacement d’un secret d’équipe peut affecter toutes les fonctionnalités qui attendent encore l’ancienne valeur. Avant d’utiliser la nouvelle valeur partout, mettez à jour les automatisations par webhook, les bacs à sable dans lesquels le secret est injecté, Weave Playground ou tout autre service qui l’utilise. Les membres de l’équipe qui possèdent un secret personnel portant le même nom continuent d’utiliser leur secret personnel.

​

Supprimer un secret

Supprimez un secret d’équipe lorsqu’aucune fonctionnalité de l’équipe ne l’utilise. La suppression étant immédiate et définitive, vérifiez avant de continuer qu’aucune automatisation, sandbox, aucun fournisseur de l’espace d’expérimentation ou autre consommateur ne fait encore référence à ce secret. La suppression d’un secret d’équipe affecte tous les fournisseurs qui l’utilisent. Pour supprimer un secret d’équipe :

1. Dans la ligne du secret, cliquez sur l’icône de corbeille.
2. Lisez la boîte de dialogue de confirmation, puis cliquez sur Supprimer.