シークレットを管理する

Secret Manager を使用すると、シークレット を安全かつ一元的に保存、管理、注入できます。シークレットとは、アクセストークン、Bearer token、APIキー、パスワードなどの機密性の高い文字列です。Forge の機能はシークレットの値を名前で読み取れるため、値を貼り付けたり、コード、トレーニングスクリプト、プレーンテキストのオートメーション設定に保存したりする必要がありません。 Forge には 2 種類のシークレットがあります。 Forge には組織レベルのシークレットはありません。組織管理者は、メンバーの個人シークレットの名前を一覧表示して削除できますが、その値を確認することはできません。専用クラウドおよびセルフマネージドでは、組織管理者がメンバーの個人シークレットを作成したり、値を置き換えたりすることもできます。管理者は API を通じてメンバーのシークレットを管理します。ユーザー設定には、自分の個人シークレットのみが表示されます。 シークレットを保存すると、その値は UI にも API にも二度と表示されません。シークレットの名前と最終更新日時は確認できますが、値は確認できません。値を変更するには、シークレットを置き換えてください。

​

Forge が個人シークレットとチームシークレットのどちらを使用するか

Forge の各機能は、名前でシークレットを検索します。たとえば、W&B Weave プレイグラウンドは OpenAI のモデルを呼び出す際に OPENAI_API_KEY を探します。認証情報を機能で利用できるようにするには、その機能が想定する名前で保存してください。 個人シークレットとチームシークレットには同じ名前を付けることができます。チームの project 内で機能がユーザーに代わってシークレットを検索する場合、次の順序で名前を解決します。

1. チームが属する組織内にある、その名前の自分の個人シークレット。チームは必ず 1 つの組織にのみ属します。
2. その名前の個人シークレットがない場合は、その名前のチームシークレット。

自分として実行される処理では、自分の個人シークレットが同じ名前のチームシークレットより優先され、チームシークレットは隠れた状態になります。これには、チームがチームシークレットを使用するように設定したリモートの Scorer やモニターも含まれます。チームメイトは、自分の個人シークレットを作成しない限り、引き続きチームシークレットを使用します。モニターは、現在のバージョンを保存したユーザーとして実行されます。そのため、自分が保存したモニターは、スコアリングするすべてのトレース (チームメイトのトレースを含む) で自分の個人シークレットを使用します。 個人シークレットの値が期限切れや誤った値であっても、機能はその値をそのまま使用し、チームシークレットにはフォールバックしません。チームシークレットの使用に戻すには、個人シークレットを削除してください。 Weave は解決したシークレットの値を最大 60 秒間キャッシュします。そのため、個人シークレットまたはチームシークレットを作成、置換、削除した後、変更が Weave に反映されるまで最大 1 分かかる場合があります。

​

個人シークレットが適用される場面

個人シークレットは、チームの project 内で機能がユーザーに代わってシークレットを参照するすべての場面で適用されます。対象は次のとおりです。

• Weave: プレイグラウンド、project の AI プロバイダー タブ、カスタムランタイム、評価、および Scorer (リモート Scorer を含む) 。
• サーバーレスキャパシティ上のサンドボックス: サンドボックスは、自身の作成に使用された APIキーを所有するユーザーのシークレットを解決します。

次の場合、個人シークレットは適用されません。

• webhook オートメーション: webhook は、設定時に選択したチームシークレットのみを使用します。
• ユーザーに紐づかない処理: サービスアカウントとして実行される処理 (サービスアカウントが保存したモニターなど) には、Forge が個人シークレットを使用できるユーザーが存在しません。このようなモニターでは、リモート Scorer と LLM ジャッジモデルの Scorer は代わりにチームシークレットを使用します。また、W&B Inference モデルを使用する LLM ジャッジモデルの Scorer は、このようなモニターでは失敗します。
• WANDB_API_KEY: Weave が WANDB_API_KEY を個人シークレットから解決することはありません。

ARIA の動作はこれとは異なります。ARIA は、ユーザーが付与した個人シークレットのみをサンドボックス内の環境変数として受け取り、チームシークレットにフォールバックすることはありません。 次の表は、各機能で使用できるシークレットの種類をまとめたものです。

​

可用性

​

個人シークレットを管理する

個人シークレットは、ユーザー設定の 個人シークレット セクションで管理します。このセクションを開くには、次の手順に従います。

1. 右上隅のアカウントセレクターをクリックします。
2. ユーザー設定 を選択します。
3. 個人シークレット までスクロールします。

Multi-tenant Cloud では、現在のアカウントの組織にある個人シークレットがこのセクションにリスト表示され、Scoped to the organization ラベルが表示されます。現在のアカウントが組織に属していない場合、このセクションは表示されません。別の組織の個人シークレットを管理するには、右上隅のアカウントセレクターをクリックし、Other accounts からその組織を選択します。シークレットを検索するには、Search by name に名前の一部を入力します。

​

個人シークレットを作成する

個人シークレットを作成するには、次の手順を実行します。

1. 個人シークレット セクションで New secret をクリックします。個人シークレットがまだない場合は、代わりに Create new secret をクリックします。
2. シークレットの Name を環境変数の形式で入力します。使用できるのは英字、数字、アンダースコア (_) で、先頭に数字は使用できません。例：GITHUB_TOKEN 同じ組織内で、自分の他の個人シークレットと同じ名前は使用できません。同じ名前のチームシークレットが存在する場合は、ドロワーに A team secret with this name exists と表示され、該当するチームが一覧表示されますが、保存はできます。保存すると、自分に対しては個人シークレットがチームシークレットより優先されます。
3. 機密値を Value フィールドに貼り付けます。貼り付けた内容を確認するには、Reveal secret value をクリックします。再び非表示にするには、Hide secret value をクリックします。
4. Multi-tenant Cloud では、ドロワーに Allow ARIA to use this secret も表示されます。これはデフォルトでオンになっています。ARIA にアクセスを許可せずにシークレットを保存するには、オフにします。
5. Save secret をクリックします。

モデルプロバイダーのキーは、Weave プレイグラウンドのプロバイダードロワー、または project の AI プロバイダー タブから、個人シークレットとして直接保存することもできます。これらのドロワーでは、Personal がデフォルトで選択されています。キーを Team として保存できるのはチーム管理者のみです。個人キーで設定したプロバイダーは、自分として実行される処理にのみ使用されます。これには、自分が現在のバージョンを保存したモニターも含まれます。チームメンバーには、各自の個人キーまたはチームキーが必要です。

​

個人シークレットの値を置き換える

トークンをローテーションする場合など、個人シークレットの値を置き換えるには、次の手順を実行します。

1. 対象のシークレットの行で、Edit secret (鉛筆アイコン) をクリックします。
2. New value に新しい値を貼り付けます。シークレット名は変更できません。
3. Replace secret をクリックします。

​

個人シークレットを削除する

個人シークレットを削除すると、自分で削除した場合でも組織管理者が削除した場合でも、元に戻すことはできません。個人シークレットに対応している機能は、同じ名前のチームシークレットがあればそちらにフォールバックし、なければ動作しなくなります。また、ARIA はそのシークレットにアクセスできなくなります。 個人シークレットを削除するには、次の手順に従います。

1. 対象のシークレットの行で、Delete secret (ゴミ箱アイコン) をクリックします。
2. Enter the secret name to confirm に、シークレット名を入力します。
3. 削除 をクリックします。

project の AI プロバイダー タブでプロバイダーから個人キーを削除すると、その個人シークレットはプロバイダーからだけでなく、その組織のユーザー設定からも削除されます。

​

チームシークレットを管理する

チームシークレットは各 Forge チームの Secret Manager に保存され、チーム設定の チームシークレット セクションで管理できます。チームシークレットを作成、編集、削除できるのはチーム管理者のみです。また、チームシークレット セクションは、チーム設定を編集する権限がある場合にのみ表示されます。

​

シークレットを追加する

機密性の高い値をコードや設定に露出させずにチーム全体で利用できるようにするには、チームシークレットを追加します。以下の手順を完了すると、個人シークレットが適用される場所 に記載されている Weave およびサンドボックスの機能と、そのシークレットを使用するように設定した webhook オートメーションから、そのシークレットを名前で参照できるようになります。 チームシークレットを追加するには:

1. 外部サービスからトークンまたは APIキーが発行される場合は、そのサービスの通常の手順で値を取得します。必要に応じて、Secret Manager に貼り付ける前に、その機密文字列をパスワードマネージャーなどに安全に保管してください。作成後、Forge でシークレットの値を確認することはできません。
2. Forge にサインインし、チームの Settings ページに移動します。
3. チームシークレット セクションで、New secret をクリックします。
4. シークレット名を英字、数字、アンダースコア (_) で入力します。名前の先頭は英字またはアンダースコアにする必要があります。
5. Value フィールドに機密文字列を貼り付けます。
6. Add secret をクリックします。

オートメーションの webhook を設定する際に、その webhook で使用するチームシークレットを選択します。選択できるのは、アクセストークン 1 つとその他のシークレット 1 つまでです。フィールド名、アクセストークン、ペイロード変数については、Webhook オートメーションを作成 を参照してください。

​

シークレットをローテーションする

チームシークレットの値が変更された場合、たとえば上流の認証情報が再生成された場合や、既存の値が漏洩した疑いがある場合に、チームシークレットをローテーションします。Forge では作成後にシークレットの現在の値を表示できないため、値のコピーが手元にない場合も、ローテーションによって値を置き換えます。 チームシークレットをローテーションして値を更新するには：

1. シークレットの詳細を開くには、シークレットの行にある鉛筆アイコンをクリックします。
2. New value に新しい値を設定します。必要に応じて Reveal secret value をクリックして、新しい値を確認します。
3. Replace secret をクリックします。

シークレットの値が更新され、参照時に以前の値が返されることはなくなります。 チームシークレットをローテーションまたは置き換えると、古い値を前提とするすべての機能に影響する可能性があります。すべての利用先で新しい値を使用する前に、webhook オートメーション、シークレットを注入するサンドボックス、Weave プレイグラウンド、その他の利用先を更新してください。同じ名前の個人シークレットを持つチームメンバーには、引き続きその個人シークレットが使用されます。

​

シークレットを削除する

チームの機能で使用されていない場合にチームシークレットを削除します。削除は即時かつ永続的に行われるため、続行する前にオートメーション、サンドボックス、プレイグラウンド のプロバイダー、またはその他のコンシューマーがシークレットを参照していないことを確認してください。チームシークレットを削除すると、そのシークレットを使用しているすべてのプロバイダーに影響します。 チームシークレットを削除するには：

1. シークレットの行にあるゴミ箱アイコンをクリックします。
2. 確認ダイアログを確認し、削除 をクリックします。