샌드박스에 AI 객체 저장소 액세스 권한 부여

​

작동 방식

​

시작하기 전에

• AI Object Storage가 활성화된 CoreWeave 조직과 하나 이상의 버킷. 버킷을 생성하려면 버킷 생성을 참조하세요.
• 조직의 Admin 권한: IAM Admin 및 Object Storage Admin 역할 또는 이에 상응하는 기존 액세스 권한.
• 샌드박스 WIF 설정을 지정할 수 있는 ID 및 액세스 관리(IAM)의 SANDBOX_ADMIN 액션. Cloud Console의 Access Policies 페이지에서 이 권한을 부여하세요.
• Cloud Console의 Settings 페이지에 표시되는 CoreWeave 조직 ID.
• CoreWeave API 액세스 토큰. Tokens 페이지에서 생성하고 Token Secret 값을 복사하세요. 자세한 내용은 API 액세스 토큰 관리를 참조하세요.

export TOKEN="[API-ACCESS-TOKEN]"

​

1단계: OIDC 워크로드 페더레이션 설정 만들기

1. Cloud Console에서 Workload Federation 페이지로 이동하세요.
2. Create OIDC configuration을 클릭하세요.
3. 다음 값을 입력하세요.
   • Name: 이 설정을 식별하는 이름입니다(예: coreweave-sandboxes).
   • Issuer URL: https://oidc.cwsandbox.com
   • Client ID (Audience): https://oidc.cwsandbox.com
   • Description (선택): 이 설정에 대한 설명입니다.
4. Create를 클릭하세요.

​

2단계: 샌드박스 역할에 권한 부여

{
  "policy": {
    "version": "v1alpha1",
    "name": "allow-sandbox-oidc-key-creation",
    "statements": [
      {
        "name": "allow-create-access-key-from-sandbox-oidc",
        "effect": "Allow",
        "actions": [
          "cwobject:CreateAccessKeyOIDC"
        ],
        "resources": ["*"],
        "principals": [
          "role/https://oidc.cwsandbox.com:user:[USER-ID]"
        ]
      }
    ]
  }
}

{
  "policy": {
    "version": "v1alpha1",
    "name": "sandbox-read-write-bucket",
    "statements": [
      {
        "name": "allow-sandbox-rw-bucket",
        "effect": "Allow",
        "actions": [
          "s3:Get*",
          "s3:List*",
          "s3:Put*",
          "s3:DeleteObject"
        ],
        "resources": [
          "[BUCKET-NAME]",
          "[BUCKET-NAME]/*"
        ],
        "principals": [
          "role/https://oidc.cwsandbox.com:*"
        ]
      }
    ]
  }
}

​

3단계: 샌드박스 control plane에 WIF 설정 등록하기

curl -X PUT "https://api.cwsandbox.com/v1beta2/object-storage/wif-config" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "wifConfigId": "[WIF-CONFIG-ID]",
    "enabled": true,
    "allowedBuckets": ["[BUCKET-NAME]"],
    "maxPermission": "OBJECT_STORAGE_PERMISSION_READ_WRITE"
  }'

curl "https://api.cwsandbox.com/v1beta2/object-storage/wif-config" \
  -H "Authorization: Bearer $TOKEN"

curl -X DELETE "https://api.cwsandbox.com/v1beta2/object-storage/wif-config" \
  -H "Authorization: Bearer $TOKEN"

​

4단계: 샌드박스를 시작할 때 객체 저장소 액세스 요청

curl -X POST "https://api.cwsandbox.com/v1beta2/sandboxes" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "containerImage": "[CONTAINER-IMAGE]",
    "command": "sleep",
    "args": ["3600"],
    "objectStorageAccess": {
      "buckets": ["[BUCKET-NAME]"],
      "permission": "OBJECT_STORAGE_PERMISSION_READ_WRITE"
    }
  }'

​

5단계: 샌드박스 내부에서 자격 증명 사용하기

export AWS_REGION="[AVAILABILITY-ZONE]"

aws configure set s3.addressing_style virtual

aws s3 ls s3://[BUCKET-NAME]/

import os

import boto3
from botocore.client import Config

boto_config = Config(
    region_name=os.environ['AWS_REGION'],
    s3={'addressing_style': 'virtual'}
)

s3 = boto3.client(
    's3',
    endpoint_url=os.environ['AWS_ENDPOINT_URL_S3'],
    config=boto_config
)

response = s3.list_objects_v2(Bucket=os.environ['BUCKET_NAME'])

for item in response.get('Contents', []):
    print(item['Key'], item['Size'])

export BUCKET_NAME="[BUCKET-NAME]"

python list_objects.py

datasets/train/shard-00000.tar 268435456
datasets/train/shard-00001.tar 268435456
datasets/val/shard-00000.tar 67108864

​

Token lifetimes

• Sandbox OIDC token: 기본적으로 1시간이며 최대 12시간까지 설정할 수 있습니다. control plane은 샌드박스가 시작될 때 이를 발급합니다.
• Temporary AI Object Storage credentials: token으로부터 필요 시 발급됩니다. exchange response는 Expiration timestamp를 포함하며, AWS SDK는 코드의 개입 없이 해당 시간 전에 credentials를 갱신합니다.

​

Token claims

​

문제 해결

​

start request가 거부됨

• 조직에 enabled가 true로 설정된 WIF 설정이 있어야 합니다. 3단계의 조회 요청으로 조회하세요.
• 요청의 모든 버킷이 allowedBuckets에 있거나, allowedBuckets가 비어 있어야 합니다.
• 요청된 permission이 maxPermission을 초과하지 않아야 합니다.

​

자격 증명 교환 시 Permission Denied 반환

• 조직 액세스 정책이 별도의 statement에서 샌드박스 role에 "resources": ["*"]에 대한 cwobject:CreateAccessKeyOIDC 권한을 부여하는지 확인하세요.
• 정책 principal이 subject의 user: 접두사를 포함하여 파생된 role과 정확히 일치하는지 확인하세요. principal은 role/https://oidc.cwsandbox.com:[USER-ID]가 아니라 role/https://oidc.cwsandbox.com:user:[USER-ID]여야 합니다.
• Cloud Console의 workload federation 설정이 활성 상태이고 issuer URL이 하이픈 없이 https://oidc.cwsandbox.com으로 되어 있는지 확인하세요.
• 샌드박스 OIDC token이 만료되지 않았는지 확인하세요. 샌드박스를 다시 시작하면 새 token이 발급됩니다.

​

Credential exchange는 성공했지만 S3 오퍼레이션이 AccessDenied를 반환합니다

​

사용자 인증 정보 요청 시간 초과

​

워크로드가 많은 액세스 키를 생성하는 경우

​

관련 페이지

• Workload Identity Federation for AI Object Storage: CoreWeave 전반에서 WIF가 작동하는 방식.
• Use Workload Identity Federation with OIDC: 샌드박스 이외의 ID 공급자를 위한 일반 OIDC 페더레이션 가이드.
• Organization access policies: 2단계에서 사용되는 정책 스키마.
• Sandboxes architecture: 샌드박스 요청 경로에서 게이트웨이와 러너가 위치하는 곳.