> ## Documentation Index
> Fetch the complete documentation index at: https://docs.coreweave.com/llms.txt
> Use this file to discover all available pages before exploring further.
# OIDC로 SSO 설정하기
> Okta, Azure AD, AWS Cognito 등의 ID 공급자와 OpenID Connect를 사용하여 W&B 인스턴스의 SSO를 설정합니다.
이 가이드는 OpenID Connect(OIDC) 호환 ID 공급자를 사용하여 싱글 사인온(SSO)을 활성화하려는 W\&B Dedicated Cloud 또는 Self-Managed 인스턴스 Admin을 위한 문서입니다. 이 가이드를 따라 하면 ID 공급자를 설정하고 W\&B에 연결하여 사용자가 조직의 기존 ID 시스템으로 로그인할 수 있게 됩니다. 또한 Okta, Keycloak, Auth0, Google, Entra 등의 공급자를 통해 사용자 ID와 그룹 멤버십을 관리할 수 있습니다.
OpenID Connect
W\&B는 외부 ID 공급자(IdP)와 통합할 수 있도록 다음 OIDC 인증 플로우를 지원합니다.
* 폼 게시(form post)를 사용하는 암시적 플로우(Implicit flow)
* PKCE(Proof Key for Code Exchange)를 사용하는 인증 코드 플로우(Authorization code flow)
이러한 플로우는 사용자를 인증하고, 액세스 제어 관리에 필요한 ID 정보를 ID 토큰 형태로 W\&B에 제공합니다.
ID 토큰은 사용자의 이름, 사용자 이름, 이메일, 그룹 멤버십 등 사용자 ID 정보가 담긴 JWT입니다. W\&B는 이 토큰으로 사용자를 인증하고, 해당 사용자를 시스템 내의 적절한 역할이나 그룹에 매핑합니다.
W\&B에서 액세스 토큰은 사용자를 대신해 API 요청을 승인하는 데 사용됩니다. 하지만 W\&B는 주로 사용자 인증과 ID를 다루므로 ID 토큰만 있으면 됩니다.
환경 변수를 사용하여 [Dedicated Cloud](/ko/products/wandb/platform/hosting/hosting-options/dedicated-cloud) 또는 [Self-Managed](/ko/products/wandb/platform/hosting/hosting-options/self-managed) 인스턴스의 [IAM 옵션을 설정](/ko/products/wandb/platform/hosting/iam/advanced_env_vars)할 수 있습니다.
[Dedicated Cloud](/ko/products/wandb/platform/hosting/hosting-options/dedicated-cloud) 또는 [Self-Managed](/ko/products/wandb/platform/hosting/hosting-options/self-managed) 배포에서 ID 공급자를 설정하려면 다음 지침을 따르세요. W\&B Multi-tenant Cloud를 사용하는 경우 [forge-support@coreweave.com](mailto:forge-support@coreweave.com)으로 문의하세요.
다음 섹션에서는 OIDC용 ID 공급자(IdP)를 설정하는 방법을 설명합니다. 먼저 사용 중인 IdP의 설정 단계를 완료하세요. 이 과정에서 얻은 **Client ID**, **Issuer URL**, **Client Secret**(선택)은 다음 섹션에서 W\&B에 SSO를 설정할 때 사용합니다. 자세한 내용은 사용 중인 IdP의 탭을 선택하세요.
다음 절차에 따라 AWS Cognito를 IdP로 설정하세요. 절차를 마치면 W\&B를 설정할 때 사용할 **Client ID**와 **OIDC issuer URL**을 얻게 됩니다.
1. AWS 계정에 로그인한 후 [AWS Cognito](https://aws.amazon.com/cognito/) App으로 이동하세요.
2. IdP에서 애플리케이션을 설정하려면 허용된 callback URL을 입력하세요. callback URL로 `http(s)://[YOUR-W-AND-B-HOST]/oidc/callback`을 추가하고, `[YOUR-W-AND-B-HOST]`를 W\&B 호스트 경로로 바꾸세요.
3. IdP가 유니버설 로그아웃을 지원하는 경우 Logout URL을 `http(s)://[YOUR-W-AND-B-HOST]`로 설정하고, `[YOUR-W-AND-B-HOST]`를 W\&B 호스트 경로로 바꾸세요.
예를 들어 애플리케이션이 `https://wandb.mycompany.com`에서 실행된다면 `[YOUR-W-AND-B-HOST]`를 `wandb.mycompany.com`으로 바꾸면 됩니다.
다음 이미지는 AWS Cognito에서 허용된 callback URL과 로그아웃 URL을 입력하는 방법을 보여줍니다.
`wandb/local`은 기본적으로 [`form_post` 응답 유형을 사용하는 `implicit` 그랜트](https://auth0.com/docs/get-started/authentication-and-authorization-flow/implicit-flow-with-form-post)를 사용합니다.
[PKCE Code Exchange](https://www.oauth.com/oauth2-servers/pkce/) 플로우를 사용하는 `authorization_code` 그랜트를 수행하도록 `wandb/local`을 설정할 수도 있습니다.
4. AWS Cognito가 앱에 토큰을 전달하는 방식을 설정하려면 OAuth 그랜트 유형을 하나 이상 선택하세요.
5. W\&B에는 특정 OpenID Connect(OIDC) 범위가 필요합니다. AWS Cognito App에서 다음 항목을 선택하세요.
* `openid`
* `profile`
* `email`
AWS Cognito App UI는 다음 이미지와 비슷하게 표시됩니다.
`wandb/local`이 사용할 그랜트를 지정하려면 설정 페이지에서 **Auth Method**를 선택하거나 `OIDC_AUTH_METHOD` 환경 변수를 설정하세요.
**Auth Method**는 반드시 `pkce`로 설정해야 합니다.
6. **Client ID**와 OIDC issuer URL이 필요합니다. OpenID discovery 문서는 `$OIDC_ISSUER/.well-known/openid-configuration`에서 사용할 수 있어야 합니다.
예를 들어 **User Pools** 섹션의 **App Integration** 탭에 있는 Cognito IdP URL 뒤에 User Pool ID를 붙여 issuer URL을 만들 수 있습니다.
IdP URL에 Cognito 도메인을 사용하지 마세요. Cognito의 discovery 문서는 `https://cognito-idp.$REGION.amazonaws.com/$USER_POOL_ID`에서 제공됩니다.
다음으로 [W\&B에서 SSO 설정](#set-up-sso-in-w%26b)을 진행하세요.
다음 절차에 따라 Okta를 IdP로 설정하세요. 절차를 마치면 W\&B를 설정할 때 사용할 **Client ID**와 **OIDC issuer URL**을 얻게 됩니다.
1. [Okta Portal](https://login.okta.com/)에 로그인하세요.
2. 왼쪽 메뉴에서 **Applications**를 선택한 다음, 다시 **Applications**를 선택하세요.
3. **Create App integration**을 클릭하세요.
4. **Create a new app integration** 화면에서 **OIDC - OpenID Connect**와 **Single-Page Application**을 선택한 다음 **Next**를 클릭하세요.
5. **New Single-Page App Integration** 화면에서 다음과 같이 값을 입력한 후 **Save**를 클릭하세요.
* **App integration name**: 예: `W&B`
* **Grant type**: **Authorization Code**와 \*\*Implicit (hybrid)\*\*를 모두 선택하세요.
* **Sign-in redirect URIs**: `https://[YOUR-W-AND-B-URL]/oidc/callback`
* **Sign-out redirect URIs**: `https://[YOUR-W-AND-B-URL]/logout`
* **Assignments**: **Skip group assignment for now**를 선택하세요.
6. 생성한 Okta 애플리케이션의 개요 화면에서 **General** 탭의 **Client Credentials** 아래에 있는 **Client ID**를 기록해 두세요.
7. Okta **OIDC Issuer URL**을 파악하려면 왼쪽 메뉴에서 **Settings**를 선택한 다음 **Account**를 선택하세요.
Okta UI의 **Organization Contact** 아래에 회사 이름이 표시됩니다.
OIDC issuer URL의 형식은 `https://[COMPANY].okta.com`입니다. `[COMPANY]`를 해당 값으로 바꾼 후 기록해 두세요.
이제 [W\&B에서 SSO를 설정](#set-up-sso-in-w%26b)하세요.
Azure AD (Entra ID)는 W\&B용 OIDC 설정 모드를 두 가지 지원합니다. 보안 요구 사항에 맞는 설정을 선택하세요.
* [퍼블릭 클라이언트](#public-client): 클라이언트 시크릿 없이 PKCE를 사용합니다. 설정이 더 단순하며 대부분의 배포에 적합합니다.
* [기밀 클라이언트](#confidential-client): 클라이언트 시크릿과 함께 PKCE를 사용합니다. `GORILLA_OIDC_SECRET` 환경 변수를 설정해야 하는 경우에는 이 방식을 사용해야 합니다.
설정을 혼용하지 마세요. Azure AD에서 **Single-page application**을 선택했다면 클라이언트 시크릿을 입력하지 마세요. 클라이언트 시크릿이 필요한 경우에는 플랫폼 유형으로 **Web**을 선택해야 합니다.
클라이언트 시크릿을 지정할 필요가 없다면 이 설정을 사용하세요. 고급 보안 요구 사항이 없는 배포에 적합합니다.
1. [Azure Portal](https://portal.azure.com/)에 로그인합니다.
2. **Microsoft Entra ID** 서비스로 이동한 후 왼쪽 사이드바에서 **App registrations**를 선택합니다.
3. 페이지 상단에서 **New registration**을 클릭합니다.
4. **Register an application** 화면에서 다음 항목을 설정합니다.
* **Name**: 알아보기 쉬운 이름을 입력합니다.
* **Supported account types**: 기본값인 **Single tenant**를 그대로 두거나 필요에 따라 변경합니다.
* **Redirect URI**: 플랫폼 유형으로 **Single-page application**을 선택하고 `https://[YOUR-W-AND-B-URL]/oidc/callback`을 입력합니다.
* **Register**를 클릭합니다.
5. 등록이 완료되면 Overview 페이지에서 다음 값을 기록해 둡니다.
* **Application (client) ID**: OIDC Client ID입니다.
* **Directory (tenant) ID**: OIDC Issuer URL입니다.
6. 인증을 설정합니다.
* 왼쪽 사이드바에서 **Authentication**을 선택합니다.
* **Front-channel logout URL**에 `https://[YOUR-W-AND-B-URL]/logout`을 입력합니다.
* **Save**를 클릭합니다.
다음 정보를 기록해 두세요.
* **OIDC Client ID**: 5단계에서 확인한 Application (client) ID입니다.
* **OIDC Issuer URL**: `https://login.microsoftonline.com/[TENANT-ID]/v2.0` (`[TENANT-ID]`를 5단계에서 확인한 Directory ID로 바꾸세요).
W\&B를 설정할 때는 다음 값을 사용하세요.
* **Auth Method**: `pkce`.
* **OIDC Client Secret**: 비워 둡니다(`GORILLA_OIDC_SECRET`을 설정하지 마세요).
이제 [W\&B에서 SSO 설정](#set-up-sso-in-w%26b)을 진행하세요.
클라이언트 시크릿으로 인증해야 하는 경우 이 설정을 사용하세요.
1. [Azure Portal](https://portal.azure.com/)에 로그인하세요.
2. **Microsoft Entra ID** 서비스로 이동한 다음 왼쪽 사이드바에서 **App registrations**를 선택하세요.
3. 페이지 상단에서 **New registration**을 클릭하세요.
4. **Register an application** 화면에서 다음 항목을 설정하세요.
* **Name**: 알아보기 쉬운 이름을 입력하세요.
* **Supported account types**: 기본값인 **Single tenant**를 그대로 두거나 필요에 따라 변경하세요.
* **Redirect URI**: 플랫폼 유형으로 **Web**을 선택하고 `https://[YOUR-W-AND-B-URL]/oidc/callback`을 입력하세요.
* **Register**를 클릭하세요.
5. 등록이 완료되면 Overview 페이지에서 다음 값을 기록해 두세요.
* **Application (client) ID**: OIDC Client ID입니다.
* **Directory (tenant) ID**: OIDC Issuer URL입니다.
6. 인증 설정을 구성하세요.
* 왼쪽 사이드바에서 **Authentication**을 선택하세요.
* **Front-channel logout URL**에 `https://[YOUR-W-AND-B-URL]/logout`을 입력하세요.
* **Save**를 클릭하세요.
7. 클라이언트 시크릿을 생성하세요.
* 왼쪽 사이드바에서 **Certificates & secrets**를 선택하세요.
* **New client secret**을 클릭하세요.
* 시크릿에 대한 설명을 추가하세요.
* 만료 기간을 선택하세요.
* **Add**를 클릭하세요. Secret ID가 아닌 시크릿 **Value**를 바로 복사하여 저장하세요.
다음 정보를 기록해 두세요.
* **OIDC Client ID**: 5단계에서 확인한 Application (client) ID입니다.
* **OIDC Client Secret**: 7단계에서 확인한 시크릿 값입니다.
* **OIDC Issuer URL**: `https://login.microsoftonline.com/[TENANT-ID]/v2.0` (`[TENANT-ID]`를 5단계에서 확인한 Directory ID로 바꾸세요).
W\&B를 설정할 때는 다음 값을 사용하세요.
* **Auth Method**: `pkce`.
* **OIDC Client Secret**: `GORILLA_OIDC_SECRET` 환경 변수를 7단계에서 확인한 시크릿 값으로 설정하세요.
v2.0 엔드포인트는 개인 Microsoft 계정과 회사/학교 계정을 모두 지원합니다. 조직에서 v1.0 엔드포인트를 사용해야 한다면 `https://login.microsoftonline.com/[TENANT-ID]`를 대신 사용하세요.
다음으로 [W\&B에서 SSO 설정](#set-up-sso-in-w%26b)을 진행하세요.
W\&B에서 SSO 설정
IdP 설정을 마쳤다면 W\&B에서 다음 단계를 완료하여 IdP를 연결하고 인스턴스에서 SSO를 활성화하세요.
SSO를 설정하려면 Admin 권한과 다음 정보가 필요합니다.
* **OIDC Client ID**.
* **OIDC Auth method** (`implicit` 또는 `pkce`).
* **OIDC Issuer URL**.
* **OIDC Client Secret** (선택 사항이며, IdP 설정 방식에 따라 필요할 수 있습니다).
IdP에 OIDC Client Secret이 필요한 경우 [환경 변수](/ko/products/wandb/platform/hosting/env-vars) `GORILLA_OIDC_SECRET`을 전달하여 지정하세요.
* W\&B App에서 **System Console** > **Settings** > **Advanced** > **User Spec**으로 이동한 후, 다음 예시와 같이 `extraENV` 섹션에 `GORILLA_OIDC_SECRET`을 추가하세요.
* Helm에서는 다음 예시와 같이 `values.global.extraEnv`를 설정하세요.
```yaml theme={"system"}
values:
global:
extraEnv:
GORILLA_OIDC_SECRET="[YOUR-SECRET]"
```
SSO를 설정한 후 인스턴스에 로그인할 수 없다면 `LOCAL_RESTORE=true` 환경 변수를 설정하고 인스턴스를 재시작하세요. 그러면 컨테이너 로그에 임시 비밀번호가 출력되고 SSO가 비활성화됩니다. SSO 문제를 해결한 후에는 해당 환경 변수를 제거해야 SSO가 다시 활성화됩니다.
W\&B Kubernetes Operator로 W\&B를 배포한 경우 이 탭의 안내를 따르세요. System Console은 System Settings 페이지를 대체하는 기능으로, [W\&B Kubernetes Operator](/ko/products/wandb/platform/hosting/self-managed/operator) 기반 배포에서 사용할 수 있습니다.
1. [W\&B Management Console 액세스](/ko/products/wandb/platform/hosting/self-managed/operator#access-the-wb-management-console)를 참고하세요.
2. **Settings** > **Authentication**으로 이동하세요. **Type** 드롭다운에서 **OIDC**를 선택하세요.
3. 값을 입력하세요.
4. **Save**를 클릭하세요.
5. 로그아웃한 후 IdP 로그인 화면을 통해 다시 로그인하세요.
Customer Namespace 찾기
W\&B Dedicated Cloud 또는 Self-Managed에서 CoreWeave 저장소로 팀 수준 BYOB를 설정하려면 먼저 조직의 **Customer Namespace**를 확인해야 합니다. **Authentication** 탭 하단에서 확인하고 복사할 수 있습니다.
Customer Namespace로 CoreWeave 저장소를 설정하는 자세한 방법은 [Dedicated Cloud 또는 Self-Managed의 CoreWeave 요구 사항](/ko/products/wandb/platform/hosting/data-security/secure-storage-connector#coreweave-customer-namespace)을 참고하세요.
1. W\&B 인스턴스에 로그인하세요.
2. W\&B App으로 이동하세요.
3. 사용자 프로필 아이콘을 클릭하고 드롭다운에서 **System Settings**를 선택하세요.
4. **Issuer**, **Client ID**, **Authentication Method**를 입력하세요.
5. **Update settings**를 선택하세요.
SSO를 설정한 후 인스턴스에 로그인할 수 없다면 `LOCAL_RESTORE=true` 환경 변수를 설정하고 인스턴스를 재시작하세요. 그러면 컨테이너 로그에 임시 비밀번호가 출력되고 SSO가 비활성화됩니다. SSO 문제를 해결한 후에는 해당 환경 변수를 제거해야 SSO가 다시 활성화됩니다.
Security Assertion Markup Language (SAML)
W\&B는 SAML을 지원하지 않습니다.