Создание и защита API-ключей
Создавайте ключи для рабочей среды или песочницы с минимально необходимыми правами, при необходимости ограничивайте IP-адреса, безопасно меняйте и отзывайте ключи.
- Выберите контекстУкажите личную рабочую область или рабочую область организации.
- Задайте праваНазовите ключ и выберите только необходимые разрешения.
- Ограничьте источникиПри необходимости укажите допустимые IP-адреса или сети вызывающей стороны.
- Сохраните секрет один разПоместите показанный секрет в защищённый менеджер секретов.
- Поддерживайте доступДля замены ключа выполните ротацию, а больше не нужные ключи отзовите.
Права и роли
В разделе API-ключей перечислены поддерживаемые права, в том числе чтение данных учётной записи, инференс и обучение ИИ, задания хостинга ИИ, преобразование моделей, блокчейн-сервисы и разрешения для обращений в поддержку. В организации ключами управляют владельцы и администраторы; участники могут их просматривать, но не управлять ими. Выбирайте контекст, которому должен принадлежать ключ: видимость и полномочия ограничены этим контекстом.
- Перед открытием раздела API-ключей выберите нужную организацию.
- Изучите описания прав и оставьте только необходимые операции.
- Если управление недоступно, обратитесь к владельцу или администратору.
Создание рабочего ключа
Имя обычного ключа должно содержать от 2 до 120 символов; также необходимо выбрать хотя бы одно из перечисленных разрешений и при желании задать список IP-адресов. Допустимые IP-адреса и сети CIDR указываются по одному в строке и не должны превышать показанное ограничение. Пустой список разрешает обращения с любого IP-адреса. Полный открытый ключ показывается только после создания; в системе хранится только его хеш, поэтому получить ключ позднее нельзя.
- Назовите ключ по приложению или среде, где он будет использоваться.
- Выберите минимальные права и при необходимости укажите постоянные адреса источников.
- Сразу сохраните показанное значение в одобренном защищённом хранилище.
Ключ песочницы для инференса
В панели можно создать ключ песочницы только с правом инференса и месячным лимитом запросов, указанным там же. В каждом контексте учётной записи или организации допускается только один активный ключ песочницы. Если такой ключ уже есть, используйте его или отзовите перед заменой. Храните ключи песочницы и рабочей среды отдельно; лимит песочницы не является гарантией для рабочей услуги.
- Проверьте, нет ли в этом контексте активного ключа песочницы.
- Создайте ключ для проверки инференса и храните отдельно от рабочих ключей.
- Следите за лимитом и отзовите ключ, когда он больше не нужен.
Защита секрета
Скопировать ключ целиком можно только при создании или ротации, когда он показан. Храните его в зашифрованном менеджере секретов, ограничив доступ использующим его сервисом. Не помещайте ключ в исходный код, код браузера, журналы, снимки экрана, заявки или переписку. Если вы не сохранили ключ при единственном показе или не можете его найти, выполните ротацию; служба поддержки не может восстановить открытое значение.
- Сразу передайте показанное значение в защищённое хранилище.
- Настройте приложение согласно его документации.
- Немедленно смените ключ, если предполагается утечка или потеря.
Ротация и отзыв ключа
Ротация отзывает старый ключ и создаёт замену с теми же именем, уровнем, правами и списком допустимых адресов. Новое значение показывается один раз; быстро обновите использующие его сервисы, поскольку старый ключ перестаёт работать. Отзыв отключает выбранный ключ, не создавая замены. Перед любым из этих действий проверьте ключ и контекст.
- При плановой ротации найдите все сервисы, использующие ключ.
- Сохраните новое значение и обновите зависимые сервисы.
- Отзовите ненужные ключи и проверьте их состояние в панели.
Устранение ошибок запросов
Запрос может быть отклонён, если ключ имеет неверный формат или отозван, пользователь неактивен, IP-адрес источника не входит в список разрешённых либо не хватает требуемого права. Для песочницы также может быть превышен месячный лимит. Проверьте контекст, развернутую версию секрета, исходящий адрес сервиса и нужное разрешение. Не передавайте сам секрет при обращении за помощью.
- Убедитесь, что ключ активен и содержит разрешение для этой операции.
- Проверьте фактический IP-адрес источника и лимит песочницы.
- При неверном или раскрытом ключе смените его; передавайте только обезличенные ссылки на записи.
Часто задаваемые вопросы
Можно ли позднее снова получить значение ключа?
Нет. Выполните ротацию, чтобы создать новый ключ.
Какие права следует назначить?
Только те из перечисленных разрешений, которые нужны интеграции.
Могут ли участники создавать ключи организации?
Нет. Ключами организации управляют владельцы и администраторы.
При ротации старый ключ продолжит работать?
Нет. При ротации старый ключ отзывается и создаётся замена.
Что делать, если IP-адрес источника изменился?
Уполномоченный менеджер ключа должен обновить список разрешённых адресов.
Можно создать два ключа песочницы?
В каждом контексте может быть только один активный ключ песочницы.