Les clés de fournisseur vous permettent d'utiliser vos propres comptes de fournisseurs de modèles au lieu des modèles acheminés par Coroid. L'utilisation est ensuite facturée directement à vous par ce fournisseur, aux tarifs que vous avez négociés.
Gérez-les sous les Paramètres Paramètres → Clés de fournisseur.
Quand opter pour l'utilisation de vos propres clés ?
Le BYOK est pertinent si vous disposez déjà d'accords avec des fournisseurs, d'un engagement d'achat ou d'une exigence de passation de marché imposant que le vendeur de modèles soit un fournisseur direct.
Si aucune de ces conditions ne s'applique, les modèles acheminés par Coroid avec des crédits prépayés sont plus simples, et Coroid ajoute aucune surcharge aux tarifs des jetons du fournisseur dans tous les cas. Le choix porte sur la structuration contractuelle, pas sur le prix.
Comment les clés sont gérées
- Elles sont chiffrées avec la clé propre à votre organisation. Les clés de fournisseur de chaque organisation sont chiffrées avec leur propre clé de données. Un service de gestion des clés (OVHcloud KMS) chiffre ensuite cette clé de données.
- Déchiffrées en un seul endroit. Seul le broker de credentials de Coroid peut déchiffrer une clé de fournisseur. Ce broker effectue lui-même les appels aux modèles, de sorte que la clé n'est jamais transmise aux agents ou aux autres services de Coroid.
- Jamais restituée. Une fois enregistrée, une clé ne peut pas être lue via l'interface ou par API. Vous pouvez la remplacer ; vous ne pouvez pas la récupérer.
- Jamais exportée. Les paquets d'exportation des Paramètres contiennent un espace réservé, pas le secret. Consultez Exporter et importer les paramètres.
- Chaque utilisation est enregistrée. Coroid consigne chaque appel effectué avec votre clé. La ligne de la clé indique quand Coroid l’a utilisée pour la dernière fois et quelle tâche a effectué l’appel. Si vous pensez que votre clé a été compromise, le support de Coroid peut vous indiquer quelles tâches l’ont utilisée et à quel moment.
Cette propriété en écriture seule est volontaire : une donnée d'identification pouvant être lue constitue une cible facile pour toute entité disposant d'un accès en lecture.
Rotation
Remplacez la clé par la nouvelle valeur. Le travail en cours se poursuit sur la connexion qui l'a initié ; le nouveau travail utilise la nouvelle clé. Seuls les propriétaires et administrateurs d'organisation peuvent ajouter, remplacer ou supprimer une clé, et chaque modification est consignée dans le journal d'audit de l'organisation.
Faites la rotation selon le calendrier de votre fournisseur et chaque fois qu'une personne ayant des droits d'administration quitte l'entreprise. Il est impossible pour Coroid de déterminer si une clé a été utilisée ailleurs ; c'est à cela que sert le journal d'audit de votre fournisseur.
Définition du périmètre
Si votre fournisseur prend en charge les clés à périmètre défini ou restreint, utilisez-en une. Une clé limitée aux modèles et au plafond de dépense prévu pour Coroid représente un risque bien moindre en cas de fuite.
Fixez un plafond de dépense au niveau du fournisseur : c'est le seul plafond strict existant. Les limites propres à Coroid régissent la capacité, pas la facture de votre fournisseur.
Retour à la configuration précédente
Si une clé est invalide, expirée ou a dépassé sa limite chez le fournisseur, les appels au modèle qui l'utilisent échoueront. Le travail ne se poursuivra pas silencieusement via un autre fournisseur — ce serait inapproprié de dépenser l'argent d'un tiers sans autorisation.
Corrigez la clé, et le travail en file d'attente reprendra.