As Chaves de provedor permitem que você use suas próprias contas de provedores de modelo em vez dos modelos roteados pelo Coroid. O Uso é cobrado diretamente desse provedor, segundo as tarifas que você negociou.
Gerencie-as em Configurações → Chaves de provedor.
Quando usar suas próprias chaves
O BYOK vale a pena quando você já tem acordos com provedores, gastos comprometidos ou uma exigência de aquisição para que o fornecedor do modelo seja um fornecedor direto.
Se nenhuma dessas condições se aplicar, os modelos roteados pelo Coroid com créditos pré-pagos são mais simples, e o Coroid inclui sem formatação às tarifas do token do provedor, independentemente da opção escolhida. A decisão diz respeito a contratos, não a preços.
Como as chaves são tratadas
- São criptografadas com a chave própria da sua organização. As chaves de provedor de cada organização são criptografadas com uma chave de dados específica. Um serviço de gerenciamento de chaves (OVHcloud KMS) criptografa essa chave de dados em seguida.
- Descriptografadas em um único local. Apenas o corretor de credenciais do Coroid pode descriptografar uma chave de provedor. O corretor realiza as chamadas ao modelo por conta própria, de modo que a chave nunca é entregue a agentes ou a outros serviços do Coroid.
- Nunca são retornadas. Uma vez salva, a chave não pode ser lida novamente pela interface ou pelo API. É possível substituí-la; não é possível recuperá-la.
- Nunca são exportadas. Os pacotes de exportação de Configurações contêm um espaço reservado, não o segredo. Veja Exportar e importar Configurações.
- Todo uso é registrado. O Coroid registra cada chamada feita com sua chave. A linha da chave mostra quando o Coroid a usou pela última vez e qual tarefa realizou a chamada. Se você suspeitar de vazamento, o suporte do Coroid pode informar quais tarefas usaram a chave e quando.
A propriedade somente de escrita é intencional. Uma credencial que pode ser lida posteriormente é uma credencial que pode ser exfiltrada por qualquer um com acesso de leitura.
Rotacionando
Substitua a chave pelo novo valor. O trabalho em andamento continua na conexão iniciada; o novo trabalho usa a nova chave. Apenas proprietários e administradores da organização podem adicionar, substituir ou remover uma chave, e toda alteração é registrada no log de auditoria da organização.
Rotacione conforme o cronograma do seu provedor e sempre que alguém com acesso de administrador deixar a empresa. Não há como o Coroid determinar se uma chave foi usada em outro lugar — para isso existe o log de auditoria do próprio provedor.
Definindo escopo
Se seu provedor oferecer chaves com escopo ou restrições, use uma delas. Uma chave limitada aos modelos e ao limite de gastos que você destina ao Coroid representa um risco muito menor caso seja exposta.
Defina um limite de gastos no provedor. Esse é o único teto rígido existente — os limites próprios do Coroid controlam a capacidade, não a fatura do seu provedor.
Fazendo fallback
Se uma chave for inválida, expirar ou ultrapassar o limite do provedor, as chamadas ao modelo que a utilizarem falharão. O trabalho não continuará silenciosamente em outro provedor — isso seria algo surpreendente de se fazer com o dinheiro de outra pessoa.
Corrija a chave e o trabalho enfileirado será retomado.