CLI - Se servir des tokens d'accès

Objectif

Ce guide couvre la création de tokens d’application pour AI Training.

Prérequis

• une CLI ovhai fonctionnelle comment installer la CLI ovhai

En pratique

token create

Si vous avez besoin d’aide lors de la création d’un nouveau token, exécutez ovhai token create --help :

Usage: ovhai token create [OPTIONS] --role <ROLE> <NAME>

Create an application token

Arguments:
  <NAME>  Token's name

Options:
  -r, --role <ROLE>                  Operator role gives all access, read role only allow to access job's APIs. DEPRECATED VALUES: "read", "operator" => replaced by "ai_training_read", "ai_training_operator" [possible values: read, operator, ai_training_read, ai_training_operator, quantum_operator, quantum_reader]
      --token <TOKEN>                Authentication using Token rather than OAuth
  -l, --label-selector <name=value>  Only jobs with this label's name and value will be accessible using this token
  -o, --output <OUTPUT>              Command output format [possible values: json, yaml, description]
      --no-color                     Remove colors from output
  -h, --help                         Print help

Créer un token d’application

La création de tokens d’application est assez simple : vous devez définir les rôles à attribuer au token ainsi que sa portée.

Deux rôles sont disponibles :

• read un token avec ce rôle permet d’accéder aux services exposés par le job sur la job_url
• operator un token avec ce rôle permet d’interagir avec l’API et la CLI d’AI Training

Les tokens peuvent être limités pour ne s’appliquer qu’aux jobs correspondant à un label spécifique. Lors de la création d’un token, il suffit de fournir une paire nom=valeur, puis, lors du lancement d’un nouveau job, d’ajouter le label au job pour qu’il soit accessible : ovhai job run -l name=value. Si vous créez un nouveau job à l’aide d’un token d’application, le label-selector est automatiquement ajouté au job créé afin qu’il corresponde à la portée du token.

Créons un nouveau token operator limité à model=base et nommé basetoken :

ovhai token create basetoken --label-selector model=base --role operator

Utiliser le token d’application

Si votre token a le rôle read et que vous souhaitez accéder à la job_url, ou s’il s’agit d’un token operator et que vous souhaitez utiliser l’API AI Training, ajoutez simplement l’en-tête suivant à vos requêtes HTTP :

-H 'Authorization: Bearer <token>'

Vous pouvez également utiliser directement le token operator avec la CLI ovhai. Pour toutes les commandes, il suffit d’ajouter le flag --app-token afin de remplacer la méthode d’authentification par défaut. Exécution d’un simple Hello World avec le token d’application :

ovhai job run --app-token <my-token> ubuntu -- echo `Hello World`

Cycle de vie du token

Les tokens d’application n’ont pas de date d’expiration. Un mécanisme supplémentaire est nécessaire pour révoquer ces tokens et retirer l’accès aux applications indésirables.

Il existe deux façons de révoquer un token.

token delete

Vous pouvez supprimer n’importe quel token à l’aide de son id. Listez les tokens et trouvez l’ID associé à votre token. Exécutez ensuite simplement :

ovhai token delete `<token-id>`

token renew

Vous pouvez souhaiter révoquer un token tout en conservant son nom et son label-selector ; un cas d’usage typique est celui d’un token qui a fuité ou a été compromis d’une manière ou d’une autre. Plutôt que de supprimer puis de recréer le token, vous pouvez le renouveler. Exécutez simplement :

ovhai token renew <token-id>

Votre avis nous intéresse !

N’hésitez pas à nous faire part de vos questions, retours et suggestions pour améliorer le service :

• Sur le serveur Discord OVHcloud

Si vous avez besoin d'une formation ou d'une assistance technique pour la mise en oeuvre de nos solutions, contactez votre commercial ou cliquez sur ce lien pour obtenir un devis et demander une analyse personnalisée de votre projet à nos experts de l’équipe Professional Services.