AIプロバイダーのAPIキーまたは仮想キーは、AIプロバイダーのクレデンシャルを個々のアプリケーションや開発者と共有する代わりに、AI Gatewayに保存します。プロバイダーの実際のAPIキーを一度登録すると、AI Gatewayがそれをトークングループにマッピングします。アプリケーションはNetskopeが発行したトークンを使用して認証を続行し、AI Gatewayは裏で適切なプロバイダーキーに置き換えます。
これにより、OpenAI、Anthropic、Gemini、およびカスタムプロバイダーキーがアプリケーションコード、構成ファイル、開発者の手に渡るのを防ぎ、各アプリに必要なアクセス権を与えることができます。
なぜ仮想キーを使うのですか？
- Reduce key sprawl: 各プロバイダーのクレデンシャルは、すべてのアプリケーション、スクリプト、開発者マシンに配布するのではなく、AI Gatewayに一度保存します。
- Support compliance and security requirements: アプリケーションの所有者や開発者が基礎となるプロバイダーキーを表示したり扱ったりすることはありません。
- Simplify key rotation: アプリケーションコードを再デプロイすることなく、1つの場所でプロバイダーキーをローテーションまたは取り消しできます。
- Control access by group: 管理者は、特定のアップストリームプロバイダーのクレデンシャルにトークングループ（およびそのアプリケーション）を割り当てます。
- Keep existing workflows: アプリケーションは現在のNetskopeトークンで引き続き認証されます — クライアント側の変更は必要ありません。
仕組み
AI Gatewayがリクエストを受け取ると、リクエストを提示するトークンまたはトークングループに、プロバイダーキーがマッピングされているかどうかを確認します。
- AI Gatewayは、リクエストのトークングループにマッピングされたキーをチェックします。
- 何も存在しない場合、AI Gatewayは、設定されている場合はユーザーグループレベルでマッピングされたキーにフォールバックします。
- マッピングされたキーが見つかった場合、AI Gatewayは送信リクエスト内のそのクレデンシャルをプロバイダーに代入します。アプリケーションのトークンがアップストリームに転送されることはありません。
- マッピングが適用されない場合、AI Gatewayはアプリケーションが提供した認証を使用してリクエストを転送するため、この機能を展開する間もリクエストはブロックされません。
この置換は、ストリーミングおよび非ストリーミングの両方のリクエストに対して、アプリケーションに透過的です。
開始する前に
- AI Provider List で AI プロバイダー（事前定義、クラウド事前定義、またはカスタム）を追加しました。
- Authentication Token and Group の下に少なくとも1つのトークングループを作成しました。
プロバイダーのAPIキーを追加
-
Settings > Security Cloud Platform > AI Gateway > Provider に移動し、キーを追加する AI プロバイダーを選択します。
-
Add Key Select 。
-
一意のName of API key（そのプロバイダー内で一意）を入力し、プロバイダーのAPIキーを貼り付けます。
-
オプションで、キーをそのプロバイダーのdefaultとしてマークできます。新しいデフォルトを設定すると、そのプロバイダーの他のすべてのキーのデフォルトフラグがクリアされます。
-
キーを保存します。AI Gatewayは保存する前にプロバイダーで検証します。
プロバイダーごとに複数のキーを追加できます（たとえば、チームやコストセンターごとに個別のキーを作成する場合など）。これは、テナントの上限まで可能です。
キーをトークングループにマッピングする
-
Settings > Security Cloud Platform > AI Gateway > Token Groupへ移動してください。
-
設定するトークングループを開きます。
-
AI provider keys で、プロバイダーを選択し、トークングループが使用する保存されたキーを選択します。
-
トークングループのアプリケーションが呼び出すプロバイダーごとに繰り返します。
-
変更を保存してください。
そのグループのトークンで認証するアプリケーションは、今、アプリケーションを変更することなく、マッピングされたキーを自動的に使用します。
キーのローテーションまたは削除
キーをローテーションするには、新しい値を追加し、トークングループマッピングを更新して新しいキーを指すようにします。すぐにアクセスを取り消すには、キーを削除します。アクティブなトラフィックへのロールアウトは、保存後すぐに有効になります。古いキーが使われているどこでも無効にする前に、変更が反映されるまで少し待ちます。
豆知識
- Netskopeはプロバイダーキーを安全に保存し、保存後に表示することはありません。ログやエラーメッセージに書き込まれることもありません。
- 各テナントとトークングループのキーは分離されており、要求は、そのテナントとトークングループに属するキーにのみ解決できます。
- プロバイダーキーが無効または期限切れの場合、AI Gatewayはプロバイダーのエラーを呼び出し元のアプリケーションに返します。
