Gouvernance
La gouvernance couvre les règles que les équipes plateforme définissent une seule fois et qui s'appliquent à tout ce qui est construit dans Studio : qui peut créer et déployer, sous quelles identités les charges de travail s'exécutent, où sont stockés les identifiants, comment les données sont traitées, ce que les modèles peuvent dire, combien les équipes peuvent dépenser et qui a fait quoi.
La plupart de ces règles se trouvent dans le panneau d'administration, et la documentation administrateur fait autorité pour chacune d'elles. Cette page associe ces règles aux fonctionnalités de Studio qu'elles régissent. Aucune de ces configurations n'est nécessaire pour commencer à créer.
Espaces de travail
Tout dans Studio appartient à un espace de travail : clés API, agents, workflows, déploiements, secrets, utilisation, limites et données d'observabilité. En changeant d'espace de travail dans Studio, vous basculez tous ces éléments. Utilisez des espaces de travail distincts pour isoler des équipes ou des environnements, par exemple le développement, le staging et la production.
Lorsque les espaces de travail n'isolent pas suffisamment, les comptes Entreprise regroupent plusieurs organisations.
- Espaces de travail dans Studio : ce qui change pour les utilisateurs de Studio et ce que les administrateurs configurent par espace de travail.
- Créer votre premier espace de travail
- Comptes Entreprise
Rôles et accès
L'accès repose sur des rôles prédéfinis à deux périmètres indépendants : l'organisation et chaque espace de travail. Les autorisations s'additionnent : un utilisateur obtient tout ce que ses rôles lui accordent. Pour Studio, les rôles d'espace de travail les plus importants sont :
| Rôle d'espace de travail | Dans Studio |
|---|---|
| Développeur | Accès à Studio et à ses fonctionnalités |
| Contributeur d'espace de travail | Toutes les fonctionnalités du produit, sans administration ni observabilité |
| Admin | Tout ce qui précède, plus l'administration de l'espace de travail |
| Lecteur d'observabilité | Accès aux fonctionnalités d'observabilité |
Pour gérer les accès à grande échelle, attribuez des rôles à des groupes plutôt qu'à des utilisateurs individuels, et connectez les membres via votre fournisseur d'identité.
- Rôles et autorisations : tous les rôles d'organisation et d'espace de travail, et ce qu'ils accordent.
- Groupes et gestion des utilisateurs
- SSO SAML (Entreprise) et vérification de domaine
Identités de charge de travail et clés API
Exécutez les charges de travail de production, comme les workers de workflow, avec un compte de service plutôt qu'avec la clé API d'une personne. La charge de travail continue de fonctionner quand la clé de cette personne est renouvelée ou quand elle quitte l'entreprise, et les journaux d'audit indiquent le nom de la charge de travail. Dans votre propre cluster Kubernetes, la fédération d'identité de charge de travail permet au worker de s'authentifier avec des tokens de courte durée plutôt qu'avec une clé stockée.
Les clés API appartiennent à un espace de travail et utilisent son quota, ses limites de débit et ses ressources. Une politique d'expiration plafonne la durée de validité des nouvelles clés, et le périmètre d'accès aux connecteurs de chaque clé détermine si elle peut utiliser des connecteurs privés.
- Comptes de service
- Fédération d'identité de charge de travail
- Clés API, y compris le périmètre d'accès aux connecteurs
- Politique d'expiration des clés API
Identifiants et connecteurs
Le Secrets Manager stocke les identifiants que les déploiements gérés lisent au moment de l'exécution. Les secrets sont rattachés à un espace de travail : chaque membre en voit les noms, et leur création, modification ou suppression nécessite le rôle Développeur ou un rôle qui l'inclut. Les valeurs des secrets sont en écriture seule.
Les administrateurs d'organisation connectent les applications partagées une seule fois dans le panneau d'administration et décident des outils de connecteur que les membres peuvent utiliser dans Studio et Vibe.
- Secrets Manager
- Connecteurs dans l'administration et Connecteurs pour le côté développeur
Déploiements
Un déploiement durci restreint les utilisateurs et les comptes de service autorisés à y enregistrer des workflows, afin que personne ne puisse remplacer par erreur un workflow de production. Le durcissement est obligatoire pour les workflows on-behalf-of, qui agissent au nom de l'utilisateur qui les déclenche. Les déploiements gérés créés dans Studio sont durcis par défaut, avec possibilité de désactivation à la création.
Gestion des données
Avec le zéro rétention de données (ZDR), Mistral ne stocke pas les entrées et les sorties des requêtes API sans état prises en charge. Le ZDR ne couvre pas les produits avec état, comme les agents, les conversations, les bibliothèques, les fichiers et les fichiers de traitement batch, car ils doivent stocker des données pour fonctionner. Le ZDR est distinct de la désinscription à l'entraînement des modèles.
Les traces envoyées à l'observabilité sont masquées côté client avant l'exportation, par défaut, et sont conservées pendant 30 jours. Leur lecture nécessite une organisation Entreprise et un rôle avec accès à l'observabilité.
- Zéro rétention de données, y compris en quoi le ZDR diffère de la désinscription à l'entraînement
- Masquage des données et Observabilité
Les mécanismes de contrôle
Les mécanismes de contrôle vérifient ce qui entre et ce qui sort d'un modèle. Déclarez des règles de modération dans les requêtes de chat completion et de conversation, ou dans la configuration d'un agent. Pour les pipelines personnalisés, l'API de modération renvoie des scores bruts par catégorie de politique.
Utilisation et limites
Chaque espace de travail suit sa propre consommation. Définissez une limite de dépenses mensuelle par espace de travail pour plafonner les dépenses d'une équipe ou d'un environnement, et utilisez le tableau de bord d'utilisation de l'organisation pour voir d'où viennent les dépenses. Les limites de débit s'appliquent par espace de travail.
- Utilisation et limites de l'espace de travail
- Utilisation et limites pour l'organisation
Audit
Les journaux d'audit enregistrent qui a fait quoi, et quand, dans Studio et Vibe : connexions, création et suppression de clés API, et actions sur les ressources, qu'il s'agisse d'un utilisateur, d'une clé API ou du système. Les journaux d'audit sont disponibles avec les plans Entreprise et activés par défaut pour tous les espaces de travail.
Pour automatiser l'administration, l'API administrateur (Entreprise) gère les utilisateurs, les groupes, les espaces de travail, les clés API et les limites, et récupère l'utilisation et les journaux d'audit.