Alibaba Cloud Model Studio:チーム管理

Token Plan コンソールまたは管理プラットフォームで、チームメンバーの追加と管理、シートの割り当てと回収、クレジット使用状況の監視を行います。

アクセス

Alibaba Cloud アカウントまたは RAM ユーザー: Token Plan コンソールにサインインし、[マイサブスクリプション] ページでチームを管理します。[Team Edition] カードの [設定] をクリックして組織名、サインイン方法 (シングルサインオン (SSO) や DingTalk) などを編集します。[サブスクリプションの詳細] エリアの [シートの割り当て] をクリックしてメンバーを管理します。

SSO または DingTalk 経由で参加したメンバー: 管理者が共有する [管理プラットフォームのアドレス] から管理プラットフォームにサインインします。このアドレスは、[設定] ページの [基本情報] セクションで確認できます。

ロールと権限

以下のロールの権限は、このチーム組織内のメンバーとシートに限定され、Alibaba Cloud アカウント全体での認可や管理には及びません。

ロール	権限
オーナー	メンバーの追加または削除、シートの割り当てまたは回収、メンバーロールの変更、すべてのメンバーとモデルの使用状況の表示
管理者	オーナーと同じ権限です。オーナーは、このロールを持つメンバーを割り当て、削除、または降格できます。
メンバー	管理者から割り当てられた API Key と Base URL を使用してモデルを呼び出します。

メンバー管理

メンバーの追加

• 手動 (管理プラットフォームにサインインできず、API アクセスのみ): [メンバー] ページで [メンバーを追加] をクリックし、ダイアログボックスにユーザー名 (英字、数字、アンダースコアのみ) とロールを入力し、必要に応じて同時にシートを割り当てます。メンバーの操作列で [シートの割り当て] をクリックし、シート階層を選択します。割り当て後、API Key 列の [生成] をクリックして API Key を作成します。Base URL と共に共有し、メンバーがモデルを呼び出せるようにします。
• SSO または DingTalk サインイン (メンバーは管理プラットフォームにサインインし、自分のシートと API Key を管理できます): SAML または DingTalk 統合が設定された後、メンバーはログインページの該当するエントリからサインインし、自動的に参加します。

メンバーロールの変更

[メンバー] ページで対象メンバーを見つけ、操作列の [ロールの変更] をクリックします。ダイアログボックスで新しいロール (管理者またはメンバー) を選択して保存します。オーナーのロールは変更できません。

API Key のリセット

[メンバー] ページで対象メンバーを見つけ、操作列の [リセット] をクリックします。元の API Key は直ちに失効します。新しい API Key をメンバーに配布します。

メンバーの削除

[メンバー] ページで対象メンバーを見つけ、操作列の [組織から削除] をクリックします。シートは回収され、API Key は直ちに失効します。

SAML 統合

標準の SAML 2.0 経由でエンタープライズ ID プロバイダーを統合します。これは、ログインページの [SSO] エントリに対応します。設定が完了すると、メンバーは ID プロバイダーアカウントで管理プラットフォームにサインインし、自動的に組織に参加します。

SAML 設定

前提条件: 組織にメンバーが存在する場合、SSO 設定を編集できません。まずすべてのメンバーを削除してください。

1. Token Plan コンソールにサインインします。[マイサブスクリプション] ページで、[Team Edition] カードの [設定] をクリックし、[SSO 設定] セクションを見つけます。
2. エンタープライズ ID プロバイダーから ID プロバイダー情報 (IdP Entity ID、IdP SSO URL、IdP 証明書) を取得します。[編集] をクリックし、カスタムの SP Entity ID と上記の ID プロバイダー情報を入力して保存します。
3. 保存後、システムは自動的に ACS URL を生成します。SP Entity ID と ACS URL をエンタープライズ ID プロバイダーの SSO アプリケーション設定に入力します。
4. [基本情報] セクションで、[管理プラットフォームのアドレス] をコピーしてチームと共有します。メンバーはこのアドレスを開き、ログインページで SSO サインインオプションを選択して組織に参加します。

SP 情報 (Alibaba Cloud Model Studio 側)

パラメータ	説明
SP Entity ID	SSO フローにおける Alibaba Cloud Model Studio の一意の識別子。この値はユーザーが定義し、エンタープライズ ID プロバイダーの SSO アプリケーション設定にも入力する必要があります。
ACS URL	認証成功後に ID プロバイダーが認証レスポンスを送信するエンドポイント。SSO 設定の保存後に Alibaba Cloud Model Studio によって自動生成されます。エンタープライズ ID プロバイダーに入力する必要があります。
SP 証明書	Alibaba Cloud Model Studio 側の SAML 署名証明書。SSO 設定の保存後に自動生成されます。エンタープライズ ID プロバイダーが Alibaba Cloud Model Studio からのレスポンス署名を検証するために使用されます。エンタープライズ ID プロバイダーの信頼チェーンに設定する必要があります。

ID プロバイダー情報 (企業側、エンタープライズ ID プロバイダーから取得)

パラメータ	説明
IdP Entity ID	エンタープライズ ID プロバイダーの一意の識別子。
IdP SSO URL	エンタープライズ ID プロバイダーのログインエントリ URL。サインイン時にメンバーは認証のためにここにリダイレクトされます。
IdP 証明書	エンタープライズ ID プロバイダーの署名証明書。Alibaba Cloud Model Studio がレスポンスが実際にエンタープライズ ID プロバイダーから送信されたことを検証するために使用されます。

設定例: Alibaba Cloud IDaaS

前提条件: Alibaba Cloud IDaaS EIAM インスタンスが有効化されています。

1. IDaaS で SAML アプリケーションを作成: IDaaS インスタンス管理プラットフォームにサインインし、[アプリケーション管理] に移動して [アプリケーションを追加] をクリックし、[標準 SAML 2.0] アプリケーションテンプレートを選択してアプリケーション名を入力し、アプリケーションを作成します。
2. IDaaS から ID プロバイダー情報を取得して Alibaba Cloud Model Studio に入力: IDaaS アプリケーションで [シングルサインオン] ページに移動し、下部の [アプリケーション設定] セクションから ID プロバイダー情報をコピーし、Token Plan コンソールの [SSO 設定] セクションに入力します。
3. SP Entity ID と ACS URL を IDaaS に入力: 保存後、Alibaba Cloud Model Studio の [SSO 設定] セクションに自動生成された ACS URL が表示されます。IDaaS アプリケーションで、[ログインアクセス] > [シングルサインオン] に移動し、該当するパラメータを入力します。
4. IDaaS でアカウントを作成して認可: IDaaS の [アカウント管理] で、チームメンバーのアカウントを作成します。SAML アプリケーションで、[ログインアクセス] > [アプリケーション認可] に移動して認可を追加します。
5. メンバーと管理プラットフォームのアドレスを共有: [設定] ページで、[基本情報] セクションから [管理プラットフォームのアドレス] をコピーしてメンバーと共有します。メンバーはこのアドレスを開き、SSO サインインを選択して組織に参加します。

DingTalk 統合

DingTalk を ID システムとして使用している企業は直接統合できます。これは、ログインページの [DingTalk] エントリに対応します。設定が完了すると、メンバーは DingTalk アカウントで管理プラットフォームにサインインし、自動的に組織に参加します。

前提条件: DingTalk 企業が作成され、対象メンバーが追加されています。

1. DingTalk 内部アプリケーションを作成: DingTalk オープンプラットフォームにサインインし、[アプリケーション開発] > [内部アプリケーション] > [DingTalk アプリケーション] に移動して [アプリケーションを作成] をクリックします。
2. アプリケーション認証情報を取得: アプリケーション詳細ページで、[基本情報] > [認証情報と基本情報] に移動し、AppKey と AppSecret を記録します。
3. リダイレクトドメインを設定: [開発設定] > [セキュリティ設定] に移動し、[リダイレクト URL (コールバックドメイン)] に https://account-enterprise.bailian.aliyunportal.com/api/v1/auth/dingtalk/callback を入力します。
4. 連絡先読み取り権限を有効化: [権限管理] ページで、[連絡先個人情報読み取り権限] を有効にします。
5. アプリケーションを公開: [アプリケーションリリース] > [バージョン管理とリリース] に移動し、新しいバージョンを作成して公開します。
6. Token Plan 管理プラットフォームに認証情報を入力: Token Plan コンソールの [マイサブスクリプション] ページで、[Team Edition] カードの [設定] をクリックし、[SSO 設定] セクションで [DingTalk] タブに切り替え、設定名、DingTalk アプリケーションの AppKey と AppSecret を入力します。
7. メンバーと管理プラットフォームのアドレスを共有: [設定] ページで、[基本情報] セクションから [管理プラットフォームのアドレス] をコピーしてメンバーと共有します。メンバーはこのアドレスを開き、DingTalk サインインを選択して組織に参加します。

シート操作

シートステータスの表示

コンソールの [マイサブスクリプション] ページの [チームシート] エリアに、階層ごとの割り当て済み数と合計数が表示されます。[サブスクリプションの詳細] エリアには、各シートのステータスと有効期限が表示されます。

シートの割り当て

1. [メンバー] ページで対象メンバーを見つけ、操作列の [シートの割り当て] をクリックします。
2. ダイアログボックスでシート階層を選択し、[OK] をクリックします。

割り当て後、API Key 列の [生成] をクリックして API Key を作成します。Base URL と共に共有し、メンバーがモデルを呼び出せるようにします。

シートの回収

[メンバー] ページで対象メンバーを見つけ、操作列の [シートの回収] をクリックし、確認ダイアログボックスで [OK] をクリックします。シートは未割り当てに戻り、メンバーはそのシートのクレジットへのアクセスを失います。シートを再割り当てすると、新しいメンバー用に新しい API Key が生成されます。

シートの追加

Token Plan コンソールの [マイサブスクリプション] ページで [シートを追加] をクリックし、シート階層と数量を選択して注文を送信します。新しいシートは既存のサブスクリプションの有効期限を共有します。価格は残り期間に応じて按分されます。

シートのアップグレード

Token Plan コンソールの [マイサブスクリプション] ページで、[サブスクリプションの詳細] から対象シートを見つけて [アップグレード] をクリックします。より高い階層を選択して注文を送信します。複数のシートを一度にアップグレードするには、それらを選択して [一括アップグレード] をクリックします。アップグレード料金は、残り期間に応じて按分された価格差です。

使用状況分析

使用状況分析は、Token Plan コンソールの [マイサブスクリプション] ページまたは管理プラットフォームからアクセスできます。[使用状況分析] ページで、オーナーは以下を表示できます。

• 使用状況トレンド: 過去 1 日、7 日、または 30 日間のクレジット消費トレンド。
• モデル使用状況: 組織内のモデルごとに消費されたクレジット。
• メンバー使用状況: メンバーごとに消費されたクレジット。