公開ガイド

AI Gateway と AI 接続を有効化

セットアップのホームとして `/ai-gateway` を使用します。1 つの BYOK プロバイダー キーを接続し、ポリシーで許可リストに登録してから、IDE または自動化用のクライアントを作成します。 対象: テナント管理者、セキュリティ リード、ワークスペース所有者. 一般的な設定時間: 15 ～ 20 分.

reference

該当する場合

セットアップのホームとして `/ai-gateway` を使用します。1 つの BYOK プロバイダー キーを接続し、ポリシーで許可リストに登録してから、IDE または自動化用のクライアントを作成します。

対象読者: テナント管理者、セキュリティ リード、ワークスペース所有者所要時間の目安: 15 ～ 20 分

開始前に

  • パイロット運用する最初のプロバイダー、IDE、または自動化ワークフローを選択します。
  • ユーザーに表示を許可するプロバイダー スラッグと MCP ツールを確認します。
  • アクセスを作成する前に、コールバック URL またはクライアント構成の詳細を用意してください。

ガイドの手順

1

ステップ 1

まず 1 つのプロバイダーを接続する

`/ai-gateway` から開始し、OpenAI プロバイダー接続を開いて、チームが既に信頼している最初のテナント所有キーを追加します。

  • パイロットで Anthropic または OpenAI 互換のエンドポイントが明示的に必要でない限り、最初の BYOK プロバイダー認証情報には `/integrations/ai_openai` を使用します。
  • 複数の個人で共有される個人キーではなく、BlackShield 専用のプロバイダー キーを使用します。
  • AI Gateway に戻る前に、プロバイダーの事前検証を実行します。

成功の基準

AI Gateway に戻る前に、プロバイダーの事前検証を実行します。

2

ステップ 2

ポリシーでプロバイダーを許可リストに登録する

AI Gateway は、ポリシーで接続されたプロバイダーが明示的に許可されるまで、アクティブなルーティングとアクセスを制限します。

  • `/ai-gateway` からポリシー タブを開き、接続されたプロバイダーを `approved_providers` に追加します。
  • 最初のポリシーはシンプルに保ちます。プロバイダーの許可リスト、非表示のツール、明確なリクエスト制限を設定します。
  • パイロット チームに予期される警告が表示されるまでアドバイザリ モードを維持し、その後適用 (enforce) に移行します。

成功の基準

パイロット チームに予期される警告が表示されるまでアドバイザリ モードを維持し、その後適用 (enforce) に移行します。

3

ステップ 3

チームが使用するツール用のクライアントを作成する

各 IDE、MCP クライアント、またはサービス プリンシパルに独自の AI Gateway クライアントを割り当て、アクセス権のローテーションや無効化を容易にします。

  • サインイン フロー用のパブリック クライアント、またはヘッドレス自動化用のコンフィデンシャル クライアントを作成します。
  • エンド ユーザーにクライアントを渡す前に、IDE またはエージェントが必要とするコールバック URL を追加します。
  • 各クライアントを、そのチームが実際に必要とするプロバイダー接続と MCP ツールのみに制限します。

成功の基準

各クライアントを、そのチームが実際に必要とするプロバイダー接続と MCP ツールのみに制限します。

4

ステップ 4

広範な展開の前にゲートウェイをテストする

まず低リスクのテストを 1 つ実行して、認証、ポリシーの動作、およびアクティビティ ログを確認します。

  • MCP エンドポイントを `/api/v1/mcp` に、推論エンドポイントを `/api/v1/ai-gateway/openai/v1/chat/completions` に設定します。
  • 新しいクライアントでサインインするか、クライアント認証情報を有効期間の短いトークンと交換します。
  • `tools/list` またはシンプルな読み取り専用プロンプトを実行し、イベントが AI Gateway アクティビティに表示されることを確認します。
  • 他のユーザーを招待する前に、ポリシーの警告と使用状況ログを確認します。

成功の基準

他のユーザーを招待する前に、ポリシーの警告と使用状況ログを確認します。

Demonstration only

This configuration is designed for ease of use. To deploy scanner clients at scale, please plan your deployment architecture accordingly or contact us for enterprise best practices.

実行する

Exchange client credentials for a short-lived token
curl -X POST https://api.blackshield.chaplau.com/api/v1/ai-gateway/oauth/token \
  -H "Content-Type: application/json" \
  -d '{
    "grant_type": "client_credentials",
    "client_id": "your-client-id",
    "client_secret": "your-client-secret"
  }'
Query OpenAI completions via the Gateway Proxy
curl -X POST https://api.blackshield.chaplau.com/api/v1/ai-gateway/openai/v1/chat/completions \
  -H "Authorization: Bearer <your_short_lived_token>" \
  -H "Content-Type: application/json" \
  -d '{
    "provider": "openai",
    "model": "gpt-4o-mini",
    "messages": [
      {
        "role": "user",
        "content": "List the security requirements for the tenant onboarding flow."
      }
    ]
  }'
Configure the Stdin/Stdout MCP Proxy in Cursor / VS Code / Claude Desktop
{
  "mcpServers": {
    "blackshield-gateway": {
      "command": "blackshield-mcp",
      "args": [
        "--client-id", "<your-client-id>",
        "--client-secret", "<your-client-secret>",
        "--url", "https://api.blackshield.chaplau.com/api/v1/mcp"
      ]
    }
  }
}

成功の基準

  • パイロット クライアントが正常に認証され、計画されたプロバイダーとツールのみが表示されること。
  • アクティビティ ストリームにテスト呼び出しと、予期されるポリシー警告またはブロックが表示されること。
AI Gateway と AI 接続を有効化 | BlackShield Docs