Управляемый SSO

Эта функция входит в план Enterprise Plus.

Управляемый SSO полностью заменяет вход в Hugging Face. Ваш поставщик идентификации становится единственным способом аутентификации для членов вашей организации во всей платформе Hugging Face. Организация контролирует полный жизненный цикл пользователя, от создания учётной записи до её деактивации.

Для сравнения с Basic SSO см. Обзор SSO.

Как это работает

Управляемый SSO заменяет вход в Hugging Face. Ваш IdP — единственный способ для управляемых пользователей пройти аутентификацию в Hugging Face: отдельного входа в Hugging Face не существует. В отличие от базового SSO, членам не требуется заранее созданный аккаунт Hugging Face. Когда пользователь впервые проходит аутентификацию через ваш IdP, для него автоматически создаётся аккаунт.

Ваш IdP является обязательным способом аутентификации для всех членов вашей организации при взаимодействии с любой частью платформы Hugging Face. Членам организации необходимо проходить аутентификацию через ваш IdP для всех сервисов Hugging Face, а не только при доступе к частным или организационным репозиториям.

Когда пользователь отключается в вашем IdP, его аккаунт Hugging Face также отключается. Это позволяет вашей организации полностью контролировать управление идентификацией, доступом и данными.

Начало работы

Управляемый SSO не может быть настроен самостоятельно. Чтобы включить управляемый SSO для вашей организации, пожалуйста, свяжитесь с командой Hugging Face. Настройка выполняется совместно с нашей технической командой, чтобы обеспечить плавный переход для вашей организации.

Если вы переводите существующую организацию, сначала прочитайте Переход на управляемый SSO: существующие личные аккаунты участников не конвертируются, и каждому участнику необходимо освободить свой рабочий адрес электронной почты, прежде чем он сможет быть провижнён.

Поддерживаются протоколы SAML 2.0 и OIDC, которые можно интегрировать с популярными поставщиками идентификации, такими как Okta, Microsoft Entra ID (Azure AD) и Google Workspace.

Создание пользователей

Managed SSO обеспечивает автоматическое provisioning пользователей через SCIM, который управляет полным жизненным циклом пользователей на Hugging Face. SCIM позволяет вашему IdP передавать информацию об идентичности пользователей на Hugging Face, что обеспечивает автоматическое создание, обновление (например, смена имени, смена роли) и деактивацию учетных записей пользователей по мере внесения изменений в вашем IdP.

Подробнее о настройке и управлении SCIM вы можете узнать в нашем специальном руководстве.

Возможности SSO

Управляемый SSO поддерживает сопоставление ролей, сопоставление групп ресурсов, тайм-аут сессии и внешних участников. Эти параметры можно настроить в параметрах вашей организации.

Ограничения для управляемых учетных записей

Важные аспекты для управляемых учетных записей.

Для обеспечения организационного контроля и управления данными управляемые учётные записи пользователей имеют следующие ограничения:

• Создание личного контента запрещено: управляемые пользователи не могут создавать какой-либо контент (модели, наборы данных или Spaces) в своём личном пользовательском пространстве. Весь контент должен создаваться в рамках организации.
• Сотрудничество в рамках организации: Пользователи под управлением ограничены сотрудничеством исключительно внутри управляющей организации. Они не могут присоединяться к другим организациям или вносить вклад в репозитории за пределами управляющей организации.
• Видимость контента: Контент, созданный управляемыми пользователями, находится в рамках организации. Хотя управляемые пользователи не могут создавать публичный контент в своём личном профиле, они могут создавать публичный контент внутри организации, если это разрешено настройками организации.

Эти ограничения поддерживают границы безопасности вашего предприятия. Для личных проектов или более широкого сотрудничества за пределами вашей организации участники должны использовать отдельный, неуправляемый аккаунт Hugging Face.

Update on GitHub