托管 SSO

此功能属于 Enterprise Plus 套餐的一部分。

托管 SSO 完全取代了 Hugging Face 登录。您的身份提供商将成为整个 Hugging Face 平台上组织成员的唯一身份验证方式。组织可以控制完整的用户生命周期，从账户创建到停用。

如需与 Basic SSO 进行比较，请参阅 SSO 概述。

工作原理

托管 SSO 取代了 Hugging Face 登录。 您的 IdP 是托管用户在 Hugging Face 上认证的唯一途径——不存在单独的 Hugging Face 登录。与基础 SSO 不同，成员无需预先拥有 Hugging Face 账户。当用户首次通过您的 IdP 进行认证时，系统会自动为其创建一个账户。

您的 IdP 是组织内所有成员与 Hugging Face 平台任何部分交互时的强制身份验证途径。成员必须通过您的 IdP 对所有 Hugging Face 服务进行身份验证，而不仅仅是在访问私有或组织仓库时。

当用户在您的 IdP 中被禁用时，其 Hugging Face 账户也会随之被禁用。这使您的组织能够完全掌控身份、访问权限和数据治理。

入门

托管 SSO 无法自行配置。如需为您的组织启用托管 SSO，请联系 Hugging Face 团队。配置过程将与我们的技术团队协作完成，以确保您的组织顺利过渡。

如果您正在转换现有组织，请先阅读迁移到托管 SSO：成员的现有个人账户不会被转换，且每位成员在配置之前必须释放其工作邮箱。

SAML 2.0 和 OIDC 协议均受支持，并且可以与 Okta、Microsoft Entra ID (Azure AD) 和 Google Workspace 等主流身份提供商集成。

用户配置

Managed SSO 通过 SCIM 引入自动化的用户配置，从而管理 Hugging Face 上的整个用户生命周期。SCIM 允许您的 IdP 向 Hugging Face 传递用户身份信息，以便在 IdP 中发生更改时，自动创建、更新（例如姓名变更、角色变更）和停用用户账户。

有关如何设置和管理 SCIM 的详细信息，请参阅我们的专用指南。

SSO 功能

托管 SSO 支持角色映射、资源组映射、会话超时和外部协作者。这些功能可在您的组织设置中进行配置。

托管账户的限制

托管账户的重要注意事项。

为确保组织管控和数据治理，托管用户账户具有以下特定限制：

• 不创建个人内容：托管用户无法在其个人用户命名空间中创建任何内容（模型、数据集或 Spaces）。所有内容都必须在组织内创建。
• 组织绑定的协作：受管用户仅限于在其所属的管理组织内进行协作。他们无法加入其他组织，也无法为其管理组织之外的仓库做出贡献。
• 内容可见性：由受管用户创建的内容位于组织内部。虽然受管用户无法在其个人主页中创建公开内容，但如果组织设置允许，他们可以在组织内创建公开内容。

这些限制旨在维护您企业的安全边界。对于个人项目或组织外部的更广泛协作，成员应使用一个独立的、未受管理的 Hugging Face 账户。

Update on GitHub