如何配置 Google Workspace 的 SAML SSO

在本指南中，我们将使用 Google Workspace 作为 SSO 提供商，并采用安全断言标记语言（SAML）协议作为首选身份验证协议。

我们目前支持 SP 发起和 IdP 发起的身份验证。有关用户配置，请参阅 SCIM。

此功能属于 Team & Enterprise 计划的一部分。

步骤 1：在 Google Workspace 中创建 SAML 应用

• 在您的 Google Workspace 管理控制台中，导航至 Admin > Apps > Web and mobile apps。
• 单击 Add app，然后单击 Add custom SAML app。
• 您必须在“App name”字段中为您的应用提供一个名称。
• 单击 Continue。

步骤 2：使用 Google 的 IdP 详细信息配置 Hugging Face

• Google 设置中的下一个屏幕包含您应用的 SSO 信息。
• 在您的 Hugging Face 组织设置中，前往 SSO 选项卡并选择 SAML 协议。
• 将 Google 中的 SSO URL 复制到 Hugging Face 的 Sign-on URL 字段中。
• 将 Certificate 从 Google 复制到 Hugging Face 上对应的字段中。公钥证书必须具有以下格式：
  已复制

  -----BEGIN CERTIFICATE-----
  {certificate}
  -----END CERTIFICATE-----

• 在 Google Workspace 设置中，点击 Continue。

步骤 3：使用 Hugging Face 的 SP 详细信息配置 Google

• 在“服务提供商详细信息”界面中，您需要从 Hugging Face SSO 设置中获取 Assertion Consumer Service URL 和 SP Entity ID。将它们复制到 Google 中对应的 ACS URL 和 Entity ID 字段中。
• 请确保已设置以下内容：
  • 选中 Signed response 复选框。
  • 名称 ID 格式：EMAIL
  • 名称 ID：Basic Information > Primary email

• 单击 Continue。

步骤 4：属性映射

• 在“属性映射”屏幕上，点击 Add mapping 并配置您想要发送的属性。此步骤是可选的，具体取决于您是否希望在 Hugging Face 上使用 Role Mapping 或 Resource Group Mapping。

• 单击 Finish。

步骤 5：测试并启用 SSO

在测试之前，请确保已在 Google Workspace 管理控制台中，通过该应用的“用户访问”设置，为相应的用户授予了访问权限。执行测试的管理员必须拥有访问权限。用户访问权限的更改可能需要几分钟才能在 Google Workspace 上生效。

• 现在，在您的 Hugging Face SSO 设置中，点击 “更新并测试 SAML 配置”。
• 您将被重定向到 Google 登录提示页面。登录成功后，您将被重定向到组织的设置页面。
• SAML 选择器旁边的绿色对勾将确认测试成功。
• 测试成功后，您可以点击“启用”按钮为您的组织启用 SSO。
• 启用后，您组织的成员必须完成工作原理部分中描述的 SSO 身份验证流程。

Update on GitHub