Migrar a SSO administrado

Esta función forma parte del plan Enterprise Plus.

Esta guía está dirigida a los administradores de organizaciones que están convirtiendo una organización existente de una organización estándar a una organización de Managed SSO.

Lo más importante que debes entender antes de empezar: las cuentas personales de Hugging Face existentes de los miembros no se convierten en cuentas gestionadas. Cada miembro obtiene una cuenta gestionada completamente nueva, provisionada por tu Identity Provider (IdP). Antes de que un miembro pueda ser provisionado, debe liberar su dirección de correo electrónico de trabajo en su cuenta personal.

A lo largo de esta guía, usamos my-org como nombre de organización de ejemplo.

Prerrequisitos

SSO debe estar ya configurado, probado y habilitado en su organización. La migración reutiliza su aplicación OIDC o SAML existente.

Pasos de migración

1. Prepara a tus miembros. Repasa la lista de verificación previa a la migración con tus miembros.
2. Contáctate con Hugging Face. Ponte en contacto con el equipo de Hugging Face y confirma el cambio. Convertimos la organización y te enviamos las credenciales para la cuenta de emergencia my-org:owner.
3. Que los miembros liberen sus correos electrónicos de trabajo. Consulte Liberación de direcciones de correo electrónico de trabajo. Haga esto antes de habilitar la aprovisionamiento: los usuarios ya asignados a su aplicación SSO se aprovisionan en cuanto se active SCIM. El equipo de Hugging Face puede enviarle la lista de miembros cuyas cuentas personales aún tienen una dirección de correo electrónico de trabajo, para que pueda seguir el tema con ellos.
4. Set up SCIM in your IdP. Usa la URL de inquilino SCIM y el token de tu organización en SSO → SCIM configuraciones, en tu aplicación OIDC o SAML existente, y luego sigue la guía para tu IdP.
   • Okta: siga la guía de Okta, incluido el paso 3. El Name ID debe ser el ID de usuario de Okta.
   • Microsoft Entra ID: siga la guía de Entra ID. El userName debe cumplir las reglas de nombre de usuario, por lo que se rechazan valores en formato de correo electrónico, como jdoe@example.com.
   • Otros IdP: consulte User Provisioning (SCIM), con las mismas reglas de nombre de usuario.
5. Asigna usuarios y grupos en tu IdP. Las cuentas administradas se crean a medida que se aprovisionan los usuarios.
6. Elimina las cuentas personales restantes de la organización en cuanto se haya aprovisionado la cuenta gestionada de cada miembro. Este paso es obligatorio por seguridad, ya que las cuentas personales mantienen el acceso hasta que se eliminen. Al eliminarlas, también se retiran de los grupos de recursos de la organización.
7. (Opcional) Mapear grupos a Resource Groups y roles. Enlaza tus grupos SCIM a Resource Groups y configura Role Mapping para asignar roles de organización desde tu IdP. Un Resource Group solo puede enlazarse a un grupo SCIM si no tiene miembros y la opción de incorporación automática está desactivada. Si la incorporación automática está activada, las cuentas administradas recién aprovisionadas también se añaden al grupo, por lo que desactívala antes de aprovisionar usuarios o elimina cualquier miembro restante antes de enlazar.

Qué cambia

Lo que hace la conversión

• La conversión la realiza el equipo de Hugging Face. No existe una opción de autoatención. Una vez que la solicitas, el equipo de Hugging Face cambia tu organización al modo administrado.
• El contenido y la configuración de tu organización se mantienen tal cual. Los repositorios, la configuración, los Resource Groups y tu configuración de SSO existente (aplicación OIDC o SAML) se conservan. Mantienes la misma aplicación de IdP, aunque es posible que debas ajustar algunos ajustes para SCIM (consulta el paso 4).
• Se crea una cuenta de administrador de emergencia, denominada my-org:owner. Inicia sesión con un nombre de usuario y una contraseña (no a través de SSO) y es administrador de la organización. El equipo de Hugging Face comparte sus credenciales contigo. Guárdalas de forma segura: esta cuenta te permite acceder a tu organización si tu IdP no está disponible o está mal configurado.
• El SSO ya no puede hacerse opcional. Aún puede desactivarse por completo.

Desactivar SSO en una organización administrada bloquea a todos los usuarios administrados, ya que las cuentas administradas no tienen contraseña.

Las cuentas administradas son cuentas nuevas

• Las cuentas personales de Hugging Face existentes no se convierten, fusionan ni vinculan en cuentas gestionadas. Cada miembro obtiene una cuenta nueva, creada por su IdP a través de SCIM cuando el usuario se asigna en el IdP.
• Los nombres de usuario gestionados se prefijan con el nombre de la organización: <org-name>:<username>, por ejemplo my-org:jdoe.
• Los usuarios gestionados solo inician sesión a través de su IdP. No tienen una contraseña de Hugging Face y la opción “Contraseña olvidada” no funciona para ellos.
• Las cuentas gestionadas están sujetas a las restricciones de las cuentas gestionadas.

Membresía

• Los miembros regulares ya no se pueden agregar mediante invitación. Los miembros internos deben provisionarse a través de SCIM.
• Las invitaciones siguen disponibles solo para colaboradores externos.

Cuentas personales existentes en la organización

Las cuentas personales que siguen siendo miembros de la organización después de la conversión conservan su rol. Sus tokens de acceso, las aplicaciones OAuth que ya han autorizado y git sobre SSH siguen funcionando, ya que estos no se verifican contra SSO. Ya no pueden iniciar un nuevo inicio de sesión SSO en la organización:

• Si el usuario inició sesión con su cuenta personal, o si esa cuenta ya estaba vinculada a su IdP, verá: You cannot login with SSO with this account because it's not managed by this organization. Contact your organization administrators.
• En caso contrario, ven User not found.

Antes de migrar

Recorra esta lista de verificación con sus miembros antes de solicitar la conversión:

• Repositorios personales: los miembros que tengan repositorios en su espacio de nombres personal y deseen seguir accediendo a ellos con su nueva cuenta gestionada deben transferirlos a la organización antes del cambio. Las cuentas gestionadas no pueden ser propietarias de contenido en un espacio de nombres personal. Los miembros aún podrán acceder a cualquier repositorio bajo su espacio de nombres personal a través de su cuenta personal (no gestionada).
• Tokens y automatización: los tokens de cuentas personales conservan su acceso a la organización hasta que la cuenta se elimina de ella. Migra los scripts, los trabajos de CI y los pipelines a cuentas de servicio, o a tokens creados desde las cuentas gestionadas después del cambio, y luego elimina las cuentas antiguas.
• Otras organizaciones: las cuentas gestionadas no pueden unirse a otras organizaciones. Los miembros que necesiten seguir trabajando en otras organizaciones deben mantener una cuenta personal separada (consulte la opción 2 a continuación).
• Direcciones de correo electrónico de trabajo: cada miembro debe liberar su correo de trabajo antes de que se le asigne. Consulte Cómo liberar direcciones de correo electrónico de trabajo.

Liberar direcciones de correo electrónico de trabajo

Una dirección de correo electrónico solo puede pertenecer a una cuenta de Hugging Face. Esto se aplica a todos los correos electrónicos de una cuenta, tanto el principal como los secundarios. La coincidencia no distingue entre mayúsculas y minúsculas.

Cuando SCIM intenta crear una cuenta gestionada con un correo electrónico de trabajo que ya está en uso por una cuenta personal, el aprovisionamiento falla con un error 409:

The email address (jdoe@example.com) is already associated with another Hugging Face account. Please delete the account.

Su IdP muestra esto como un error de aprovisionamiento para ese usuario.

Para evitarlo, cada miembro debe liberar su dirección de correo electrónico de trabajo antes de que se le asigne, utilizando una de las dos opciones siguientes.

¿Qué opción debo elegir?

• Si solo usas tu cuenta de Hugging Face para trabajar en esta organización, elige la opción 1: elimina la cuenta personal.
• Si también lo usas para trabajo de código abierto, proyectos personales u otras organizaciones, elige la opción 2: conserva la cuenta personal y elimina el correo electrónico de trabajo de ella.

Opción 1: Eliminar la cuenta personal

Elimina tu cuenta personal desde tus ajustes de cuenta. Esto elimina de forma permanente todos los repositorios de tu espacio de nombres personal y te quita de todas las organizaciones.

Eliminar una cuenta es permanente. Transfiere primero a la organización cualquier repositorio que quieras conservar.

La eliminación está bloqueada si eres el único administrador de otra organización. Primero, añade otro administrador a esa organización o elimínala. La organización que se está migrando no es un problema, ya que my-org:owner también es administrador.

Opción 2: Mantener la cuenta personal

1. En tus configuraciones de cuenta, añade una dirección de correo electrónico personal y verifícala.
2. Haz que la dirección de correo electrónico personal sea tu correo principal.
3. Elimina por completo la dirección de correo electrónico del trabajo. No es suficiente convertirla en un correo secundario.

Mantén tu cuenta personal en la organización hasta que se provisione tu cuenta gestionada. Tu administrador la eliminará entonces.

Si tu organización ya tiene SSO administrado habilitado y cuenta con un dominio de correo electrónico verificado, iniciar sesión con una dirección de correo electrónico de ese dominio te redirige a la página de SSO de la organización. Para iniciar sesión en tu cuenta personal, usa tu nombre de usuario en su lugar.

Una vez que el correo electrónico de trabajo esté disponible, el administrador puede reintentar la aprovisionación para ese usuario en el IdP, o esperar a que la próxima sincronización lo detecte.

Después de la migración

El ciclo de vida del usuario se gestiona desde su IdP:

• Desactivar a un usuario en su IdP lo elimina de la organización. Si el mismo usuario se reactiva más tarde, se reutiliza su cuenta administrada existente.
• Eliminar a un usuario a través de SCIM elimina permanentemente su cuenta gestionada. Consulte Deprovisioning.