SSO được quản lý

Tính năng này là một phần của gói Enterprise Plus.

SSO được quản lý thay thế hoàn toàn việc đăng nhập Hugging Face. Nhà cung cấp danh tính (Identity Provider) sẽ trở thành phương thức xác thực duy nhất cho các thành viên trong tổ chức của bạn trên toàn bộ nền tảng Hugging Face. Tổ chức kiểm soát toàn bộ vòng đời người dùng, từ việc tạo tài khoản cho đến khi vô hiệu hóa.

Để so sánh với Basic SSO, hãy xem tổng quan về SSO.

Cách hoạt động

Managed SSO thay thế cho đăng nhập Hugging Face. IdP của bạn là cách duy nhất để người dùng được quản lý xác thực trên Hugging Face — không có đăng nhập Hugging Face riêng biệt. Khác với Basic SSO, thành viên không cần có sẵn tài khoản Hugging Face. Khi một người dùng xác thực thông qua IdP của bạn lần đầu tiên, một tài khoản sẽ được tạo tự động cho họ.

IdP của bạn là phương thức xác thực bắt buộc cho tất cả thành viên trong tổ chức của bạn khi tương tác với bất kỳ phần nào của nền tảng Hugging Face. Thành viên phải xác thực thông qua IdP của bạn cho tất cả các dịch vụ của Hugging Face, không chỉ khi truy cập các kho lưu trữ riêng tư hoặc của tổ chức.

Khi một người dùng bị vô hiệu hóa trong IdP của bạn, tài khoản Hugging Face của họ cũng sẽ bị vô hiệu hóa. Điều này giúp tổ chức của bạn kiểm soát hoàn toàn danh tính, quyền truy cập và quản trị dữ liệu.

Bắt đầu

Managed SSO không thể tự cấu hình. Để bật Managed SSO cho tổ chức của bạn, vui lòng liên hệ đội ngũ Hugging Face. Việc thiết lập sẽ được thực hiện cùng với đội ngũ kỹ thuật của chúng tôi để đảm bảo quá trình chuyển đổi suôn sẻ cho tổ chức của bạn.

Nếu bạn đang chuyển đổi một tổ chức hiện có, hãy đọc Chuyển đổi sang SSO được quản lý trước: các tài khoản cá nhân hiện có của thành viên sẽ không được chuyển đổi, và mỗi thành viên phải giải phóng email làm việc của họ trước khi có thể được cấp quyền.

Cả hai giao thức SAML 2.0 và OIDC đều được hỗ trợ và có thể tích hợp với các nhà cung cấp danh tính phổ biến như Okta, Microsoft Entra ID (Azure AD) và Google Workspace.

Cấp quyền cho người dùng

Managed SSO giới thiệu việc cấp phát người dùng tự động thông qua SCIM, quản lý toàn bộ vòng đời người dùng trên Hugging Face. SCIM cho phép IdP của bạn truyền thông tin danh tính người dùng đến Hugging Face, cho phép tự động tạo, cập nhật (ví dụ: thay đổi tên, thay đổi vai trò) và vô hiệu hóa tài khoản người dùng khi có thay đổi trong IdP của bạn.

Tìm hiểu thêm về cách thiết lập và quản lý SCIM trong hướng dẫn chuyên biệt của chúng tôi.

Các tính năng SSO

Managed SSO hỗ trợ ánh xạ vai trò, ánh xạ nhóm tài nguyên, thời gian chờ phiên và cộng tác viên bên ngoài. Các tính năng này có thể được cấu hình từ cài đặt của tổ chức bạn.

Hạn chế đối với tài khoản được quản lý

Những cân nhắc quan trọng đối với các tài khoản được quản lý.

Để đảm bảo kiểm soát tổ chức và quản trị dữ liệu, các tài khoản người dùng được quản lý có những hạn chế cụ thể:

• Không tạo nội dung cá nhân: Người dùng được quản lý không thể tạo bất kỳ nội dung nào (mô hình, bộ dữ liệu, hoặc Spaces) trong không gian tên người dùng cá nhân của họ. Tất cả nội dung phải được tạo trong tổ chức.
• Hợp tác gắn với tổ chức: Người dùng được quản lý bị hạn chế chỉ hợp tác trong nội bộ tổ chức quản lý của họ. Họ không thể tham gia các tổ chức khác hoặc đóng góp vào các kho lưu trữ bên ngoài tổ chức quản lý của họ.
• Hiển thị nội dung: Nội dung do người dùng được quản lý tạo ra nằm trong tổ chức. Mặc dù người dùng được quản lý không thể tạo nội dung công khai trong hồ sơ cá nhân của họ, họ vẫn có thể tạo nội dung công khai trong tổ chức nếu cài đặt của tổ chức cho phép.
• Hồ sơ do tổ chức quản lý: Tổ chức quản lý được đặt tự động là tổ chức chính của người dùng được quản lý. Người dùng được quản lý không thể chỉnh sửa hồ sơ của họ (tên, ảnh đại diện, tổ chức chính, trang chủ, tiểu sử, liên kết mạng xã hội), đổi tên người dùng hoặc mật khẩu, rời khỏi tổ chức, hoặc xóa tài khoản của họ. Những điều này được kiểm soát bởi tổ chức và nhà cung cấp danh tính của nó.

Những hạn chế này giúp duy trì các ranh giới bảo mật của doanh nghiệp bạn. Đối với các dự án cá nhân hoặc hợp tác rộng hơn bên ngoài tổ chức của bạn, các thành viên nên sử dụng một tài khoản Hugging Face riêng, không được quản lý.

Update on GitHub