Hub documentation
Bảo mật mạng
Bảo mật mạng
Tính năng này là một phần của gói Enterprise Plus.
Định nghĩa các dải IP của tổ chức bạn
Bạn có thể liệt kê các địa chỉ IP của lưu lượng truyền ra từ tổ chức của mình để thực thi truy cập xác thực vào Hugging Face từ mạng doanh nghiệp.
Các dải địa chỉ IP truyền ra được định nghĩa ở định dạng CIDR. Ví dụ, 52.219.168.0/24 hoặc 2600:1f69:7400::/40.
Bạn có thể thêm nhiều khoảng cùng lúc bằng cách nhập chúng cách nhau bằng khoảng trắng hoặc xuống dòng. Mỗi khoảng sau đó sẽ được liệt kê riêng lẻ, và bạn có thể xóa bất kỳ khoảng nào khỏi danh sách.
Khi quản trị viên tổ chức đã điền “Organization IP Ranges” trong cài đặt Network Security, một bước xác minh thủ công—được thực hiện chung bởi các Solution Engineer của Hugging Face và quản trị viên của tổ chức—là bắt buộc để cài đặt “Require login for users in your IP ranges” có thể được sử dụng.
Mỗi dải IP trong danh sách hiển thị một huy hiệu trạng thái để bạn có thể xem dải nào đang được áp dụng hoặc đang chờ xác thực.
Sau khi “Organization IP Ranges” đã được xác minh thủ công và các quản trị viên tổ chức đã bật cả “Restrict organization access to your IP ranges only” và “Require login for users in your IP ranges”, luồng sau sẽ được áp dụng:
- Khi một người dùng truy cập nền tảng, địa chỉ IP của họ sẽ được kiểm tra.
- Nếu IP nằm trong các dải đã được tổ chức xác định, người dùng phải xác thực (thông qua SSO của tổ chức nếu được bật).
- Sau khi xác thực, Chính sách Truy cập Nội dung sẽ quyết định các tài nguyên mà người dùng có thể truy cập.
Giới hạn tần suất Hub cao hơn
Hầu hết các thao tác trên Hub đều có giới hạn; ví dụ, người dùng bị giới hạn số lượng kho có thể tạo mỗi ngày. Enterprise Plus tự động cấp cho người dùng của bạn giới hạn tần suất cao cho mọi thao tác.
Ngoài ra, việc bật tùy chọn “Higher Hub Rate Limits” cho phép tổ chức của bạn được hưởng giới hạn tần suất HTTP cao nhất trên Hub API, mở khóa khả năng tải xuống số lượng lớn mô hình hoặc bộ dữ liệu.
Để biết thêm thông tin về giới hạn tần suất, hãy xem tài liệu Giới hạn tần suất của Hub.
Hạn chế quyền truy cập tổ chức chỉ cho các dải IP của bạn
Tùy chọn này hạn chế quyền truy cập vào các tài nguyên của tổ chức bạn, chỉ cho phép các yêu cầu đến từ các dải IP do bạn định nghĩa. Không ai có thể truy cập tài nguyên của tổ chức bạn từ bên ngoài các dải IP đó. Các quy tắc này cũng áp dụng cho các token truy cập. Khi được bật, tùy chọn này sẽ mở khóa các cài đặt bảo mật lồng nhau bổ sung bên dưới.
Đối với các quy trình tự động chạy bên ngoài mạng doanh nghiệp của bạn, bạn có thể miễn trừ một token tài khoản dịch vụ cụ thể khỏi các hạn chế này và khỏi Chính sách Truy cập Nội dung.
Yêu cầu đăng nhập cho người dùng trong các dải IP của bạn
Khi tùy chọn này được bật, bất kỳ ai truy cập Hugging Face từ mạng doanh nghiệp của bạn đều phải đăng nhập và thuộc tổ chức của bạn (yêu cầu xác minh thủ công khi các dải IP đã thay đổi). Nếu được bật, bạn có thể tùy chọn định nghĩa một chính sách truy cập nội dung.
Tất cả các trang công khai sẽ hiển thị thông báo sau nếu truy cập không được xác thực:
Chính sách truy cập nội dung
Định nghĩa một Chính sách Truy cập Nội dung chi tiết bằng cách chặn các nội dung cụ thể của Hugging Face Hub.
Ví dụ, bạn có thể chặn các thành viên trong tổ chức của mình khỏi việc truy cập Spaces. Khi người dùng trong tổ chức của bạn điều hướng đến nội dung bị chặn, họ sẽ được hiển thị trang sau:
Để định nghĩa Nội dung bị chặn, hãy thêm các quy tắc nhắm đến một loại kho, một tổ chức, một kho cụ thể, hoặc một tổ hợp như một loại kho trong một tổ chức nhất định (ví dụ: tất cả Spaces từ một tổ chức cụ thể).
Trường Always allowed cho phép bạn định nghĩa các ngoại lệ đối với các quy tắc chặn. Bạn có thể nhắm đến nội dung cần được giữ khả năng truy cập ngay cả khi một quy tắc chặn khác có thể áp dụng.
Giữ cho metadata của kho lưu trữ hiển thị
Mặc định, khi một kho lưu trữ bị chặn bởi Chính sách Truy cập Nội dung, toàn bộ kho lưu trữ sẽ không thể truy cập được. Bật tùy chọn “Giữ nguyên dữ liệu mô tả của kho lưu trữ” để chỉ chặn nội dung của kho lưu trữ trong khi vẫn giữ cho dữ liệu mô tả của nó hiển thị được.
Khi tùy chọn này được bật, các kho bị chặn vẫn hiển thị metadata của chúng (trang repo card, hồ sơ và danh sách), và chỉ nội dung của chúng bị chặn: tải xuống tệp, trình xem dataset, chạy Spaces và suy luận mô hình.
Quản lý Bảo mật Mạng qua API
Bạn có thể đọc và cập nhật các cài đặt bảo mật mạng của tổ chức của mình một cách lập trình thông qua Hub API.
Tham chiếu OpenAPI:
- GET /api/organizations/
/settings/network-security - PATCH /api/organizations/
/settings/network-security