Gestión de usuarios

Esta función forma parte de los planes Team & Enterprise.

Las siguientes funciones están disponibles para las organizaciones con SSO habilitado. Consulte SSO básico y SSO administrado para obtener detalles sobre cada modo.

Tiempo de espera de la sesión

Este valor establece la duración de la sesión para los miembros de su organización.

Tras este tiempo, se solicitará a los miembros que vuelvan a autenticarse con su proveedor de identidad para acceder a los recursos de la organización.

El valor predeterminado es de 7 días.

Mapeo de roles

Cuando está habilitado, Role Mapping te permite asignar dinámicamente roles a los miembros de la organización en función de los datos proporcionados por tu Identity Provider.

Esta sección le permite definir un mapeo desde los datos del perfil de usuario de su IdP hasta el rol asignado en Hugging Face.

• Ruta del atributo de rol de IdP

  Una ruta JSON a un atributo en los datos del perfil de IdP de su usuario. Admite notación de puntos (p. ej. user.role o groups). Para SAML, puede ser un URI (p. ej. http://schemas.microsoft.com/ws/2008/06/identity/claims/role).

• Mapeo de roles

  Un mapeo del valor del atributo del IdP al rol asignado en la organización de Hugging Face.

  Los roles disponibles son admin, write, contributor y read. Consulte la documentación de roles para más detalles.

Debes mapear al menos un rol admin en tu configuración.

Si el atributo en la respuesta del IdP contiene varios valores (p. ej., una lista de grupos) que coinciden con varias asignaciones, al usuario se le asigna el rol coincidente con mayor privilegio. La jerarquía de roles, de menor a mayor privilegio, es read < contributor < write < admin.

Si no hay coincidencia, el rol se determina de la siguiente manera:

• Si el usuario fue invitado a la organización con un rol específico, ese rol de invitación se utiliza como alternativa.
• En caso contrario, al usuario se le asigna el rol predeterminado de su organización. El rol predeterminado se puede personalizar en la sección Members de la configuración de la organización.

Al invitar a un usuario cuyo rol será controlado por el mapeo de roles de SSO, el rol seleccionado en el modal de invitación solo se aplica si el usuario aún no tiene un rol asignado en su proveedor de SSO.

La sincronización de roles se realiza en cada inicio de sesión.

Mapeo de grupos de recursos

Cuando está habilitado, Resource Group Mapping permite asignar dinámicamente miembros a grupos de recursos en su organización, basándose en los datos proporcionados por su proveedor de identidad.

• Ruta del atributo de IdP

  Una ruta JSON a un atributo en los datos del perfil de IdP de su usuario. Al igual que con el Role Mapping, esto admite la notación de puntos o URIs para SAML.

• Mapeo de grupos de recursos

  Un mapeo del valor del atributo del IdP a un grupo de recursos en su organización de Hugging Face. Puede asignar un rol específico (admin, write, contributor, read, inherit) para cada mapeo de grupo de recursos.

A diferencia del Role Mapping, el Resource Group Mapping es aditivo. Si un usuario coincide con varios mapeos (por ejemplo, si pertenece a varios grupos en su IdP que están mapeados a diferentes Resource Groups), se le añadirá a todos los Resource Groups coincidentes.

Si no hay coincidencia, el usuario no se asignará a ningún grupo de recursos.

Los grupos de recursos a los que apunta una asignación aún pueden editarse manualmente desde la interfaz de usuario o la API de Hub, pero esas ediciones se sobrescriben en el próximo inicio de sesión SSO del usuario: un cambio de rol se revierte al rol asignado, y un usuario que fue eliminado manualmente se vuelve a añadir. Para cambiar de forma permanente el acceso de un usuario asignado, actualice los datos de su IdP o la configuración de la asignación.

Dominios de correo electrónico coincidentes

Esta función solo es relevante para Basic SSO. Con Managed SSO, las cuentas de usuario están totalmente gestionadas por la organización, por lo que la coincidencia de dominio de correo electrónico no se aplica.

Cuando está habilitado, ‘Matching email domains’ solo permite a los miembros de la organización completar el SSO si el correo electrónico proporcionado por su proveedor de identidad coincide con uno de sus correos en Hugging Face.

Para agregar un dominio de correo electrónico, complete el campo ‘Matching email domains’, presione enter en su teclado y guarde.

Colaboradores externos

Los colaboradores externos son usuarios fuera de tu organización que necesitan acceder a algunos de sus recursos sin pasar por el inicio de sesión único (SSO). Generalmente, esto significa que no están en tu proveedor de identidad (IdP). Están disponibles en los planes de pago y aparecen con la insignia “Colaborador externo” en las listas de miembros de tu organización. Sí cuentan hacia el número de asientos de pago de tu organización.

Puedes agregarlos de la siguiente manera:

• Invitarlos a la organización: en la página Members de la configuración de su organización, marque External Collaborator al enviar la invitación.
• Convertir un miembro existente: en la página Miembros, abre el menú del miembro y selecciona Convertir en colaborador externo. Usa Convertir en miembro para revertir el cambio. Si tu organización usa SSO, deberán iniciar sesión a través de él después para mantener el acceso. También puedes hacer esto vía la API.
• Compartir un grupo de recursos o un repositorio: si las invitaciones externas están habilitadas, los administradores del grupo de recursos pueden invitar a personas externas directamente a un grupo de recursos, incluso desde Compartir con colaboradores externos en la página de configuración de un repositorio. Esos usuarios se unen con el rol de organización no_access y solo obtienen ese grupo de recursos.

Los colaboradores externos siguen pasando por los controles de acceso de su organización (Resource Groups).

Con Managed SSO, los miembros internos se provisionan a través de su proveedor de identidad (SCIM), por lo que los usuarios invitados a la organización solo pueden agregarse como colaboradores externos.

Update on GitHub