SSO géré

Cette fonctionnalité fait partie de l'offre Enterprise Plus.

Le SSO géré remplace entièrement la connexion Hugging Face. Votre fournisseur d’identité devient la méthode d’authentification unique pour les membres de votre organisation sur l’ensemble de la plateforme Hugging Face. L’organisation contrôle le cycle de vie complet de l’utilisateur, de la création du compte à sa désactivation.

Pour une comparaison avec le SSO de base, consultez l’aperçu du SSO.

Fonctionnement

Le SSO géré remplace la connexion Hugging Face. Votre IdP est le seul moyen pour les utilisateurs gérés de s’authentifier sur Hugging Face — il n’existe pas de connexion Hugging Face distincte. Contrairement au SSO de base, les membres n’ont pas besoin d’un compte Hugging Face existant. Lorsqu’un utilisateur s’authentifie pour la première fois via votre IdP, un compte est automatiquement créé pour lui.

Votre IdP est le moyen d’authentification obligatoire pour tous les membres de votre organisation interagissant avec n’importe quelle partie de la plateforme Hugging Face. Les membres doivent s’authentifier via votre IdP pour tous les services Hugging Face, et non uniquement lors de l’accès aux dépôts privés ou organisationnels.

Lorsqu’un utilisateur est désactivé dans votre IdP, son compte Hugging Face est également désactivé. Cela permet à votre organisation de contrôler entièrement l’identité, l’accès et la gouvernance des données.

Premiers pas

Le SSO géré ne peut pas être configuré de manière autonome. Pour activer le SSO géré pour votre organisation, veuillez contacter l'équipe Hugging Face. La configuration est réalisée en collaboration avec notre équipe technique afin de garantir une transition en douceur pour votre organisation.

Si vous convertissez une organisation existante, lisez d’abord Migrating to Managed SSO : les comptes personnels existants des membres ne sont pas convertis, et chaque membre doit libérer son adresse e-mail professionnelle avant de pouvoir être provisionné.

Les protocoles SAML 2.0 et OIDC sont pris en charge et peuvent être intégrés avec des fournisseurs d'identité populaires tels qu'Okta, Microsoft Entra ID (Azure AD) et Google Workspace.

Provisionnement des utilisateurs

Managed SSO introduit le provisionnement automatisé des utilisateurs via SCIM, qui gère le cycle de vie complet des utilisateurs sur Hugging Face. SCIM permet à votre IdP de transmettre les informations d’identité des utilisateurs à Hugging Face, permettant ainsi la création, la mise à jour (par exemple, changements de nom, changements de rôle) et la désactivation automatiques des comptes utilisateurs au fur et à mesure que des modifications surviennent dans votre IdP.

En savoir plus sur la configuration et la gestion de SCIM dans notre guide dédié.

Fonctionnalités SSO

Le SSO géré prend en charge le mappage des rôles, le mappage des groupes de ressources, le délai d’expiration de session et les collaborateurs externes. Ces fonctionnalités sont configurables depuis les paramètres de votre organisation.

Restrictions sur les comptes gérés

Points importants à prendre en compte pour les comptes gérés.

Afin d'assurer le contrôle organisationnel et la gouvernance des données, les comptes d'utilisateurs gérés sont soumis à des restrictions spécifiques :

• Aucune création de contenu personnel : les utilisateurs gérés ne peuvent créer aucun contenu (modèles, jeux de données ou Spaces) dans leur espace de noms utilisateur personnel. Tout contenu doit être créé au sein de l’organisation.
• Collaboration liée à une organisation : Les utilisateurs gérés sont restreints à la collaboration au sein de leur organisation de gestion uniquement. Ils ne peuvent pas rejoindre d'autres organisations ni contribuer à des dépôts en dehors de leur organisation de gestion.
• Visibilité du contenu : Le contenu créé par les utilisateurs gérés réside au sein de l’organisation. Bien que les utilisateurs gérés ne puissent pas créer de contenu public dans leur profil personnel, ils peuvent créer du contenu public au sein de l’organisation si les paramètres de l’organisation le permettent.

Ces restrictions maintiennent les limites de sécurité de votre entreprise. Pour les projets personnels ou une collaboration plus large en dehors de votre organisation, les membres doivent utiliser un compte Hugging Face distinct et non géré.

Update on GitHub