Базовая SSO

Эта функция входит в планы Team & Enterprise.

Базовая SSO добавляет слой управления доступом поверх стандартного входа в Hugging Face. Она позволяет принудительно использовать аутентификацию через ваш Identity Provider (IdP) при доступе участников к ресурсам в пространстве имён вашей организации, таким как частные модели, наборы данных и Spaces.

Для сравнения с Managed SSO см. Обзор SSO.

Как это работает

Базовая SSO не заменяет вход в Hugging Face. Ваши участники по-прежнему должны будут войти в Hugging Face с помощью собственных учетных данных (email/пароль, Google или GitHub), прежде чем им будет предложено завершить аутентификацию SSO для доступа к ресурсам вашей организации. Это сделано намеренно: базовая SSO обеспечивает безопасность доступа к вашей организации, не перехватывая при этом идентификатор пользователя Hugging Face.

Когда включена единая точка входа (Single Sign-On), участники организации аутентифицируются через ваш поставщик средств идентификации (Identity Provider, IdP). Вы выбираете, будет ли SSO обязательным или необязательным:

• Enforced (по умолчанию): участники должны пройти аутентификацию SSO, прежде чем получить доступ к чему-либо в пространстве имён организации.
• Необязательно: участники получают уведомление в виде баннера вверху страницы с предложением настроить SSO, но могут пропустить этот шаг и всё равно получить доступ к организации. Это удобно, если вы переносите большое количество пользователей и хотите дать им время разобраться со своими аккаунтами, прежде чем принудительно включить SSO.

Публичный контент по-прежнему доступен всем, включая не участников.

Мы используем адреса электронной почты для идентификации пользователей SSO. Как пользователь, убедитесь, что ваш организационный адрес электронной почты (например, корпоративная почта) добавлен в вашу учётную запись.

При входе пользователей им будет предложено завершить процесс аутентификации Single Sign-On с баннером, похожим на следующий:

Single Sign-On действует только в рамках вашей организации. Члены могут состоять в других организациях на Hugging Face.

Начало работы

Базовую SSO можно настроить непосредственно в настройках вашей организации. Hugging Face Hub поддерживает работу с любым Identity Provider, соответствующим стандарту OIDC или SAML, включая Okta, OneLogin и Microsoft Entra ID (Azure AD).

См. наши Руководства по конфигурации для пошаговых инструкций по настройке.

Создание пользователей

После включения SSO в вашей организации прямую ссылку для присоединения можно скопировать и отправить новым участникам. Эта ссылка для присоединения через SSO доступна на вкладках настроек SSO и Members. Поскольку организации с включённым SSO не могут использовать классические ссылки-приглашения, ссылка для присоединения через SSO является основным способом приглашения коллег в вашу организацию. Просто нажмите кнопку копирования, чтобы сохранить ссылку в буфер обмена, и отправьте её тем участникам, которых хотите пригласить. Получатели, перейдя по отправленной ссылке, смогут пройти аутентификацию через SSO и сразу присоединиться к вашей организации.

Организации на тарифном плане Enterprise также могут использовать SCIM для автоматизации приглашений на основе провижининга от вашего поставщика идентификации. Подробнее см. в руководстве по SCIM.

Возможности SSO

Базовая SSO поддерживает сопоставление ролей, сопоставление групп ресурсов, тайм-аут сессии, сопоставление доменов электронной почты и внешних участников. Эти параметры можно настроить в настройках вашей организации.

Update on GitHub