Базовая SSO

Эта функция входит в планы Team & Enterprise.

Базовая SSO добавляет слой управления доступом поверх стандартного входа в Hugging Face. Она позволяет принудительно использовать аутентификацию через ваш Identity Provider (IdP) при доступе участников к ресурсам в пространстве имён вашей организации, таким как частные модели, наборы данных и Spaces.

Для сравнения с Managed SSO см. Обзор SSO.

Как это работает

Базовая SSO не заменяет вход в Hugging Face. Ваши участники по-прежнему должны будут войти в Hugging Face с помощью собственных учетных данных (email/пароль, Google или GitHub), прежде чем им будет предложено завершить аутентификацию SSO для доступа к ресурсам вашей организации. Это сделано намеренно: базовая SSO обеспечивает безопасность доступа к вашей организации, не перехватывая при этом идентификатор пользователя Hugging Face.

Когда включена единая точка входа (Single Sign-On), участники организации аутентифицируются через ваш поставщик средств идентификации (Identity Provider, IdP). Вы выбираете, будет ли SSO обязательным или необязательным:

• Enforced (по умолчанию): участники должны пройти аутентификацию SSO, прежде чем получить доступ к чему-либо в пространстве имён организации.
• Необязательно: участники получают уведомление в виде баннера вверху страницы с предложением настроить SSO, но могут пропустить этот шаг и всё равно получить доступ к организации. Это удобно, если вы переносите большое количество пользователей и хотите дать им время разобраться со своими аккаунтами, прежде чем принудительно включить SSO.

Публичный контент по-прежнему доступен всем, включая не участников.

Мы используем адреса электронной почты для идентификации пользователей SSO. Как пользователь, убедитесь, что ваш организационный адрес электронной почты (например, корпоративная почта) добавлен в вашу учётную запись.

При входе пользователей им будет предложено завершить процесс аутентификации Single Sign-On с баннером, похожим на следующий:

Single Sign-On действует только в рамках вашей организации. Члены могут состоять в других организациях на Hugging Face.

Начало работы

Базовую SSO можно настроить непосредственно в настройках вашей организации. Hugging Face Hub поддерживает работу с любым Identity Provider, соответствующим стандарту OIDC или SAML, включая Okta, OneLogin и Microsoft Entra ID (Azure AD).

См. наши Руководства по конфигурации для пошаговых инструкций по настройке.

Создание пользователей

После включения SSO в вашей организации прямую ссылку для присоединения можно скопировать и отправить новым участникам. Эта ссылка для присоединения через SSO доступна на вкладках настроек SSO и Members. Поскольку организации с включённым SSO не могут использовать классические ссылки-приглашения, ссылка для присоединения через SSO является основным способом приглашения коллег в вашу организацию. Просто нажмите кнопку копирования, чтобы сохранить ссылку в буфер обмена, и отправьте её тем участникам, которых хотите пригласить. Получатели, перейдя по отправленной ссылке, смогут пройти аутентификацию через SSO и сразу присоединиться к вашей организации.

Организации на тарифном плане Enterprise также могут использовать SCIM для автоматизации приглашений на основе провижининга от вашего поставщика идентификации. Подробнее см. в руководстве по SCIM.

Токены доступа и SSH-ключи

Чтобы использовать User Access Token или SSH key в организации, где принудительно включён SSO, сначала необходимо авторизовать его для этой организации. До этого момента запросы к ресурсам организации, выполняемые с его помощью, будут отклоняться, включая Git over SSH. Доступ к вашим другим ресурсам при этом не затрагивается.

Для авторизации токена или SSH-ключа:

1. Перейдите в раздел токены доступа или ключи SSH и GPG в настройках.
2. Откройте меню рядом с токеном или ключом и нажмите Настроить SSO.
3. Нажмите Authorize рядом с организацией. Вы будете перенаправлены в ваш Identity Provider для входа.

Токены, созданные вами при входе в организацию с использованием SSO, автоматически авторизованы для неё.

Авторизация действует до тех пор, пока вы не отмените её из того же меню или не покинете организацию. Если вы снова присоединитесь к организации, повторно авторизуйте свои токены и ключи. Внешним соавторам не нужно авторизовывать свои учётные данные.

Администраторы организации могут видеть авторизации и деавторизации в журнале аудита.

Возможности SSO

Базовая SSO поддерживает сопоставление ролей, сопоставление групп ресурсов, тайм-аут сессии, сопоставление доменов электронной почты и внешних участников. Эти параметры можно настроить в настройках вашей организации.

Update on GitHub