SSO gerenciado

Este recurso faz parte do plano Enterprise Plus.

O SSO gerenciado substitui completamente o login do Hugging Face. Seu Provedor de Identidade se torna o único método de autenticação para os membros da sua organização em toda a plataforma do Hugging Face. A organização controla todo o ciclo de vida do usuário, desde a criação da conta até a desativação.

Para uma comparação com o SSO básico, consulte a visão geral do SSO.

Como funciona

O SSO gerenciado substitui o login do Hugging Face. Seu IdP é a única forma de os usuários gerenciados se autenticarem no Hugging Face — não há um login separado do Hugging Face. Diferentemente do SSO Básico, os membros não precisam de uma conta pré-existente no Hugging Face. Quando um usuário se autentica pela primeira vez por meio do seu IdP, uma conta é criada automaticamente para ele.

Seu IdP é a rota de autenticação obrigatória para todos os membros da sua organização que interagem com qualquer parte da plataforma Hugging Face. Os membros são obrigados a autenticar-se por meio do seu IdP para todos os serviços do Hugging Face, não apenas ao acessar repositórios privados ou organizacionais.

Quando um usuário é desativado no seu IdP, a conta do Hugging Face dele também é desativada. Isso dá à sua organização controle total sobre identidade, acesso e governança de dados.

Começando

O SSO gerenciado não pode ser configurado de forma autônoma. Para habilitar o SSO gerenciado para a sua organização, por favor, entre em contato com a equipe da Hugging Face. A configuração é realizada em colaboração com a nossa equipe técnica para garantir uma transição tranquila para a sua organização.

Se você está convertendo uma organização existente, leia primeiro Migrating to Managed SSO: as contas pessoais existentes dos membros não são convertidas, e cada membro deve liberar seu e-mail de trabalho antes de poder ser provisionado.

Os protocolos SAML 2.0 e OIDC são suportados e podem ser integrados a provedores de identidade populares, como Okta, Microsoft Entra ID (Azure AD) e Google Workspace.

Provisionamento de usuários

O SSO gerenciado introduz o provisionamento automatizado de usuários por meio do SCIM, que gerencia todo o ciclo de vida do usuário no Hugging Face. O SCIM permite que seu IdP comunique informações de identidade de usuário ao Hugging Face, habilitando a criação automática, atualizações (por exemplo, alterações de nome, alterações de papel) e desativação de contas de usuário conforme as mudanças ocorrem em seu IdP.

Saiba mais sobre como configurar e gerenciar o SCIM em nosso guia dedicado.

Recursos de SSO

O SSO gerenciado oferece suporte a mapeamento de funções, mapeamento de grupos de recursos, tempo limite de sessão e colaboradores externos. Esses recursos são configuráveis nas configurações da sua organização.

Restrições em contas gerenciadas

Considerações importantes para contas gerenciadas.

Para garantir o controle organizacional e a governança de dados, as contas de usuário gerenciadas possuem restrições específicas:

• Sem criação de conteúdo pessoal: usuários gerenciados não podem criar nenhum conteúdo (modelos, conjuntos de dados ou Spaces) no namespace de usuário pessoal. Todo o conteúdo deve ser criado dentro da organização.
• Colaboração vinculada à organização: usuários gerenciados são restritos a colaborar exclusivamente dentro da organização que os gerencia. Eles não podem se juntar a outras organizações nem contribuir para repositórios fora da organização que os gerencia.
• Visibilidade do conteúdo: O conteúdo criado por usuários gerenciados fica dentro da organização. Embora os usuários gerenciados não possam criar conteúdo público em seu perfil pessoal, eles podem criar conteúdo público dentro da organização se as configurações da organização permitirem.

Essas restrições mantêm as fronteiras de segurança da sua empresa. Para projetos pessoais ou colaboração mais ampla fora da sua organização, os membros devem usar uma conta separada e não gerenciada do Hugging Face.

Update on GitHub