Hub documentation
SSO cơ bản
SSO cơ bản
Tính năng này là một phần của các gói Team & Enterprise.
SSO cơ bản bổ sung một lớp kiểm soát truy cập lên trên đăng nhập Hugging Face tiêu chuẩn. Tính năng này cho phép bạn áp dụng xác thực thông qua Nhà cung cấp danh tính (IdP) của mình khi các thành viên truy cập các tài nguyên dưới namespace của tổ chức, chẳng hạn như các model, dataset và Spaces riêng tư.
Để so sánh với Managed SSO, hãy xem tổng quan về SSO.
Cách hoạt động
SSO cơ bản không thay thế cho việc đăng nhập Hugging Face. Thành viên của bạn vẫn cần đăng nhập vào Hugging Face bằng thông tin xác thực của riêng họ (email/mật khẩu, Google, hoặc GitHub) trước khi được yêu cầu hoàn tất xác thực SSO để truy cập tài nguyên của tổ chức bạn. Đây là thiết kế cố ý: SSO cơ bản bảo mật quyền truy cập vào tổ chức của bạn mà không thay thế danh tính Hugging Face của người dùng.
Khi Single Sign-On được bật, các thành viên tổ chức xác thực thông qua Nhà cung cấp danh tính (IdP) của bạn. Bạn chọn xem SSO là bắt buộc hay tùy chọn:
- Bắt buộc (mặc định): Thành viên phải hoàn tất xác thực SSO trước khi truy cập bất kỳ nội dung nào dưới namespace của tổ chức.
- Tùy chọn: Thành viên sẽ được nhắc nhở thông qua một banner ở đầu trang để thiết lập SSO, nhưng có thể bỏ qua và vẫn truy cập được tổ chức. Cách này hữu ích khi bạn đang di chuyển một lượng lớn người dùng và muốn dành thời gian cho họ sắp xếp tài khoản trước khi bắt buộc áp dụng SSO.
Nội dung công khai vẫn có thể được mọi người truy cập, bao gồm cả những người không phải thành viên.
Chúng tôi sử dụng địa chỉ email để xác định người dùng SSO. Với tư cách là người dùng, hãy đảm bảo rằng địa chỉ email của tổ chức bạn (ví dụ: email công ty) đã được thêm vào tài khoản người dùng của bạn.
Khi người dùng đăng nhập, họ sẽ được yêu cầu hoàn tất quy trình xác thực Single Sign-On với một banner tương tự như sau:
Single Sign-On chỉ áp dụng cho tổ chức của bạn. Các thành viên có thể thuộc các tổ chức khác trên Hugging Face.
Bắt đầu
Có thể cấu hình SSO cơ bản trực tiếp từ cài đặt của tổ chức bạn. Hugging Face Hub có thể hoạt động với bất kỳ nhà cung cấp danh tính nào tuân thủ OIDC hoặc SAML, bao gồm Okta, OneLogin và Microsoft Entra ID (Azure AD).
Xem Hướng dẫn Cấu hình của chúng tôi để biết các bước cài đặt chi tiết.
Cấp quyền cho người dùng
Khi SSO được bật trên tổ chức của bạn, liên kết tham gia trực tiếp có thể được sao chép và chia sẻ với các thành viên mới. Liên kết tham gia SSO này có sẵn trong cả hai tab cài đặt SSO và Members. Vì các tổ chức đã bật SSO không thể sử dụng liên kết mời cổ điển, nên liên kết tham gia SSO là phương thức chính để mời đồng đội tham gia tổ chức của bạn. Chỉ cần nhấp vào nút sao chép để sao chép liên kết vào bộ nhớ tạm và chia sẻ với các thành viên bạn muốn mời. Khi người nhận nhấp vào liên kết đã chia sẻ, họ sẽ có thể xác thực thông qua SSO và tham gia trực tiếp vào tổ chức của bạn.
Các tổ chức thuộc gói Enterprise cũng có thể sử dụng SCIM để tự động hóa việc cấp quyền dựa trên lời mời từ Nhà cung cấp danh tính của bạn. Xem hướng dẫn SCIM để biết thêm chi tiết.
Token truy cập và khóa SSH
Để sử dụng User Access Token hoặc SSH key với một tổ chức áp dụng SSO, trước tiên bạn cần cấp quyền cho nó đối với tổ chức đó. Cho đến khi hoàn tất, các yêu cầu được thực hiện bằng nó đến các tài nguyên của tổ chức sẽ bị từ chối, bao gồm cả Git over SSH. Quyền truy cập vào các tài nguyên khác của bạn không bị ảnh hưởng.
Để cấp quyền cho một token hoặc khóa SSH:
- Chuyển đến Access Tokens hoặc SSH and GPG Keys trong cài đặt của bạn.
- Mở menu cạnh token hoặc key và nhấp vào Cấu hình SSO.
- Nhấp vào Authorize bên cạnh tổ chức. Bạn sẽ được chuyển hướng đến Identity Provider của mình để đăng nhập.
Các token bạn tạo khi đã đăng nhập vào tổ chức bằng SSO sẽ được cấp quyền cho tổ chức đó một cách tự động.
Quyền ủy quyền có hiệu lực cho đến khi bạn hủy ủy quyền từ cùng một menu hoặc rời khỏi tổ chức. Nếu bạn tham gia lại, hãy ủy quyền lại cho các token và khóa của bạn. Người cộng tác bên ngoài không cần ủy quyền cho thông tin xác thực của họ.
Quản trị viên tổ chức có thể xem các thao tác cấp quyền và thu hồi quyền trong nhật ký kiểm toán.
Các tính năng SSO
SSO cơ bản hỗ trợ ánh xạ vai trò, ánh xạ nhóm tài nguyên, thời gian hết hạn phiên, khớp tên miền email và cộng tác viên bên ngoài. Các tính năng này có thể được cấu hình từ cài đặt của tổ chức bạn.
Update on GitHub