Chuyển sang SSO được quản lý

Tính năng này là một phần của gói Enterprise Plus.

Hướng dẫn này dành cho quản trị viên tổ chức đang chuyển đổi một tổ chức hiện có từ tổ chức tiêu chuẩn sang tổ chức Managed SSO.

Điều quan trọng nhất cần hiểu trước khi bắt đầu: các tài khoản Hugging Face cá nhân hiện có của thành viên sẽ không được chuyển đổi thành tài khoản được quản lý. Mỗi thành viên sẽ nhận được một tài khoản được quản lý hoàn toàn mới, do Nhà cung cấp Danh tính (IdP) của bạn cấp. Trước khi một thành viên có thể được cấp tài khoản, họ phải giải phóng địa chỉ email làm việc trên tài khoản cá nhân của mình.

Trong suốt hướng dẫn này, chúng tôi sử dụng my-org làm tên tổ chức ví dụ.

Yêu cầu tiên quyết

SSO phải đã được cấu hình, kiểm tra và bật trên tổ chức của bạn. Quá trình di chuyển sẽ tái sử dụng ứng dụng OIDC hoặc SAML hiện có của bạn.

Các bước di chuyển

1. Chuẩn bị cho các thành viên của bạn. Hãy cùng các thành viên của bạn xem qua danh sách kiểm tra trước khi di chuyển.
2. Liên hệ Hugging Face. Hãy liên lạc với đội ngũ Hugging Face và xác nhận việc chuyển đổi. Chúng tôi sẽ chuyển đổi tổ chức và gửi cho bạn thông tin đăng nhập của tài khoản dự phòng my-org:owner.
3. Yêu cầu các thành viên giải phóng địa chỉ email công việc của họ. Xem Giải phóng địa chỉ email công việc. Thực hiện điều này trước khi bật provisioning: các người dùng đã được gán cho ứng dụng SSO của bạn sẽ được provision ngay khi SCIM được bật. Đội ngũ Hugging Face có thể gửi cho bạn danh sách các thành viên mà tài khoản cá nhân của họ vẫn đang giữ địa chỉ email công việc, để bạn có thể liên hệ và làm việc với họ.
4. Set up SCIM in your IdP. Sử dụng SCIM Tenant URL và token từ SSO → SCIM trong cài đặt của tổ chức bạn, trong ứng dụng OIDC hoặc SAML hiện có, sau đó làm theo hướng dẫn dành cho IdP của bạn.
   • Okta: làm theo hướng dẫn Okta, bao gồm Bước 3. Name ID phải là ID người dùng Okta.
   • Microsoft Entra ID: làm theo hướng dẫn Entra ID. userName phải tuân thủ các quy tắc tên người dùng, do đó các giá trị dạng email như jdoe@example.com sẽ bị từ chối.
   • Các IdP khác: xem User Provisioning (SCIM), với cùng các quy tắc đặt tên người dùng.
5. Gán người dùng và nhóm trong IdP của bạn. Các tài khoản được quản lý sẽ được tạo khi người dùng được cấp phát.
6. Loại bỏ các tài khoản cá nhân còn sót lại khỏi tổ chức ngay khi tài khoản được quản lý của từng thành viên đã được cấp phát. Bước này là bắt buộc về mặt bảo mật, vì các tài khoản cá nhân vẫn giữ quyền truy cập cho đến khi bị xóa. Việc xóa chúng cũng đồng thời loại bỏ chúng khỏi các Nhóm Tài nguyên của tổ chức.
7. (Tùy chọn) Ánh xạ các nhóm vào Resource Groups và vai trò. Liên kết các nhóm SCIM của bạn với Resource Groups, và thiết lập Ánh xạ vai trò để gán các vai trò tổ chức từ IdP của bạn. Một Resource Group chỉ có thể được liên kết với một nhóm SCIM nếu nó không có thành viên và tính năng tham gia tự động đã được tắt. Nếu tính năng tham gia tự động đang bật, các tài khoản quản lý mới được cấp phát cũng sẽ được thêm vào nhóm, vì vậy hãy tắt tính năng này trước khi cấp phát người dùng, hoặc xóa bất kỳ thành viên nào còn lại trước khi liên kết.

Những thay đổi

Quá trình chuyển đổi thực hiện

• Việc chuyển đổi được thực hiện bởi đội ngũ Hugging Face. Không có công tắc tự phục vụ. Khi bạn yêu cầu, đội ngũ Hugging Face sẽ chuyển tổ chức của bạn sang chế độ quản lý.
• Nội dung và cấu hình của tổ chức bạn được giữ nguyên. Các kho, cài đặt, Resource Groups và cấu hình SSO hiện có (ứng dụng OIDC hoặc SAML) được bảo toàn. Bạn vẫn giữ cùng một ứng dụng IdP, mặc dù một số cài đặt có thể cần điều chỉnh cho SCIM (xem bước 4).
• Một tài khoản quản trị viên dự phòng được tạo, có tên là my-org:owner. Tài khoản này đăng nhập bằng tên người dùng và mật khẩu (không qua SSO) và là quản trị viên của tổ chức. Đội ngũ Hugging Face sẽ chia sẻ thông tin đăng nhập của tài khoản này cho bạn. Hãy lưu trữ chúng một cách an toàn: tài khoản này cho phép bạn truy cập tổ chức của mình trong trường hợp IdP của bạn không khả dụng hoặc bị cấu hình sai.
• SSO không còn có thể được đặt là tùy chọn. Nó vẫn có thể bị tắt hoàn toàn.

Việc tắt SSO trên một tổ chức được quản lý sẽ khóa mọi người dùng được quản lý, vì các tài khoản được quản lý không có mật khẩu.

Tài khoản được quản lý là các tài khoản mới

• Các tài khoản Hugging Face cá nhân hiện có sẽ không được chuyển đổi, gộp hoặc liên kết vào các tài khoản được quản lý. Mỗi thành viên sẽ nhận được một tài khoản mới, được tạo bởi IdP của bạn thông qua SCIM khi người dùng được phân quyền trong IdP.
• Tên người dùng được quản lý có tiền tố là tên tổ chức: <org-name>:<username>, ví dụ my-org:jdoe.
• Người dùng được quản lý chỉ đăng nhập thông qua IdP của bạn. Họ không có mật khẩu Hugging Face, và tính năng “Quên mật khẩu” không hoạt động với họ.
• Tài khoản được quản lý phải tuân thủ các hạn chế đối với tài khoản được quản lý.

Thành viên

• Các thành viên thông thường không thể được thêm bằng lời mời nữa. Các thành viên nội bộ phải được cấp quyền thông qua SCIM.
• Mời chỉ còn dành cho người cộng tác bên ngoài.

Các tài khoản cá nhân hiện có trong tổ chức

Các tài khoản cá nhân vẫn là thành viên của tổ chức sau khi chuyển đổi sẽ giữ nguyên vai trò của họ. Các token truy cập, ứng dụng OAuth mà họ đã cấp quyền trước đó và git qua SSH vẫn hoạt động bình thường, vì những thứ này không được kiểm tra đối chiếu với SSO. Họ không thể bắt đầu một phiên đăng nhập SSO mới vào tổ chức nữa:

• Nếu người dùng đã đăng nhập bằng tài khoản cá nhân, hoặc tài khoản đó đã được liên kết với IdP của bạn, họ sẽ thấy: You cannot login with SSO with this account because it's not managed by this organization. Contact your organization administrators.
• Ngược lại, họ sẽ thấy User not found.

Trước khi bạn di chuyển

Hãy rà soát danh sách kiểm tra này cùng các thành viên trước khi yêu cầu chuyển đổi:

• Kho cá nhân: các thành viên có kho trong không gian tên cá nhân của họ và muốn tiếp tục truy cập bằng tài khoản được quản lý mới nên chuyển chúng sang tổ chức trước khi chuyển đổi. Tài khoản được quản lý không thể sở hữu nội dung trong không gian tên cá nhân. Thành viên vẫn có thể truy cập bất kỳ kho nào dưới không gian tên cá nhân của họ thông qua tài khoản cá nhân (không được quản lý) của họ.
• Tokens và tự động hóa: tokens từ các tài khoản cá nhân vẫn giữ quyền truy cập vào tổ chức cho đến khi tài khoản bị xóa khỏi tổ chức đó. Hãy di chuyển các script, CI jobs và pipelines sang service accounts, hoặc sang các token được tạo từ các managed accounts sau khi chuyển đổi, sau đó xóa các tài khoản cũ.
• Các tổ chức khác: tài khoản được quản lý không thể tham gia các tổ chức khác. Thành viên cần tiếp tục làm việc trong các tổ chức khác nên giữ một tài khoản cá nhân riêng (xem phương án 2 bên dưới).
• Địa chỉ email công việc: mọi thành viên phải giải phóng địa chỉ email công việc của họ trước khi được cấp quyền. Xem Giải phóng địa chỉ email công việc.

Giải phóng các địa chỉ email công việc

Một địa chỉ email chỉ có thể thuộc về một tài khoản Hugging Face. Điều này áp dụng cho tất cả các địa chỉ email của tài khoản, bao gồm cả email chính và email phụ. Việc khớp không phân biệt chữ hoa chữ thường.

Khi SCIM cố gắng tạo một tài khoản được quản lý bằng email công việc đã được sử dụng bởi một tài khoản cá nhân, việc cấp phát sẽ thất bại với lỗi 409:

The email address (jdoe@example.com) is already associated with another Hugging Face account. Please delete the account.

IdP của bạn hiển thị điều này như một lỗi cấp phát cho người dùng đó.

Để tránh điều này, mỗi thành viên phải giải phóng địa chỉ email công việc của mình trước khi được cấp quyền, bằng cách sử dụng một trong hai tùy chọn bên dưới.

Tôi nên chọn tùy chọn nào?

• Nếu bạn chỉ sử dụng tài khoản Hugging Face của mình cho công việc trong tổ chức này, hãy chọn tùy chọn 1: xóa tài khoản cá nhân.
• Nếu bạn cũng sử dụng tài khoản này cho các công việc mã nguồn mở, dự án cá nhân hoặc các tổ chức khác, hãy chọn tùy chọn 2: giữ lại tài khoản cá nhân và xóa email công việc khỏi tài khoản đó.

Tùy chọn 1: Xóa tài khoản cá nhân

Xóa tài khoản cá nhân của bạn từ cài đặt tài khoản. Thao tác này sẽ xóa vĩnh viễn tất cả các kho trong không gian tên cá nhân của bạn và loại bạn khỏi mọi tổ chức.

Việc xóa tài khoản là vĩnh viễn. Hãy chuyển các kho lưu trữ bạn muốn giữ sang tổ chức trước.

Việc xóa sẽ bị chặn nếu bạn là quản trị viên duy nhất của một tổ chức khác. Hãy thêm một quản trị viên khác vào tổ chức đó, hoặc xóa nó trước. Tổ chức đang được chuyển đổi không phải là vấn đề, vì my-org:owner cũng là một quản trị viên.

Tùy chọn 2: Giữ tài khoản cá nhân

1. Trong cài đặt tài khoản của bạn, hãy thêm một địa chỉ email cá nhân và xác minh nó.
2. Đặt địa chỉ email cá nhân làm email chính.
3. Xóa hoàn toàn địa chỉ email công việc. Việc chỉ đặt nó làm email phụ là chưa đủ.

Giữ tài khoản cá nhân của bạn trong tổ chức cho đến khi tài khoản được quản lý của bạn được cấp phát. Quản trị viên của bạn sẽ xóa nó sau đó.

Nếu tổ chức của bạn đã bật Managed SSO và có miền email đã xác minh, việc đăng nhập bằng địa chỉ email thuộc miền đó sẽ chuyển hướng bạn đến trang SSO của tổ chức. Để đăng nhập vào tài khoản cá nhân, hãy sử dụng tên người dùng của bạn.

Khi email công việc đã được giải phóng, quản trị viên có thể thử lại việc cấp quyền cho người dùng đó trong IdP, hoặc chờ đến lần đồng bộ tiếp theo để hệ thống tự động xử lý.

Sau khi di chuyển

Chu kỳ sống của người dùng được quản lý từ IdP của bạn:

• Vô hiệu hóa một người dùng trong IdP của bạn sẽ loại bỏ họ khỏi tổ chức. Nếu người dùng đó được kích hoạt lại sau này, tài khoản quản lý hiện có của họ sẽ được sử dụng lại.
• Xóa một người dùng qua SCIM sẽ xóa vĩnh viễn tài khoản được quản lý của họ. Xem Thu hồi quyền truy cập.