SSO administrado

Esta función forma parte del plan Enterprise Plus.

El SSO gestionado sustituye por completo el inicio de sesión de Hugging Face. Tu proveedor de identidad se convierte en el único método de autenticación para los miembros de tu organización en toda la plataforma de Hugging Face. La organización controla el ciclo de vida completo del usuario, desde la creación de la cuenta hasta su desactivación.

Para una comparación con SSO básico, consulte el resumen de SSO.

Cómo funciona

El SSO gestionado reemplaza el inicio de sesión de Hugging Face. Tu IdP es la única forma en que los usuarios gestionados pueden autenticarse en Hugging Face; no existe un inicio de sesión separado de Hugging Face. A diferencia del SSO básico, los miembros no necesitan una cuenta de Hugging Face preexistente. Cuando un usuario se autentica a través de tu IdP por primera vez, se crea automáticamente una cuenta para él.

Su IdP es la ruta de autenticación obligatoria para todos los miembros de su organización que interactúen con cualquier parte de la plataforma de Hugging Face. Los miembros deben autenticarse a través de su IdP para todos los servicios de Hugging Face, no solo al acceder a repositorios privados u organizacionales.

Cuando un usuario se desactiva en su IdP, su cuenta de Hugging Face también se desactiva. Esto le otorga a su organización un control completo sobre la identidad, el acceso y la gobernanza de datos.

Primeros pasos

El SSO gestionado no se puede configurar de forma autónoma. Para habilitar el SSO gestionado en su organización, por favor contacte al equipo de Hugging Face. La configuración se realiza en colaboración con nuestro equipo técnico para garantizar una transición fluida para su organización.

Si estás convirtiendo una organización existente, lee primero Migrating to Managed SSO: las cuentas personales existentes de los miembros no se convierten, y cada miembro debe liberar su correo electrónico de trabajo antes de que pueda ser aprovisionado.

Se admiten los protocolos SAML 2.0 y OIDC, y pueden integrarse con proveedores de identidad populares como Okta, Microsoft Entra ID (Azure AD) y Google Workspace.

Provisionamiento de usuarios

Managed SSO introduce la aprovisionamiento automatizado de usuarios a través de SCIM, que gestiona todo el ciclo de vida del usuario en Hugging Face. SCIM permite que tu IdP comunique la información de identidad de usuario a Hugging Face, habilitando la creación automática, las actualizaciones (p. ej., cambios de nombre, cambios de rol) y la desactivación de las cuentas de usuario a medida que ocurren cambios en tu IdP.

Obtén más información sobre cómo configurar y gestionar SCIM en nuestra guía dedicada.

Funciones de SSO

El SSO administrado admite mapeo de roles, mapeo de grupos de recursos, tiempo de espera de sesión y colaboradores externos. Estas funciones son configurables desde la configuración de tu organización.

Restricciones en las cuentas administradas

Consideraciones importantes para las cuentas administradas.

Para garantizar el control organizativo y la gobernanza de datos, las cuentas de usuario administradas tienen restricciones específicas:

• No creación de contenido personal: Los usuarios gestionados no pueden crear ningún contenido (modelos, conjuntos de datos o Spaces) en su espacio de nombres de usuario personal. Todo el contenido debe crearse dentro de la organización.
• Colaboración vinculada a la organización: Los usuarios gestionados están restringidos a colaborar únicamente dentro de su organización administradora. No pueden unirse a otras organizaciones ni contribuir a repositorios fuera de su organización administradora.
• Visibilidad del contenido: El contenido creado por usuarios gestionados reside dentro de la organización. Si bien los usuarios gestionados no pueden crear contenido público en su perfil personal, sí pueden crear contenido público dentro de la organización si la configuración de la organización lo permite.

Estas restricciones mantienen los límites de seguridad de su empresa. Para proyectos personales o para una colaboración más amplia fuera de su organización, los miembros deben utilizar una cuenta de Hugging Face separada y no gestionada.

Update on GitHub