Управление пользователями

Эта функция входит в планы Team & Enterprise.

Следующие функции доступны организациям, для которых включена SSO. Подробности о каждом режиме см. в разделах Basic SSO и Managed SSO.

Тайм-аут сессии

Это значение определяет длительность сессии для участников вашей организации.

По истечении этого времени участникам будет предложено повторно пройти аутентификацию через ваш Identity Provider для доступа к ресурсам организации.

Значение по умолчанию составляет 7 дней.

Сопоставление ролей

При включении Role Mapping позволяет динамически назначать роли членам организации на основе данных, предоставленных вашим Identity Provider.

В этом разделе вы можете определить сопоставление данных профиля пользователя вашего IdP с назначаемой ролью в Hugging Face.

• Путь к атрибуту роли IdP

  JSON-путь к атрибуту в данных профиля пользователя в его IdP. Поддерживается нотация с точками (например, user.role или groups). Для SAML это может быть URI (например, http://schemas.microsoft.com/ws/2008/06/identity/claims/role).

• Сопоставление ролей

  Соответствие между значением атрибута IdP и назначенной ролью в организации Hugging Face.

  Доступные роли: admin, write, contributor и read. Подробнее см. в документации по ролям.

В конфигурации необходимо назначить как минимум одну роль admin.

Если атрибут в ответе IdP содержит несколько значений (например, список групп), соответствующих нескольким отображениям, пользователю назначается роль с наибольшими привилегиями из подходящих. Иерархия ролей, от наименее привилегированной к наиболее привилегированной, выглядит так: read < contributor < write < admin.

Если совпадение не найдено, роль определяется следующим образом:

• Если пользователь был приглашён в организацию с определённой ролью, роль из этого приглашения используется как резервная.
• В противном случае пользователю назначается роль по умолчанию для вашей организации. Роль по умолчанию можно настроить в разделе Members в настройках организации.

При приглашении пользователя, роль которого будет определяться через сопоставление ролей SSO, роль, выбранная в модальном окне приглашения, применяется только в том случае, если у пользователя ещё не назначена роль в вашем провайдере SSO.

Синхронизация ролей выполняется при каждом входе в систему.

Соответствие групп ресурсов

Если включена, функция Resource Group Mapping позволяет динамически назначать участников в группы ресурсов вашей организации на основе данных, предоставленных вашим Identity Provider.

• Путь к атрибуту IdP

  JSON-путь к атрибуту в данных профиля пользователя в его IdP. Аналогично Role Mapping, здесь поддерживается нотация с точками или URI для SAML.

• Соответствие групп ресурсов

  Соответствие между значением атрибута IdP и группой ресурсов в вашей организации Hugging Face. Для каждого соответствия группы ресурсов можно назначить конкретную роль (admin, write, contributor, read, inherit).

В отличие от Role Mapping, Resource Group Mapping является аддитивным. Если пользователь соответствует нескольким отображениям (например, он принадлежит нескольким группам в вашем IdP, которые отображаются на разные Resource Groups), он будет добавлен во все соответствующие Resource Groups.

Если совпадение не найдено, пользователь не будет назначен ни в одну группу ресурсов.

Группы ресурсов, на которые распространяется отображение, по-прежнему можно редактировать вручную через интерфейс или API Hub, однако такие изменения будут перезаписаны при следующем входе пользователя через SSO: изменение роли будет отменено в пользу отображённой роли, а пользователь, которого удалили вручную, будет добавлен обратно. Чтобы постоянно изменить доступ отображённого пользователя, обновите данные вашего IdP или конфигурацию отображения.

Совпадение доменов электронной почты

Эта функция актуальна только для Basic SSO. При использовании Managed SSO учётные записи пользователей полностью управляются организацией, поэтому сопоставление доменов электронной почты не применяется.

Если включена опция Matching email domains, участники организации могут завершить вход через SSO только в том случае, если адрес электронной почты, предоставленный вашим поставщиком идентификации, совпадает с одним из их адресов на Hugging Face.

Чтобы добавить домен электронной почты, заполните поле Matching email domains, нажмите клавишу Enter на клавиатуре и сохраните изменения.

Внешние соавторы

Внешние соавторы — это пользователи вне вашей организации, которым требуется доступ к некоторым её ресурсам без использования единого входа (SSO). Как правило, это означает, что они не зарегистрированы в вашем поставщике средств идентификации (IdP). Внешние соавторы доступны на платных тарифах и отображаются в списках участников вашей организации с меткой «Внешний соавтор». Они учитываются в количестве платных мест в вашей организации.

Вы можете добавить их следующим образом:

• Приглашение их в организацию: на странице Members в настройках вашей организации отметьте External Collaborator при отправке приглашения.
• Converting an existing member: on the Members page, open the member’s menu and select Convert to external collaborator. Use Convert to member to switch them back. If your organization uses SSO, they’ll need to sign in through it afterward to keep access. You can also do this via the API.
• Общий доступ к группе ресурсов или репозиторию: если внешние приглашения включены, администраторы группы ресурсов могут приглашать внешних пользователей непосредственно в группу ресурсов, в том числе через пункт Общий доступ с внешними соавторами на странице настроек репозитория. Эти пользователи присоединяются с организационной ролью no_access и получают доступ только к этой группе ресурсов.

Внешние соавторы по-прежнему проходят через средства управления доступом вашей организации (группы ресурсов).

С Managed SSO внутренние участники добавляются через ваш поставщик идентификации (SCIM), поэтому пользователи, приглашённые в организацию, могут быть добавлены только как внешние соавторы.

Update on GitHub