SSO de base

Cette fonctionnalité fait partie des plans Team & Enterprise.

Le SSO de base ajoute une couche de contrôle d’accès au-dessus de la connexion standard à Hugging Face. Il vous permet d’imposer l’authentification via votre fournisseur d’identité (IdP) lorsque les membres accèdent aux ressources sous l’espace de noms de votre organisation, tels que les modèles privés, les jeux de données et les Spaces.

Pour une comparaison avec Managed SSO, consultez l’aperçu du SSO.

Fonctionnement

Le SSO de base ne remplace pas la connexion Hugging Face. Vos membres devront toujours se connecter à Hugging Face avec leurs propres identifiants (e-mail/mot de passe, Google ou GitHub) avant d’être invités à finaliser l’authentification SSO pour accéder aux ressources de votre organisation. C’est voulu : le SSO de base sécurise l’accès à votre organisation sans prendre le contrôle de l’identité Hugging Face de l’utilisateur.

Lorsque l’authentification unique est activée, les membres de l’organisation s’authentifient via votre fournisseur d’identité (IdP). Vous choisissez si le SSO est imposé ou facultatif :

• Imposée (par défaut) : les membres doivent effectuer une authentification SSO avant d’accéder à quoi que ce soit dans l’espace de noms de l’organisation.
• Facultatif : les membres reçoivent une bannière en haut de la page les invitant à configurer le SSO, mais ils peuvent l’ignorer et accéder à l’organisation. C’est pratique lors de la migration d’un grand nombre d’utilisateurs, car cela leur laisse le temps de régler leurs comptes avant d’imposer définitivement le SSO.

Le contenu public reste accessible à tous, y compris aux non-membres.

Nous utilisons les adresses e-mail pour identifier les utilisateurs SSO. En tant qu'utilisateur, assurez-vous que votre adresse e-mail organisationnelle (par exemple, votre e-mail professionnel) a été ajoutée à votre compte utilisateur.

Lors de la connexion, les utilisateurs sont invités à finaliser le flux d’authentification Single Sign-On via une bannière similaire à la suivante :

La connexion unique ne s'applique qu'à votre organisation. Les membres peuvent appartenir à d'autres organisations sur Hugging Face.

Premiers pas

La configuration de base du SSO peut être effectuée directement depuis les paramètres de votre organisation. Hugging Face Hub est compatible avec tout fournisseur d’identité conforme à OIDC ou SAML, y compris Okta, OneLogin et Microsoft Entra ID (Azure AD).

Consultez nos Guides de configuration pour des instructions d’installation étape par étape.

Provisionnement des utilisateurs

Une fois le SSO activé sur votre organisation, un lien d’adhésion direct peut être copié et partagé avec de nouveaux membres. Ce lien d’adhésion SSO est disponible dans les onglets de paramètres SSO et Members. Étant donné que les organisations ayant le SSO activé ne peuvent pas utiliser les liens d’invitation classiques, le lien d’adhésion SSO est le moyen principal pour inviter des coéquipiers à votre organisation. Il suffit de cliquer sur le bouton de copie pour copier le lien dans votre presse-papiers et de le partager avec les membres que vous souhaitez inviter. Lorsque les destinataires cliquent sur le lien partagé, ils pourront s’authentifier via SSO et rejoindre directement votre organisation.

Les organisations du plan Enterprise peuvent également utiliser SCIM pour automatiser le provisionnement par invitation depuis votre fournisseur d’identité. Consultez le guide SCIM pour plus de détails.

Jetons d'accès et clés SSH

Pour utiliser un User Access Token ou une SSH key avec une organisation qui impose le SSO, vous devez d’abord l’autoriser pour cette organisation. En attendant, les requêtes effectuées avec elle vers les ressources de l’organisation sont rejetées, y compris Git via SSH. L’accès à vos autres ressources n’est pas affecté.

Pour autoriser un jeton ou une clé SSH :

1. Accédez à Access Tokens ou SSH and GPG Keys dans vos paramètres.
2. Ouvrez le menu à côté du jeton ou de la clé et cliquez sur Configurer le SSO.
3. Cliquez sur Authorize à côté de l’organisation. Vous êtes redirigé vers votre fournisseur d’identité pour vous connecter.

Les jetons que vous créez lorsque vous êtes connecté à l’organisation via SSO sont automatiquement autorisés pour celle-ci.

Une autorisation reste en vigueur jusqu’à ce que vous la révoquiez depuis le même menu ou que vous quittiez l’organisation. Si vous réintégrez l’organisation, vous devrez à nouveau autoriser vos jetons et clés. Les collaborateurs externes n’ont pas besoin d’autoriser leurs identifiants.

Les administrateurs d’organisation peuvent consulter les autorisations et les désautorisations dans les journaux d’audit.

Fonctionnalités SSO

SSO de base prend en charge le mappage des rôles, le mappage des groupes de ressources, le délai d'expiration de session, la correspondance des domaines d'e-mail et les collaborateurs externes. Ces fonctionnalités sont configurables depuis les paramètres de votre organisation.

Update on GitHub