사용자 관리

이 기능은 Team & Enterprise 플랜의 일부입니다.

SSO가 활성화된 조직에서는 다음 기능을 사용할 수 있습니다. 각 모드에 대한 자세한 내용은 기본 SSO 및 관리형 SSO를 참조하세요.

세션 시간 초과

이 값은 조직 구성원의 세션 지속 시간을 설정합니다.

이 시간 이후로, 조직의 리소스에 액세스하려면 Identity Provider를 통해 다시 인증하도록 구성원이 안내됩니다.

기본값은 7일입니다.

역할 매핑

활성화하면, Role Mapping을 통해 Identity Provider에서 제공하는 데이터에 따라 조직 구성원에게 역할을 동적으로 할당할 수 있습니다.

이 섹션에서는 IdP의 사용자 프로필 데이터를 Hugging Face의 할당된 역할로 매핑하는 방법을 정의할 수 있습니다.

• IdP 역할 속성 경로

  사용자의 IdP 프로필 데이터 속성에 대한 JSON 경로입니다. 점 표기법(dot notation)을 지원합니다(예: user.role 또는 groups). SAML의 경우 URI일 수 있습니다(예: http://schemas.microsoft.com/ws/2008/06/identity/claims/role).

• 역할 매핑

  Hugging Face 조직에서 IdP 속성 값에 할당된 역할에 대한 매핑입니다.

  사용 가능한 역할은 admin, write, contributor, read입니다. 자세한 내용은 역할 문서를 참고하세요.

구성에서 최소 하나의 admin 역할을 매핑해야 합니다.

IdP 응답의 속성에 여러 값(예: 그룹 목록)이 포함되어 여러 매핑과 일치하는 경우, 사용자에게는 가장 높은 권한의 일치하는 역할이 할당됩니다. 권한이 낮은 순서부터 높은 순서까지의 역할 계층은 read < contributor < write < admin입니다.

일치가 없는 경우, 역할은 다음과 같이 결정됩니다:

• 사용자가 특정 역할로 조직에 초대된 경우, 해당 초대 역할이 폴백으로 사용됩니다.
• 그렇지 않은 경우, 사용자에게 조직의 기본 역할이 할당됩니다. 기본 역할은 조직 설정의 Members 섹션에서 사용자 지정할 수 있습니다.

SSO 역할 매핑에 의해 역할이 제어될 사용자를 초대할 때, 초대 모달에서 선택한 역할은 해당 사용자가 SSO 제공자에서 아직 역할을 부여받지 않은 경우에만 적용됩니다.

역할 동기화는 모든 로그인 시 수행됩니다.

리소스 그룹 매핑

활성화하면, Resource Group Mapping을 통해 Identity Provider에서 제공하는 데이터에 따라 조직의 resource groups에 구성원을 동적으로 할당할 수 있습니다.

• IdP 속성 경로

  사용자의 IdP 프로필 데이터 속성에 대한 JSON 경로입니다. Role Mapping과 유사하게, SAML의 경우 점 표기법(dot notation) 또는 URI를 지원합니다.

• 리소스 그룹 매핑

  Hugging Face 조직의 리소스 그룹으로의 IdP 속성 값 매핑입니다. 각 리소스 그룹 매핑에 대해 특정 역할(admin, write, contributor, read, inherit)을 지정할 수 있습니다.

Role Mapping과 달리, Resource Group Mapping은 추가적입니다. 사용자가 여러 매핑에 해당되는 경우(예: 서로 다른 Resource Group에 매핑된 IdP의 여러 그룹에 속하는 경우), 해당 사용자는 모든 일치하는 Resource Group에 추가됩니다.

일치하는 항목이 없으면 사용자에게 리소스 그룹이 할당되지 않습니다.

매핑 대상인 리소스 그룹은 여전히 Hub UI 또는 API를 통해 수동으로 편집할 수 있지만, 해당 사용자의 다음 SSO 로그인 시 이러한 편집 내용이 덮어쓰기됩니다. 즉, 변경된 역할은 매핑된 역할로 되돌려지고, 수동으로 제거된 사용자는 다시 추가됩니다. 매핑된 사용자의 액세스를 영구적으로 변경하려면 IdP 데이터 또는 매핑 구성을 업데이트해야 합니다.

이메일 도메인 일치

이 기능은 Basic SSO에만 관련이 있습니다. Managed SSO의 경우 사용자 계정이 조직에 의해 완전히 관리되므로 이메일 도메인 매칭은 적용되지 않습니다.

활성화하면, ‘Matching email domains’은 조직 구성원이 SSO를 완료할 때, ID 제공자가 제공한 이메일이 Hugging Face의 이메일 중 하나와 일치해야 합니다.

이메일 도메인을 추가하려면 Matching email domains 필드를 채우고 키보드의 Enter 키를 누른 후 저장합니다.

외부 협업자

External collaborators는 Single Sign-On(SSO)을 거치지 않고 조직의 일부 자원에 접근해야 하는 조직 외부의 사용자입니다. 일반적으로 이는 해당 사용자가 Identity Provider(IdP)에 등록되어 있지 않음을 의미합니다. 유료 플랜에서 사용할 수 있으며, 조직의 멤버 목록에 “External collaborator” 배지로 표시됩니다. 조직의 유료 좌석 수에 포함됩니다.

다음 방법으로 추가할 수 있습니다:

• 조직에 초대하기: 조직 설정의 Members 페이지에서 초대를 보내는 경우 External Collaborator를 선택하세요.
• 기존 멤버 변환: Members 페이지에서 해당 멤버의 메뉴를 열고 외부 협력자로 변환을 선택합니다. 멤버로 변환을 사용하여 다시 원래 상태로 되돌릴 수 있습니다. 조직에서 SSO를 사용하는 경우, 이후에도 액세스를 유지하려면 SSO를 통해 다시 로그인해야 합니다. API를 통해 이 작업을 수행할 수도 있습니다.
• 리소스 그룹 또는 저장소 공유: 외부 초대가 활성화되어 있으면, 리소스 그룹 관리자는 저장소의 설정 페이지에 있는 외부 협업자와 공유를 포함하여 외부 사용자를 리소스 그룹에 직접 초대할 수 있습니다. 해당 사용자는 no_access 조직 역할로 가입하며, 해당 리소스 그룹에만 접근할 수 있습니다.

외부 협업자는 여전히 조직의 액세스 제어(리소스 그룹)를 통해 접근합니다.

Managed SSO를 사용하면 내부 구성원은 ID 제공자(SCIM)를 통해 프로비저닝되므로, 조직에 초대된 사용자는 외부 협업자로만 추가할 수 있습니다.

Update on GitHub