Gerenciamento de usuários

Este recurso faz parte dos planos Team & Enterprise.

Os seguintes recursos estão disponíveis para organizações com SSO habilitado. Consulte SSO básico e SSO gerenciado para obter detalhes sobre cada modo.

Tempo limite da sessão

Este valor define a duração da sessão para os membros da sua organização.

Após esse período, os membros serão solicitados a reautenticar-se com seu Provedor de Identidade para acessar os recursos da organização.

O valor padrão é 7 dias.

Mapeamento de Funções

Quando ativado, o Role Mapping permite atribuir dinamicamente roles aos membros da organização com base nos dados fornecidos pelo seu Identity Provider.

Esta seção permite definir um mapeamento dos dados do perfil de usuário do seu IdP para a função atribuída no Hugging Face.

• Caminho do Atributo de Função do IdP

  Um caminho JSON para um atributo nos dados do perfil do IdP do usuário. Ele suporta notação de ponto (por exemplo, user.role ou groups). Para SAML, isso pode ser um URI (por exemplo, http://schemas.microsoft.com/ws/2008/06/identity/claims/role).

• Mapeamento de Funções

  Um mapeamento do valor do atributo do IdP para a função atribuída na organização do Hugging Face.

  As funções disponíveis são admin, write, contributor e read. Consulte a documentação de funções para mais detalhes.

Você deve mapear pelo menos uma função admin na sua configuração.

Se o atributo na resposta do IdP contiver vários valores (por exemplo, uma lista de grupos) que corresponderem a vários mapeamentos, o usuário é atribuído ao papel correspondente mais privilegiado. A hierarquia de papéis, do menos para o mais privilegiado, é read < contributor < write < admin.

Se não houver correspondência, o papel é determinado da seguinte forma:

• Se o usuário foi convidado para a organização com uma função específica, a função do convite é usada como alternativa.
• Caso contrário, o usuário recebe a função padrão da sua organização. A função padrão pode ser personalizada na seção Members das configurações da organização.

Ao convidar um usuário cujo papel será controlado pelo mapeamento de papéis do SSO, o papel selecionado no modal de convite só é aplicado se o usuário ainda não tiver um papel atribuído no seu provedor de SSO.

A sincronização de papéis é realizada a cada login.

Mapeamento de Grupo de Recursos

Quando ativado, o Resource Group Mapping permite atribuir dinamicamente membros a resource groups na sua organização, com base nos dados fornecidos pelo seu Identity Provider.

• Caminho do Atributo do IdP

  Um caminho JSON para um atributo nos dados do perfil do IdP do usuário. Assim como no Role Mapping, isso suporta notação de ponto ou URIs para SAML.

• Mapeamento de Grupo de Recursos

  Um mapeamento do valor do atributo do IdP para um grupo de recursos na sua organização do Hugging Face. Você pode atribuir um papel específico (admin, write, contributor, read, inherit) para cada mapeamento de grupo de recursos.

Diferentemente do Role Mapping, o Resource Group Mapping é aditivo. Se um usuário corresponder a múltiplos mapeamentos (por exemplo, se ele pertencer a vários grupos no seu IdP que estão mapeados para diferentes Resource Groups), ele será adicionado a todos os Resource Groups correspondentes.

Se não houver correspondência, o usuário não será atribuído a nenhum grupo de recursos.

Os grupos de recursos alvo de um mapeamento ainda podem ser editados manualmente pela interface do Hub ou pela API, mas essas edições são sobrescritas no próximo login SSO do usuário: uma alteração de papel é revertida para o papel mapeado, e um usuário que foi removido manualmente é readicionado. Para alterar permanentemente o acesso de um usuário mapeado, atualize os dados do seu IdP ou a configuração do mapeamento.

Domínios de e-mail correspondentes

Este recurso é relevante apenas para SSO Básico. Com o SSO Gerenciado, as contas de usuário são totalmente gerenciadas pela organização, portanto, a correspondência de domínio de e-mail não se aplica.

Quando ativado, o recurso “Matching email domains” permite que os membros da organização concluam o SSO apenas se o e-mail fornecido pelo seu provedor de identidade corresponder a um dos e-mails deles no Hugging Face.

Para adicionar um domínio de e-mail, preencha o campo ‘Matching email domains’, pressione enter no teclado e salve.

Colaboradores Externos

Colaboradores externos são usuários fora da sua organização que precisam acessar alguns de seus recursos sem passar pelo Single Sign-On (SSO). Isso geralmente significa que eles não estão no seu Identity Provider (IdP). Eles estão disponíveis em planos pagos e aparecem com um selo de “Colaborador externo” nas listas de membros da sua organização. Eles contam para o número de assentos pagos na sua organização.

Você pode adicioná-los da seguinte forma:

• Convidá-los para a organização: na página Membros das configurações da sua organização, marque Colaborador Externo ao enviar o convite.
• Convertendo um membro existente: na página Membros, abra o menu do membro e selecione Converter em colaborador externo. Use Converter em membro para reverter a alteração. Se a sua organização usa SSO, a pessoa precisará fazer login por meio dele em seguida para manter o acesso. Você também pode fazer isso via API.
• Compartilhando um grupo de recursos ou repositório: se convites externos estiverem habilitados, os administradores do grupo de recursos podem convidar pessoas externas diretamente para um Grupo de Recursos, inclusive a partir de Compartilhar com colaboradores externos na página de configurações de um repositório. Esses usuários entram com o papel de organização no_access e recebem apenas esse Grupo de Recursos.

Colaboradores externos ainda passam pelos controles de acesso da sua organização (Resource Groups).

Com o Managed SSO, os membros internos são provisionados por meio do seu provedor de identidade (SCIM), de modo que os usuários convidados para a organização só podem ser adicionados como colaboradores externos.

Update on GitHub