Quản lý người dùng

Tính năng này là một phần của các gói Team & Enterprise.

Các tính năng sau đây có sẵn cho các tổ chức đã bật SSO. Xem SSO cơ bản và SSO được quản lý để biết chi tiết về từng chế độ.

Thời gian chờ phiên

Giá trị này thiết lập thời lượng phiên làm việc cho các thành viên trong tổ chức của bạn.

Sau thời gian này, các thành viên sẽ được yêu cầu xác thực lại với Nhà cung cấp Danh tính của bạn để truy cập các tài nguyên của tổ chức.

Giá trị mặc định là 7 ngày.

Ánh xạ vai trò

Khi được bật, Role Mapping cho phép bạn gán động roles cho các thành viên tổ chức dựa trên dữ liệu do nhà cung cấp danh tính của bạn cung cấp.

Phần này cho phép bạn định nghĩa ánh xạ từ dữ liệu hồ sơ người dùng của IdP đến vai trò được gán trong Hugging Face.

• Đường dẫn thuộc tính vai trò IdP

  Đường dẫn JSON đến một thuộc tính trong dữ liệu hồ sơ IdP của người dùng. Nó hỗ trợ cú pháp chấm (ví dụ: user.role hoặc groups). Đối với SAML, đây có thể là một URI (ví dụ: http://schemas.microsoft.com/ws/2008/06/identity/claims/role).

• Ánh xạ vai trò

  Một ánh xạ từ giá trị thuộc tính IdP đến vai trò được gán trong tổ chức Hugging Face.

  Các vai trò khả dụng là admin, write, contributor và read. Xem tài liệu về vai trò để biết thêm chi tiết.

Bạn phải ánh xạ ít nhất một vai trò admin trong cấu hình của mình.

Nếu thuộc tính trong phản hồi IdP chứa nhiều giá trị (ví dụ: một danh sách các nhóm) khớp với nhiều ánh xạ, người dùng sẽ được gán vai trò khớp có đặc quyền cao nhất. Hệ thống phân cấp vai trò, từ ít đặc quyền nhất đến nhiều đặc quyền nhất, là read < contributor < write < admin.

Nếu không có sự khớp, vai trò được xác định như sau:

• Nếu người dùng được mời vào tổ chức với một vai trò cụ thể, vai trò mời đó sẽ được sử dụng làm phương án dự phòng.
• Ngược lại, người dùng sẽ được gán vai trò mặc định của tổ chức của bạn. Vai trò mặc định có thể được tùy chỉnh trong phần Members của cài đặt tổ chức.

Khi mời một người dùng mà vai trò của họ sẽ được kiểm soát bởi ánh xạ vai trò SSO, vai trò được chọn trong hộp thoại mời chỉ được áp dụng nếu người dùng đó chưa được gán vai trò nào trong nhà cung cấp SSO của bạn.

Đồng bộ hóa vai trò được thực hiện ở mỗi lần đăng nhập.

Ánh xạ nhóm tài nguyên

Khi được bật, Resource Group Mapping cho phép bạn gán động các thành viên vào resource groups trong tổ chức của bạn, dựa trên dữ liệu do Identity Provider của bạn cung cấp.

• Đường dẫn Thuộc tính IdP

  Đường dẫn JSON đến một thuộc tính trong dữ liệu hồ sơ IdP của người dùng. Tương tự như Role Mapping, thuộc tính này hỗ trợ cú pháp chấm (dot notation) hoặc URI cho SAML.

• Ánh xạ nhóm tài nguyên

  Một ánh xạ từ giá trị thuộc tính IdP đến nhóm tài nguyên trong tổ chức Hugging Face của bạn. Bạn có thể gán một vai trò cụ thể (admin, write, contributor, read, inherit) cho mỗi ánh xạ nhóm tài nguyên.

Khác với Role Mapping, Resource Group Mapping là cộng gộp. Nếu một người dùng khớp với nhiều ánh xạ (ví dụ: họ thuộc nhiều nhóm trong IdP của bạn được ánh xạ đến các Resource Group khác nhau), họ sẽ được thêm vào tất cả các Resource Group khớp.

Nếu không có sự khớp, người dùng sẽ không được gán vào bất kỳ nhóm tài nguyên nào.

Các nhóm tài nguyên được nhắm đến bởi một ánh xạ vẫn có thể được chỉnh sửa thủ công từ giao diện người dùng hoặc API của Hub, nhưng những chỉnh sửa đó sẽ bị ghi đè vào lần đăng nhập SSO tiếp theo của người dùng: một thay đổi vai trò sẽ bị hoàn tác về vai trò đã ánh xạ, và một người dùng đã bị xóa thủ công sẽ được thêm lại. Để thay đổi quyền truy cập của một người dùng đã ánh xạ một cách vĩnh viễn, hãy cập nhật dữ liệu IdP hoặc cấu hình ánh xạ của bạn.

Trùng khớp tên miền email

Tính năng này chỉ liên quan đến Basic SSO. Với Managed SSO, các tài khoản người dùng được tổ chức quản lý hoàn toàn, do đó việc khớp tên miền email không áp dụng.

Khi được bật, ‘Matching email domains’ chỉ cho phép các thành viên tổ chức hoàn tất SSO nếu email do nhà cung cấp danh tính của bạn cung cấp khớp với một trong các email của họ trên Hugging Face.

Để thêm một tên miền email, hãy điền vào trường Tên miền email khớp, nhấn phím enter trên bàn phím và lưu.

Đối tác bên ngoài

Người cộng tác bên ngoài là những người dùng nằm ngoài tổ chức của bạn, cần quyền truy cập vào một số tài nguyên của tổ chức mà không cần thông qua Single Sign-On (SSO). Điều đó thường có nghĩa là họ không có trong Identity Provider (IdP) của bạn. Tính năng này có sẵn trên các gói trả phí, và họ sẽ hiển thị với huy hiệu “External collaborator” trong danh sách thành viên của tổ chức. Họ được tính vào số lượng chỗ trả phí trong tổ chức của bạn.

Bạn có thể thêm chúng bằng cách:

• Mời họ vào tổ chức: trên trang Members trong cài đặt của tổ chức, hãy chọn External Collaborator khi gửi lời mời.
• Chuyển đổi một thành viên hiện có: trên trang Members, mở menu của thành viên và chọn Convert to external collaborator. Sử dụng Convert to member để chuyển họ trở lại. Nếu tổ chức của bạn sử dụng SSO, họ sẽ cần đăng nhập thông qua SSO sau đó để tiếp tục truy cập. Bạn cũng có thể thực hiện điều này thông qua API.
• Chia sẻ nhóm tài nguyên hoặc kho lưu trữ: nếu mời từ bên ngoài được bật, quản trị viên nhóm tài nguyên có thể mời người ngoài trực tiếp vào Nhóm Tài Nguyên, kể cả từ Chia sẻ với cộng tác viên bên ngoài trên trang cài đặt của kho lưu trữ. Những người dùng đó sẽ tham gia với vai trò tổ chức no_access và chỉ nhận được Nhóm Tài Nguyên đó.

Các cộng tác viên bên ngoài vẫn phải tuân theo các biện pháp kiểm soát truy cập của tổ chức bạn (Resource Groups).

Với Managed SSO, các thành viên nội bộ được cấp quyền thông qua nhà cung cấp danh tính của bạn (SCIM), do đó người dùng được mời vào tổ chức chỉ có thể được thêm với vai trò cộng tác viên bên ngoài.

Update on GitHub