Gestion des utilisateurs

Cette fonctionnalité fait partie des plans Team & Enterprise.

Les fonctionnalités suivantes sont disponibles pour les organisations ayant activé le SSO. Consultez SSO de base et SSO géré pour plus de détails sur chaque mode.

Délai d'expiration de session

Cette valeur définit la durée de la session pour les membres de votre organisation.

Après ce délai, les membres seront invités à se réauthentifier auprès de votre fournisseur d’identité pour accéder aux ressources de l’organisation.

La valeur par défaut est de 7 jours.

Mappage des rôles

Lorsqu’il est activé, le Role Mapping vous permet d’attribuer dynamiquement des rôles aux membres de l’organisation en fonction des données fournies par votre Identity Provider.

Cette section vous permet de définir une correspondance entre les données du profil utilisateur de votre IdP et le rôle attribué dans Hugging Face.

• Chemin de l'attribut du rôle IdP

  Chemin JSON vers un attribut des données de profil IdP de votre utilisateur. Il prend en charge la notation par points (par exemple user.role ou groups). Pour SAML, il peut s’agir d’un URI (par exemple http://schemas.microsoft.com/ws/2008/06/identity/claims/role).

• Cartographie des rôles

  Une correspondance entre la valeur de l'attribut IdP et le rôle attribué dans l'organisation Hugging Face.

  Les rôles disponibles sont admin, write, contributor et read. Consultez la documentation des rôles pour plus de détails.

Vous devez mapper au moins un rôle admin dans votre configuration.

Si l’attribut de la réponse de l’IdP contient plusieurs valeurs (par exemple une liste de groupes) qui correspondent à plusieurs correspondances, l’utilisateur se voit attribuer le rôle correspondant le plus privilégié. La hiérarchie des rôles, du moins au plus privilégié, est read < contributor < write < admin.

En l'absence de correspondance, le rôle est déterminé comme suit :

• Si l'utilisateur a été invité à rejoindre l'organisation avec un rôle spécifique, ce rôle d'invitation est utilisé en cas de repli.
• Sinon, l’utilisateur se voit attribuer le rôle par défaut de votre organisation. Le rôle par défaut peut être personnalisé dans la section Members des paramètres de l’organisation.

Lors de l’invitation d’un utilisateur dont le rôle sera géré par la correspondance des rôles SSO, le rôle sélectionné dans la fenêtre de dialogue d’invitation ne s’applique que si l’utilisateur ne possède pas encore de rôle attribué dans votre fournisseur SSO.

La synchronisation des rôles est effectuée à chaque connexion.

Cartographie des groupes de ressources

Lorsqu’il est activé, le mappage des groupes de ressources vous permet d’assigner dynamiquement des membres à des groupes de ressources de votre organisation, sur la base des données fournies par votre fournisseur d’identité.

• Chemin de l'attribut IdP

  Chemin JSON vers un attribut dans les données de profil IdP de votre utilisateur. Tout comme pour le mappage de rôles, cela prend en charge la notation par points ou les URI pour SAML.

• Cartographie des groupes de ressources

  Une correspondance entre la valeur de l’attribut de l’IdP et un groupe de ressources de votre organisation Hugging Face. Vous pouvez attribuer un rôle spécifique (admin, write, contributor, read, inherit) à chaque correspondance de groupe de ressources.

Contrairement au Role Mapping, le Resource Group Mapping est additif. Si un utilisateur correspond à plusieurs mappings (par exemple, s'il appartient à plusieurs groupes dans votre IdP qui sont mappés vers différents Resource Groups), il sera ajouté à tous les Resource Groups correspondants.

En l'absence de correspondance, l'utilisateur ne sera affecté à aucun groupe de ressources.

Les groupes de ressources visés par une correspondance peuvent toujours être modifiés manuellement depuis l’interface ou l’API du Hub, mais ces modifications sont écrasées lors de la prochaine connexion SSO de l’utilisateur : un changement de rôle est rétabli au rôle correspondant, et un utilisateur supprimé manuellement est réintégré. Pour modifier de manière permanente l’accès d’un utilisateur correspondant, mettez à jour les données de votre IdP ou la configuration de la correspondance.

Correspondance des domaines d’adresse e-mail

Cette fonctionnalité ne concerne que le SSO de base. Avec le SSO géré, les comptes utilisateurs sont entièrement gérés par l’organisation, de sorte que la correspondance des domaines d’adresse e-mail ne s’applique pas.

Lorsqu’il est activé, « Correspondance des domaines d’adresse e-mail » n’autorise les membres de l’organisation à finaliser la SSO que si l’adresse e-mail fournie par votre fournisseur d’identité correspond à l’une de leurs adresses e-mail sur Hugging Face.

Pour ajouter un domaine d’adresse e-mail, remplissez le champ Matching email domains, appuyez sur la touche Entrée de votre clavier, puis enregistrez.

Collaborateurs externes

Les collaborateurs externes sont des utilisateurs situés en dehors de votre organisation qui ont besoin d’accéder à certaines de ses ressources sans passer par l’authentification unique (SSO). Cela signifie généralement qu’ils ne figurent pas dans votre fournisseur d’identité (IdP). Ils sont disponibles sur les plans payants et apparaissent avec un badge « Collaborateur externe » dans les listes de membres de votre organisation. Ils comptent dans le nombre de sièges payants de votre organisation.

Vous pouvez les ajouter en :

• Les inviter à rejoindre l’organisation : sur la page Members des paramètres de votre organisation, cochez External Collaborator lors de l’envoi de l’invitation.
• Convertir un membre existant : sur la page Membres, ouvrez le menu du membre et sélectionnez Convertir en collaborateur externe. Utilisez Convertir en membre pour revenir en arrière. Si votre organisation utilise le SSO, la personne devra se connecter via celui-ci par la suite pour conserver l’accès. Vous pouvez également effectuer cette opération via l’API.
• Partage d’un groupe de ressources ou d’un dépôt : si les invitations externes sont activées, les administrateurs du groupe de ressources peuvent inviter des personnes extérieures directement dans un groupe de ressources, y compris via Partager avec des collaborateurs externes sur la page de paramètres d’un dépôt. Ces utilisateurs rejoignent avec le rôle d’organisation no_access et n’obtiennent que ce groupe de ressources.

Les collaborateurs externes passent toujours par les contrôles d'accès de votre organisation (Resource Groups).

Avec Managed SSO, les membres internes sont provisionnés via votre fournisseur d’identité (SCIM), de sorte que les utilisateurs invités à l’organisation ne peuvent être ajoutés qu’en tant que collaborateurs externes.

Update on GitHub