ユーザー管理

この機能は、Team & Enterprise プランの一部です。

SSOが有効化されている組織では、以下の機能が利用できます。各モードの詳細については、Basic SSOおよびManaged SSOを参照してください。

セッションのタイムアウト

この値は、組織のメンバーのセッション期間を設定します。

この期間が経過すると、メンバーは組織のリソースにアクセスするために、Identity Provider による再認証を求められるようになります。

デフォルト値は7日間です。

ロールマッピング

有効にすると、Role Mapping を使用して、Identity Provider から提供されたデータに基づいて、組織のメンバーに ロール を動的に割り当てることができます。

このセクションでは、Hugging Face に割り当てられるロールへの、IdP のユーザープロファイルデータのマッピングを定義できます。

• IdPロール属性パス

  ユーザーの IdP プロファイルデータ内の属性への JSON パスです。 ドット記法をサポートしています（例: user.role または groups）。 SAML の場合、URI（例: http://schemas.microsoft.com/ws/2008/06/identity/claims/role）を指定できます。

• ロールマッピング

  Hugging Face 組織内で割り当てられたロールへの、IdP 属性値からのマッピング。

  利用可能なロールはadmin、write、contributor、readです。詳細はロールのドキュメントを参照してください。

設定で少なくとも1つのadminロールをマッピングする必要があります。

IdPレスポンス内の属性が複数の値（例: グループのリスト）を含み、複数のマッピングに一致する場合、ユーザーには最も権限の高い一致するロールが割り当てられます。ロールの階層は、権限が低い順から高い順に、read < contributor < write < admin です。

一致しない場合、ロールは次のように決定されます。

• ユーザーが特定のロールで組織に招待された場合、その招待時のロールがフォールバックとして使用されます。
• それ以外の場合、ユーザーには組織のデフォルトロールが割り当てられます。デフォルトロールは、組織の設定のMembersセクションでカスタマイズできます。

SSOロールマッピングによって制御されるロールを持つユーザーを招待する場合、招待モーダルで選択したロールは、そのユーザーがSSOプロバイダーにまだロールが割り当てられていない場合にのみ適用されます。

ロールの同期は、すべてのログイン時に実行されます。

リソースグループのマッピング

有効にすると、Resource Group Mapping を使用して、Identity Provider から提供されるデータに基づいて、組織内のリソースグループにメンバーを動的に割り当てることができます。

• IdP 属性パス

  ユーザーの IdP プロファイルデータ内の属性への JSON パスです。と同様に、SAML にはドット記法または URI がサポートされます。

• リソースグループのマッピング

  Hugging Face 組織内のリソースグループへの IdP 属性値のマッピングです。各リソースグループのマッピングに対して、特定のロール（admin、write、contributor、read、inherit）を割り当てることができます。

Role Mappingとは異なり、Resource Group Mappingは加算的です。ユーザーが複数のマッピングに一致する場合（例: IdP内で異なるResource Groupにマッピングされている複数のグループに所属している場合）、そのユーザーは一致したすべてのResource Groupに追加されます。

一致しない場合、ユーザーはどのリソースグループにも割り当てられません。

マッピングの対象となるリソースグループは、Hub の UI または API から手動で編集できますが、ユーザーの次回 SSO ログイン時にこれらの編集は上書きされます。ロールの変更はマッピングされたロールに元に戻され、手動で削除されたユーザーは再追加されます。マッピングされたユーザーのアクセス権を恒久的に変更するには、IdP のデータまたはマッピング設定を更新してください。

メールドメインの一致

この機能はBasic SSOにのみ関連します。Managed SSOでは、ユーザーアカウントが組織によって完全に管理されるため、メールドメインの一致は適用されません。

有効にすると、「Matching email domains」は、アイデンティティプロバイダーによって提供されたメールアドレスが、Hugging Face 上のメンバーのメールアドレスのいずれかと一致する場合にのみ、組織メンバーが SSO を完了できるようにします。

メールドメインを追加するには、Matching email domainsフィールドに値を入力し、キーボードのEnterキーを押して保存してください。

外部コラボレーター

External collaboratorsは、Single Sign-On (SSO) を介さずに組織の一部のリソースにアクセスする必要がある、組織外の利用者を指します。通常、これは彼らがあなたのIdentity Provider (IdP) に存在しないことを意味します。External collaboratorsは有料プランで利用可能であり、組織のメンバーリストには「External collaborator」バッジ付きで表示されます。なお、External collaboratorsは組織の有料シート数にカウントされます。

以下の方法で追加できます:

• 組織への招待: 組織設定のMembersページで、招待を送信する際にExternal Collaboratorにチェックを入れます。
• 既存のメンバーの変換: メンバーページで、対象メンバーのメニューを開き、外部コラボレーターに変換を選択します。元に戻すには、メンバーに変換を使用します。組織で SSO を使用している場合、アクセスを維持するために、その後 SSO 経由でサインインする必要があります。また、API を通じてこれを行うこともできます。
• リソースグループまたはリポジトリの共有: 外部招待が有効な場合、リソースグループの管理者は、リポジトリの設定ページにある外部のコラボレーターと共有からでも、外部のユーザーをリソースグループに直接招待できます。これらのユーザーはno_access組織ロールで参加し、そのリソースグループのみが割り当てられます。

外部の共同作業者は、引き続き組織のアクセス制御（リソースグループ）の対象となります。

Managed SSOを使用すると、内部メンバーはアイデンティティプロバイダー（SCIM）を通じてプロビジョニングされるため、組織に招待されたユーザーは外部コラボレーターとしてのみ追加できます。

Update on GitHub