Hub documentation
用户管理
用户管理
此功能属于 Team & Enterprise 计划的一部分。
以下功能可供已启用 SSO 的组织使用。有关每种模式的详细信息，请参阅 基础 SSO 和 托管 SSO。
会话超时
此值用于设置您组织成员的会话持续时间。
在此时间之后，成员将被要求使用您的身份验证提供商重新进行身份验证，以访问该组织的资源。
默认值为 7 天。
角色映射
启用后，角色映射允许您根据身份提供商提供的数据，动态地为组织成员分配角色。
本节允许您将 IdP 的用户个人资料数据映射到 Hugging Face 中分配的角色。
IdP 角色属性路径
指向用户 IdP 个人资料数据中某个属性的 JSON 路径。 它支持点号表示法（例如
user.role或groups）。 对于 SAML，这可以是一个 URI（例如http://schemas.microsoft.com/ws/2008/06/identity/claims/role）。角色映射
从 IdP 属性值到 Hugging Face 组织中分配角色的映射。
可用的角色包括
admin、write、contributor和read。有关更多详细信息，请参阅 角色文档。
您必须在配置中至少映射一个
admin角色。
如果 IdP 响应中的属性包含多个匹配多个映射的值（例如一组群组列表），则用户会被分配权限最高的匹配角色。角色权限层级从低到高依次为 read < contributor < write < admin。
如果没有匹配项，角色将按以下方式确定：
- 如果用户是以特定角色被邀请加入组织的，则该邀请角色将用作回退角色。
- 否则，用户将被分配给您组织的默认角色。默认角色可以在组织设置的
Members部分进行自定义。
当邀请一个其角色将由 SSO 角色映射控制的用户时，仅在邀请弹窗中选择的角色仅在该用户尚未在您的 SSO 提供商中被分配角色的情况下生效。
角色同步会在每次登录时执行。
资源组映射
启用后，资源组映射允许您根据身份提供商提供的数据，将成员动态分配到您组织中的资源组。
IdP 属性路径
指向用户 IdP 个人资料数据中某个属性的 JSON 路径。与角色映射类似，此功能支持点号表示法或用于 SAML 的 URI。
资源组映射
从 IdP 属性值到 Hugging Face 组织中资源组的映射。您可以为每个资源组映射分配一个特定角色（
admin、write、contributor、read、inherit）。
与角色映射不同，资源组映射是累加的。如果用户匹配了多个映射（例如，该用户属于 IdP 中映射到不同资源组的多个组），则会被添加到所有匹配的资源组中。
如果没有匹配项，用户将不会被分配到任何资源组。
映射所针对的资源组仍可通过 Hub UI 或 API 手动编辑，但这些更改会在用户下次通过 SSO 登录时被覆盖：角色变更将被还原为映射的角色，而被手动移除的用户将被重新添加。若要永久更改映射用户的访问权限，请更新您的 IdP 数据或映射配置。
匹配电子邮件域名
此功能仅适用于Basic SSO。在使用Managed SSO时，用户账户由组织完全管理，因此电子邮件域名匹配不适用。
启用后，“匹配电子邮件域名”仅允许组织成员在身份提供商提供的电子邮件与其在 Hugging Face 上的某个电子邮件匹配时完成 SSO。
要添加电子邮件域名，请填写“匹配的电子邮件域名”字段，在键盘上按回车键，然后保存。
外部协作者
外部协作者是组织外部的用户，他们需要访问组织的部分资源，但无需通过单点登录（SSO）。这通常意味着他们不在您的身份提供商（IdP）中。外部协作者功能仅在付费计划中可用，并在组织的成员列表中显示“外部协作者”徽章。他们计入组织的付费席位数量。
您可以通过以下方式添加它们：
- 邀请他们加入组织：在组织的设置中的 Members 页面上，发送邀请时勾选 External Collaborator。
- 转换现有成员：在 Members 页面上，打开该成员的菜单并选择 转换为外部协作者。使用 转换为成员 可将其切换回成员。如果您的组织使用 SSO，他们之后需要通过 SSO 登录才能保留访问权限。您也可以通过 API 执行此操作。
- 共享资源组或仓库：如果启用了 外部邀请，资源组管理员可以直接将外部人员邀请到资源组中，包括通过仓库设置页面上的 与外部协作者共享 功能。这些用户将以
no_access组织角色加入，并且只能访问该资源组。
外部协作者仍需通过您组织的访问控制（资源组）。
Update on GitHub使用 Managed SSO 时，内部成员会通过您的身份提供商（SCIM）进行配置，因此受邀加入组织的用户只能作为外部协作者添加。