Hub documentation
Сетевая безопасность
Сетевая безопасность
Эта функция входит в план Enterprise Plus.
Определите диапазоны IP-адресов вашей организации
Вы можете указать IP-адреса исходящего трафика вашей организации, чтобы обеспечить аутентифицированный доступ к Hugging Face из корпоративной сети.
Диапазоны исходящих IP-адресов заданы в формате CIDR. Например, 52.219.168.0/24 или 2600:1f69:7400::/40.
Вы можете добавить несколько диапазонов сразу, введя их через пробел или перенос строки. Каждый диапазон будет отображен в списке отдельно, и вы можете удалить любой из них.
После того как администраторы организации заполнят поле «Organization IP Ranges» в настройках Network Security, для активации настройки «Require login for users in your IP ranges» потребуется ручная верификация, которую совместно проводят Solution Engineers Hugging Face и администраторы организации.
Каждый диапазон IP в списке отображает значок статуса, чтобы вы могли видеть, какие диапазоны в настоящее время применены или ожидают проверки.
После ручной проверки «диапазонов IP организации» и включения администраторами организации обоих параметров «Ограничить доступ к организации только вашими диапазонами IP» и «Требовать вход для пользователей из ваших диапазонов IP» применяется следующий сценарий:
- Когда пользователь заходит на платформу, его IP-адрес проверяется.
- Если IP-адрес входит в диапазоны, определённые организацией, пользователь должен пройти аутентификацию (через SSO организации, если он включён).
- После аутентификации политика доступа к контенту определяет, к каким ресурсам пользователь может получить доступ.
Повышенные лимиты Hub
Большинство действий на Hub имеют ограничения; например, пользователям разрешено создавать ограниченное количество репозиториев в день. Enterprise Plus автоматически предоставляет вашим пользователям высокие лимиты частоты для каждого действия.
Кроме того, включение опции «Higher Hub Rate Limits» позволяет вашей организации пользоваться максимальными HTTP-лимитами на Hub API, что открывает возможность скачивать большие объемы моделей или наборов данных.
Для получения дополнительной информации об ограничениях частоты запросов см. документацию Ограничения частоты запросов Hub.
Ограничьте доступ к организации только вашими IP-диапазонами
Этот параметр ограничивает доступ к ресурсам вашей организации только теми, которые исходят из указанных вами диапазонов IP-адресов. Никто не сможет получить доступ к ресурсам вашей организации вне указанных диапазонов IP. Правила также распространяются на токены доступа. При включении этого параметра становятся доступными дополнительные вложенные настройки безопасности, перечисленные ниже.
Для автоматизированных рабочих процессов, выполняемых за пределами вашей корпоративной сети, вы можете освободить отдельный токен служебной учётной записи от этих ограничений и от Политики доступа к содержимому.
Требовать вход для пользователей из ваших IP-диапазонов
Когда эта опция включена, любой пользователь, посещающий Hugging Face из вашей корпоративной сети, должен быть авторизован и состоять в вашей организации (при изменении диапазонов IP требуется ручная верификация). Если опция включена, вы можете по желанию определить политику доступа к контенту.
Все публичные страницы будут отображать следующее сообщение, если доступ не аутентифицирован:
Политика доступа к контенту
Определите детализированную политику доступа к контенту, блокируя определённый контент Hugging Face Hub.
Например, вы можете запретить членам вашей организации доступ к Spaces. Когда пользователи вашей организации переходят к заблокированному контенту, им отображается следующая страница:
Чтобы определить блокируемый контент, добавьте правила, нацеленные на тип репозитория, организацию, конкретный репозиторий или их комбинацию, например, тип репозитория в рамках конкретной организации (например, все Spaces от определённой организации).
Поле Always allowed позволяет определить исключения из правил блокировки. Вы можете указать контент, который должен оставаться доступным, даже если на него распространяется правило блокировки.
Держите метаданные репозитория видимыми
По умолчанию, когда репозиторий блокируется политикой доступа к контенту, весь репозиторий становится недоступным. Включите опцию «Keep repository metadata visible», чтобы блокировать только содержимое репозитория, сохраняя при этом его метаданные видимыми.
Когда этот параметр включен, заблокированные репозитории по-прежнему отображают свои метаданные (карточку репозитория, страницу профиля и страницы списков), при этом блокируется только их содержимое: загрузка файлов, просмотрщик наборов данных, запуск Spaces и инференс моделей.
Управление сетевой безопасностью через API
Вы можете программно читать и обновлять настройки сетевой безопасности вашей организации через Hub API.
Справочник OpenAPI:
- GET /api/organizations/
/settings/network-security - PATCH /api/organizations/
/settings/network-security