Yönetilen SSO'ya Geçiş

Bu özellik, Enterprise Plus planının bir parçasıdır.

Bu kılavuz, mevcut bir kuruluşu standart bir kuruluştan Yönetilen SSO kuruluşuna dönüştüren kuruluş yöneticileri içindir.

Başlamadan önce anlamak için en önemli nokta: üyelerin mevcut kişisel Hugging Face hesapları yönetilen hesaplara dönüştürülmez. Her üyeye, Kimlik Sağlayıcınız (IdP) tarafından sağlanan yepyeni bir yönetilen hesap verilir. Bir üyenin hesabı sağlanmadan önce, kişisel hesabındaki iş e-posta adresini boşaltması gerekir.

Bu kılavuz boyunca örnek bir organizasyon adı olarak my-org kullanıyoruz.

Ön koşullar

SSO organizasyonunuzda zaten yapılandırılmış, test edilmiş ve etkinleştirilmiş olmalıdır. Göç işlemi mevcut OIDC veya SAML uygulamanızı yeniden kullanır.

Göç adımları

1. Üyelerinizi hazırlayın. Üyelerinizle öncesi göç kontrol listesini gözden geçirin.
2. Hugging Face ile iletişime geçin. Hugging Face ekibiyle iletişime geçin ve geçişi onaylayın. Organizasyonu dönüştürüp my-org:owner break-glass hesabının kimlik bilgilerini size gönderiyoruz.
3. Üyelerin iş e-posta adreslerini serbest bırakmasını sağlayın. İş e-posta adreslerini serbest bırakma başlığını inceleyin. Bunu, tedarik etmeyi (provisioning) etkinleştirmeden önce yapın: SSO uygulamanıza atanmış kullanıcılar, SCIM açılır açılmaz tedarik edilir. Hugging Face ekibi, kişisel hesaplarında hâlâ bir iş e-posta adresi bulunan üyelerin listesini size gönderebilir; böylece onlarla iletişime geçebilirsiniz.
4. Set up SCIM in your IdP. Organizasyonunuzun SSO → SCIM ayarlarındaki SCIM Kiracı URL'sini ve belirteçini mevcut OIDC veya SAML uygulamanızda kullanın, ardından IdP'niz için rehberi izleyin.
   • Okta: Okta kılavuzunu, 3. Adım dahil olmak üzere izleyin. Name ID, Okta kullanıcı kimliği olmalıdır.
   • Microsoft Entra ID: Entra ID kılavuzunu izleyin. userName, kullanıcı adı kurallarına uygun olmalıdır; bu nedenle jdoe@example.com gibi e-posta biçimindeki değerler reddedilir.
   • Diğer IdP'ler: aynı kullanıcı adı kurallarıyla User Provisioning (SCIM) bölümüne bakın.
5. IdP'nizde kullanıcılar ve gruplar atayın. Yönetilen hesaplar, kullanıcılar sağlandıkça oluşturulur.
6. Her üyenin yönetilen hesabı oluşturulur oluşturulmaz, organizasyondaki kalan kişisel hesapları kaldırın. Bu adım güvenlik açısından gereklidir, çünkü kişisel hesaplar kaldırılana kadar erişimlerini korur. Bunların kaldırılması, aynı zamanda organizasyonun Kaynak Gruplarından da çıkarılmasını sağlar.
7. (İsteğe bağlı) Grupları Resource Group ve rollerine eşleyin. SCIM gruplarınızı Resource Group'lara bağlayın ve IdP'nizden organizasyon rollerini atamak için Role Mapping yapılandırın. Bir Resource Group, yalnızca üyesi yoksa ve auto-join kapalıysa bir SCIM grubuna bağlanabilir. Auto-join açıksa, yeni oluşturulan yönetilen hesaplar da gruba eklenir; bu nedenle kullanıcıları provision etmeden önce kapatın veya bağlamadan önce kalan tüm üyeleri kaldırın.

Değişiklikler

Dönüşümün yaptığı iş

• Dönüşüm, Hugging Face ekibi tarafından yapılır. Kendi kendine yapılabilecek bir anahtar yoktur. Talepte bulunduğunuzda, Hugging Face ekibi organizasyonunuzu yönetilen moda geçirir.
• Organizasyonunuzun içeriği ve yapılandırması olduğu gibi kalır. Depolar, ayarlar, Resource Groups ve mevcut SSO yapılandırmanız (OIDC veya SAML uygulaması) korunur. Aynı IdP uygulamasını kullanmaya devam edersiniz, ancak bazı ayarların SCIM için ayarlanması gerekebilir (bkz. 4. adım).
• Bir acil durum yönetici hesabı oluşturulur, adı my-org:owner'dır. Kullanıcı adı ve şifre ile (SSO üzerinden değil) oturum açar ve organizasyonun yöneticisidir. Hugging Face ekibi bu hesabın kimlik bilgilerini sizinle paylaşır. Bunları güvenli bir şekilde saklayın: bu hesap, IdP'niz kullanılamadığında veya yanlış yapılandırıldığında organizasyonunuza erişmenizi sağlar.
• SSO artık isteğe bağlı yapılamaz. Yine de tamamen devre dışı bırakılabilir.

Yönetilen bir kuruluşta SSO'yu devre dışı bırakmak, yönetilen hesapların şifresi olmadığı için tüm yönetilen kullanıcıları kilitler.

Yönetilen hesaplar yeni hesaplardır

• Mevcut kişisel Hugging Face hesapları değil, yönetilen hesaplara dönüştürülmez, birleştirilmez veya bağlanmaz. Her üyeye, kullanıcı IdP'de atandığında IdP'niz tarafından SCIM aracılığıyla oluşturulan yeni bir hesap verilir.
• Yönetilen kullanıcı adları, organizasyon adıyla başlar: <org-name>:<username>, örneğin my-org:jdoe.
• Yönetilen kullanıcılar yalnızca IdP'niz üzerinden oturum açar. Hugging Face şifreleri yoktur ve “Şifremi unuttum” onlar için çalışmaz.
• Yönetilen hesaplar, yönetilen hesaplara yönelik kısıtlamalara tabidir.

Üyelik

• Düzenli üyeler artık davet yoluyla eklenemez. Dahili üyeler SCIM üzerinden sağlanmalıdır.
• Davetler yalnızca dış paydaşlar için geçerli kalmaktadır.

Organizasyondaki mevcut kişisel hesaplar

Dönüşümün ardından organizasyonun üyesi olmaya devam eden kişisel hesaplar rollerini korur. Erişim belirteçleri, zaten yetkilendirdikleri OAuth uygulamaları ve git over SSH çalışmaya devam eder, çünkü bunlar SSO ile karşılaştırılmaz. Artık organizasyona yeni bir SSO oturumu başlatamazlar:

• Kullanıcı kişisel hesabıyla oturum açtıysa veya bu hesap zaten IdP'nize bağlandıysa, şunu görür: You cannot login with SSO with this account because it's not managed by this organization. Contact your organization administrators.
• Aksi takdirde, User not found görürler.

Göç yapmadan önce

Dönüşüm talebinde bulunmadan önce bu kontrol listesini üyelerinizle birlikte gözden geçirin:

• Kişisel depolar: Yeni yönetilen hesaplarıyla erişimini sürdürmek istedikleri kişisel ad alanlarındaki depoları olan üyeler, geçişten önce bunları kuruluşa aktarmalıdır. Yönetilen hesaplar, kişisel ad alanında içerik sahibi olamaz. Üyeler, kişisel (yönetilmeyen) hesapları aracılığıyla kişisel ad alanlarındaki tüm depolara erişmeye devam edebilir.
• Tokenlar ve otomasyon: Kişisel hesaplardan gelen tokenlar, hesap organizasyondan kaldırılana kadar organizasyona erişimlerini korur. Betikleri, CI işlerini ve pipeline'ları hizmet hesaplarına veya geçişten sonra yönetilen hesaplardan oluşturulan tokenlara taşıyın, ardından eski hesapları kaldırın.
• Diğer kuruluşlar: Yönetilen hesaplar diğer kuruluşlara katılamaz. Diğer kuruluşlarda çalışmaya devam etmesi gereken üyeler, ayrı bir kişisel hesap tutmalıdır (aşağıdaki 2. seçenek’e bakın).
• İş e-posta adresleri: Her üye, sistemde oluşturulmadan önce iş e-posta adresini boşaltmalıdır. İş e-posta adreslerini boşaltma bölümüne bakın.

İş e-posta adreslerini serbest bırakma

Bir e-posta adresi yalnızca bir Hugging Face hesabına ait olabilir. Bu, bir hesabın tüm e-posta adresleri için geçerlidir; birincil ve ikincil adresler dahil. Eşleştirme büyük/küçük harf duyarsızdır.

SCIM, kişisel bir hesap tarafından zaten kullanılan bir iş e-posta adresiyle yönetilen bir hesap oluşturmaya çalıştığında, provisioning 409 hatasıyla başarısız olur:

The email address (jdoe@example.com) is already associated with another Hugging Face account. Please delete the account.

IdP'niz bu durumu, ilgili kullanıcı için bir tedarik hatası olarak gösterir.

Bunu önlemek için her üye, aşağıdaki iki seçenekten birini kullanarak, kendilerine erişim verilmeden önce iş e-posta adreslerini boşaltmalıdır.

Hangi seçeneği seçmeliyim?

• Hugging Face hesabınızı yalnızca bu organizasyondaki işler için kullanıyorsanız, 1. seçeneği olan kişisel hesabı silmeyi seçin.
• Ayrıca açık kaynak işleri, kişisel projeler veya diğer kuruluşlar için de kullanıyorsanız, 2. seçeneğini seçin: kişisel hesabı koruyun ve iş e-postasını bu hesaptan kaldırın.

Seçenek 1: Kişisel hesabı sil

Kişisel hesabınızı hesap ayarlarınızdan silin. Bu işlem, kişisel ad alanınızdaki tüm depoları kalıcı olarak siler ve sizi her organizasyondan çıkarır.

Bir hesabın silinmesi kalıcıdır. Saklamak istediğiniz depoları önce organizasyona aktarın.

Eğer başka bir organizasyonun tek yöneticisiyseniz silme işlemi engellenir. Önce o organizasyona başka bir yönetici ekleyin veya organizasyonu silin. Göç edilen organizasyon bir sorun değildir, çünkü my-org:owner aynı zamanda bir yöneticidir.

Seçenek 2: Kişisel hesabı koru

1. Hesap ayarlarınızda kişisel bir e-posta adresi ekleyin ve doğrulayın.
2. Kişisel e-posta adresinizi birincil e-posta olarak belirleyin.
3. İş e-posta adresini tamamen kaldırın. İkincil e-posta olarak bırakmak yeterli değildir.

Yönetilen hesabınız oluşturulana kadar kişisel hesabınızı organizasyonda tutun. Ardından yöneticiniz bunu kaldırır.

Kurumunuzda zaten Yönetilen SSO etkinse ve doğrulanmış bir e-posta alan adınız varsa, bu alan adına ait bir e-posta adresiyle oturum açmaya çalıştığınızda kurumun SSO sayfasına yönlendirilirsiniz. Kişisel hesabınıza oturum açmak için bunun yerine kullanıcı adınızı kullanın.

İş e-postası boşaldığında, yönetici o kullanıcı için IdP'de tedarik işlemini yeniden deneyebilir veya bir sonraki senkronizasyonun bunu almasını bekleyebilir.

Göçten sonra

Kullanıcı yaşam döngüsü IdP'nizden yönetilir:

• Devre dışı bırakılan bir kullanıcı, IdP'nizdeki organizasyondan kaldırılır. Aynı kullanıcı daha sonra yeniden etkinleştirilirse, mevcut yönetilen hesabı yeniden kullanılır.
• SCIM üzerinden bir kullanıcıyı silmek, yönetilen hesabını kalıcı olarak siler. Deprovisioning bölümüne bakın.