Hub documentation
单点登录（SSO）
单点登录（SSO）
此功能属于 Team & Enterprise 计划的一部分。
Hugging Face 提供两种不同的 SSO 模型，分别针对不同的组织需求而设计。理解这两种方式之间的差异，是选择适合您团队的配置的关键。
概览
| 基本 SSO | 托管 SSO | |
|---|---|---|
| 计划 | 团队与企业 | 企业版 Plus |
| 范围 | 仅限组织资源 | 整个 Hugging Face 平台 |
| 替换 Hugging Face 登录 | 不 — 用户保留其现有的 Hugging Face 凭据 | 是的——你的 IdP 将成为唯一的登录方式 |
| 用户账户 | 用户保留其个人 Hugging Face 账户 | 账户由组织拥有和管理 |
| 个人内容 | 用户可以在其个人命名空间中创建内容 | 用户只能在组织内创建内容 |
| 多组织成员身份 | 用户可以属于多个组织 | 用户被限制在其管理组织内 |
| 用户配置 | 手动（SSO 加入链接）——或基于 Enterprise 的邀请式 SCIM | 完整生命周期（SCIM） |
| 设置 | 从组织设置中自助 | 需要与 Hugging Face 团队进行设置 |
| 外部协作者 | 是的 | 是的 |
| 协议 | SAML 2.0 和 OIDC | SAML 2.0 和 OIDC |
| 角色映射 | 是的 | 是的 |
| 资源组映射 | 是的 | 是的 |
基本 SSO
基础 SSO 在标准的 Hugging Face 登录之上增加了一层访问控制。它不会取代 Hugging Face 登录——成员保留其现有凭据，仅在访问您组织的资源时才会被提示完成 SSO。
这非常适合希望在保留个人 Hugging Face 账户灵活性的同时，安全地管理组织资源访问权限的团队。您可以从组织的设置中自行完成配置。
托管 SSO
托管 SSO 完全取代了 Hugging Face 登录。您的身份提供商将成为整个 Hugging Face 平台唯一的身份验证方式。组织可以控制完整的用户生命周期，从账户创建到停用。
此方案专为需要完全掌控身份、访问权限和数据治理的企业而设计。托管账户具有特定限制（禁止个人内容，协作须绑定至组织）。设置过程需要与 Hugging Face 团队进行协调。
用户配置（SCIM）
两种 SSO 模型均支持 SCIM（跨域身份管理系统），用于从您的身份提供商自动完成用户配置。这两种模型对 SCIM 的使用方式有所不同，这与它们各自的设计理念保持一致：
- 基础 SSO（企业版套餐）：SCIM 可自动化向现有 Hugging Face 用户发送加入您组织的邀请。用户必须接受邀请才能加入。
- 托管 SSO（Enterprise Plus 套餐）：SCIM 管理完整的用户生命周期——包括账户创建、资料更新和停用。
有关详细信息，请参阅 用户配置 (SCIM) 指南。
您应该选择哪个模型？
如果团队需要在允许成员保留自己的 Hugging Face 账户并参与更广泛社区的同时，保护对组织资源的访问，请选择基础 SSO。
如果您的企业需要对所有用户账户进行集中控制、自动化的账户开通与注销，以及严格的数据治理策略（以防止在组织外部创建任何内容），请选择托管 SSO。
两种模型均支持 SAML 2.0 和 OIDC 协议，并可与 Okta、Microsoft Entra ID (Azure AD) 和 Google Workspace 等主流身份提供商集成。