Sécurité du réseau

Cette fonctionnalité fait partie de l'offre Enterprise Plus.

Définissez les plages d'IP de votre organisation

Vous pouvez lister les adresses IP du trafic sortant de votre organisation pour imposer un accès authentifié à Hugging Face depuis votre réseau d’entreprise. Les plages d’adresses IP sortantes sont définies au format CIDR. Par exemple, 52.219.168.0/24 ou 2600:1f69:7400::/40.

Vous pouvez ajouter plusieurs plages d’une seule fois en les saisissant séparées par des espaces ou des sauts de ligne. Chaque plage est ensuite listée individuellement, et vous pouvez supprimer n’importe quelle plage de la liste.

Une fois que les administrateurs de l’organisation ont renseigné les « Organization IP Ranges » dans les paramètres de sécurité réseau, une vérification manuelle—réalisée conjointement par les ingénieurs solutions de Hugging Face et les administrateurs de l’organisation—est requise pour que le paramètre « Require login for users in your IP ranges » devienne disponible.

Chaque plage d'adresses IP de la liste affiche un badge de statut, vous permettant de voir quelles plages sont actuellement appliquées ou en attente de validation.

Une fois les « Organization IP Ranges » manuellement vérifiées et que les administrateurs de l’organisation ont activé à la fois « Restrict organization access to your IP ranges only » et « Require login for users in your IP ranges », le flux suivant s’applique :

• Lorsqu'un utilisateur accède à la plateforme, son adresse IP est vérifiée.
• Si l’IP se situe dans les plages définies par l’organisation, l’utilisateur doit s’authentifier (via le SSO de l’organisation si celui-ci est activé).
• Une fois authentifié, c'est la politique d'accès au contenu qui détermine les ressources auxquelles l'utilisateur peut accéder.

Limites de débit supérieures de Hub

La plupart des actions sur le Hub sont soumises à des limites ; par exemple, les utilisateurs sont limités à la création d'un certain nombre de dépôts par jour. Enterprise Plus accorde automatiquement à vos utilisateurs des limites de débit élevées pour chaque action.

De plus, l’activation de l’option « Higher Hub Rate Limits » permet à votre organisation de bénéficier des limites de débit HTTP les plus élevées sur l’API du Hub, débloquant ainsi de gros volumes de téléchargements de modèles ou de jeux de données.

Pour plus d'informations sur les limites de débit, consultez la documentation Hub Rate limits.

Restreindre l’accès à l’organisation à vos plages d’adresses IP uniquement

Cette option restreint l’accès aux ressources de votre organisation aux seules requêtes provenant de vos plages d’adresses IP définies. Personne ne peut accéder aux ressources de votre organisation en dehors de vos plages d’adresses IP. Les règles s’appliquent également aux jetons d’accès. Une fois activée, cette option déverrouille des paramètres de sécurité imbriqués supplémentaires ci-dessous.

Pour les flux de travail automatisés qui s’exécutent en dehors de votre réseau d’entreprise, vous pouvez exempter un jeton de compte de service individuel de ces restrictions et de la politique d’accès au contenu.

Exiger la connexion pour les utilisateurs de vos plages d'adresses IP

Lorsque cette option est activée, toute personne accédant à Hugging Face depuis votre réseau d’entreprise doit être connectée et appartenir à votre organisation (une vérification manuelle est requise lorsque les plages d’adresses IP ont changé). Si activée, vous pouvez définir facultativement une politique d’accès au contenu.

Toutes les pages publiques afficheront le message suivant si l'accès est non authentifié :

Politique d'accès au contenu

Définissez une politique d'accès au contenu fine en bloquant des contenus spécifiques du Hugging Face Hub.

Par exemple, vous pouvez empêcher les membres de votre organisation d’accéder aux Spaces. Lorsque les utilisateurs de votre organisation accèdent à un contenu bloqué, la page suivante s’affiche :

Pour définir le contenu bloqué, ajoutez des règles qui ciblent un type de dépôt, une organisation, un dépôt spécifique ou une combinaison, comme un type de dépôt au sein d'une organisation donnée (par exemple, tous les Spaces d'une organisation spécifique).

Le champ Toujours autorisé vous permet de définir des exceptions aux règles de blocage. Vous pouvez cibler le contenu qui doit rester accessible même lorsqu'une règle de blocage s'appliquerait autrement.

Garder les métadonnées du dépôt visibles

Par défaut, lorsqu’un dépôt est bloqué par la politique d’accès au contenu, l’ensemble du dépôt devient inaccessible. Activez l’option « Conserver les métadonnées du dépôt visibles » pour bloquer uniquement le contenu d’un dépôt tout en gardant ses métadonnées visibles.

Lorsque cette option est activée, les dépôts bloqués affichent toujours leurs métadonnées (carte du dépôt, pages de profil et de liste), et seul leur contenu est bloqué : téléchargement de fichiers, visionneuse de jeux de données, exécution des Spaces et inférence des modèles.

Gérer la sécurité du réseau via l'API

Vous pouvez lire et mettre à jour les paramètres de sécurité réseau de votre organisation de manière programmatique via l’API du Hub.

Référence OpenAPI :

• GET /api/organizations//settings/network-security
• PATCH /api/organizations//settings/network-security

Update on GitHub