Provisionnement des utilisateurs (SCIM)

Cette fonctionnalité fait partie des plans Enterprise et Enterprise Plus.

SCIM (System for Cross-domain Identity Management) est une norme pour l’automatisation du provisionnement des utilisateurs. Elle vous permet de connecter votre Identity Provider (IdP) à Hugging Face afin de gérer les membres de votre organisation.

SCIM fonctionne différemment selon votre modèle SSO. Pour une comparaison détaillée, consultez la vue d’ensemble du SSO.

SSO de base : approvisionnement basé sur des invitations

Avec Basic SSO (plan Enterprise), SCIM automatise l'invitation des utilisateurs existants de Hugging Face à votre organisation.

• Les utilisateurs doivent déjà posséder un compte Hugging Face avant de pouvoir être provisionnés via SCIM
• Lorsque votre IdP provisionne un utilisateur, Hugging Face lui envoie un e-mail d’invitation pour rejoindre l’organisation
• L'utilisateur doit accepter l'invitation pour devenir membre — le provisionnement n'accorde pas un accès immédiat
• SCIM ne peut pas modifier les informations du profil utilisateur (nom, e-mail, nom d'utilisateur) — l'utilisateur conserve le contrôle total de son compte Hugging Face
• Lorsqu'un utilisateur est déprovisionné dans votre IdP, son invitation est désactivée et son accès à l'organisation est révoqué

SSO géré : approvisionnement du cycle de vie complet

Avec Managed SSO (offre Enterprise Plus), SCIM gère le cycle de vie complet des utilisateurs sur Hugging Face.

• SCIM crée un nouveau compte Hugging Face lors de la provision d'un utilisateur — aucun compte existant n'est nécessaire
• L'utilisateur est immédiatement ajouté à l'organisation en tant que membre, sans étape d'invitation
• SCIM peut mettre à jour les informations du profil utilisateur (nom, e-mail, nom d'utilisateur) au fur et à mesure que des modifications surviennent dans votre IdP
• Lorsqu'un utilisateur est déprovisionné dans votre IdP, son compte Hugging Face est désactivé et son accès est révoqué

Comment activer SCIM

Pour activer SCIM, accédez aux paramètres de votre organisation, naviguez vers l'onglet SSO, puis sélectionnez le sous-onglet SCIM.

Vous trouverez l'URL du locataire SCIM et un bouton pour générer un jeton SCIM. Vous aurez besoin de ces deux éléments pour configurer votre IdP. Le jeton SCIM est un secret et doit être stocké de manière sécurisée dans la configuration de votre IdP.

Une fois SCIM activé dans votre IdP, les utilisateurs provisionnés apparaîtront dans l’onglet Gestion des utilisateurs et les groupes provisionnés dans l’onglet SCIM des paramètres de votre organisation.

Provisionnement de groupe

En plus de la gestion des utilisateurs, SCIM prend en charge la gestion des groupes. Les groupes envoyés depuis votre IdP sont stockés sous forme de groupes SCIM sur Hugging Face et peuvent être liés aux Resource Groups depuis l’onglet SCIM des paramètres de votre organisation.

Lier un groupe SCIM à un groupe de ressources

Pour lier un groupe SCIM, accédez à l’onglet SSO → SCIM de votre organisation. Les groupes provisionnés sont répertoriés dans un tableau. Dans la colonne Resource Groups, chaque groupe affiche soit un bouton Link resource groups (si aucun lien n’existe encore), soit le nombre de groupes de ressources actuellement liés (par exemple « 2 resource groups »). En cliquant sur l’un ou l’autre, une fenêtre modale s’ouvre, permettant d’ajouter un ou plusieurs groupes de ressources, chacun avec son propre attribut de rôle. Vous pouvez également modifier ou supprimer les liens existants depuis la même fenêtre modale.

Avant d’établir le lien, assurez-vous que les conditions suivantes sont remplies :

• Le Resource Group ne doit avoir aucun membre existant. L’association à un Resource Group non vide n’est pas autorisée.
• Le Resource Group ne doit pas avoir l’auto-join activé. L’auto-join (qui ajoute automatiquement chaque nouveau membre de l’organisation au RG) est mutuellement exclusif avec la gestion SCIM. Désactivez l’auto-join sur le RG avant de l’associer.

Un groupe SCIM peut être lié à plusieurs groupes de ressources, chacun ayant son propre rôle.

Ce qui se passe après le lien

Une fois qu'un groupe SCIM est lié à un groupe de ressources :

• Backfill : Tout membre déjà présent dans le groupe SCIM est immédiatement ajouté au groupe de ressources avec le rôle configuré.
• Ongoing sync: Les modifications d’affiliation dans votre IdP sont automatiquement prises en compte :
  • Lorsqu'un utilisateur est ajouté au groupe dans votre IdP, il est ajouté à tous les groupes de ressources liés.
  • Lorsqu’un utilisateur est supprimé du groupe dans votre IdP, il est retiré de tous les groupes de ressources liés, à l’exception de ceux auxquels l’utilisateur est lié via d’autres groupes SCIM. Pour ceux-ci, le rôle de l’utilisateur est mis à jour vers le rôle « le plus élevé » accordé par les autres groupes SCIM.
  • Lorsqu’un groupe SCIM est supprimé dans votre IdP, tous ses membres sont retirés des Resource Groups liés, à l’exception des utilisateurs qui appartiennent à ces Resource Groups via d’autres groupes SCIM. Pour chacun de ces Resource Groups, les rôles des utilisateurs sont mis à jour vers le rôle « le plus élevé » accordé par les autres groupes SCIM.
• Modifications de rôles : si vous mettez à jour le rôle sur un lien, les rôles de tous les membres actuels du groupe dans ce Resource Group sont mis à jour immédiatement.

Groupes de ressources gérés par SCIM

Un groupe de ressources lié à un groupe SCIM est considéré comme géré par SCIM. L’IdP est la seule source de vérité pour ses utilisateurs réguliers. Par conséquent :

• Les modifications manuelles d’adhésion via l’interface ou l’API du Hub sont bloquées pour les utilisateurs réguliers — toute tentative d’ajouter, de supprimer ou de modifier le rôle d’un utilisateur régulier dans un groupe de ressources géré par SCIM renverra une erreur 403.
• Les comptes de service font exception : comme ils ne sont jamais provisionnés via SCIM, vous pouvez toujours ajouter, supprimer ou modifier manuellement le rôle d’un compte de service sur un groupe de ressources géré par SCIM.
• L'auto-join ne peut pas être activé sur un groupe de ressources géré par SCIM. Pour réactiver l'auto-join, supprimez d'abord le lien SCIM.

Dans les paramètres du groupe de ressources, un groupe de ressources géré par SCIM affiche un badge SCIM synced, et le formulaire de membres indique que seuls les comptes de service peuvent être ajoutés ou supprimés manuellement.

La provision de groupes fonctionne de la même manière pour le SSO de base et le SSO géré.

Attributs utilisateur pris en charge

Le point de terminaison SCIM de Hugging Face prend en charge les attributs d'utilisateur suivants :

Attribut	Description	SSO de base	SSO géré
userName	Nom d'utilisateur Hugging Face	Lecture seule	Lecture/Écriture
name.givenName	Prénom	Lecture seule	Lecture/Écriture
name.familyName	Nom	Lecture seule	Lecture/Écriture
emails[type eq "work"].value	Adresse e-mail	Lecture seule	Lecture/Écriture
externalId	Identifiant attribué par l'IdP	Lecture/Écriture	Lecture/Écriture
active	Si l'utilisateur est un membre actif	Lecture/Écriture	Lecture/Écriture

Avec le SSO de base, seuls active et externalId peuvent être modifiés via SCIM — tous les autres attributs sont contrôlés par l'utilisateur sur son compte Hugging Face.

Pour le provisionnement de groupes, les attributs pris en charge sont displayName, members et externalId.

Déprovisionnement

Le comportement de déprovisionnement dépend de la méthode de suppression de l'utilisateur et du modèle SSO utilisé.

Définir active sur false (déprovisionnement doux) :

• L'utilisateur perd l'accès à l'organisation
• Avec SSO de base : l’invitation est désactivée
• Avec le SSO géré : l’utilisateur est retiré de l’organisation, mais son compte et son contenu sont conservés — cette opération est réversible en rétablissant active à true

Suppression de l'utilisateur via SCIM (déprovisionnement définitif) :

• Avec le SSO de base : l’utilisateur est retiré de l’organisation et de tous ses groupes de ressources. Son compte Hugging Face et son contenu personnel ne sont pas affectés — il perd simplement son adhésion à votre organisation.
• Avec le SSO géré : le compte Hugging Face de l'utilisateur est définitivement supprimé, ainsi que tout le contenu qu'il a créé. Cette action est irréversible.

Fournisseurs d'identité pris en charge

Nous prenons en charge SCIM avec tout IdP qui implémente le protocole SCIM 2.0. Nous proposons des guides spécifiques pour certains des fournisseurs les plus populaires :

• Comment configurer SCIM avec Microsoft Entra ID
• Comment configurer SCIM avec Okta

Update on GitHub