Comment configurer SCIM avec Microsoft Entra ID (Azure AD)

Ce guide explique comment configurer le provisionnement automatique des utilisateurs et des groupes entre Microsoft Entra ID et votre organisation Hugging Face à l’aide de SCIM.

Cette fonctionnalité fait partie des plans Enterprise et Enterprise Plus.

SCIM nécessite que le SSO soit d'abord configuré sur votre organisation. Basic SSO est en libre-service, Managed SSO est configuré avec l'équipe Hugging Face.

Étape 1 : Récupérer la configuration SCIM depuis Hugging Face

1. Connectez-vous à un compte Hugging Face qui est propriétaire de l’organisation.
2. Accédez à la page de paramètres de votre organisation sur Hugging Face.
3. Accédez à l'onglet SSO, puis cliquez sur le sous-onglet SCIM.
4. Copiez l'URL du locataire SCIM. Vous en aurez besoin pour la configuration d'Entra ID.
5. Cliquez sur Générer un jeton d’accès. Un nouveau jeton SCIM sera généré. Copiez ce jeton immédiatement et conservez-le en lieu sûr, car vous ne pourrez plus le consulter.

Étape 2 : Configurer le provisionnement dans Microsoft Entra ID

1. Dans le centre d’administration Microsoft Entra, accédez à votre application d’entreprise Hugging Face.
2. Dans le menu de gauche, sélectionnez Provisioning.
3. Cliquez sur Commencer.
4. Modifiez le mode de provisionnement de « Manual » à Automatic.

Étape 3 : Saisir les identifiants administrateur

1. Dans la section Admin Credentials, collez l'SCIM Tenant URL de Hugging Face dans le champ Tenant URL.
2. Collez le jeton SCIM de Hugging Face dans le champ Secret Token.
3. Cliquez sur Test Connection. Vous devriez voir une notification de succès.
4. Cliquez sur Save.

Étape 4 : Configurer les correspondances d'attributs

1. Sous la section Mappings, cliquez sur Provision Microsoft Entra ID Users.

2. Les correspondances d'attributs par défaut nécessitent souvent des ajustements pour un approvisionnement robuste. Nous recommandons d'utiliser la configuration suivante. Vous pouvez supprimer les attributs qui ne sont pas répertoriés ici :

   Attribut customappsso	Attribut Microsoft Entra ID	Priorité de correspondance
   userName	Replace([mailNickname], ".", "", "", "", "", "")
   active	Switch([IsSoftDeleted], , "False", "True", "True", "False")
   emails[type eq "work"].value	userPrincipalName
   name.givenName	givenName
   name.familyName	surname
   externalId	objectId	1

3. Le nom d'utilisateur doit respecter les règles suivantes.

• Seuls les caractères courants et le tiret - sont acceptés dans le nom d'utilisateur.
• -- (double tiret) est interdit.
• - ne peut pas commencer ou terminer le nom.
• Les noms composés uniquement de chiffres ne sont pas acceptés.
• La longueur minimale est de 2 et la longueur maximale est de 42.
• Le nom d'utilisateur doit être unique au sein de votre organisation.

4. Après avoir configuré les correspondances d'utilisateurs, retournez à l'écran Provisioning et cliquez sur Provision Microsoft Entra ID Groups pour examiner les correspondances de groupes. Les paramètres par défaut des groupes sont généralement suffisants.

Étape 5 : Lancer le provisionnement

1. Sur l'écran principal de Provisioning, définissez le Provisioning Status sur On.
2. Sous Paramètres, vous pouvez configurer le Périmètre sur « Synchroniser uniquement les utilisateurs et groupes assignés » ou « Synchroniser tous les utilisateurs et groupes ». Nous recommandons de commencer par « Synchroniser uniquement les utilisateurs et groupes assignés ».
3. Enregistrez vos modifications.

La synchronisation initiale peut prendre jusqu'à 40 minutes pour démarrer. Vous pouvez suivre la progression dans l'onglet Journaux de provisionnement.

Attribution d'utilisateurs et de groupes pour le provisionnement

Pour contrôler les utilisateurs et les groupes qui sont provisionnés dans votre organisation Hugging Face, vous devez les affecter à l'application Hugging Face Enterprise dans Microsoft Entra ID. Cette opération se fait dans l'onglet Utilisateurs et groupes de votre application.

1. Accédez à votre application Hugging Face Enterprise dans le centre d’administration Microsoft Entra.
2. Accédez à l'onglet Users and groups.
3. Cliquez sur Ajouter un utilisateur/groupe.
4. Sélectionnez les utilisateurs et les groupes que vous souhaitez provisionner, puis cliquez sur Assign.

Seuls les utilisateurs et les groupes que vous assignez ici seront provisionnés sur Hugging Face si vous avez défini le Scope sur « Sync only assigned users and groups ».

Points à considérer pour le plan Active Directory

• Avec les offres Free, Office 365 et Premium P1/P2, vous pouvez affecter des utilisateurs individuels à l’application pour le provisionnement.
• Avec les plans Premium P1/P2, vous pouvez également affecter des groupes. C'est l'approche recommandée pour gérer l'accès à grande échelle, car vous pouvez gérer l'appartenance aux groupes dans AD, et les modifications seront automatiquement reflétées dans Hugging Face.

Étape 6 : Vérifier le provisionnement dans Hugging Face

Une fois la synchronisation terminée, revenez aux paramètres de votre organisation Hugging Face :

• Les utilisateurs provisionnés apparaîtront dans l’onglet Users Management.
• Les groupes provisionnés apparaîtront dans l'onglet SCIM sous SCIM Groups. Ces groupes peuvent ensuite être affectés à des Resource Groups pour un contrôle d'accès granulaire.

Étape 7 : Associer les groupes SCIM aux groupes de ressources Hugging Face

Une fois vos groupes provisionnés depuis Entra ID, vous pouvez les lier aux groupes de ressources Hugging Face pour gérer les autorisations à grande échelle. Cela permet à tous les membres d’un groupe SCIM de recevoir automatiquement des rôles spécifiques (comme lecture ou écriture) pour une collection de ressources.

Avant d’établir le lien, assurez-vous que le Resource Group que vous souhaitez lier est vide (ne contient aucun membre existant) et que l’auto-join n’y est pas activé. Les deux conditions sont requises — sinon, l’opération de liaison échouera.

1. Dans les paramètres de votre organisation Hugging Face, accédez à l'onglet SSO -> SCIM. Vous y verrez la liste de vos groupes provisionnés sous SCIM Groups.

2. Localisez le groupe que vous souhaitez configurer et cliquez sur Link resource groups dans sa ligne.
3. Une boîte de dialogue s’affiche. Cliquez sur Lier un groupe de ressources.
4. À partir des menus déroulants, sélectionnez le Resource Group que vous souhaitez lier et l'Role Assignment que vous souhaitez accorder aux membres du groupe SCIM.
5. Cliquez sur Lien vers le groupe SCIM et enregistrez la correspondance.

Une fois le lien établi, le Resource Group devient géré par SCIM : tous les membres déjà présents dans le groupe SCIM sont immédiatement ajoutés au Resource Group (rétroactivité), et toutes les modifications futures de l’affiliation dans Entra ID sont automatiquement reflétées. Les modifications manuelles de l’affiliation sur le Resource Group via l’interface utilisateur du Hub ou l’API seront bloquées.

Update on GitHub