Comment configurer SCIM avec Okta

Ce guide explique comment configurer le provisionnement des utilisateurs et des groupes SCIM entre Okta et votre organisation Hugging Face à l’aide de SCIM.

Cette fonctionnalité fait partie des plans Enterprise et Enterprise Plus.

SCIM nécessite que le SSO soit d'abord configuré sur votre organisation. Basic SSO est en libre-service, Managed SSO est configuré avec l'équipe Hugging Face.

Étape 1 : Récupérer la configuration SCIM depuis Hugging Face

1. Connectez-vous à un compte Hugging Face qui est propriétaire de l’organisation.
2. Accédez à la page de paramètres de votre organisation sur Hugging Face.
3. Accédez à l'onglet SSO, puis cliquez sur le sous-onglet SCIM.
4. Copiez l'URL du locataire SCIM. Vous en aurez besoin pour la configuration d'Okta.
5. Cliquez sur Générer un jeton d’accès. Un nouveau jeton SCIM sera généré. Copiez ce jeton immédiatement et conservez-le en lieu sûr, car vous ne pourrez plus le consulter.

Étape 2 : Saisir les identifiants administrateur

1. Dans Okta, accédez à Applications et sélectionnez votre application Hugging Face.
2. Accédez à l'onglet Général et cliquez sur Modifier dans les paramètres de l'application
3. Pour l'option Provisioning, sélectionnez SCIM, puis cliquez sur Save
4. Accédez à l'onglet Provisioning, puis, sous Settings, cliquez sur Integration.
5. Saisissez l'URL du locataire SCIM en tant qu'URL de base du connecteur SCIM.
6. Saisissez userName pour le champ Identifiant unique des utilisateurs.
7. Sélectionnez toutes les actions nécessaires pour les actions de provisionnement prises en charge.
8. Sélectionnez HTTP Header pour le mode d’authentification.
9. Saisissez le Access Token que vous avez généré en tant que jeton Bearer d'autorisation.
10. Cliquez sur Test Connector Configuration pour vérifier la connexion.
11. Enregistrez vos modifications.

Étape 3 : Vérifiez vos paramètres SAML

Dans l'onglet Général, sous Paramètres SAML, vérifiez que :

• Le format d'identifiant est Unspecified
• Le nom d'utilisateur de l'application est Custom, avec l'expression user.getInternalProperty("id")
• Sous Attribute Statements, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress est défini sur user.email

Si vous avez modifié l’un de ces paramètres, désactivez puis réactivez le SSO dans les paramètres SSO de votre organisation sur Hugging Face.

Étape 4 : Configurer le provisionnement

1. Dans l'onglet Provisioning, cliquez sur To App dans la barre latérale.
2. Cliquez sur Modifier et cochez Activer pour toutes les fonctionnalités dont vous avez besoin, c'est-à-dire Créer, Mettre à jour, Supprimer des utilisateurs.
3. Cliquez sur Enregistrer en bas.

Étape 5 : Configurer les correspondances d'attributs

1. Tant que vous êtes encore dans l'onglet Provisioning, faites défiler vers le bas jusqu'à la section Attribute Mappings
2. Les correspondances d'attributs par défaut nécessitent souvent des ajustements pour un approvisionnement robuste. Nous recommandons d'utiliser la configuration suivante. Vous pouvez supprimer les attributs qui ne figurent pas ici :

Étape 6 : Attribuer des utilisateurs ou des groupes

1. Accédez à l'onglet Assignments, cliquez sur Assign
2. Cliquez sur Affecter à des personnes ou Affecter à des groupes
3. Après avoir trouvé l'utilisateur ou le groupe à qui l'attribution est nécessaire, cliquez sur Assign à côté de son nom. Laissez le nom d'utilisateur tel quel.
4. Faites défiler vers le bas et cliquez sur Save and Go Back
5. Cliquez sur Terminé
6. Vérifiez que les utilisateurs ou les groupes sont créés, mis à jour ou désactivés dans votre organisation Hugging Face comme prévu.

Étape 7 : Pousser les groupes Okta vers Hugging Face via SCIM

Avant de pouvoir associer des groupes aux Hugging Face Resource Groups, vous devez pousser vos groupes Okta vers Hugging Face à l’aide de l’onglet Push Groups. Cette opération est distincte de l’attribution des utilisateurs à l’application effectuée à l’étape 6.

Okta ne prend pas en charge l'utilisation du même groupe pour l'attribution d'application (étape 6) et le Group Push. Utilisez un groupe dédié pour le push — gardez vos groupes de push séparés de vos groupes d'attribution.

1. Dans la console d’administration Okta, accédez à Applications et sélectionnez votre application Hugging Face.
2. Cliquez sur l'onglet Push Groups.
3. Cliquez sur + Push Groups et sélectionnez Find groups by name.
4. Recherchez le groupe Okta que vous souhaitez pousser et sélectionnez-le dans les résultats.
5. Choisissez comment gérer le groupe dans Hugging Face :
   • Créer un groupe : Crée un nouveau groupe SCIM dans votre organisation Hugging Face.
   • Groupe de liens : Liens vers un groupe existant déjà présent dans votre organisation Hugging Face.
6. Cliquez sur Save. Pour ajouter d'autres groupes, cliquez sur Save & Add Another et répétez l'opération.

Une fois poussé, le groupe apparaîtra sous SCIM Groups dans les paramètres de votre organisation Hugging Face (SSO → onglet SCIM). Toute modification d’appartenance que vous apportez au groupe dans Okta sera synchronisée automatiquement avec Hugging Face.

Étape 8 : Associer les groupes SCIM aux groupes de ressources Hugging Face

Une fois vos groupes provisionnés depuis Okta, vous pouvez les lier aux groupes de ressources Hugging Face pour gérer les autorisations à grande échelle. Cela permet à tous les membres d’un groupe SCIM de recevoir automatiquement des rôles spécifiques (comme lecture ou écriture) pour une collection de ressources.

Avant d’établir le lien, assurez-vous que le Resource Group que vous souhaitez lier est vide (ne contient aucun membre existant) et que l’auto-join n’y est pas activé. Les deux conditions sont requises — sinon, l’opération de liaison échouera.

1. Dans les paramètres de votre organisation Hugging Face, accédez à l'onglet SSO -> SCIM. Vous y verrez la liste de vos groupes provisionnés sous SCIM Groups.
2. Localisez le groupe que vous souhaitez configurer et cliquez sur Link resource groups dans sa ligne.
3. Une boîte de dialogue s’affiche. Cliquez sur Lier un groupe de ressources.
4. À partir des menus déroulants, sélectionnez le Resource Group que vous souhaitez lier et l'Role Assignment que vous souhaitez accorder aux membres du groupe SCIM.
5. Cliquez sur Lien vers le groupe SCIM et enregistrez la correspondance.

Une fois le lien établi, le Resource Group devient géré par SCIM : tous les membres déjà présents dans le groupe SCIM sont immédiatement ajoutés au Resource Group (rétroactivité), et toutes les modifications futures de l’appartenance dans Okta sont automatiquement reflétées. Les modifications manuelles de l’appartenance au Resource Group via l’interface utilisateur ou l’API du Hub seront bloquées.

Update on GitHub