Hub documentation
Managed SSO への移行
Managed SSO への移行
この機能は、Enterprise Plusプランの一部です。
このガイドは、既存の組織を標準組織からManaged SSO組織へ移行する組織管理者向けです。
始める前に理解しておく最も重要な点: メンバーの既存の個人用 Hugging Face アカウントは、管理アカウントに変換されません。各メンバーには、Identity Provider (IdP) によってプロビジョニングされる、まったく新しい管理アカウントが割り当てられます。メンバーがプロビジョニングされる前に、そのメンバーは個人用アカウント上で業務用メールアドレスを解放する必要があります。
本ガイドでは、my-orgを組織名の例として使用します。
前提条件
SSOは、すでに組織内で設定、テスト、有効化されている必要があります。移行では、既存のOIDCまたはSAMLアプリケーションが再利用されます。
移行手順
- メンバーの準備をします。 メンバーと移行前チェックリストを確認します。
- Hugging Face に連絡します。 Hugging Face チームに連絡し、切り替えを確認してください。組織の変換を行い、
my-org:ownerの break-glass アカウントの認証情報を送信します。 - メンバーに業務用メールアドレスを解放してもらいます。 業務用メールアドレスの解放を参照してください。プロビジョニングを有効化する前に実行してください。SSO アプリケーションに割り当てられているユーザーは、SCIM がオンになるとすぐにプロビジョニングされます。Hugging Face チームから、まだ個人アカウントに業務用メールアドレスが設定されているメンバーの一覧を送ってもらうことで、それらのメンバーにフォローアップを行うことができます。
- Set up SCIM in your IdP. 組織の SSO → SCIM 設定から SCIM テナント URL とトークンを取得し、既存の OIDC または SAML アプリケーションで設定したうえで、お使いの IdP 向けのガイドに従ってください。
- Okta: Oktaガイドに従ってください。ステップ3も含まれます。Name IDはOktaのユーザーIDである必要があります。
- Microsoft Entra ID: Entra ID ガイドに従ってください。
userNameは ユーザー名ルール に従う必要があるため、jdoe@example.comのようなメール形式の値は拒否されます。 - その他の IdP: ユーザープロビジョニング (SCIM)を参照してください。ユーザー名のルールは同じです。
- IdPでユーザーとグループを割り当てます。 ユーザーのプロビジョニングに伴って、マネージドアカウントが作成されます。
- 各メンバーの管理アカウントがプロビジョニングされたら、組織から残っている個人アカウントを削除してください。この手順はセキュリティ上必須です。個人アカウントは削除されるまでアクセス権を保持し続けるためです。個人アカウントを削除すると、組織のリソースグループからも削除されます。
- （オプション）グループを Resource Groups およびロールにマッピングします。 SCIM グループを Resource Groups にリンクし、Role Mappingを設定して、IdP から組織ロールを割り当てます。Resource Group は、メンバーが誰も存在せず、自動参加がオフになっている場合のみ、SCIM グループにリンクできます。自動参加がオンになっている場合、新規プロビジョニングされた管理アカウントもグループに追加されるため、ユーザーのプロビジョニングの前に自動参加をオフにするか、リンクする前に残っているメンバーを削除してください。
変更点
変換が実行する処理
- 変換は Hugging Face チームによって行われます。セルフサービスでの切り替えはできません。リクエストを受け付けると、Hugging Face チームがあなたの組織をマネージドモードに切り替えます。
- 組織のコンテンツと設定はそのまま維持されます。 リポジトリ、設定、Resource Groups および既存の SSO 設定（OIDC または SAML アプリ）は保持されます。同じ IdP アプリケーションを継続して使用できますが、SCIM 用に一部の設定を調整する必要がある場合があります（ステップ 4 を参照）。
- 破格の管理者アカウントが作成されます。名前は
my-org:ownerです。このアカウントはユーザー名とパスワードでログインします（SSO経由ではありません）。また、組織の管理者でもあります。Hugging Faceチームから認証情報が共有されます。安全に保管してください。このアカウントは、IdPが利用不可または誤設定されている場合でも組織にアクセスできるようにします。 - SSOをオプションにすることはできなくなりました。 完全に無効にすることは引き続き可能です。
管理対象組織でSSOを無効にすると、管理対象アカウントにはパスワードがないため、すべての管理対象ユーザーがロックアウトされます。
マネージドアカウントは新しいアカウントです
- 既存の個人用 Hugging Face アカウントは、管理アカウントに変換、統合、またはリンクされません。各メンバーには、IdP でユーザーが割り当てられた際に、IdP が SCIM を通じて新しいアカウントを作成します。
- 管理対象のユーザー名には、組織名がプレフィックスとして付与されます:
<org-name>:<username>。例えばmy-org:jdoeのようにです。 - Managed usersは、IdP経由でのみログインします。Hugging Faceのパスワードは持っておらず、「パスワードを忘れた場合」の機能も使用できません。
- マネージドアカウントは、マネージドアカウントに関する制限の対象となります。
メンバーシップ
- 通常メンバーは、招待によって追加できなくなりました。内部メンバーは、SCIMを通じてプロビジョニングする必要があります。
- 招待は、外部のコラボレーターのみが利用可能です。
組織内の既存の個人アカウント
変換後も組織のメンバーであり続ける個人アカウントは、そのロールを維持します。これらのアクセス トークン、すでに承認済みの OAuth アプリ、および git over SSH は引き続き機能します。これは、これらが SSO に対してチェックされないためです。これらでは、組織への新しい SSO ログインを開始できなくなります。
- ユーザーが個人アカウントでサインインしている場合、またはそのアカウントがすでにあなたの IdP にリンクされている場合、以下が表示されます:
You cannot login with SSO with this account because it's not managed by this organization. Contact your organization administrators. - それ以外の場合、
User not foundが表示されます。
移行の前に
変換をリクエストする前に、メンバーとこのチェックリストを確認してください:
- 個人リポジトリ: 個人ネームスペース内にあり、新しいマネージドアカウントでも引き続きアクセスしたいリポジトリを持つメンバーは、切り替え前にそれらを組織へ転送する必要があります。マネージドアカウントは、個人ネームスペース内のコンテンツを所有できません。メンバーは、個人（非マネージド）アカウントを通じて、個人ネームスペース配下のリポジトリに引き続きアクセスできます。
- トークンと自動化: 個人アカウントのトークンは、そのアカウントが組織から削除されるまで、組織へのアクセスを維持します。スクリプト、CIジョブ、パイプラインをサービスアカウント、または切り替え後に作成された管理アカウントのトークンに移行し、その後古いアカウントを削除してください。
- 他の組織: 管理アカウントは他の組織に参加できません。他の組織での作業を継続する必要があるメンバーは、別の個人アカウントを保持してください（オプション 2を参照）。
- 業務用メールアドレス: プロビジョニングの前に、各メンバーは業務用メールアドレスを解放する必要があります。業務用メールアドレスの解放を参照してください。
フリーの業務用メールアドレス
メールアドレスは1つのHugging Faceアカウントにのみ紐付けられます。これは、プライマリおよびセカンダリを含む、アカウントのすべてのメールアドレスに適用されます。一致判定は、大文字と小文字を区別しません。
SCIMが、すでに個人アカウントで使用されている業務用メールアドレスで管理アカウントの作成を試みると、プロビジョニングは409エラーで失敗します:
The email address (jdoe@example.com) is already associated with another Hugging Face account. Please delete the account.IdPでは、そのユーザーについてプロビジョニングエラーとして表示されます。
これを回避するために、各メンバーはプロビジョニングの前に、以下の2つのオプションのいずれかを使用して、業務用メールアドレスを解放する必要があります。
どのオプションを選択すべきですか？
- Hugging Face アカウントをこの組織での作業のみに使用する場合、オプション 1（個人アカウントの削除）を選択してください。
- オープンソースの作業、個人プロジェクト、または他の組織での利用にも使用する場合、オプション 2を選択してください。個人アカウントを維持し、そのアカウントから業務用メールアドレスを削除します。
オプション1: 個人アカウントを削除する
アカウント設定から個人アカウントを削除してください。これにより、個人ネームスペース内のすべてのリポジトリが恒久的に削除され、すべての組織から退会します。
アカウントの削除は恒久的です。保持したいリポジトリは、先に組織へ移行してください。
別の組織で唯一の管理者である場合、削除はブロックされます。まず、その組織に別の管理者を追加するか、その組織を削除してください。移行先の組織は問題ありません。my-org:owner も管理者であるためです。
オプション2: 個人アカウントを維持する
- アカウント設定で、個人用メールアドレスを追加して認証してください。
- 個人用メールアドレスをメインのメールアドレスに設定してください。
- 業務用のメールアドレスを完全に削除してください。 副次的なメールアドレスに設定するだけでは不十分です。
管理アカウントのプロビジョニングが完了するまで、個人アカウントを組織内に保持してください。その後、管理者が削除します。
組織で Managed SSO が有効化されており、検証済みのメールドメインがある場合、そのドメインのメールアドレスでログインすると、組織の SSO ページにリダイレクトされます。個人アカウントにログインするには、ユーザー名を使用してください。
業務用メールアドレスが空いている状態になると、管理者は IdP でそのユーザーのプロビジョニングを再試行するか、次の同期で処理されるのを待つことができます。
移行後
ユーザーのライフサイクルは、IdPから管理されます:
- IdPでユーザーを無効化すると、そのユーザーは組織から削除されます。後で同じユーザーが再有効化された場合、既存の管理アカウントが再利用されます。
- SCIM経由でユーザーを削除すると、管理アカウントが完全に削除されます。Deprovisioningを参照してください。