Cấp quyền cho người dùng (SCIM)

Tính năng này là một phần của các gói Enterprise và Enterprise Plus.

SCIM (System for Cross-domain Identity Management) là một tiêu chuẩn để tự động hóa việc cấp quyền cho người dùng. Nó cho phép bạn kết nối Identity Provider (IdP) của mình với Hugging Face để quản lý các thành viên trong tổ chức của bạn.

SCIM hoạt động khác nhau tùy thuộc vào mô hình SSO của bạn. Để so sánh chi tiết, hãy xem tổng quan về SSO.

SSO cơ bản: cấp quyền dựa trên lời mời

Với Basic SSO (gói Enterprise), SCIM tự động hóa việc mời các người dùng Hugging Face hiện có tham gia tổ chức của bạn.

• Người dùng phải đã có tài khoản Hugging Face trước khi có thể được cấp quyền thông qua SCIM
• Khi IdP của bạn cấp quyền cho một người dùng, Hugging Face sẽ gửi cho họ một email mời để tham gia tổ chức
• Người dùng phải chấp nhận lời mời để trở thành thành viên — việc cấp quyền không cấp quyền truy cập ngay lập tức
• SCIM không thể sửa đổi thông tin hồ sơ người dùng (tên, email, tên người dùng) — người dùng vẫn giữ toàn quyền kiểm soát tài khoản Hugging Face của mình
• Khi một người dùng bị thu hồi quyền trong IdP của bạn, lời mời của họ sẽ bị vô hiệu hóa và quyền truy cập vào tổ chức của họ sẽ bị thu hồi

SSO được quản lý: cấp phát vòng đời đầy đủ

Với Managed SSO (gói Enterprise Plus), SCIM quản lý toàn bộ vòng đời người dùng trên Hugging Face.

• SCIM tạo một tài khoản Hugging Face mới khi một người dùng được cấp quyền — không cần tài khoản có sẵn
• Người dùng được thêm ngay lập tức vào tổ chức với tư cách là thành viên, không có bước mời
• SCIM có thể cập nhật thông tin hồ sơ người dùng (tên, email, tên người dùng) khi có thay đổi trong IdP của bạn
• Khi một người dùng bị thu hồi quyền trong IdP của bạn, tài khoản Hugging Face của họ sẽ bị vô hiệu hóa và quyền truy cập của họ sẽ bị thu hồi

Cách bật SCIM

Để bật SCIM, hãy vào cài đặt của tổ chức, chuyển đến tab SSO, sau đó chọn tab con SCIM.

Bạn sẽ tìm thấy SCIM Tenant URL và một nút để tạo SCIM token. Bạn sẽ cần cả hai thông tin này để cấu hình IdP của mình. SCIM token là một bí mật và nên được lưu trữ an toàn trong cấu hình của IdP.

Khi SCIM được bật trong IdP của bạn, các người dùng được cấp quyền sẽ xuất hiện trong tab Users Management và các nhóm được cấp quyền sẽ xuất hiện trong tab SCIM trong cài đặt của tổ chức bạn.

Cấp quyền cho nhóm

Ngoài việc cấp quyền cho người dùng, SCIM còn hỗ trợ cấp quyền cho nhóm. Các nhóm được đẩy từ IdP của bạn sẽ được lưu dưới dạng nhóm SCIM trên Hugging Face và có thể được liên kết với Resource Groups từ tab SCIM trong cài đặt của tổ chức bạn.

Liên kết nhóm SCIM với Nhóm Tài nguyên

Để liên kết một nhóm SCIM, hãy chuyển đến tab SSO → SCIM của tổ chức bạn. Các nhóm đã được provision được liệt kê trong một bảng. Trong cột Resource Groups, mỗi nhóm hiển thị nút Link resource groups (nếu chưa có liên kết nào) hoặc số lượng nhóm resource hiện đang được liên kết (ví dụ: “2 resource groups”). Nhấp vào nút hoặc số lượng sẽ mở một modal, nơi bạn có thể thêm một hoặc nhiều Resource Groups, mỗi nhóm có gán vai trò riêng. Bạn cũng có thể thay đổi hoặc xóa các liên kết hiện có từ cùng một modal đó.

Trước khi liên kết, hãy đảm bảo các điều kiện sau được đáp ứng:

• Nhóm Tài nguyên phải không có thành viên hiện có. Không được phép liên kết với Nhóm Tài nguyên không rỗng.
• Nhóm Tài nguyên phải không được bật tính năng tham gia tự động. Tham gia tự động (tự động thêm mọi thành viên mới của tổ chức vào Nhóm Tài nguyên) là không tương thích với quản lý SCIM. Hãy tắt tham gia tự động trên Nhóm Tài nguyên trước khi liên kết.

Một nhóm SCIM có thể được liên kết với nhiều Resource Group, mỗi nhóm có vai trò riêng.

Những gì xảy ra sau khi liên kết

Khi một nhóm SCIM được liên kết với một Nhóm Tài nguyên:

• Backfill: Bất kỳ thành viên nào đã có trong nhóm SCIM sẽ được thêm ngay lập tức vào Resource Group với vai trò đã cấu hình.
• Ongoing sync: Các thay đổi thành viên trong IdP của bạn sẽ được phản ánh tự động:
  • Khi một người dùng được thêm vào nhóm trong IdP của bạn, họ sẽ được thêm vào tất cả các Resource Group đã liên kết.
  • Khi một người dùng bị loại bỏ khỏi nhóm trong IdP của bạn, họ sẽ bị loại khỏi tất cả các Resource Group liên kết, ngoại trừ những nhóm mà người dùng đó được liên kết thông qua các nhóm SCIM khác. Đối với những nhóm đó, vai trò của người dùng sẽ được cập nhật thành vai trò “cao nhất” được cấp bởi các nhóm SCIM khác.
  • Khi một nhóm SCIM được xóa trong IdP của bạn, tất cả thành viên của nhóm đó sẽ bị gỡ khỏi các Resource Group liên kết, ngoại trừ những người dùng thuộc các Resource Group đó thông qua các nhóm SCIM khác. Đối với mỗi Resource Group như vậy, vai trò của người dùng sẽ được cập nhật thành vai trò “cao nhất” được cấp bởi các nhóm SCIM khác.
• Thay đổi vai trò: Nếu bạn cập nhật vai trò trên một liên kết, vai trò của tất cả các thành viên nhóm hiện tại trong Resource Group đó sẽ được cập nhật ngay lập tức.

Nhóm Tài nguyên được quản lý bởi SCIM

Một Resource Group được liên kết với một nhóm SCIM được coi là do SCIM quản lý. IdP là nguồn sự thật duy nhất cho các người dùng thông thường của nó. Do đó:

• Việc thay đổi thành viên thủ công qua giao diện Hub hoặc API bị chặn đối với người dùng thông thường — mọi nỗ lực thêm, xóa hoặc thay đổi vai trò của người dùng thông thường trong Nhóm Tài nguyên được quản lý bằng SCIM sẽ trả về lỗi 403.
• Tài khoản dịch vụ là ngoại lệ: vì chúng không bao giờ được cấp phát thông qua SCIM, bạn vẫn có thể thêm, xóa hoặc thay đổi vai trò của một tài khoản dịch vụ thủ công trên một Resource Group do SCIM quản lý.
• Auto-join không thể được bật trên Resource Group do SCIM quản lý. Để bật lại auto-join, trước tiên hãy gỡ liên kết SCIM.

Trong cài đặt Resource Group, một Resource Group được quản lý bởi SCIM sẽ hiển thị huy hiệu SCIM synced, và biểu mẫu thành viên ghi chú rằng chỉ các tài khoản dịch vụ mới có thể được thêm hoặc xóa thủ công.

Việc cấp quyền nhóm hoạt động theo cách tương tự cho cả SSO cơ bản và SSO được quản lý.

Các thuộc tính người dùng được hỗ trợ

Điểm cuối SCIM của Hugging Face hỗ trợ các thuộc tính người dùng sau:

Thuộc tính	Mô tả	SSO cơ bản	SSO được quản lý
userName	Tên người dùng Hugging Face	Chỉ đọc	Đọc/ghi
name.givenName	Tên	Chỉ đọc	Đọc/ghi
name.familyName	Họ	Chỉ đọc	Đọc/ghi
emails[type eq "work"].value	Địa chỉ email	Chỉ đọc	Đọc/ghi
externalId	Định danh do IdP gán	Đọc/ghi	Đọc/ghi
active	Liệu người dùng có phải là thành viên hoạt động hay không	Đọc/ghi	Đọc/ghi

Với Basic SSO, chỉ active và externalId có thể được sửa đổi qua SCIM — tất cả các thuộc tính khác đều do người dùng kiểm soát trên tài khoản Hugging Face của họ.

Đối với việc cấp phát nhóm, các thuộc tính được hỗ trợ là displayName, members và externalId.

Thu hồi

Hành vi thu hồi quyền truy cập phụ thuộc vào cách người dùng bị xóa và mô hình SSO mà bạn sử dụng.

Đặt active thành false (soft deprovision):

• Người dùng mất quyền truy cập vào tổ chức
• Với SSO cơ bản: lời mời sẽ bị vô hiệu hóa
• Với SSO được quản lý: người dùng bị xóa khỏi tổ chức nhưng tài khoản và nội dung của họ được giữ lại — thao tác này có thể đảo ngược bằng cách đặt active về true

Xóa người dùng qua SCIM (gỡ cài đặt cứng):

• Với SSO cơ bản: người dùng sẽ bị xóa khỏi tổ chức và tất cả các nhóm tài nguyên của tổ chức đó. Tài khoản Hugging Face và nội dung cá nhân của họ không bị ảnh hưởng — họ chỉ mất tư cách thành viên trong tổ chức của bạn.
• Với SSO được quản lý: tài khoản Hugging Face của người dùng sẽ bị xóa vĩnh viễn, cùng với tất cả nội dung do họ tạo ra. Hành động này là không thể hoàn tác.

Nhà cung cấp danh tính được hỗ trợ

Chúng tôi hỗ trợ SCIM với bất kỳ IdP nào triển khai giao thức SCIM 2.0. Chúng tôi có các hướng dẫn cụ thể cho một số nhà cung cấp phổ biến nhất:

• Cách cấu hình SCIM với Microsoft Entra ID
• Cách cấu hình SCIM với Okta

Update on GitHub