Cara mengonfigurasi SCIM dengan Microsoft Entra ID (Azure AD)

Panduan ini menjelaskan cara mengatur provisioning pengguna dan grup secara otomatis antara Microsoft Entra ID dan organisasi Hugging Face Anda menggunakan SCIM.

Fitur ini merupakan bagian dari paket Enterprise dan Enterprise Plus.

SCIM memerlukan SSO yang sudah diatur di organisasi Anda terlebih dahulu. SSO Dasar bersifat mandiri, sedangkan SSO Terkelola diatur bersama tim Hugging Face.

Langkah 1: Dapatkan konfigurasi SCIM dari Hugging Face

1. Masuk ke akun Hugging Face yang merupakan pemilik organisasi.
2. Buka halaman pengaturan organisasi Anda di Hugging Face.
3. Buka tab SSO, lalu klik sub-tab SCIM.
4. Salin SCIM Tenant URL. Anda akan membutuhkan ini untuk konfigurasi Entra ID.
5. Klik Buat token akses. Token SCIM baru akan dibuat. Salin token ini segera dan simpan dengan aman, karena Anda tidak akan dapat melihatnya lagi.

Langkah 2: Konfigurasi Provisioning di Microsoft Entra ID

1. Di pusat admin Microsoft Entra, navigasikan ke Aplikasi Enterprise Hugging Face Anda.
2. Pada menu di sebelah kiri, pilih Provisioning.
3. Klik Mulai.
4. Ubah Provisioning Mode dari “Manual” menjadi Automatic.

Langkah 3: Masukkan Kredensial Admin

1. Pada bagian Kredensial Admin, tempelkan SCIM Tenant URL dari Hugging Face ke dalam bidang Tenant URL.
2. Tempel SCIM token dari Hugging Face ke kolom Secret Token.
3. Klik Test Connection. Anda seharusnya melihat notifikasi keberhasilan.
4. Klik Simpan.

Langkah 4: Konfigurasi Pemetaan Atribut

1. Di bagian Mappings, klik Provision Microsoft Entra ID Users.

2. Pemetaan atribut bawaan sering kali memerlukan penyesuaian untuk provisioning yang andal. Kami merekomendasikan penggunaan konfigurasi berikut. Anda dapat menghapus atribut yang tidak tercantum di sini:

   Atribut customappsso	Atribut Microsoft Entra ID	Precedence pencocokan
   userName	Replace([mailNickname], ".", "", "", "", "", "")
   active	Switch([IsSoftDeleted], , "False", "True", "True", "False")
   emails[type eq "work"].value	userPrincipalName
   name.givenName	givenName
   name.familyName	surname
   externalId	objectId	1

3. Username harus mematuhi aturan berikut.

• Hanya karakter biasa dan `-` yang diterima dalam Username.
• `--` (dua tanda hubung) dilarang.
• `-` tidak boleh menjadi awal atau akhir nama.
• Nama yang hanya terdiri dari angka tidak diterima.
• Panjang minimum adalah 2 dan panjang maksimum adalah 42.
• Username harus unik dalam organisasi Anda.

4. Setelah mengatur pemetaan pengguna, kembali ke layar Provisioning dan klik Provision Microsoft Entra ID Groups untuk meninjau pemetaan grup. Pengaturan default untuk grup biasanya sudah cukup.

Langkah 5: Mulai Provisioning

1. Di layar Provisioning utama, atur Status Provisioning menjadi On.
2. Di bawah Pengaturan, Anda dapat mengonfigurasi Cakupan menjadi “Sync only assigned users and groups” atau “Sync all users and groups”. Kami merekomendasikan untuk memulai dengan “Sync only assigned users and groups”.
3. Simpan perubahan Anda.

Sinkronisasi awal dapat memakan waktu hingga 40 menit untuk dimulai. Anda dapat memantau progresnya di tab Log Provisioning.

Menugaskan Pengguna dan Grup untuk Provisioning

Untuk mengontrol pengguna dan grup mana yang diproses ke organisasi Hugging Face Anda, Anda perlu menugaskan mereka ke Hugging Face Enterprise Application di Microsoft Entra ID. Hal ini dilakukan di tab Pengguna dan grup dari aplikasi Anda.

1. Buka aplikasi Hugging Face Enterprise Anda di pusat admin Microsoft Entra.
2. Buka tab Users and groups.
3. Klik Tambahkan pengguna/grup.
4. Pilih pengguna dan grup yang ingin Anda provision lalu klik Assign.

Hanya pengguna dan grup yang Anda tetapkan di sini yang akan diproses ke Hugging Face jika Anda telah mengatur Scope menjadi “Sync only assigned users and groups”.

Hal yang Perlu Dipertimbangkan dalam Rencana Active Directory

• Dengan Free, Office 365, and Premium P1/P2 plans, Anda dapat menugaskan pengguna individu ke aplikasi untuk provisioning.
• Dengan rencana Premium P1/P2, Anda juga dapat menugaskan grup. Ini adalah pendekatan yang direkomendasikan untuk mengelola akses dalam skala besar, karena Anda dapat mengelola keanggotaan grup di AD, dan perubahan tersebut akan secara otomatis tercermin di Hugging Face.

Langkah 6: Verifikasi Provisioning di Hugging Face

Setelah sinkronisasi selesai, kembali ke pengaturan organisasi Hugging Face Anda:

• Pengguna yang diproses akan muncul di tab Users Management.
• Grup yang diprosion akan muncul di tab SCIM di bawah SCIM Groups. Grup-grup ini kemudian dapat ditugaskan ke Resource Groups untuk kontrol akses yang lebih rinci.

Langkah 7: Hubungkan Grup SCIM ke Grup Sumber Daya Hugging Face

Setelah grup Anda diproses dari Entra ID, Anda dapat menghubungkannya ke Hugging Face Resource Groups untuk mengelola izin secara besar-besaran. Hal ini memungkinkan semua anggota grup SCIM untuk secara otomatis menerima peran tertentu (seperti baca atau tulis) untuk kumpulan sumber daya.

Sebelum melakukan tautan, pastikan Resource Group yang ingin Anda tautkan kosong (tidak memiliki anggota yang sudah ada) dan tidak mengaktifkan auto-join. Kedua kondisi ini wajib dipenuhi — tautan akan gagal jika tidak.

1. Di pengaturan organisasi Hugging Face Anda, buka tab SSO -> SCIM. Anda akan melihat daftar grup yang telah diprovisikan di bawah SCIM Groups.

2. Lokalkan grup yang ingin Anda konfigurasikan dan klik Link resource groups di barisnya.
3. Dialog akan muncul. Klik Link a Resource Group.
4. Dari menu dropdown, pilih Resource Group yang ingin Anda hubungkan dan Role Assignment yang ingin Anda berikan kepada anggota grup SCIM.
5. Klik Link ke grup SCIM dan simpan pemetaan tersebut.

Setelah terhubung, Resource Group menjadi dikelola SCIM: semua anggota yang sudah ada di grup SCIM akan langsung ditambahkan ke Resource Group (backfill), dan semua perubahan keanggotaan di masa depan di Entra ID akan dipantulkan secara otomatis. Perubahan keanggotaan manual pada Resource Group melalui Hub UI atau API akan diblokir.

Update on GitHub