Hugging Face's logo

Hub documentation

Как настроить SCIM с Microsoft Entra ID (Azure AD)

Hugging Face's logo
Join the Hugging Face community

and get access to the augmented documentation experience

to get started

Как настроить SCIM с Microsoft Entra ID (Azure AD)

В этом руководстве объясняется, как настроить автоматическое создание пользователей и групп между Microsoft Entra ID и вашей организацией Hugging Face с помощью SCIM.

Эта функция входит в планы Enterprise и Enterprise Plus.

Для использования SCIM необходимо сначала настроить SSO в вашей организации. Базовый SSO настраивается самостоятельно, Управляемый SSO — командой Hugging Face.

Шаг 1: Получите конфигурацию SCIM от Hugging Face

  1. Войдите в аккаунт Hugging Face, являющийся владельцем организации.
  2. Перейдите на страницу настроек вашей организации на Hugging Face.
  3. Перейдите на вкладку SSO, затем щёлкните по подвкладке SCIM.
  4. Скопируйте SCIM Tenant URL. Он понадобится для конфигурации Entra ID.
  5. Нажмите Generate an access token. Будет создан новый SCIM-токен. Скопируйте этот токен сразу и сохраните его в безопасном месте, так как повторно отобразить его будет невозможно.

Шаг 2: Настройка провижининга в Microsoft Entra ID

  1. В центре администрирования Microsoft Entra перейдите к вашему корпоративному приложению Hugging Face.
  2. В меню слева выберите Provisioning.
  3. Нажмите Начать.
  4. Измените режим подготовки с «Manual» на Automatic.

Шаг 3: Введите учетные данные администратора

  1. В разделе Admin Credentials вставьте SCIM Tenant URL из Hugging Face в поле Tenant URL.
  2. Вставьте SCIM-токен из Hugging Face в поле Secret Token.
  3. Нажмите Test Connection. Вы должны увидеть уведомление об успешном подключении.
  4. Нажмите Save.
Entra ID SCIM Admin Credentials

Шаг 4: Настройка соответствий атрибутов

  1. В разделе Mappings нажмите Provision Microsoft Entra ID Users.

  2. Сопоставление атрибутов по умолчанию часто требует корректировок для надёжного развёртывания. Мы рекомендуем использовать следующую конфигурацию. Атрибуты, не перечисленные здесь, можно удалить:

    Атрибут customappssoАтрибут Microsoft Entra IDПриоритет соответствия
    userNameReplace([mailNickname], ".", "", "", "", "", "")
    activeSwitch([IsSoftDeleted], , "False", "True", "True", "False")
    emails[type eq "work"].valueuserPrincipalName
    name.givenNamegivenName
    name.familyNamesurname
    externalIdobjectId1

  3. Имя пользователя должно соответствовать следующим правилам.

  • В имени пользователя разрешены только обычные символы и `-`.
  • -- (двойной дефис) запрещён.
  • - не может находиться в начале или в конце имени.
  • Имена, состоящие только из цифр, не принимаются.
  • Минимальная длина составляет 2, а максимальная — 42.
  • Имя пользователя должно быть уникальным в рамках вашей организации.
  1. После настройки сопоставлений пользователей вернитесь на экран Provisioning и нажмите Provision Microsoft Entra ID Groups, чтобы просмотреть сопоставления групп. Как правило, стандартных настроек для групп достаточно.

Шаг 5: Запуск процесса подготовки

  1. На главном экране Provisioning установите значение Provisioning Status в положение On.
  2. В разделе Настройки можно настроить Scope на значение «Синхронизировать только назначенных пользователей и группы» или «Синхронизировать всех пользователей и группы». Рекомендуем начать с «Синхронизировать только назначенных пользователей и группы».
  3. Сохраните изменения.

Первоначальная синхронизация может занять до 40 минут для запуска. Вы можете отслеживать ход процесса на вкладке Provisioning logs.

Назначение пользователей и групп для развёртывания

Чтобы управлять тем, какие пользователи и группы добавляются в вашу организацию Hugging Face, необходимо назначить их на Hugging Face Enterprise Application в Microsoft Entra ID. Это делается на вкладке Пользователи и группы вашего приложения.

  1. Перейдите к вашему приложению Hugging Face Enterprise в административном центре Microsoft Entra.
  2. Перейдите на вкладку Users and groups.
  3. Нажмите Добавить пользователя/группу.
  4. Выберите пользователей и группы, которые вы хотите настроить, и нажмите Assign.
Entra ID SCIM User and Group Assignment

Пользователи и группы, которые вы назначите здесь, будут провижнены в Hugging Face, только если вы установили Scope в значение «Sync only assigned users and groups».

Особенности планирования Active Directory

  • В рамках тарифных планов Free, Office 365 и Premium P1/P2 вы можете назначать отдельных пользователей на приложение для настройки.
  • С тарифами Premium P1/P2 также можно назначать группы. Это рекомендуемый подход для управления доступом в масштабе, поскольку вы можете управлять составом групп в AD, а изменения автоматически отразятся в Hugging Face.

Шаг 6: Проверка развёртывания в Hugging Face

После завершения синхронизации вернитесь в настройки вашей организации Hugging Face:

  • Пользователи, для которых выделены ресурсы, будут отображаться на вкладке Users Management.
  • Созданные группы появятся на вкладке SCIM в разделе SCIM Groups. Затем эти группы можно назначить Resource Groups для детального управления доступом.

Шаг 7: Связывание групп SCIM с группами ресурсов Hugging Face

После того как ваши группы будут созданы из Entra ID, вы можете связать их с Hugging Face Resource Groups для управления разрешениями в масштабе. Это позволяет всем членам SCIM-группы автоматически получать определённые роли (например, read или write) для набора ресурсов.

Перед привязкой убедитесь, что группа ресурсов, которую вы хотите привязать, пустая (не содержит существующих участников) и для неё не включено автоматическое присоединение. Оба условия обязательны — в противном случае привязка завершится ошибкой.

  1. В настройках вашей организации Hugging Face перейдите на вкладку SSO -> SCIM. В разделе SCIM Groups вы увидите список созданных групп.
Link SCIM group to a resource group
  1. Найдите группу, которую вы хотите настроить, и нажмите Link resource groups в её строке.
  2. Появится диалоговое окно. Нажмите Link a Resource Group.
  3. В выпадающих списках выберите группу ресурсов, которую вы хотите связать, и назначение роли, которое вы хотите предоставить членам группы SCIM.
  4. Нажмите Ссылка на группу SCIM и сохраните сопоставление.

После привязки группа ресурсов становится управляемой через SCIM: все участники, уже входящие в группу SCIM, немедленно добавляются в группу ресурсов (backfill), а все будущие изменения состава в Entra ID автоматически отражаются. Ручное редактирование состава группы ресурсов через интерфейс Hub или API будет заблокировано.

Update on GitHub

←Как настроить OIDC с EntraID (Azure AD) Как настроить SAML с Google Workspace→