Microsoft Entra ID (Azure AD) ile SCIM yapılandırma

Bu kılavuz, Microsoft Entra ID ile Hugging Face organizasyonunuz arasında SCIM kullanarak otomatik kullanıcı ve grup sağlama (provisioning) yapılandırma yöntemini açıklar.

Bu özellik, Enterprise ve Enterprise Plus planlarının bir parçasıdır.

SCIM, kuruluşunuzda SSO'nun önceden yapılandırılmış olmasını gerektirir. Basic SSO öz-yapılandırma ile sağlanırken, Managed SSO Hugging Face ekibi tarafından yapılandırılır.

Adım 1: Hugging Face'ten SCIM yapılandırmasını alın

1. Organizasyonun sahibi olan bir Hugging Face hesabına giriş yapın.
2. Hugging Face'te organizasyonunuzun ayarlar sayfasına gidin.
3. SSO sekmesine gidin, ardından SCIM alt sekmesine tıklayın.
4. SCIM Kiracı URL'sini kopyalayın. Bunu Entra ID yapılandırması için kullanmanız gerekecektir.
5. Erişim belirteci oluştur seçeneğine tıklayın. Yeni bir SCIM belirteci oluşturulacaktır. Bu belirteci derhal kopyalayın ve güvenli bir şekilde saklayın, çünkü bir daha göremeyeceksiniz.

Adım 2: Microsoft Entra ID'de Sağlamayı Yapılandırın

1. Microsoft Entra yönetim merkezinde, Hugging Face Kurumsal Uygulamanıza gidin.
2. Sol menüde Provisioning öğesini seçin.
3. Get started'e tıklayın.
4. Provisioning Mode ayarını “Manual” değerinden Automatic olarak değiştirin.

Adım 3: Yönetici Kimlik Bilgilerini Girin

1. Yönetici Kimlik Bilgileri bölümünde, Hugging Face'ten aldığınız SCIM Kiracı URL'sini Kiracı URL'si alanına yapıştırın.
2. Hugging Face'ten SCIM token'ı Secret Token alanına yapıştırın.
3. Bağlantıyı Test Et düğmesine tıklayın. Bir başarı bildirimi görmelisiniz.
4. Kaydet'e tıklayın.

Adım 4: Öznitelik Eşlemelerini Yapılandır

1. Mappings bölümünün altında Provision Microsoft Entra ID Users öğesine tıklayın.

2. Varsayılan öznitelik eşlemeleri, sağlam bir tedarik için genellikle ayarlamalar gerektirir. Aşağıdaki yapılandırmayı kullanmanızı öneririz. Burada listelenmeyen öznitelikleri silebilirsiniz:

   customappsso Özniteliği	Microsoft Entra ID Özniteliği	Eşleşme önceliği
   userName	Replace([mailNickname], ".", "", "", "", "", "")
   active	Switch([IsSoftDeleted], , "False", "True", "True", "False")
   emails[type eq "work"].value	userPrincipalName
   name.givenName	givenName
   name.familyName	surname
   externalId	objectId	1

3. Kullanıcı Adı aşağıdaki kurallara uymalıdır.

• Kullanıcı Adı'nda yalnızca normal karakterler ve `-` kabul edilir.
• `--` (çift tire) yasaktır.
• `-` adın başında veya sonunda olamaz.
• Sadece rakam içeren adlar kabul edilmez.
• Minimum uzunluk 2 ve maksimum uzunluk 42'dir.
• Kullanıcı adı, kuruluşunuz içinde benzersiz olmalıdır.

4. Kullanıcı eşlemelerini yapılandırdıktan sonra Provisioning ekranına geri dönün ve grup eşlemelerini gözden geçirmek için Provision Microsoft Entra ID Groups öğesine tıklayın. Gruplar için varsayılan ayarlar genellikle yeterlidir.

Adım 5: Sağlamayı Başlat

1. Ana Provisioning ekranında, Provisioning Status değerini On olarak ayarlayın.
2. Ayarlar altında, Kapsam’ı “Yalnızca atanan kullanıcıları ve grupları eşitle” veya “Tüm kullanıcıları ve grupları eşitle” olarak yapılandırabilirsiniz. “Yalnızca atanan kullanıcıları ve grupları eşitle” ile başlamanızı öneririz.
3. Değişikliklerinizi kaydedin.

İlk senkronizasyonun başlaması 40 dakikaya kadar sürebilir. İlerlemeyi Provisioning logs sekmesinde izleyebilirsiniz.

Provisioning İçin Kullanıcı ve Grup Atama

Hugging Face organizasyonunuza hangi kullanıcıların ve grupların sağlanacağını kontrol etmek için, bunları Microsoft Entra ID'deki Hugging Face Enterprise Application uygulamasına atamanız gerekir. Bu işlem, uygulamanızın Kullanıcılar ve gruplar sekmesinde yapılır.

1. Microsoft Entra yönetim merkezinde Hugging Face Enterprise Uygulamanıza gidin.
2. Kullanıcılar ve gruplar sekmesine gidin.
3. Kullanıcı/grup ekle seçeneğine tıklayın.
4. Provision etmek istediğiniz kullanıcıları ve grupları seçin ve Ata düğmesine tıklayın.

Burada atadığınız kullanıcılar ve gruplar, Kapsam değerini “Yalnızca atanan kullanıcılar ve gruplar senkronize edilsin” olarak ayarladıysanız Hugging Face’e sağlanır.

Active Directory Plan Düşünceleri

• Ücretsiz, Office 365 ve Premium P1/P2 planları ile uygulamaya, tedarik (provisioning) için bireysel kullanıcılar atayabilirsiniz.
• Premium P1/P2 planları ile gruplar da atayabilirsiniz. AD'de grup üyeliğini yönetebileceğiniz ve değişikliklerin Hugging Face'te otomatik olarak yansıtılacağı için, erişimi ölçekli olarak yönetmek için önerilen yaklaşım budur.

Adım 6: Hugging Face'te Sağlamayı Doğrulayın

Eşitleme tamamlandığında, Hugging Face organizasyon ayarlarınıza geri dönün:

• Provisioned kullanıcılar Users Management sekmesinde görünecektir.
• Provisioned groups, SCIM Groups altında SCIM sekmesinde görünür. Bu gruplar, ince taneli erişim denetimi için Resource Groups ataması yapılabilir.

Adım 7: SCIM Gruplarını Hugging Face Kaynak Gruplarına Bağlama

Gruplarınız Entra ID'den sağlandıktan sonra, bunları Hugging Face Kaynak Gruplarına bağlayarak izinleri ölçekli olarak yönetebilirsiniz. Bu, bir SCIM grubundaki tüm üyelerin bir kaynak koleksiyonu için belirli rollere (okuma veya yazma gibi) otomatik olarak sahip olmasını sağlar.

Bağlantı kurmadan önce, bağlamak istediğiniz Resource Group'un boş (mevcut üyesi olmayan) ve otomatik katılımın etkinleştirilmemiş olduğundan emin olun. Her iki koşul da gereklidir — aksi takdirde bağlantı başarısız olur.

1. Hugging Face organizasyon ayarlarınızda SSO -> SCIM sekmesine gidin. SCIM Groups altında oluşturulmuş gruplarınızın bir listesini göreceksiniz.

2. Yapılandırmak istediğiniz grubu bulun ve ilgili satırında Link resource groups öğesine tıklayın.
3. Bir iletişim kutusu görünecektir. Kaynak Grubu Bağla seçeneğine tıklayın.
4. Açılır menülerden, bağlamak istediğiniz Resource Group'u ve SCIM grubunun üyelerine vermek istediğiniz Role Assignment'ı seçin.
5. SCIM grubuna bağlantı bağlantısına tıklayın ve eşlemeyi kaydedin.

Bağlantı kurulduktan sonra Resource Group SCIM tarafından yönetilen hale gelir: SCIM grubunda zaten bulunan tüm üyeler Resource Group'a anında eklenir (geriye dönük doldurma) ve Entra ID'deki tüm gelecekteki üyelik değişiklikleri otomatik olarak yansıtılır. Hub arayüzü veya API üzerinden Resource Group'a yapılan manuel üyelik düzenlemeleri engellenir.

Update on GitHub