Размещение пользователей (SCIM)

Эта функция входит в планы Enterprise и Enterprise Plus.

SCIM (System for Cross-domain Identity Management) — это стандарт для автоматизации процесса предоставления пользователям доступа. Он позволяет подключить ваш Identity Provider (IdP) к Hugging Face для управления участниками вашей организации.

Работа SCIM зависит от вашей модели SSO. Подробное сравнение приведено в разделе Обзор SSO.

Базовый SSO: provisioning по приглашению

С помощью Basic SSO (тариф Enterprise) SCIM автоматизирует приглашение существующих пользователей Hugging Face в вашу организацию.

• Пользователи должны уже иметь аккаунт Hugging Face, прежде чем их можно будет создать через SCIM
• Когда ваш IdP добавляет пользователя, Hugging Face отправляет ему письмо-приглашение для вступления в организацию
• Пользователь должен принять приглашение, чтобы стать участником — предварительное создание учётной записи не предоставляет немедленного доступа
• SCIM не может изменять информацию профиля пользователя (имя, адрес электронной почты, имя пользователя) — пользователь сохраняет полный контроль над своим аккаунтом Hugging Face
• Когда пользователь удаляется из вашего IdP, его приглашение отзывается, а доступ к организации прекращается

Управляемый SSO: полное управление жизненным циклом

С помощью Managed SSO (тариф Enterprise Plus) SCIM управляет всем жизненным циклом пользователей на Hugging Face.

• SCIM создаёт новый аккаунт Hugging Face при provisioning пользователя — наличие существующего аккаунта не требуется
• Пользователь немедленно добавляется в организацию в качестве участника, без этапа приглашения
• SCIM может обновлять информацию профиля пользователя (имя, адрес электронной почты, имя пользователя) по мере внесения изменений в вашем IdP
• Когда пользователь удаляется из вашего IdP, его аккаунт Hugging Face деактивируется, а доступ отзывается

Как включить SCIM

Чтобы включить SCIM, перейдите в настройки вашей организации, откройте вкладку SSO, а затем выберите подвкладку SCIM.

Вы найдёте SCIM Tenant URL и кнопку для генерации SCIM token. Оба этих параметра потребуются для настройки вашего IdP. SCIM token является секретным и должен безопасно храниться в конфигурации вашего IdP.

После того как SCIM будет включён в вашем IdP, провижнированные пользователи появятся на вкладке Users Management, а провижнированные группы — на вкладке SCIM в настройках вашей организации.

Групповое выделение ресурсов

Помимо управления пользователями, SCIM поддерживает управление группами. Группы, передаваемые из вашего IdP, сохраняются на Hugging Face в виде SCIM-групп и могут быть связаны с группами ресурсов на вкладке SCIM в настройках вашей организации.

Связывание группы SCIM с группой ресурсов

Чтобы связать группу SCIM, перейдите на вкладку SSO → SCIM вашей организации. Профилированные группы перечислены в таблице. В столбце Resource Groups для каждой группы отображается либо кнопка Link resource groups (если ссылки ещё не созданы), либо количество текущих связанных ресурсных групп (например, «2 resource groups»). Нажатие на любой из этих элементов открывает модальное окно, в котором можно добавить одну или несколько ресурсных групп, каждая со своим назначением ролей. В том же модальном окне можно изменить или удалить существующие ссылки.

Перед привязкой убедитесь, что выполнены следующие условия:

• Группа ресурсов не должна содержать существующих участников. Привязка к непустой группе ресурсов не допускается.
• Группа ресурсов не должна иметь включённого автоматического присоединения. Автоматическое присоединение (которое автоматически добавляет каждого нового участника организации в группу ресурсов) несовместимо с управлением через SCIM. Отключите автоматическое присоединение в группе ресурсов перед привязкой.

Группа SCIM может быть связана с несколькими группами ресурсов, каждая из которых имеет собственную роль.

Что происходит после связывания

После того как группа SCIM будет связана с группой ресурсов:

• Backfill: Все участники, уже находящиеся в группе SCIM, немедленно добавляются в группу ресурсов с настроенной ролью.
• Ongoing sync: Изменения в составе участников вашего IdP автоматически отражаются:
  • Когда пользователь добавляется в группу в вашем IdP, он добавляется во все связанные Resource Groups.
  • Когда пользователь удаляется из группы в вашем IdP, он удаляется из всех связанных Resource Groups, за исключением тех, к которым пользователь подключён через другие SCIM-группы. Для них роль пользователя будет обновлена до «высшей» роли, предоставленной другими SCIM-группами.
  • Когда группа SCIM удаляется в вашем IdP, все её участники удаляются из связанных Resource Groups, за исключением пользователей, которые принадлежат к этим Resource Groups через другие группы SCIM. Для каждой из таких Resource Groups роли пользователей обновляются до «высшей» роли, предоставленной другими группами SCIM.
• Изменение ролей: если вы обновите роль на ссылке, роли всех текущих участников группы в этой группе ресурсов будут обновлены немедленно.

Группы ресурсов, управляемые через SCIM

Группа ресурсов, связанная с группой SCIM, считается управляемой через SCIM. ИдП является единственным источником истины для её обычных пользователей. В результате:

• Ручное изменение состава участников через интерфейс или API Hub заблокировано для обычных пользователей — любая попытка добавить, удалить или изменить роль обычного пользователя в группе ресурсов, управляемой через SCIM, вернёт ошибку 403.
• Служебные учётные записи являются исключением: поскольку они никогда не создаются через SCIM, вы по-прежнему можете вручную добавлять, удалять или изменять роль служебной учётной записи в группе ресурсов, управляемой через SCIM.
• Автоприсоединение не может быть включено в группе ресурсов, управляемой через SCIM. Чтобы повторно включить автоприсоединение, сначала удалите связь SCIM.

В настройках группы ресурсов группа ресурсов, управляемая через SCIM, отображает значок SCIM synced, а форма членства указывает, что вручную можно добавлять или удалять только служебные учётные записи.

Групповое provisioning работает одинаково как для Basic SSO, так и для Managed SSO.

Поддерживаемые атрибуты пользователя

Точка входа SCIM Hugging Face поддерживает следующие атрибуты пользователя:

Атрибут	Описание	Базовая SSO	Управляемый SSO
userName	Имя пользователя Hugging Face	Только для чтения	Чтение/запись
name.givenName	Имя	Только для чтения	Чтение/запись
name.familyName	Фамилия	Только для чтения	Чтение/запись
emails[type eq "work"].value	Адрес электронной почты	Только для чтения	Чтение/запись
externalId	Идентификатор, назначенный IdP	Чтение/запись	Чтение/запись
active	Является ли пользователь активным участником	Чтение/запись	Чтение/запись

В режиме Basic SSO через SCIM можно изменять только active и externalId — все остальные атрибуты управляются пользователем в его аккаунте Hugging Face.

Для группового предоставления поддерживаются атрибуты displayName, members и externalId.

Отключение

Поведение при отключении доступа зависит от способа удаления пользователя и используемой вами модели SSO.

Установка active в false (мягкое снятие с обслуживания):

• Пользователь теряет доступ к организации
• При использовании базовой SSO: приглашение отключается
• При использовании Managed SSO: пользователь удаляется из организации, но его аккаунт и содержимое сохраняются — это действие обратимо: достаточно вернуть значение active в true.

Удаление пользователя через SCIM (жёсткое отключение):

• При базовой SSO: пользователь удаляется из организации и всех её групп ресурсов. Его аккаунт Hugging Face и личный контент не затрагиваются — он просто теряет членство в вашей организации.
• При использовании Managed SSO: аккаунт пользователя на Hugging Face будет безвозвратно удалён, вместе со всем созданным им контентом. Это действие необратимо.

Поддерживаемые поставщики идентификации

Мы поддерживаем SCIM с любым IdP, реализующим протокол SCIM 2.0. Для некоторых наиболее популярных провайдеров у нас есть отдельные руководства:

• Как настроить SCIM с Microsoft Entra ID
• Как настроить SCIM с Okta

Update on GitHub