تمكين المستخدمين (SCIM)

تُعد هذه الميزة جزءًا من خطتي Enterprise وEnterprise Plus.

SCIM (نظام إدارة الهوية عبر النطاقات) هو معيار لأتمتة إعداد المستخدمين. يتيح لك ربط مزوّد الهوية (IdP) الخاص بك مع Hugging Face لإدارة أعضاء مؤسستك.

يعمل SCIM بشكل مختلف اعتمادًا على نموذج SSO الخاص بك. لمقارنة مفصّلة، راجع نظرة عامة على SSO.

SSO الأساسي: التهيئة القائمة على الدعوة

مع Basic SSO (خطة Enterprise)، يقوم SCIM بأتمتة دعوة مستخدمي Hugging Face الحاليين إلى مؤسستك.

• يجب أن يكون لدى المستخدمين حساب على Hugging Face مسبقًا قبل أن يتم إنشاؤه عبر SCIM
• عندما يقوم مزوّد الهوية الخاص بك بإعداد مستخدم، يرسل Hugging Face إليه بريد دعوة للانضمام إلى المنظمة
• يجب على المستخدم قبول الدعوة ليصبح عضوًا — فالتجهيز لا يمنح وصولًا فوريًا
• لا يمكن لـ SCIM تعديل معلومات ملف المستخدم الشخصي (الاسم، البريد الإلكتروني، اسم المستخدم) — يحتفظ المستخدم بالتحكم الكامل في حساب Hugging Face الخاص به
• عند إلغاء تفعيل مستخدم في مزوّد الهوية الخاص بك، يتم تعطيل دعوته وسحب صلاحياته للوصول إلى المنظمة

SSO المُدار: إدارة دورة الحياة الكاملة

مع Managed SSO (خطة Enterprise Plus)، يدير SCIM دورة حياة المستخدم الكاملة على Hugging Face.

• SCIM ينشئ حسابًا جديدًا على Hugging Face عند تفعيل مستخدم — لا يُشترط وجود حساب مسبق
• يُضاف المستخدم فوراً إلى المنظمة كعضو، دون خطوة دعوة
• SCIM يمكنه تحديث معلومات ملف المستخدم (الاسم، البريد الإلكتروني، اسم المستخدم) عند حدوث تغييرات في مزوّد الهوية الخاص بك
• عند إلغاء تفعيل مستخدم في مزوّد الهوية الخاص بك، يتم تعطيل حسابه على Hugging Face وسحب صلاحيات الوصول منه

كيفية تفعيل SCIM

لتفعيل SCIM، انتقل إلى إعدادات مؤسستك، ثم انتقل إلى علامة التبويب SSO، واختر بعد ذلك الفرع SCIM.

ستجد رابط مستأجر SCIM وزرًا لتوليد رمز SCIM. ستحتاج إلى كلاهما لإعداد مزوّد الهوية الخاص بك. يُعد رمز SCIM سرّيًا ويجب تخزينه بأمان في إعدادات مزوّد الهوية الخاص بك.

بمجرد تفعيل SCIM في مزوّد الهوية الخاص بك، ستظهر المستخدمين المُهيّئين في تبويب إدارة المستخدمين وستظهر المجموعات المُهيّأة في تبويب SCIM ضمن إعدادات مؤسستك.

توفير المجموعات

بالإضافة إلى إعداد المستخدمين، يدعم SCIM إعداد المجموعات. تُخزَّن المجموعات المُرسلة من مزوّد الهوية الخاص بك كمجموعات SCIM على Hugging Face، ويمكن ربطها بـ مجموعات الموارد من تبويب SCIM في إعدادات مؤسستك.

ربط مجموعة SCIM بمجموعة موارد

لربط مجموعة SCIM، انتقل إلى تبويب SSO → SCIM في مؤسستك. تُعرض المجموعات المُهيّأة في جدول. في عمود Resource Groups، تُظهر كل مجموعة إما زر Link resource groups (إذا لم تكن هناك روابط بعد) أو عدد مجموعات الموارد المرتبطة حاليًا (مثلًا “2 resource groups”). عند النقر على أيٍّ منهما، يُفتح نافذة منبثقة يمكنك من خلالها إضافة مجموعة موارد واحدة أو أكثر، مع تخصيص دور خاص لكل مجموعة. كما يمكنك تغيير الروابط الموجودة أو إزالتها من نفس النافذة المنبثقة.

قبل إنشاء الربط، تأكد من استيفاء الشروط التالية:

• يجب ألا يحتوي مجموعة الموارد على أي أعضاء حاليين. لا يُسمح بالربط بمجموعة موارد غير فارغة.
• يجب ألا يكون الانضمام التلقائي مفعلاً في مجموعة الموارد. الانضمام التلقائي (الذي يضيف تلقائيًا كل عضو جديد في المنظمة إلى المجموعة) متعارض مع إدارة SCIM. عطّل الانضمام التلقائي في مجموعة الموارد قبل الربط.

يمكن ربط مجموعة SCIM بعدة مجموعات موارد، ولكل منها دورها الخاص.

ما الذي يحدث بعد الربط

بمجرد ربط مجموعة SCIM بمجموعة الموارد:

• Backfill: تُضاف أي أعضاء موجودون مسبقًا في مجموعة SCIM إلى مجموعة الموارد فورًا بالدور المُعدّ.
• Ongoing sync: تُنعكس تغييرات العضوية في مزوّد الهوية الخاص بك تلقائيًا:
  • When a user is added to the group in your IdP, they are added to all linked Resource Groups.
  • عندما يُزال مستخدم من المجموعة في مزوّد الهوية الخاص بك يُزال من جميع مجموعات الموارد المرتبطة، باستثناء تلك التي يرتبط بها المستخدم عبر مجموعات SCIM أخرى. وفي هذه الحالة، يتم تحديث دور المستخدم إلى الدور “الأعلى” الممنوح من خلال مجموعات SCIM الأخرى.
  • عند حذف مجموعة SCIM في مزوّد الهوية الخاص بك، يتم إزالة جميع أعضائها من مجموعات الموارد المرتبطة، باستثناء المستخدمين الذين ينتمون إلى تلك مجموعات الموارد عبر مجموعات SCIM أخرى. لكلٍّ من تلك مجموعات الموارد، يتم تحديث أدوار المستخدمين إلى الدور “الأعلى” الممنوح بواسطة مجموعات SCIM الأخرى.
• تغييرات الأدوار: إذا قمت بتحديث الدور على رابط، فسيتم تحديث أدوار جميع أعضاء المجموعة الحاليين في ذلك Resource Group فورًا.

مجموعات الموارد المُدارة عبر SCIM

تُعتبر مجموعة الموارد المرتبطة بمجموعة SCIM مُدارةً عبر SCIM. ويُعد مزوّد الهوية (IdP) المصدر الوحيد الموثوق به لمستخدميه العاديين. ونتيجةً لذلك:

• تُمنع التغييرات اليدوية في العضوية عبر واجهة Hub أو واجهة برمجة التطبيقات للمستخدمين العاديين — فأي محاولة لإضافة مستخدم عادي أو إزالته أو تغيير دوره في مجموعة موارد مُدارة عبر SCIM ستُرجع خطأ 403.
• تُعدّ حسابات الخدمة استثناءً: نظرًا لأنها لا تُنشأ أبدًا عبر SCIM، يمكنك ما زال إضافة حساب خدمة أو إزالته أو تغيير دوره يدويًا في مجموعة موارد تُدار عبر SCIM.
• لا يمكن تفعيل الانضمام التلقائي في مجموعة موارد مُدارة عبر SCIM. لإعادة تفعيل الانضمام التلقائي، قم أولاً بإزالة ارتباط SCIM.

في إعدادات مجموعة الموارد، تعرض مجموعة الموارد المُدارة عبر SCIM شارة SCIM synced، ويذكر نموذج العضوية أنه يمكن إضافة الحسابات الخدمية أو إزالتها يدوياً فقط.

يعمل توفير المجموعات بالطريقة نفسها لكل من SSO الأساسي وSSO المُدار.

سمات المستخدم المدعومة

يدعم نقطة نهاية SCIM في Hugging Face خصائص المستخدم التالية:

الخاصية	الوصف	SSO الأساسي	SSO المُدار
userName	اسم مستخدم Hugging Face	قراءة فقط	قراءة/كتابة
name.givenName	الاسم الأول	قراءة فقط	قراءة/كتابة
name.familyName	اللقب	قراءة فقط	قراءة/كتابة
emails[type eq "work"].value	عنوان البريد الإلكتروني	قراءة فقط	قراءة/كتابة
externalId	المعرّف المُسنَد من مزوّد الهوية	قراءة/كتابة	قراءة/كتابة
active	ما إذا كان المستخدم عضواً نشطاً	قراءة/كتابة	قراءة/كتابة

مع SSO الأساسي، لا يمكن تعديل سوى active وexternalId عبر SCIM — بينما تُدار جميع السمات الأخرى من قِبل المستخدم في حسابه على Hugging Face.

لتوفير المجموعات، الخصائص المدعومة هي displayName وmembers وexternalId.

إلغاء التخصيص

يعتمد سلوك إلغاء التخصيص على طريقة إزالة المستخدم والنموذج الفردي (SSO) الذي تستخدمه.

تعيين active إلى false (إلغاء التخصيص الناعم):

• يفقد المستخدم الوصول إلى المنظمة
• مع SSO الأساسي: يتم تعطيل الدعوة
• مع SSO المُدار: يُزال المستخدم من المنظمة لكن يُحفظ حسابه ومحتواه — وهذا قابل للتراجع عن طريق إعادة تعيين active إلى true

حذف المستخدم عبر SCIM (إلغاء التهيئة بشكل نهائي):

• مع SSO الأساسي: يُزال المستخدم من المنظمة وجميع مجموعات الموارد التابعة لها. ولا يتأثر حساب Hugging Face الخاص به ومحتواه الشخصي بأي شكل — فهو يفقد عضويته في منطمتك فقط.
• مع SSO المُدار: يُحذف حساب المستخدم على Hugging Face نهائياً، مع جميع المحتوى الذي أنشأه. هذا الإجراء لا رجعة فيه.

مزوّدو الهوية المدعومون

ندعم بروتوكول SCIM مع أي مزوّد هوية (IdP) يطبّق بروتوكول SCIM 2.0. لدينا أدلة محددة لبعض أكثر المزوّدين شيوعاً:

• كيفية تكوين SCIM مع Microsoft Entra ID
• كيفية تكوين SCIM مع Okta

Update on GitHub