Provisioning de usuarios (SCIM)

Esta función forma parte de los planes Enterprise y Enterprise Plus.

SCIM (System for Cross-domain Identity Management) es un estándar para automatizar la provisión de usuarios. Permite conectar tu Identity Provider (IdP) con Hugging Face para gestionar los miembros de tu organización.

SCIM funciona de manera diferente según tu modelo de SSO. Para una comparación detallada, consulta el resumen de SSO.

SSO básico: aprovisionamiento basado en invitaciones

Con Basic SSO (plan Enterprise), SCIM automatiza la invitación de usuarios existentes de Hugging Face a su organización.

• Los usuarios deben tener ya una cuenta de Hugging Face antes de que puedan ser aprovisionados mediante SCIM
• Cuando su IdP aprovisiona un usuario, Hugging Face les envía un correo de invitación para unirse a la organización
• El usuario debe aceitar la invitación para convertirse en miembro: la aprovisionamiento no otorga acceso inmediato
• SCIM no puede modificar la información del perfil de usuario (nombre, correo electrónico, nombre de usuario): el usuario conserva el control total de su cuenta de Hugging Face
• Cuando un usuario se desprovisiona en su IdP, su invitación se desactiva y se revoca su acceso a la organización

SSO administrado: aprovisionamiento del ciclo de vida completo

Con Managed SSO (plan Enterprise Plus), SCIM gestiona el ciclo de vida completo del usuario en Hugging Face.

• SCIM crea una nueva cuenta de Hugging Face cuando se aprovisiona un usuario: no se necesita una cuenta preexistente
• El usuario se agrega de inmediato a la organización como miembro, sin paso de invitación
• SCIM puede actualizar la información del perfil de usuario (nombre, correo electrónico, nombre de usuario) a medida que se producen cambios en su IdP
• Cuando un usuario se desprovisiona en su IdP, su cuenta de Hugging Face se desactiva y se revoca su acceso

Cómo habilitar SCIM

Para habilitar SCIM, vaya a la configuración de su organización, navegue a la pestaña SSO y luego seleccione la subpestaña SCIM.

Encontrará la SCIM Tenant URL y un botón para generar un SCIM token. Necesitará ambos para configurar su IdP. El token SCIM es un secreto y debe almacenarse de forma segura en la configuración de su IdP.

Una vez que SCIM esté habilitado en tu IdP, los usuarios aprovisionados aparecerán en la pestaña Gestión de usuarios y los grupos aprovisionados aparecerán en la pestaña SCIM de la configuración de tu organización.

Provisionamiento de grupos

Además del aprovisionamiento de usuarios, SCIM admite el aprovisionamiento de grupos. Los grupos enviados desde su IdP se almacenan como grupos SCIM en Hugging Face y pueden vincularse a Resource Groups desde la pestaña SCIM en la configuración de su organización.

Vincular un grupo de SCIM a un grupo de recursos

Para vincular un grupo de SCIM, vaya a la pestaña SSO → SCIM de su organización. Los grupos aprovisionados se listan en una tabla. En la columna Resource Groups, cada grupo muestra un botón Link resource groups (si aún no existen vínculos) o el número de grupos de recursos vinculados actualmente (p. ej., “2 resource groups”). Al hacer clic en cualquiera de ellos se abre un modal donde puede agregar uno o más Resource Groups, cada uno con su propia asignación de roles. También puede cambiar o eliminar vínculos existentes desde el mismo modal.

Antes de vincular, asegúrese de que se cumplan las siguientes condiciones:

• El Resource Group debe tener miembros existentes. No se permite vincular a un Resource Group que no esté vacío.
• El Resource Group no debe tener la opción de incorporación automática habilitada. La incorporación automática (que añade automáticamente a cada nuevo miembro de la organización al RG) es mutuamente excluyente con la gestión mediante SCIM. Desactive la incorporación automática en el RG antes de vincularlo.

Un grupo SCIM puede vincularse a varios grupos de recursos, cada uno con su propio rol.

Qué sucede después de vincular

Una vez que un grupo SCIM se vincula a un grupo de recursos:

• Backfill: Cualquier miembro que ya esté en el grupo SCIM se añade inmediatamente al Resource Group con el rol configurado.
• Ongoing sync: Los cambios de membresía en su IdP se reflejan automáticamente:
  • Cuando un usuario se agrega al grupo en su IdP, se agrega a todos los grupos de recursos vinculados.
  • Cuando un usuario se elimina del grupo en su IdP, se elimina de todos los grupos de recursos vinculados, excepto aquellos a los que el usuario está vinculado a través de otros grupos SCIM. En esos casos, el rol del usuario se actualizará al rol “más alto” otorgado por los otros grupos SCIM.
  • Cuando un grupo SCIM se elimina en su IdP, todos sus miembros se eliminan de los Resource Groups vinculados, excepto los usuarios que pertenecen a esos Resource Groups a través de otros grupos SCIM. Para cada uno de esos Resource Groups, los roles de los usuarios se actualizan al “más alto” rol otorgado por los otros grupos SCIM.
• Cambios de rol: Si actualizas el rol en un enlace, los roles de todos los miembros actuales del grupo en ese Resource Group se actualizan de inmediato.

Grupos de recursos administrados por SCIM

Un grupo de recursos vinculado a un grupo SCIM se considera gestionado por SCIM. El IdP es la única fuente de verdad para sus usuarios regulares. Como resultado:

• Los cambios manuales de membresía a través de la interfaz de usuario o la API del Hub están bloqueados para los usuarios regulares: cualquier intento de agregar, eliminar o cambiar el rol de un usuario regular en un grupo de recursos gestionado por SCIM devolverá un error 403.
• Cuentas de servicio son la excepción: ya que nunca se aprovisionan a través de SCIM, aún puedes agregar, eliminar o cambiar el rol de una cuenta de servicio manualmente en un grupo de recursos administrado por SCIM.
• La función de unión automática no se puede habilitar en un grupo de recursos administrado por SCIM. Para volver a habilitar la unión automática, primero elimine el vínculo de SCIM.

En la configuración del grupo de recursos, un grupo de recursos gestionado por SCIM muestra una insignia de sincronizado con SCIM, y el formulario de membresía indica que solo se pueden agregar o eliminar manualmente cuentas de servicio.

La aprovisionamiento de grupos funciona de la misma manera tanto para SSO básico como para SSO administrado.

Atributos de usuario admitidos

El punto final SCIM de Hugging Face admite los siguientes atributos de usuario:

Atributo	Descripción	SSO básico	SSO administrado
userName	Nombre de usuario de Hugging Face	Solo lectura	Lectura/Escritura
name.givenName	Nombre	Solo lectura	Lectura/Escritura
name.familyName	Apellido	Solo lectura	Lectura/Escritura
emails[type eq "work"].value	Dirección de correo electrónico	Solo lectura	Lectura/Escritura
externalId	Identificador asignado por el IdP	Lectura/Escritura	Lectura/Escritura
active	Si el usuario es un miembro activo	Lectura/Escritura	Lectura/Escritura

Con SSO básico, solo se pueden modificar active y externalId a través de SCIM; todos los demás atributos están controlados por el usuario en su cuenta de Hugging Face.

Para la aprovisionamiento de grupos, los atributos admitidos son displayName, members y externalId.

Desprovisionamiento

El comportamiento de desprovisionamiento depende de cómo se elimina al usuario y del modelo de SSO que utilice.

Establecer active en false (desprovisionamiento suave):

• El usuario pierde el acceso a la organización
• Con SSO básico: la invitación se desactiva
• Con SSO administrado: el usuario se elimina de la organización, pero su cuenta y su contenido se conservan; esto es reversible si se establece active de nuevo en true

Eliminar el usuario mediante SCIM (desprovisionamiento definitivo):

• Con SSO básico: el usuario se elimina de la organización y de todos sus grupos de recursos. Su cuenta de Hugging Face y su contenido personal no se ven afectados: simplemente pierde la membresía en su organización.
• Con SSO administrado: la cuenta de Hugging Face del usuario se elimina de forma permanente, junto con todo el contenido que creó. Esta acción es irreversible.

Proveedores de identidad admitidos

Admitimos SCIM con cualquier IdP que implemente el protocolo SCIM 2.0. Contamos con guías específicas para algunos de los proveedores más populares:

• Cómo configurar SCIM con Microsoft Entra ID
• Cómo configurar SCIM con Okta

Update on GitHub