Cómo configurar SCIM con Okta

Esta guía explica cómo configurar el aprovisionamiento de usuarios y grupos SCIM entre Okta y tu organización de Hugging Face mediante SCIM.

Esta función forma parte de los planes Enterprise y Enterprise Plus.

SCIM requiere que primero se configure SSO en su organización. SSO básico es de autoatención, mientras que SSO administrado se configura con el equipo de Hugging Face.

Paso 1: Obtener la configuración de SCIM de Hugging Face

1. Inicia sesión en una cuenta de Hugging Face que sea propietaria de la organización.
2. Ve a la página de configuración de tu organización en Hugging Face.
3. Vaya a la pestaña SSO y luego haga clic en la subpestaña SCIM.
4. Copia la SCIM Tenant URL. Necesitarás esto para la configuración de Okta.
5. Haz clic en Generate an access token. Se generará un nuevo token SCIM. Copia este token de inmediato y guárdalo de forma segura, ya que no podrás verlo de nuevo.

Paso 2: Ingresar las credenciales de administrador

1. En Okta, vaya a Applications y seleccione su aplicación de Hugging Face.
2. Vaya a la pestaña General y haga clic en Edit en App Settings
3. Para la opción de aprovisionamiento, seleccione SCIM y haga clic en Save
4. Vaya a la pestaña Provisioning y, bajo Settings, haga clic en Integration.
5. Introduzca la SCIM Tenant URL como URL base del conector SCIM.
6. Introduce userName para el campo de identificador único de los usuarios.
7. Seleccione todas las acciones necesarias para Acciones de aprovisionamiento admitidas.
8. Selecciona HTTP Header como modo de autenticación.
9. Introduce el Access Token que generaste como Authorization Bearer Token.
10. Haz clic en Test Connector Configuration para verificar la conexión.
11. Guarda tus cambios.

Paso 3: Compruebe su configuración de SAML

En la pestaña General, bajo SAML Settings, compruebe que:

• El formato del ID de nombre es Unspecified
• El nombre de usuario de la aplicación es Custom, con la expresión user.getInternalProperty("id")
• Bajo Declaraciones de atributos, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress se establece en user.email

Si has cambiado alguna de estas configuraciones, desactiva y vuelve a activar el SSO en la configuración de SSO de tu organización en Hugging Face.

Paso 4: Configurar aprovisionamiento

1. En la pestaña Provisioning, haz clic en To App en la barra lateral.
2. Haz clic en Editar y marca Habilitar todas las funciones que necesites, es decir, Crear, Actualizar y Eliminar usuarios.
3. Haz clic en Save en la parte inferior.

Paso 5: Configurar los mapeos de atributos

1. Mientras siga en la pestaña Provisioning, desplácese hacia abajo hasta la sección Attribute Mappings
2. Los mapeos de atributos predeterminados a menudo requieren ajustes para un aprovisionamiento robusto. Recomendamos usar la siguiente configuración. Puedes eliminar los atributos que no están aquí:

Paso 6: Asignar usuarios o grupos

1. Visite la pestaña Assignments y haga clic en Assign
2. Haz clic en Asignar a personas o en Asignar a grupos
3. Después de encontrar el Usuario o Grupo que debe ser asignado, haga clic en Assign junto a su nombre. Deje el Username tal como está.
4. Desplázate hacia abajo y haz clic en Save and Go Back
5. Haz clic en Done
6. Confirme que los usuarios o grupos se crean, actualizan o desactivan en su organización de Hugging Face como se espera.

Paso 7: Enviar grupos de Okta a Hugging Face a través de SCIM

Antes de poder vincular grupos a los Hugging Face Resource Groups, debe enviar sus grupos de Okta a Hugging Face mediante la pestaña Push Groups. Esto es independiente de la asignación de usuarios a la aplicación en el paso 6.

Okta no permite utilizar el mismo grupo para la asignación de aplicaciones (paso 6) y para Group Push. Utilice un grupo dedicado para las operaciones de push: mantenga sus grupos de push separados de sus grupos de asignación.

1. En la consola de administración de Okta, vaya a Applications y seleccione su aplicación de Hugging Face.
2. Haz clic en la pestaña Push Groups.
3. Haz clic en + Push Groups y selecciona Find groups by name.
4. Busque el grupo de Okta que desea enviar y selecciónelo de los resultados.
5. Elige cómo gestionar el grupo en Hugging Face:
   • Crear grupo: Crea un nuevo grupo SCIM en tu organización de Hugging Face.
   • Grupo de enlaces: Enlaces a un grupo existente en tu organización de Hugging Face.
6. Haz clic en Save. Para enviar grupos adicionales, haz clic en Save & Add Another y repite el proceso.

Una vez que se haya enviado, el grupo aparecerá bajo SCIM Groups en la configuración de tu organización de Hugging Face (SSO → pestaña SCIM). Cualquier cambio de membresía que realices en el grupo en Okta se sincronizará automáticamente con Hugging Face.

Paso 8: Vincular grupos SCIM a grupos de recursos de Hugging Face

Una vez que tus grupos se aprovisionan desde Okta, puedes vincularlos a los grupos de recursos de Hugging Face para gestionar permisos a gran escala. Esto permite que todos los miembros de un grupo SCIM reciban automáticamente roles específicos (como lectura o escritura) para una colección de recursos.

Antes de vincular, asegúrate de que el Resource Group que deseas vincular esté vacío (que no tenga miembros existentes) y que no tenga activada la opción de auto-join. Se requieren ambas condiciones; de lo contrario, la vinculación fallará.

1. En la configuración de tu organización de Hugging Face, ve a la pestaña SSO -> SCIM. Verás una lista de tus grupos aprovisionados bajo SCIM Groups.
2. Localiza el grupo que deseas configurar y haz clic en Link resource groups en su fila.
3. Aparecerá un cuadro de diálogo. Haga clic en Enlazar un grupo de recursos.
4. Desde los menús desplegables, seleccione el Resource Group que desea vincular y la Role Assignment que desea otorgar a los miembros del grupo SCIM.
5. Haz clic en Enlace al grupo SCIM y guarda la asignación.

Una vez vinculados, el Resource Group pasa a estar gestionado por SCIM: cualquier miembro que ya esté en el grupo de SCIM se añade inmediatamente al Resource Group (backfill) y todos los cambios futuros de membresía en Okta se reflejan automáticamente. Las ediciones manuales de la membresía del Resource Group a través de la interfaz de usuario o la API de Hub quedarán bloqueadas.

Update on GitHub