Como configurar o SCIM com o Okta

Este guia explica como configurar o provisionamento de usuários e grupos SCIM entre o Okta e sua organização do Hugging Face usando SCIM.

Este recurso faz parte dos planos Enterprise e Enterprise Plus.

O SCIM requer que o SSO esteja configurado na sua organização primeiro. O SSO básico é autoatendimento, enquanto o SSO gerenciado é configurado com a equipe da Hugging Face.

Etapa 1: Obter a configuração SCIM do Hugging Face

1. Faça login em uma conta do Hugging Face que seja proprietária da organização.
2. Acesse a página de configurações da sua organização no Hugging Face.
3. Vá para a aba SSO e, em seguida, clique na subaba SCIM.
4. Copie a SCIM Tenant URL. Você precisará disso para a configuração do Okta.
5. Clique em Generate an access token. Um novo token SCIM será gerado. Copie este token imediatamente e armazene-o com segurança, pois você não poderá visualizá-lo novamente.

Etapa 2: Insira as credenciais de administrador

1. No Okta, vá para Applications e selecione seu aplicativo do Hugging Face.
2. Vá para a aba General e clique em Edit em App Settings
3. Para a opção Provisionamento, selecione SCIM e clique em Save
4. Vá para a aba Provisioning e, em Settings, clique em Integration.
5. Insira a SCIM Tenant URL como a URL base do conector SCIM.
6. Insira userName para o campo de identificador único dos usuários.
7. Selecione todas as ações necessárias para Ações de provisionamento suportadas.
8. Selecione HTTP Header para o Modo de Autenticação.
9. Insira o Access Token que você gerou como o Authorization Bearer Token.
10. Clique em Test Connector Configuration para verificar a conexão.
11. Salve suas alterações.

Etapa 3: Verifique suas configurações de SAML

Na aba General, em SAML Settings, verifique o seguinte:

• O formato do ID do nome é Unspecified
• O nome de usuário da aplicação é Custom, com a expressão user.getInternalProperty("id")
• Em Declarações de Atributos, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress é definido como user.email

Se você alterou alguma dessas configurações, desative e reative o SSO nas configurações de SSO da sua organização no Hugging Face.

Etapa 4: Configure o Provisioning

1. Na aba Provisioning, clique em To App na navegação lateral.
2. Clique em Editar e marque a opção Habilitar para ativar todos os recursos de que você precisa, ou seja, Criar, Atualizar e Excluir usuários.
3. Clique em Save na parte inferior.

Etapa 5: Configure os Mapeamentos de Atributos

1. Enquanto ainda estiver na aba Provisioning, role para baixo até a seção Attribute Mappings
2. Os mapeamentos de atributos padrão frequentemente exigem ajustes para um provisionamento robusto. Recomendamos usar a seguinte configuração. Você pode excluir atributos que não estão aqui:

Etapa 6: Atribuir usuários ou grupos

1. Acesse a aba Designações e clique em Designar
2. Clique em Atribuir a pessoas ou Atribuir a grupos
3. Após encontrar o Usuário ou Grupo que precisa ser atribuído, clique em Atribuir ao lado do nome dele. Deixe o Username como está.
4. Role para baixo e clique em Save and Go Back
5. Clique em Concluído
6. Confirme que os usuários ou grupos são criados, atualizados ou desativados na sua organização do Hugging Face conforme o esperado.

Etapa 7: Enviar grupos do Okta para o Hugging Face via SCIM

Antes de poder vincular grupos aos Hugging Face Resource Groups, você precisa enviar seus grupos do Okta para o Hugging Face usando a aba Push Groups. Isso é separado da atribuição de usuários ao aplicativo na Etapa 6.

A Okta não suporta o uso do mesmo grupo para a atribuição de aplicativo (Etapa 6) e o Group Push. Use um grupo dedicado para o push — mantenha seus grupos de push separados dos seus grupos de atribuição.

1. No console de administração do Okta, vá para Applications e selecione seu aplicativo do Hugging Face.
2. Clique na aba Push Groups.
3. Clique em + Push Groups e selecione Find groups by name.
4. Pesquise pelo grupo do Okta que deseja enviar e selecione-o nos resultados.
5. Escolha como lidar com o grupo no Hugging Face:
   • Criar grupo: Cria um novo grupo SCIM na sua organização do Hugging Face.
   • Grupo de links: Links para um grupo existente já presente na sua organização do Hugging Face.
6. Clique em Save. Para enviar grupos adicionais, clique em Save & Add Another e repita.

Depois de enviado, o grupo aparecerá em SCIM Groups nas configurações da sua organização no Hugging Face (SSO → aba SCIM). Quaisquer alterações de membro que você fizer no grupo no Okta serão sincronizadas automaticamente com o Hugging Face.

Etapa 8: Vincular grupos SCIM a grupos de recursos do Hugging Face

Depois que seus grupos forem provisionados a partir do Okta, você pode vinculá-los aos Hugging Face Resource Groups para gerenciar permissões em escala. Isso permite que todos os membros de um grupo SCIM recebam automaticamente papéis específicos (como leitura ou escrita) para uma coleção de recursos.

Before linking, make sure the Resource Group you want to link is empty (has no existing members) and does not have auto-join enabled. Both conditions are required — linking will fail otherwise.

1. Nas configurações da sua organização no Hugging Face, navegue até a aba SSO -> SCIM. Você verá uma lista dos seus grupos provisionados sob SCIM Groups.
2. Localize o grupo que deseja configurar e clique em Link resource groups em sua linha.
3. Uma caixa de diálogo será exibida. Clique em Link a Resource Group.
4. Nos menus suspensos, selecione o Resource Group que deseja vincular e a Role Assignment que deseja conceder aos membros do grupo SCIM.
5. Clique em Link to SCIM group e salve o mapeamento.

Uma vez vinculado, o Resource Group passa a ser gerenciado via SCIM: todos os membros já presentes no grupo SCIM são adicionados imediatamente ao Resource Group (backfill), e todas as alterações futuras de membros no Okta são refletidas automaticamente. Edições manuais de membros no Resource Group por meio da interface do Hub ou da API serão bloqueadas.

Update on GitHub