# Provisioning Pengguna (SCIM)

> [!WARNING]
> Fitur ini merupakan bagian dari paket Enterprise dan Enterprise Plus.

SCIM (System for Cross-domain Identity Management) adalah standar untuk mengotomatisasi provisioning pengguna. Fitur ini memungkinkan Anda menghubungkan Identity Provider (IdP) Anda ke Hugging Face untuk mengelola anggota organisasi Anda.

SCIM bekerja dengan cara yang berbeda tergantung pada model SSO Anda. Untuk perbandingan yang lebih rinci, lihat [Ikhtisar SSO](./enterprise-sso#user-provisioning-scim).

## SSO Dasar: provisioning berbasis undangan

Dengan [Basic SSO](./security-sso-basic) (paket Enterprise), SCIM mengotomatiskan **undangan** untuk pengguna Hugging Face yang sudah ada ke organisasi Anda.

- Pengguna **harus sudah memiliki akun Hugging Face** sebelum mereka dapat diproses melalui SCIM
- Ketika IdP Anda memprovisikan pengguna, Hugging Face mengirimkan **email undangan** kepada mereka untuk bergabung dengan organisasi
- Pengguna harus **menerima undangan** untuk menjadi anggota — provisioning tidak memberikan akses langsung
- SCIM **tidak dapat mengubah** informasi profil pengguna (nama, email, nama pengguna) — pengguna tetap memiliki kendali penuh atas akun Hugging Face mereka
- Ketika pengguna dihapus dari IdP Anda, undangan mereka dinonaktifkan dan akses mereka ke organisasi dicabut

## SSO Terkelola: provisioning siklus hidup penuh

Dengan [Managed SSO](./enterprise-advanced-sso) (paket Enterprise Plus), SCIM mengelola **seluruh siklus hidup pengguna** di Hugging Face.

- SCIM **membuat akun Hugging Face baru** saat pengguna diproses — tidak diperlukan akun yang sudah ada sebelumnya
- Pengguna **langsung ditambahkan** ke organisasi sebagai anggota, tanpa langkah undangan
- SCIM **dapat memperbarui** informasi profil pengguna (nama, email, nama pengguna) saat terjadi perubahan di IdP Anda
- Ketika pengguna dihapus dari IdP Anda, akun Hugging Face mereka dinonaktifkan dan akses mereka dicabut

## Cara mengaktifkan SCIM

Untuk mengaktifkan SCIM, buka pengaturan organisasi Anda, navigasikan ke tab **SSO**, lalu pilih sub-tab **SCIM**.

Anda akan menemukan **SCIM Tenant URL** dan tombol untuk membuat **SCIM token**. Anda membutuhkan keduanya untuk mengonfigurasi IdP Anda. SCIM token bersifat rahasia dan harus disimpan dengan aman dalam konfigurasi IdP Anda.

    
    

Setelah SCIM diaktifkan di IdP Anda, pengguna yang diproses akan muncul di tab **Users Management** dan grup yang diproses akan muncul di tab **SCIM** di pengaturan organisasi Anda.

## Provisioning grup

Selain provisioning pengguna, SCIM mendukung **provisioning grup**. Grup yang didorong dari IdP Anda disimpan sebagai grup SCIM di Hugging Face dan dapat ditautkan ke [Resource Groups](./enterprise-resource-groups) dari tab **SCIM** di pengaturan organisasi Anda.

### Menghubungkan grup SCIM ke Grup Sumber Daya

Untuk menautkan grup SCIM, buka tab **SSO → SCIM** di organisasi Anda. Grup yang diproses (provisioned) ditampilkan dalam tabel. Pada kolom **Resource Groups**, setiap grup menampilkan tombol **Link resource groups** (jika belum ada tautan) atau jumlah grup resource yang saat ini tertaut (misalnya "2 resource groups"). Mengklik salah satunya membuka modal tempat Anda dapat menambahkan satu atau lebih Resource Groups, masing-masing dengan penugasan perannya sendiri. Anda juga dapat mengubah atau menghapus tautan yang sudah ada dari modal yang sama.

Sebelum melakukan tautan, pastikan kondisi berikut terpenuhi:

- Resource Group harus **tidak memiliki anggota yang sudah ada**. Pautan ke Resource Group yang tidak kosong tidak diizinkan.
- Resource Group harus **tidak memiliki auto-join yang diaktifkan**. Auto-join (yang secara otomatis menambahkan setiap anggota organisasi baru ke RG) bersifat saling eksklusif dengan manajemen SCIM. Nonaktifkan auto-join pada RG sebelum melakukan tautan.

Grup SCIM dapat ditautkan ke beberapa Resource Group, masing-masing dengan perannya sendiri.

### Apa yang terjadi setelah penautan

Setelah grup SCIM terhubung ke Resource Group:

- **Backfill**: Anggota yang sudah ada di grup SCIM langsung ditambahkan ke Resource Group pada peran yang dikonfigurasi.
- **Sinkronisasi berkelanjutan**: Perubahan keanggotaan di IdP Anda dipantulkan secara otomatis:
  - Ketika pengguna **ditambahkan** ke grup di IdP Anda, mereka akan ditambahkan ke semua Resource Group yang terhubung.
  - Ketika seorang pengguna **dihapus** dari grup di IdP Anda, mereka akan dihapus dari semua Resource Groups yang terhubung, kecuali Resource Groups yang pengguna tersebut terhubung melalui grup SCIM lainnya. Untuk Resource Groups tersebut, peran pengguna akan diperbarui ke peran “tertinggi” yang diberikan oleh grup SCIM lainnya.
  - Ketika grup SCIM **dihapus** di IdP Anda, semua anggotanya dihapus dari Resource Groups yang terkait, kecuali pengguna yang masih menjadi bagian dari Resource Groups tersebut melalui grup SCIM lain. Untuk masing-masing Resource Groups tersebut, peran pengguna diperbarui ke peran “tertinggi” yang diberikan oleh grup SCIM lainnya.
- **Perubahan peran**: Jika Anda memperbarui peran pada tautan, semua peran anggota grup saat ini di Resource Group tersebut diperbarui secara langsung.

### Grup Sumber Daya yang dikelola SCIM

Resource Group yang terhubung ke grup SCIM dianggap **dikelola oleh SCIM**. IdP adalah satu-satunya sumber kebenaran untuk pengguna reguler-nya. Akibatnya:

- Perubahan keanggotaan manual melalui UI atau API Hub **diblokir** untuk pengguna biasa — setiap upaya untuk menambahkan, menghapus, atau mengubah peran pengguna biasa pada Resource Group yang dikelola SCIM akan mengembalikan error `403`.
- [Service accounts](./enterprise-service-accounts) adalah pengecualian: karena tidak pernah diproses melalui SCIM, Anda masih dapat menambahkan, menghapus, atau mengubah peran service account secara manual pada Resource Group yang dikelola SCIM.
- Auto-join **tidak dapat diaktifkan** pada Resource Group yang dikelola SCIM. Untuk mengaktifkan kembali auto-join, pertama hapus tautan SCIM.

Pada pengaturan Resource Group, Resource Group yang dikelola SCIM menampilkan lencana **SCIM synced**, dan formulir keanggotaan mencatat bahwa hanya akun layanan yang dapat ditambahkan atau dihapus secara manual.

Provisioning grup bekerja dengan cara yang sama untuk Basic SSO dan Managed SSO.

## Atribut pengguna yang didukung

Endpoint SCIM Hugging Face mendukung atribut pengguna berikut:

| Atribut | Deskripsi | SSO Dasar | SSO Terkelola |
| --- | --- | --- | --- |
| `userName` | Nama pengguna Hugging Face | Hanya-baca | Baca/Tulis |
| `name.givenName` | Nama depan | Hanya-baca | Baca/Tulis |
| `name.familyName` | Nama belakang | Hanya-baca | Baca/Tulis |
| `emails[type eq "work"].value` | Alamat email | Hanya-baca | Baca/Tulis |
| `externalId` | Pengidentifikasi yang ditugaskan oleh IdP | Baca/Tulis | Baca/Tulis |
| `active` | Apakah pengguna adalah anggota aktif | Baca/Tulis | Baca/Tulis |

Dengan Basic SSO, hanya `active` dan `externalId` yang dapat dimodifikasi melalui SCIM — semua atribut lainnya dikendalikan oleh pengguna di akun Hugging Face mereka.

Untuk provisioning grup, atribut yang didukung adalah `displayName`, `members`, dan `externalId`.

## Deprovisioning

Perilaku deprovisioning bergantung pada cara pengguna dihapus dan model SSO yang Anda gunakan.

**Menetapkan `active` menjadi `false`** (deprovision lunak):

- Pengguna kehilangan akses ke organisasi
- Dengan Basic SSO: undangan dinonaktifkan
- Dengan Managed SSO: pengguna dihapus dari organisasi tetapi akun dan konten mereka tetap dipertahankan — ini **dapat dibalik** dengan mengatur `active` kembali ke `true`

**Menghapus pengguna melalui SCIM** (deprovisioning keras):

- Dengan Basic SSO: pengguna dihapus dari organisasi dan semua grup sumber dayanya. Akun Hugging Face dan konten pribadi mereka **tidak terpengaruh** — mereka hanya kehilangan keanggotaan di organisasi Anda.
- Dengan Managed SSO: akun Hugging Face pengguna akan **dihapus secara permanen**, beserta semua konten yang mereka buat. Tindakan ini **tidak dapat dibatalkan**.

## Penyedia Identitas yang Didukung

Kami mendukung SCIM dengan IdP apa pun yang mengimplementasikan protokol SCIM 2.0. Kami memiliki panduan khusus untuk beberapa penyedia yang paling populer:
- [Cara mengonfigurasi SCIM dengan Microsoft Entra ID](./security-sso-entra-id-scim)
- [Cara mengonfigurasi SCIM dengan Okta](./security-sso-okta-scim)