Comment configurer SAML SSO avec Microsoft Entra ID (Azure AD)

Dans ce guide, nous utiliserons Microsoft Entra ID en tant que fournisseur SSO et le protocole Security Assertion Markup Language (SAML) comme protocole d'identité privilégié.

Nous prenons actuellement en charge l'authentiation initiée par le SP et l'authentification initiée par l'IdP. Pour le provisionnement des utilisateurs, consultez SCIM.

Cette fonctionnalité fait partie des plans Team & Enterprise.

Étape 1 : Créer une nouvelle application dans votre fournisseur d'identité

Ouvrez un nouvel onglet ou une nouvelle fenêtre dans votre navigateur et connectez-vous au portail Azure de votre organisation.

Accédez à « Enterprise applications » et cliquez sur le bouton « New application ».

Vous serez redirigé vers cette page, cliquez sur « Create your own application », remplissez le nom de votre application, puis cliquez sur « Create » pour créer l’application.

Sélectionnez ensuite « Single Sign-On », puis SAML

Étape 2 : Configurer votre application sur Azure

Ouvrez un nouvel onglet ou une nouvelle fenêtre dans votre navigateur et accédez à la section SSO des paramètres de votre organisation. Sélectionnez le protocole SAML.

Copiez le « SP Entity Id » depuis les paramètres de l’organisation sur Hugging Face, puis collez-le dans le champ « Identifier (Entity Id) » sur Azure (1).

Copiez l’« Assertion Consumer Service URL » depuis les paramètres de l’organisation sur Hugging Face, puis collez-le dans le champ « Reply URL » sur Azure (2).

L’URL ressemble à ceci : https://huggingface.co/organizations/[organizationIdentifier]/saml/consume.

Ensuite, sous « SAML Certificates », vérifiez que « Signin Option » est défini sur « Sign SAML response and assertion ».

Enregistrez votre nouvelle application.

Étape 3 : Finaliser la configuration sur Hugging Face

Dans votre application Azure, sous « Set up », trouvez le champ suivant :

• URL de connexion

Et sous « SAML Certificates » :

• Télécharger le « Certificat (base64) »

Vous en aurez besoin pour finaliser la configuration du SSO sur Hugging Face.

Dans la section SSO des paramètres de votre organisation, copiez-collez ces valeurs depuis Azure :

• URL de connexion -> URL de connexion
• Certificat -> Certificat public

Le certificat public doit avoir le format suivant :

-----BEGIN CERTIFICATE-----
{certificate}
-----END CERTIFICATE-----

Vous pouvez maintenant cliquer sur « Update and Test SAML configuration » pour enregistrer les paramètres.

Vous devriez être redirigé vers l'écran de connexion de votre fournisseur SSO (IdP). Une fois connecté, vous serez redirigé vers la page de paramètres de votre organisation.

Une coche verte à proximité du sélecteur SAML atteste que le test a réussi.

Étape 4 : Activer le SSO dans votre organisation

Maintenant que le Single Sign-On est configuré et testé, vous pouvez l’activer pour les membres de votre organisation en cliquant sur le bouton « Enable ».

Une fois activé, les membres de votre organisation doivent compléter le flux d’authentification SSO décrit dans la section Fonctionnement.