OktaでSCIMを設定する方法

このガイドでは、SCIMを使用してOktaとHugging Face組織の間のSCIMユーザーおよびグループプロビジョニングを設定する方法を説明します。

この機能は、EnterpriseプランとEnterprise Plusプランの一部です。

SCIMを使用するには、まず組織でSSOを設定する必要があります。Basic SSOはセルフサービスで設定でき、Managed SSOはHugging Faceチームによって設定されます。

ステップ1: Hugging FaceからSCIM設定を取得する

1. 組織のオーナーである Hugging Face アカウントにログインします。
2. Hugging Face 上で、あなたの組織の設定ページに移動します。
3. SSOタブに移動し、SCIMサブタブをクリックします。
4. SCIM Tenant URLをコピーしてください。Oktaの設定で必要になります。
5. Generate an access token をクリックします。新しい SCIM トークンが生成されます。このトークンは二度と表示できないため、すぐにコピーして安全に保管してください。

ステップ2: 管理者認証情報の入力

1. Oktaで、Applicationsに移動し、Hugging Faceアプリを選択します。
2. Generalタブに移動し、App SettingsのEditをクリックします
3. ProvisioningオプションではSCIMを選択し、Saveをクリックします。
4. Provisioningタブに移動し、Settingsの下でIntegrationをクリックします。
5. SCIMコネクタのベースURLとして、SCIMテナントURLを入力します。
6. ユーザーの一意の識別子フィールドにuserNameを入力します。
7. Supported provisioning actions のすべての必要なアクションを選択します。
8. 認証モードとしてHTTP Headerを選択します。
9. 生成したAccess TokenをAuthorization Bearer Tokenとして入力してください。
10. 接続を確認するには、Test Connector Configuration をクリックします。
11. 変更を保存してください。

ステップ3: SAML設定を確認する

GeneralタブのSAML Settingsの下で、以下を確認してください:

• Name ID の形式はUnspecifiedです
• アプリケーションのユーザー名はCustomで、式はuser.getInternalProperty("id")です。
• Attribute Statementsの下で、http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddressがuser.emailに設定されています。

これらの設定を変更した場合は、Hugging Face の組織の SSO 設定で SSO を無効にしてから再度有効にしてください。

ステップ4: プロビジョニングの構成

1. Provisioningタブで、サイドナビゲーションからTo Appをクリックします。
2. Edit をクリックし、必要な機能（Create、Update、Delete Users など）をすべて有効にしてください。
3. 下部のSaveをクリックします。

ステップ5: 属性マッピングを設定

1. まだProvisioningタブにいる状態で、ページを下にスクロールしてAttribute Mappingsセクションまで移動します
2. デフォルトの属性マッピングは、堅牢なプロビジョニングのために調整が必要なことがよくあります。以下の設定の使用をお勧めします。ここに記載されていない属性は削除できます。

ステップ6: ユーザーまたはグループを割り当てる

1. Assignmentsタブに移動し、Assignをクリックします
2. ユーザーに割り当てまたはグループに割り当てをクリックします
3. 割り当てが必要なユーザーまたはグループを見つけたら、その名前の横にある割り当てをクリックします。ユーザー名はそのままにしてください。
4. スクロールダウンして、Save and Go Back をクリックします。
5. 完了をクリックします
6. Hugging Face の組織内で、ユーザーまたはグループが想定どおり作成、更新、または無効化されていることを確認します。

ステップ7: SCIM経由でOktaグループをHugging Faceにプッシュする

Hugging Face Resource Groups にグループをリンクする前に、Push Groups タブを使用して Okta グループを Hugging Face にプッシュする必要があります。これは、ステップ 6 でアプリにユーザーを割り当てることとは別の手順です。

Oktaでは、アプリの割り当て（ステップ6）とGroup Pushに同じグループを使用することをサポートしていません。プッシュには専用のグループを使用してください。プッシュ用のグループと割り当て用のグループは分離してください。

1. Okta管理コンソールで、Applicationsに移動し、Hugging Faceアプリを選択します。
2. Push Groupsタブをクリックします。
3. グループをプッシュ をクリックし、名前でグループを検索 を選択します。
4. プッシュしたいOktaグループを検索し、結果から選択します。
5. Hugging Face でのグループの処理方法を選択してください:
   • グループの作成: Hugging Face の組織に新しい SCIM グループを作成します。
   • Link Group: Hugging Face 組織内に既に存在するグループへのリンク。
6. Save をクリックします。追加のグループをプッシュするには、Save & Add Another をクリックして、手順を繰り返します。

プッシュが完了すると、Hugging Face の組織設定（SSO → SCIM タブ）の SCIM Groups にそのグループが表示されます。Okta でグループのメンバーシップに変更を加えると、自動的に Hugging Face に同期されます。

ステップ8: SCIMグループをHugging Faceのリソースグループにリンクする

Oktaからグループがプロビジョニングされると、Hugging Face Resource Groupsにリンクして、大規模な権限管理を行うことができます。これにより、SCIMグループのすべてのメンバーが、リソースのコレクションに対して特定のロール（読み取りまたは書き込みなど）を自動的に取得できるようになります。

リンクする前に、リンク対象の Resource Group が空（既存のメンバーが存在しない）であり、自動参加が有効になっていないことを確認してください。両方の条件を満たす必要があります。満たさない場合、リンクは失敗します。

1. Hugging Face の組織設定で、SSO -> SCIM タブに移動します。SCIM Groups の下に、プロビジョニングされたグループの一覧が表示されます。
2. 設定したいグループを特定し、その行にあるLink resource groupsをクリックします。
3. ダイアログが表示されます。リソースグループをリンクをクリックしてください。
4. ドロップダウンメニューから、リンクするResource Groupと、SCIMグループのメンバーに付与するRole Assignmentを選択します。
5. SCIMグループへのリンクをクリックして、マッピングを保存します。

リンクが確立されると、Resource Group は SCIM 管理 状態になります。SCIM グループに既に存在するメンバーはすべて Resource Group に即座に追加され（バックフィル）、Okta における将来のメンバーシップ変更はすべて自動的に反映されます。Hub UI または API を介した Resource Group への手動によるメンバーシップ編集はブロックされます。

Update on GitHub