ユーザープロビジョニング（SCIM）

この機能は、EnterpriseプランとEnterprise Plusプランの一部です。

SCIM（System for Cross-domain Identity Management）は、ユーザーのプロビジョニングを自動化するための標準です。Identity Provider（IdP）を Hugging Face に接続して、組織のメンバーを管理できます。

SCIMの動作は、SSOモデルによって異なります。詳細な比較については、SSO概要を参照してください。

基本SSO: 招待ベースのプロビジョニング

Basic SSO（Enterpriseプラン）では、SCIMを使用して、既存のHugging Faceユーザーを組織への招待を自動化できます。

• SCIM経由でプロビジョニングを行うには、ユーザーは事前にHugging Faceアカウントを持っている必要があります
• IdPがユーザーをプロビジョニングすると、Hugging Faceは組織への参加を促す招待メールを送信します
• ユーザーはメンバーになるために招待を承認する必要があります。プロビジョニングでは即座にアクセス権が与えられません。
• SCIM はユーザーのプロファイル情報（名前、メールアドレス、ユーザー名）を変更できません。ユーザーは自分の Hugging Face アカウントを完全に管理し続けます。
• ユーザーが IdP でプロビジョニング解除されると、その招待は無効化され、組織へのアクセス権が取り消されます

管理型SSO: 完全なライフサイクルプロビジョニング

Managed SSO（Enterprise Plus プラン）では、SCIM が Hugging Face 上のユーザーのライフサイクル全体を管理します。

• SCIMはユーザーのプロビジョニング時に新しいHugging Faceアカウントを作成します。既存のアカウントは不要です。
• ユーザーは招待の手順を省略し、即座に組織のメンバーとして追加されます
• SCIM は、IdPで変更が発生した際に、ユーザーのプロファイル情報（名前、メールアドレス、ユーザー名）を更新できます
• ユーザーが IdP でプロビジョニング解除されると、その Hugging Face アカウントは無効化され、アクセス権限は取り消されます

SCIMを有効にする方法

SCIMを有効にするには、組織の設定に移動し、SSOタブを開いた後、SCIMサブタブを選択してください。

SCIM Tenant URLと、SCIM tokenを生成するためのボタンが表示されます。これら両方が必要になります。SCIM tokenはシークレット（秘密情報）であるため、IdPの設定内で安全に保管してください。

IdPでSCIMが有効になると、プロビジョニングされたユーザーは組織設定のUsers Managementタブに、プロビジョニングされたグループはSCIMタブに表示されます。

グループプロビジョニング

ユーザープロビジョニングに加えて、SCIMはグループプロビジョニングをサポートしています。IdPからプッシュされたグループはHugging Face上でSCIMグループとして保存され、組織の設定のSCIMタブからリソースグループにリンクできます。

SCIMグループをリソースグループにリンクする

SCIMグループをリンクするには、組織のSSO → SCIMタブに移動します。プロビジョニングされたグループはテーブルにリスト表示されます。Resource Groups列では、各グループについて、まだリンクが存在しない場合はLink resource groupsボタンが、存在する場合は現在リンクされているリソースグループの数（例: “2 resource groups”）が表示されます。どちらをクリックしても、1つ以上のResource Groupを追加できるモーダルが開きます。各Resource Groupには独自のロール割り当てを設定できます。また、同じモーダルから既存のリンクを変更または削除することもできます。

リンクする前に、以下の条件が満たされていることを確認してください。

• Resource Groupには既存のメンバーが存在しない必要があります。メンバーが存在するResource Groupへのリンクは許可されていません。
• Resource Group には 自動参加が有効になっていない 必要があります。自動参加（組織の新しいメンバーをすべて RG に自動的に追加する機能）は、SCIM 管理と排他的です。リンクする前に、RG の自動参加を無効にしてください。

SCIMグループは、それぞれ固有のロールを持つ複数のResource Groupにリンクできます。

リンク後の処理

SCIMグループがリソースグループにリンクされると:

• バックフィル: SCIMグループに既に存在するメンバーは、設定されたロールで即座にリソースグループに追加されます。
• Ongoing sync: IdP でのメンバーシップの変更は自動的に反映されます:
  • ユーザーがIdPのグループに追加されると、すべてのリンクされたリソースグループに追加されます。
  • ユーザーが IdP のグループから削除されると、他の SCIM グループを介してリンクされているものを除き、すべてのリンクされた Resource Group から削除されます。他の SCIM グループを介してリンクされている Resource Group については、ユーザーのロールが、他の SCIM グループによって付与された「最上位」のロールに更新されます。
  • IdPでSCIMグループが削除されると、他のSCIMグループを通じてそのResource Groupに属しているユーザーを除き、すべてのメンバーがリンクされたResource Groupから削除されます。該当する各Resource Groupについて、ユーザーのロールは、他のSCIMグループによって付与された「最上位」のロールに更新されます。
• ロールの変更: リンク上のロールを更新すると、そのリソースグループにおける現在のグループメンバーのすべてのロールが即座に更新されます。

SCIM管理のリソースグループ

SCIMグループにリンクされたリソースグループは、SCIM管理とみなされます。IdPはその通常ユーザーの唯一の信頼できる情報源です。その結果:

• 通常ユーザーに対して、Hub UIまたはAPIによる手動のメンバーシップ変更はブロックされています。SCIM管理のResource Groupにおいて、通常ユーザーの追加、削除、またはロール変更を試みると、403エラーが返されます。
• Service accountsは例外です。SCIMを介してプロビジョニングされることは決してないため、SCIM管理のResource Group上で、Service accountの追加、削除、ロールの変更を手動で行うことができます。
• SCIMで管理されているResource Groupでは、自動参加を有効にできません。自動参加を再有効化するには、まずSCIMリンクを削除してください。

Resource Group の設定画面では、SCIM 管理の Resource Group には SCIM synced バッジが表示され、メンバーシップのフォームには、手動で追加または削除できるのはサービスアカウントのみであることが記載されています。

グループプロビジョニングは、Basic SSOとManaged SSOの両方で同じ方法で機能します。

サポートされているユーザー属性

Hugging FaceのSCIMエンドポイントは、以下のユーザー属性をサポートしています:

属性	説明	基本的なSSO	管理されたSSO
userName	Hugging Face ユーザー名	読み取り専用	読み書き
name.givenName	名	読み取り専用	読み書き
name.familyName	姓	読み取り専用	読み書き
emails[type eq "work"].value	メールアドレス	読み取り専用	読み書き
externalId	IdPが割り当てた識別子	読み書き	読み書き
active	ユーザーがアクティブメンバーかどうか	読み書き	読み書き

Basic SSOでは、SCIM経由で変更できるのはactiveとexternalIdのみです。その他の属性は、ユーザーがHugging Faceアカウント上で管理します。

グループプロビジョニングでは、サポートされている属性はdisplayName、members、externalIdです。

デプロビジョニング

Deprovisioningの動作は、ユーザーが削除される方法と、使用するSSOモデルによって異なります。

active を false に設定する（ソフトデプロビジョニング）:

• ユーザーは組織へのアクセスを失います
• Basic SSOの場合: 招待は無効化されます
• Managed SSOの場合: ユーザーは組織から削除されますが、アカウントとコンテンツは保持されます — activeをtrueに戻すことで、この操作は取り消すことができます

SCIMによるユーザーの削除（ハードデプロビジョニング）：

• Basic SSOの場合: ユーザーは組織およびそのすべてのリソースグループから削除されます。Hugging Faceアカウントおよび個人コンテンツには影響を与えません。単に、あなたの組織のメンバーシップを失うだけです。
• Managed SSOの場合: ユーザーのHugging Faceアカウントは、ユーザーが作成したすべてのコンテンツとともに恒久的に削除されます。この操作は取り消すことができません。

サポートされているIdentity Provider

SCIM 2.0プロトコルを実装しているIdPであれば、SCIMをサポートしています。最も人気のあるプロバイダーの一部については、個別のガイドをご用意しています:

• Microsoft Entra IDでSCIMを設定する方法
• OktaでSCIMを設定する方法

Update on GitHub