Microsoft Entra ID (Azure AD)でSCIMを設定する方法

このガイドでは、SCIMを使用してMicrosoft Entra IDとHugging Face組織の間のユーザーおよびグループの自動プロビジョニングを設定する方法を説明します。

この機能は、EnterpriseプランとEnterprise Plusプランの一部です。

SCIMを使用するには、まず組織でSSOを設定する必要があります。Basic SSOはセルフサービスで設定でき、Managed SSOはHugging Faceチームによって設定されます。

ステップ1: Hugging FaceからSCIM設定を取得する

1. 組織のオーナーである Hugging Face アカウントにログインします。
2. Hugging Face 上で、あなたの組織の設定ページに移動します。
3. SSOタブに移動し、SCIMサブタブをクリックします。
4. SCIM Tenant URLをコピーしてください。Entra IDの設定に必要です。
5. Generate an access token をクリックします。新しい SCIM トークンが生成されます。このトークンは二度と表示できないため、すぐにコピーして安全に保管してください。

ステップ2: Microsoft Entra IDでのプロビジョニングを設定

1. Microsoft Entra管理センターで、Hugging Faceエンタープライズアプリケーションに移動します。
2. 左側のメニューで、Provisioningを選択します。
3. Get started をクリックします。
4. Provisioning Modeを「Manual」からAutomaticに変更します。

ステップ3: 管理者認証情報の入力

1. Admin Credentials セクションで、Hugging Face の SCIM Tenant URL を Tenant URL フィールドに貼り付けてください。
2. Hugging Face の SCIM トークン を Secret Token フィールドに貼り付けてください。
3. Test Connectionをクリックしてください。成功の通知が表示されるはずです。
4. Save をクリックします。

ステップ4: 属性マッピングを設定

1. Mappingsセクションで、Provision Microsoft Entra ID Usersをクリックします。

2. デフォルトの属性マッピングは、堅牢なプロビジョニングのために調整が必要なことがよくあります。以下の設定の使用をお勧めします。ここに記載されていない属性は削除できます。

   customappsso 属性	Microsoft Entra ID 属性	マッチングの優先順位
   userName	Replace([mailNickname], ".", "", "", "", "", "")
   active	Switch([IsSoftDeleted], , "False", "True", "True", "False")
   emails[type eq "work"].value	userPrincipalName
   name.givenName	givenName
   name.familyName	surname
   externalId	objectId	1

3. ユーザー名は、以下のルールに従う必要があります。

• Usernameには、通常の文字と-のみが許可されます。
• --（ダブルダッシュ）は禁止されています。
• -は名前の先頭や末尾に使用できません。
• 数字のみで構成される名前は受け付けられません。
• 最小長は2、最大長は42です。
• ユーザー名は、あなたの組織内で一意である必要があります。

4. ユーザーマッピングを設定した後、Provisioning画面に戻り、Provision Microsoft Entra ID Groupsをクリックしてグループのマッピングを確認してください。グループのデフォルト設定は通常、十分です。

ステップ5: プロビジョニングを開始

1. メインのProvisioning画面で、Provisioning StatusをOnに設定します。
2. 設定で、スコープを「割り当てられたユーザーとグループのみを同期」または「すべてのユーザーとグループを同期」に設定できます。最初は「割り当てられたユーザーとグループのみを同期」から始めることをお勧めします。
3. 変更を保存してください。

初期同期の開始には最大40分かかります。Provisioning logsタブで進捗を確認できます。

プロビジョニング用のユーザーとグループの割り当て

Hugging Face 組織にプロビジョニングされるユーザーとグループを制御するには、それらを Microsoft Entra ID の Hugging Face Enterprise Application に割り当てる必要があります。これは、アプリケーションの ユーザーとグループ タブで実行します。

1. Microsoft Entra管理センターで、Hugging Face Enterprise Applicationに移動します。
2. ユーザーとグループタブに移動します。
3. ユーザー/グループを追加をクリックします。
4. プロビジョニングするユーザーとグループを選択し、割り当てをクリックします。

ここで割り当てたユーザーとグループのみが、Scopeが「Sync only assigned users and groups」に設定されている場合、Hugging Face にプロビジョニングされます。

Active Directoryのプランに関する考慮事項

• Free、Office 365、および Premium P1/P2 プランでは、プロビジョニングのためにアプリケーションに個別のユーザーを割り当てることができます。
• Premium P1/P2 プランでは、グループの割り当ても可能です。AD でグループのメンバーシップを管理でき、その変更が Hugging Face に自動的に反映されるため、大規模なアクセス管理にはこの方法が推奨されます。

ステップ6: Hugging Faceでのプロビジョニングを確認

同期が完了したら、Hugging Face の組織設定に戻ります:

• プロビジョニングされたユーザーは、Users Managementタブに表示されます。
• プロビジョニングされたグループは、SCIM Groups の SCIM タブに表示されます。これらのグループは、Resource Groups に割り当てて、詳細なアクセス制御を行うことができます。

ステップ7: SCIMグループをHugging Faceのリソースグループにリンクする

Entra IDからグループがプロビジョニングされると、Hugging Face Resource Groupsにリンクして、大規模な権限管理を行うことができます。これにより、SCIMグループのすべてのメンバーが、リソースのコレクションに対して特定のロール（読み取りまたは書き込みなど）を自動的に取得できるようになります。

リンクする前に、リンク対象の Resource Group が空（既存のメンバーが存在しない）であり、自動参加が有効になっていないことを確認してください。両方の条件を満たす必要があります。満たさない場合、リンクは失敗します。

1. Hugging Face の組織設定で、SSO -> SCIM タブに移動します。SCIM Groups の下に、プロビジョニングされたグループの一覧が表示されます。

2. 設定したいグループを特定し、その行にあるLink resource groupsをクリックします。
3. ダイアログが表示されます。リソースグループをリンクをクリックしてください。
4. ドロップダウンメニューから、リンクするResource Groupと、SCIMグループのメンバーに付与するRole Assignmentを選択します。
5. SCIMグループへのリンクをクリックして、マッピングを保存します。

リンクが確立されると、Resource Group は SCIM 管理 下になります。SCIM グループに既に存在するメンバーはすべて Resource Group に即座に追加され（バックフィル）、Entra ID における将来のメンバーシップ変更はすべて自動的に反映されます。Hub UI または API を介した Resource Group への手動によるメンバーシップ編集はブロックされます。

Update on GitHub