Comment configurer SAML SSO avec Okta

Dans ce guide, nous utiliserons Okta en tant que fournisseur SSO et le protocole Security Assertion Markup Language (SAML) comme protocole d'identité privilégié.

Nous prenons actuellement en charge l'authentiation initiée par le SP et l'authentification initiée par l'IdP. Pour le provisionnement des utilisateurs, consultez SCIM.

Cette fonctionnalité fait partie des plans Team & Enterprise.

Étape 1 : Créer une nouvelle application dans votre fournisseur d'identité

Ouvrez un nouvel onglet ou une nouvelle fenêtre dans votre navigateur et connectez-vous à votre compte Okta.

Accédez à « Admin/Applications » et cliquez sur le bouton « Create App Integration ».

Ensuite, choisissez une application « SAML 2.0 » et cliquez sur « Create ».

Étape 2 : Configurer votre application sur Okta

Ouvrez un nouvel onglet ou une nouvelle fenêtre dans votre navigateur et accédez à la section SSO des paramètres de votre organisation. Sélectionnez le protocole SAML.

Copiez l’« Assertion Consumer Service URL » depuis les paramètres de l’organisation sur Hugging Face, puis collez-le dans le champ « Single sign-on URL » sur Okta. L’URL ressemble à ceci : https://huggingface.co/organizations/[organizationIdentifier]/saml/consume.

Sur Okta, configurez les paramètres suivants :

• Définissez l’URI d’audience (SP Entity Id) pour qu’elle corresponde à la valeur « SP Entity ID » sur Hugging Face.
• Définissez le format d'ID de nom sur Unspecified.
• Définissez le nom d'utilisateur de l'application sur Custom, avec l'expression user.getInternalProperty("id").
• Sous « Attribute Statements », ajoutez http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress avec la valeur user.email.
• Sous « Afficher les paramètres avancés », vérifiez que Response et Assertion Signature sont définis sur : Signed.

Enregistrez votre nouvelle application.

Étape 3 : Finaliser la configuration sur Hugging Face

Dans votre application Okta, sous « Sign On/Settings/More details », trouvez les champs suivants :

• URL de connexion
• Certificat public
• SP Entity ID Vous en aurez besoin pour finaliser la configuration du SSO sur Hugging Face.

Dans la section SSO des paramètres de votre organisation, copiez-collez ces valeurs depuis Okta :

• URL de connexion
• ID d'entité SP
• Certificat public

Le certificat public doit avoir le format suivant :

-----BEGIN CERTIFICATE-----
{certificate}
-----END CERTIFICATE-----

Vous pouvez maintenant cliquer sur « Update and Test SAML configuration » pour enregistrer les paramètres.

Vous devriez être redirigé vers l'écran de connexion de votre fournisseur SSO (IdP). Une fois connecté, vous serez redirigé vers la page de paramètres de votre organisation.

Une coche verte à proximité du sélecteur SAML atteste que le test a réussi.

Étape 4 : Activer le SSO dans votre organisation

Maintenant que le Single Sign-On est configuré et testé, vous pouvez l’activer pour les membres de votre organisation en cliquant sur le bouton « Enable ».

Une fois activé, les membres de votre organisation doivent compléter le flux d’authentification SSO décrit dans la section Fonctionnement.