Contrôle d'accès aux images de conteneurs

La possibilité de récupérer (pull) et de pousser (push) une image suit la visibilité du dépôt et le rôle de chaque membre au sein de l’organisation : n’importe qui peut récupérer une image publique, seuls les membres peuvent en récupérer une privée, et la poussée nécessite le rôle write. Les jetons suivent la même règle : un User Access Token avec read permet de récupérer, un avec write permet de pousser.

Contrôle d'accès avec des groupes de ressources

Dans une organisation avec un abonnement Team ou Enterprise, une image peut appartenir à un Resource Group. Le rôle des membres au sein du groupe remplace alors leur rôle dans l’organisation pour cette image : read pour la récupérer, write pour la pousser. Une image privée dans un Resource Group ne peut être récupérée que par les membres du groupe et les administrateurs de l’organisation.

Choisissez le groupe lors de la création du dépôt, depuis les paramètres de l’image, ou depuis l’onglet Ressources du groupe. Avec l’API, passez resourceGroupId lors de la création du dépôt, ou déplacez un dépôt existant (l’ID du groupe se trouve à la fin de l’URL de sa page, et GET /api/organizations/my-org/resource-groups les liste) :

curl -X POST https://huggingface.co/api/containers/my-org/my-app/resource-group \
  -H "Authorization: Bearer $HF_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"resourceGroupId": "<resource-group-id>"}'