# Contrôle d'accès aux images de conteneurs

La possibilité de récupérer et de pousser une image suit la visibilité du dépôt et le rôle de chaque membre au sein de l’organisation : n’importe qui peut récupérer une image publique, seuls les membres peuvent en récupérer une privée, et la poussée nécessite le rôle `write`. Les jetons suivent la même règle : un [User Access Token](./security-tokens) avec `read` permet de récupérer, un avec `write` permet de pousser.

## Contrôle d'accès avec des groupes de ressources

Dans une organisation avec un abonnement Team ou Enterprise, une image peut appartenir à un [Resource Group](./security-resource-groups). Le rôle des membres au sein du groupe remplace alors leur rôle dans l'organisation pour cette image : `read` pour la récupérer, `write` pour la pousser. Une image privée dans un Resource Group ne peut être récupérée que par les membres du groupe et les administrateurs de l'organisation.

Choisissez le groupe lors de la création du dépôt, depuis les paramètres de l’image, ou depuis l’onglet **Ressources** du groupe. Avec l’API, passez `resourceGroupId` lors de la création du dépôt, ou déplacez un dépôt existant (l’ID du groupe se trouve à la fin de l’URL de sa page, et `GET /api/organizations/my-org/resource-groups` les liste) :

```bash
curl -X POST https://huggingface.co/api/containers/my-org/my-app/resource-group \
  -H "Authorization: Bearer $HF_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"resourceGroupId": "<resource-group-id>"}'
```