Control de acceso a las imágenes de contenedor

Quien puede extraer y enviar una imagen sigue la visibilidad del repositorio y el rol de cada miembro en la organización: cualquiera puede extraer una imagen pública, solo los miembros pueden extraer una privada, y para enviarla se necesita el rol write. Los tokens siguen la misma regla: un User Access Token con read extrae, y uno con write envía.

Control de acceso con grupos de recursos

En una organización con un plan Team o Enterprise, una imagen puede pertenecer a un Resource Group. El rol de los miembros en el grupo reemplaza entonces su rol en la organización para esa imagen: read para extraerla y write para subirla. Una imagen privada en un Resource Group solo puede ser extraída por los miembros del grupo y los administradores de la organización.

Elige el grupo al crear el repositorio, desde la configuración de la imagen o desde la pestaña Recursos del grupo. Con la API, pasa resourceGroupId al crear el repositorio o al mover uno existente (el ID del grupo termina en la URL de su página, y GET /api/organizations/my-org/resource-groups los lista):

curl -X POST https://huggingface.co/api/containers/my-org/my-app/resource-group \
  -H "Authorization: Bearer $HF_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"resourceGroupId": "<resource-group-id>"}'