Kontrol Akses Lanjutan dalam Organisasi dengan Grup Sumber Daya

Fitur ini merupakan bagian dari paket Team & Enterprise.

Di organisasi Hugging Face Anda, Anda dapat menggunakan Resource Groups untuk mengontrol anggota mana yang memiliki akses ke repositori tertentu.

Bagaimana cara kerjanya?

Resource Groups memungkinkan administrator organisasi untuk mengelompokkan repositori terkait, sehingga tim yang berbeda dalam organisasi Anda dapat bekerja pada set repositori yang independen.

• Sumber daya: repositori dan koleksi grup. Setiap sumber daya dapat menjadi bagian dari satu grup Sumber Daya saja, dan dapat dipindahkan antar grup oleh anggota dengan izin yang sesuai.
• Anggota: anggota organisasi perlu ditambahkan ke dalam Resource Group untuk mengakses repositorinya. Seorang anggota dapat menjadi bagian dari beberapa Resource Group.

Anggota diberikan peran di setiap Resource Group yang menentukan izin mereka untuk repositori grup tersebut. Terdapat empat peran yang berbeda untuk Resource Group:

• read: Memberikan akses baca ke repositori di dalam Resource Group.
• contributor: Memberikan hak tulis yang terbatas pada repositori yang dibuat oleh pengguna (yaitu, pengguna dapat membuat repositori dan kemudian hanya memodifikasi repositori tersebut). Mirip dengan peran ‘Write’, tetapi terbatas pada repositori yang dibuat oleh pengguna.
• write: Memberikan akses tulis ke semua repositori dalam Resource Group. Pengguna dapat membuat, menghapus, atau mengganti nama repositori apa pun dalam Resource Group.
• admin: Selain izin tulis pada repositori, anggota admin dapat memanajemeni Resource Group: menambahkan, menghapus, dan mengubah peran anggota lain. Mereka juga dapat mengelola repositori yang sudah ada dalam Resource Group.
• inherit: Peran anggota dalam Resource Group sama dengan peran organisasi mereka. Misalnya, anggota dengan peran organisasi write yang ditambahkan ke grup dengan inherit akan mendapatkan akses write di grup tersebut

Selain itu, admin Organisasi dapat mengelola semua grup sumber daya di dalam organisasi. Ini termasuk memindahkan repositori masuk dan keluar dari grup Sumber Daya mana pun.

Resource Groups juga memengaruhi visibilitas repositori privat di dalam organisasi:

• Private repository yang merupakan bagian dari Resource Group hanya terlihat oleh anggota Resource Group tersebut.
• Public repositori dapat dilihat oleh siapa pun, baik di dalam maupun di luar organisasi.
• Aturan visibilitas yang sama berlaku untuk koleksi privat yang dimiliki oleh Resource Group.

Memulai

Buka pengaturan Organisasi Anda, lalu navigasikan ke entri “Resource Groups” di menu kiri. Halaman ini terbagi menjadi dua tab: Resource Groups, tempat grup-grup tersebut terdaftar dan dikelola, serta Access settings, tempat admin organisasi mengonfigurasi siapa yang dapat membuat Resource Groups dan anggota mana yang dapat menggunakan fitur organisasi tertentu.

Admin organisasi dapat membuat dan mengelola Resource Groups dari halaman tersebut. Tergantung pada pengaturan organisasi, anggota dengan peran yang lebih rendah juga mungkin diizinkan untuk membuat Resource Groups (lihat Siapa yang dapat membuat Resource Groups di bawah).

Setelah membuat Resource Group dan memberinya nama yang bermakna, Anda akan diarahkan ke halaman grup tersebut. Halaman ini terorganisasi dalam empat tab:

• Ikhtisar: ringkasan grup (jenis repositori, peran anggota, status auto-include, dan batas pengeluaran) beserta pratinjau sumber daya dan penggunanya.
• Sumber daya: daftar lengkap repositori dan koleksi grup, serta Jobs yang ditagihkan ke grup, dengan pencarian, pengurutan, dan paginasi. Di sinilah Anda menambahkan sumber daya ke grup.
• Pengguna: anggota grup dan peran mereka, dengan pencarian dan pengurutan. Di sinilah Anda menambahkan pengguna dan mengelola peran mereka.
• Pengaturan: konfigurasi batas auto-include dan pengeluaran grup.

Anda dapat mulai menambahkan repositori dan pengguna ke grup dari tab Sumber Daya dan Pengguna.

Saat menambahkan pengguna ke Resource Group, Anda dapat mencari berdasarkan alamat email jika pengguna tersebut memiliki email khusus organisasi (misalnya, user@your-company.com) yang cocok dengan domain email organisasi Anda.

Ingatlah bahwa sebuah repositori hanya dapat menjadi bagian dari satu Resource Group. Anda akan diberi peringatan saat mencoba menambahkan repositori yang sudah menjadi bagian dari Resource Group lain.

Auto-join

Auto-join secara otomatis menambahkan anggota organisasi ke dalam Resource Group pada peran yang ditentukan: baik anggota yang sudah ada di organisasi saat auto-join diaktifkan, maupun anggota baru yang bergabung di kemudian hari.

Hal ini berguna untuk Resource Groups yang harus dapat diakses oleh seluruh organisasi Anda tanpa memerlukan manajemen keanggotaan manual.

Mengaktifkan auto-join

• Melalui UI: Buka tab Settings dari Resource Group dan centang opsi Automatically include all org members di bagian Auto-include org members, lalu pilih peran yang akan ditugaskan. Tab Users juga memiliki tautan ke sana, yang menunjukkan apakah auto-include aktif atau tidak.
• Melalui API: Lihat Menyiapkan auto-join melalui API.

Ketika auto-join diaktifkan pada Resource Group yang sudah ada, anggota organisasi saat ini yang sesuai dengan cakupan yang dipilih akan langsung ditambahkan ke grup pada peran yang dikonfigurasi (backfill).

Cakupan auto-join

Auto-join dapat diterapkan pada:

• Semua anggota organisasi (default): biarkan Sertakan anggota no_access tidak dicentang untuk mengecualikan anggota dengan peran organisasi no_access.
• Semua anggota organisasi termasuk no_access: centang Sertakan anggota no_access untuk menyertakan setiap anggota, termasuk anggota dengan peran organisasi no_access.

Gunakan hanya anggota Read+ ketika anggota no_access harus tetap memiliki akses hanya ke Resource Groups tertentu tempat mereka ditambahkan secara manual atau melalui alur provisioning lainnya.

Auto-join dan SCIM

Auto-join dan manajemen SCIM bersifat saling eksklusif pada Resource Group yang sama. Auto-join menambahkan anggota organisasi secara otomatis, sedangkan manajemen SCIM berarti hanya IdP yang mengontrol keanggotaan. Kedua perilaku ini saling bertentangan, sehingga:

• Anda tidak dapat mengaktifkan auto-join pada Resource Group yang terhubung ke grup SCIM.
• Anda tidak dapat mengaitkan grup SCIM dengan Resource Group yang memiliki auto-join diaktifkan.

Untuk beralih dari auto-join ke SCIM-managed (atau sebaliknya) pada Resource Group, nonaktifkan pengaturan yang aktif terlebih dahulu.

Undangan eksternal

Anda dapat membagikan Resource Groups dengan pengguna di luar organisasi Anda. Admin organisasi mengaktifkan ini melalui pengaturan External invitations, di tab Access settings pada halaman pengaturan Resource Groups. Pengaturan ini nonaktif secara default dan tidak tersedia untuk organisasi dengan managed users.

Pengguna yang diundang bergabung sebagai kolaborator eksternal:

• Secara default, mereka mendapatkan peran organisasi no_access, sehingga mereka hanya melihat sumber daya dari Resource Group tersebut.
• Anda dapat mengundang mereka dengan peran read atau write di Resource Group.
• Mereka tidak perlu masuk menggunakan SSO organisasi Anda.

Untuk mengundang seseorang, buka tab Users dari Resource Group dan tambahkan mereka berdasarkan nama pengguna. Anggota organisasi bergabung ke grup secara langsung; pihak luar menerima undangan. Undangan yang masih menunggu berada bersama pengguna grup di bawah lencana “Pending”, dan Anda dapat mengirim ulang atau mencabutnya. Gunakan filter External untuk hanya menampilkan kolaborator eksternal.

Bagikan repositori dengan kolaborator eksternal

Admin grup sumber daya juga dapat membagikan repositori privat dari halaman Pengaturan, di bawah Bagikan dengan kolaborator eksternal. Bagian tersebut menampilkan siapa saja yang sudah berada di Grup Sumber Daya repositori, dan memungkinkan Anda mengundang kolaborator eksternal ke dalamnya. Siapa pun yang Anda tambahkan di sana akan mendapatkan akses ke semua sumber daya dalam Grup Sumber Daya, bukan hanya repositori tersebut.

Jika repositori belum berada di Resource Group, anggota yang dapat membuat Resource Groups dapat membuatnya dari bagian tersebut dan mengundang kolaborator pada saat yang sama. Auto-include aktif secara default: fitur ini memasukkan anggota organisasi (kecuali mereka dengan peran no_access) ke grup baru melalui auto-join dengan peran inherit, sehingga mereka tetap mempertahankan akses saat ini ke repositori. Jika Anda mematikannya, hanya pengguna yang Anda tambahkan ke Resource Group, ditambah admin organisasi, yang dapat melihatnya.

Anda juga dapat mengelola undangan eksternal melalui API: Undang kolaborator eksternal melalui API.

Siapa yang dapat membuat Resource Groups

Secara default, hanya admin organisasi yang dapat membuat Resource Group baru. Admin organisasi dapat mengubah hal ini dengan mengatur peran anggota minimum yang diperlukan untuk membuat Resource Group di tab Access settings pada halaman pengaturan Resource Groups.

Opsi yang tersedia adalah:

• Hanya admin (default): hanya admin organisasi yang dapat membuat Resource Groups.
• Write+: anggota dengan peran Write atau Admin dapat membuat Resource Groups.
• Contributor+: anggota dengan peran Contributor, Write, atau Admin dapat membuat Resource Groups.
• Read+: anggota organisasi mana pun dapat membuat Resource Groups, kecuali anggota dengan peran organisasi no_access.

Ketika anggota non-admin membuat Resource Group melalui UI, mereka secara otomatis ditambahkan sebagai admin dari grup yang baru dibuat tersebut. Melalui API, hal ini tidak terjadi secara otomatis, karena pemanggil API mungkin membuat grup atas nama orang lain. Pemanggil API non-admin harus menyertakan setidaknya satu pengguna dengan peran admin dalam daftar anggota awal grup.

Akses fitur yang terperinci

Fitur ini merupakan bagian dari paket Enterprise dan di atasnya.

Admin organisasi juga dapat mengontrol siapa yang diizinkan menggunakan fitur organisasi tertentu, terpisah dari akses repositori. Pengaturan ini terdapat pada tab Access settings di halaman pengaturan Resource Groups.

Fitur-fitur berikut dapat dibatasi:

• Blog: menulis dan menerbitkan artikel blog organisasi.
• Koleksi: membuat dan mengedit koleksi organisasi.
• Jobs: menjalankan dan melihat Jobs yang ditagihkan ke organisasi.
• Inference Endpoints: membuat, mengelola, dan memanggil Inference Endpoints yang dimiliki oleh organisasi.
• Penyedia Inferensi: permintaan Penyedia Inferensi yang ditagihkan ke organisasi.

Untuk masing-masing, Anda dapat memilih siapa yang memiliki akses:

• Semua orang (default): setiap anggota organisasi berdasarkan peran organisasi mereka.
• Hanya admin organisasi: hanya admin organisasi yang tetap memiliki akses.
• Grup sumber daya tertentu: hanya anggota dari Grup Sumber Daya yang dipilih berdasarkan peran mereka di dalam grup.

Admin organisasi selalu mempertahankan akses ke setiap fitur, terlepas dari opsi yang dipilih.

Membatasi fitur pada grup sumber daya tertentu mengontrol siapa yang dapat menggunakan fitur tersebut, bukan di mana. Anggota grup yang dipilih dapat terus menggunakan fitur di mana saja dalam organisasi (misalnya, membuat koleksi yang tidak berafiliasi dengan grup sumber daya mana pun), sementara anggota lain kehilangan akses terhadap fitur tersebut sepenuhnya. Pembatasan ini tidak pernah memberikan izin tambahan: apa yang dapat dilakukan seorang anggota tetap ditentukan oleh peran organisasi mereka.

Anggota tanpa akses tidak lagi dapat menggunakan fitur tersebut dalam konteks organisasi, baik melalui API maupun UI. Permintaan API mengembalikan error otorisasi. Tidak ada perubahan bagi mereka di bawah akun pribadi mereka atau di organisasi lain.

Atribusi biaya

Fitur ini merupakan bagian dari paket Enterprise dan di atasnya.

Resource Groups juga berfungsi sebagai unit atribusi biaya untuk layanan komputasi. Ketika komputasi ditagihkan ke resource group, biaya dilacak secara terpisah per grup, sehingga lebih mudah memahami pengeluaran di antara tim.

• Spaces: biaya secara otomatis dialokasikan ke grup sumber daya tempat Space tersebut berada.
• Jobs: atur namespace ke organisasi pemilik dan lewati ID grup sumber daya menggunakan resource_group_id di Python, --resource-group-id di CLI, atau resourceGroupId di badan permintaan HTTP. Lihat Tagihan ke grup sumber daya.
• Penyedia Inferensi: lewati ID grup sumber daya melalui header X-HF-Bill-To (atau parameter bill_to di SDK). Lihat Pembiayaan untuk organisasi Team dan Enterprise.
• Inference Endpoints: biaya secara otomatis diatribusikan ke resource group tempat model repository berada. Endpoint yang diinstansiasi langsung dari katalog Inference Endpoints bawaan belum didukung saat ini.

Anda dapat menggunakan endpoint API khusus untuk mengambil data atribusi biaya untuk grup sumber daya.

Batas pengeluaran

Fitur ini merupakan bagian dari paket Enterprise dan di atasnya.

Selain melacak biaya, Anda juga dapat membatasinya. Admin organisasi dan admin grup sumber daya dapat menetapkan batas pengeluaran bulanan di tab Pengaturan grup, di bawah Batas pengeluaran.

Dua jenis batas tersedia, keduanya dinyatakan dalam USD:

• Total (semua produk): membatasi total pengeluaran komputasi gabungan grup.
• Batas per produk untuk Inference Providers, Spaces, Jobs dan Inference Endpoints, di atas total.

Biarkan satu bidang kosong untuk tanpa batas. Ketika batas total dan batas per produk sama-sama berlaku, yang lebih ketat di antara keduanya yang menang.

Batas berlaku untuk pengeluaran yang dikaitkan dengan grup untuk bulan kalender saat ini, sehingga grup yang mencapai batasnya akan dibuka blokirnya pada awal bulan berikutnya, atau segera setelah admin menaikkan batasnya.

Apa yang terjadi ketika batas tercapai

Penggunaan baru yang ditagihkan ke grup sumber daya ditolak dengan error otorisasi:

• Penyedia Inferensi: permintaan yang ditagihkan ke grup ditolak.
• Jobs: membuat, mengirim ulang, atau melanjutkan pekerjaan dalam grup ditolak, termasuk pekerjaan yang dijadwalkan.
• Spaces: peningkatan Space dalam grup ke perangkat keras berbayar ditolak.
• Inference Endpoints: permintaan ke endpoint yang menimbulkan biaya untuk grup akan ditolak.

Workload yang sudah berjalan di grup juga dihentikan, segera setelah batas tercapai:

• Spaces berbayar dijeda. Spaces di perangkat keras gratis dibiarkan apa adanya, begitu pula Spaces yang berjalan di hardware grant.
• Jobs dibatalkan, dengan alasan penghentian Resource group spend limit reached.

Menaikkan batas atau dimulainya bulan baru memungkinkan anggota untuk memulai workload baru lagi. Spaces dan Jobs yang dihentikan tidak akan dimulai ulang secara otomatis.

Anda juga dapat mengatur batas pengeluaran secara programatik, lihat Mengatur batas pengeluaran melalui API.

API Grup Sumber Daya

Anda dapat membuat daftar grup sumber daya dan menambahkan pengguna ke dalamnya (atau mengubah peran organisasi anggota dan penugasan grup sumber daya) melalui Hub API. Untuk referensi lengkap, contoh, dan alur kerja batch, lihat panduan Manajemen Kontrol Akses Pengguna Programatik.

Update on GitHub