Kiểm soát truy cập nâng cao trong các tổ chức có nhóm tài nguyên

Tính năng này là một phần của các gói Team & Enterprise.

Trong tổ chức Hugging Face của bạn, bạn có thể sử dụng Resource Groups để kiểm soát thành viên nào có quyền truy cập vào các kho lưu trữ cụ thể.

Nó hoạt động như thế nào?

Resource Groups cho phép quản trị viên tổ chức nhóm các kho lưu trữ liên quan lại với nhau, giúp các nhóm khác nhau trong tổ chức của bạn làm việc trên các tập hợp kho lưu trữ độc lập.

• Tài nguyên: các kho và bộ sưu tập của nhóm. Mỗi tài nguyên chỉ có thể thuộc một Nhóm Tài nguyên duy nhất và có thể được di chuyển giữa các nhóm bởi các thành viên có quyền hạn phù hợp.
• Thành viên: các thành viên của tổ chức cần được thêm vào một Nhóm Tài nguyên để truy cập các kho của nó. Một thành viên có thể thuộc nhiều Nhóm Tài nguyên.

Các thành viên được gán một vai trò trong mỗi Nhóm Tài nguyên, quyết định quyền hạn của họ đối với các kho lưu trữ của nhóm. Có bốn vai trò riêng biệt cho Nhóm Tài nguyên:

• read: Cấp quyền đọc cho các kho lưu trữ trong Nhóm Tài nguyên.
• contributor: Cung cấp quyền ghi giới hạn trong các kho do người dùng tạo (tức là người dùng có thể tạo kho và sau đó chỉ chỉnh sửa các kho đó). Tương tự vai trò ‘Write’, nhưng chỉ giới hạn trong các kho do người dùng tạo.
• write: Cung cấp quyền ghi cho tất cả các kho trong Resource Group. Người dùng có thể tạo, xóa hoặc đổi tên bất kỳ kho nào trong Resource Group.
• admin: Ngoài quyền ghi trên các kho, thành viên admin có thể quản trị Resource Group: thêm, xóa và thay đổi vai trò của các thành viên khác. Họ cũng có thể quản lý các kho đã tồn tại trong một Resource Group.
• inherit: Vai trò của thành viên trong Resource Group giống với vai trò tổ chức của họ. Ví dụ, một thành viên có vai trò tổ chức write được thêm vào một nhóm với inherit sẽ có quyền truy cập write trong nhóm đó

Ngoài ra, quản trị viên Tổ chức có thể quản lý mọi nhóm tài nguyên bên trong tổ chức. Điều này bao gồm việc di chuyển kho vào và ra khỏi bất kỳ Nhóm Tài nguyên nào.

Các Nhóm Tài nguyên cũng ảnh hưởng đến khả năng hiển thị của các kho lưu trữ riêng trong tổ chức:

• Một kho riêng tư thuộc một Nhóm Tài nguyên chỉ hiển thị cho các thành viên của Nhóm Tài nguyên đó.
• Các kho Công khai có thể được nhìn thấy bởi bất kỳ ai, cả bên trong lẫn bên ngoài tổ chức.
• Các quy tắc hiển thị tương tự cũng áp dụng cho các bộ sưu tập riêng tư thuộc về một Nhóm Tài nguyên.

Bắt đầu

Truy cập cài đặt của Tổ chức của bạn, sau đó điều hướng đến mục “Resource Groups” trong menu bên trái. Trang được chia thành hai tab: Resource Groups, nơi liệt kê và quản lý các nhóm, và Access settings, nơi quản trị viên tổ chức cấu hình ai có thể tạo Resource Groups và thành viên nào có thể sử dụng các tính năng cụ thể của tổ chức.

Quản trị viên tổ chức có thể tạo và quản lý Resource Groups từ trang đó. Tùy thuộc vào cài đặt của tổ chức, các thành viên có vai trò thấp hơn cũng có thể được phép tạo Resource Groups (xem Ai có thể tạo Resource Groups bên dưới).

Sau khi tạo một Resource Group và đặt cho nó một tên có ý nghĩa, bạn sẽ đến trang của nhóm đó. Trang này được tổ chức thành bốn tab:

• Tổng quan: tóm tắt về nhóm (các loại kho lưu trữ, vai trò thành viên, trạng thái tự động bao gồm và giới hạn chi tiêu) cùng với bản xem trước các tài nguyên và người dùng của nhóm.
• Tài nguyên: danh sách đầy đủ các kho lưu trữ và bộ sưu tập của nhóm, cũng như các Jobs được tính phí cho nhóm, với tìm kiếm, sắp xếp và phân trang. Đây là nơi bạn thêm tài nguyên vào nhóm.
• Người dùng: các thành viên của nhóm và vai trò của họ, kèm theo tìm kiếm và sắp xếp. Đây là nơi bạn thêm người dùng và quản lý vai trò của họ.
• Cài đặt: cấu hình giới hạn chi tiêu và tự động bao gồm của nhóm.

Bạn có thể bắt đầu thêm các kho và người dùng vào nhóm từ các tab Tài nguyên và Người dùng.

Khi thêm người dùng vào một Resource Group, bạn có thể tìm kiếm theo địa chỉ email nếu người dùng có email riêng của tổ chức (ví dụ: user@your-company.com) khớp với tên miền email của tổ chức bạn.

Hãy nhớ rằng một kho lưu trữ chỉ có thể thuộc về một Resource Group duy nhất. Bạn sẽ được cảnh báo khi cố gắng thêm một kho lưu trữ đã thuộc về một Resource Group khác.

Tự động tham gia

Auto-join tự động thêm thành viên tổ chức vào Nhóm Tài nguyên với vai trò được chỉ định: bao gồm cả những thành viên đã có trong tổ chức khi bật auto-join và bất kỳ thành viên mới nào tham gia trong tương lai.

Điều này hữu ích cho các Resource Group cần được truy cập bởi toàn bộ tổ chức của bạn mà không yêu cầu quản lý thành viên thủ công.

Bật tính năng tham gia tự động

• Thông qua giao diện: Mở tab Cài đặt của Resource Group và đánh dấu tùy chọn Tự động bao gồm tất cả thành viên tổ chức trong phần Tự động bao gồm thành viên tổ chức, sau đó chọn vai trò cần gán. Tab Users cũng có liên kết đến đó, hiển thị trạng thái bật hoặc tắt của tính năng tự động bao gồm.
• Thông qua API: Xem Cấu hình auto-join thông qua API.

Khi tính năng tham gia tự động được bật trên một Resource Group hiện có, các thành viên tổ chức hiện tại khớp với phạm vi đã chọn sẽ được thêm ngay lập tức vào nhóm với vai trò đã cấu hình (backfill).

Phạm vi tham gia tự động

Auto-join có thể áp dụng cho:

• Tất cả thành viên tổ chức (mặc định): bỏ chọn Bao gồm thành viên no_access để loại trừ các thành viên có vai trò tổ chức no_access.
• Mọi thành viên tổ chức, bao gồm no_access: đánh dấu Bao gồm thành viên no_access để bao gồm mọi thành viên, kể cả những thành viên có vai trò tổ chức no_access.

Chỉ sử dụng chỉ thành viên Read+ khi các thành viên no_access cần giữ quyền truy cập vào các Resource Group cụ thể mà họ được thêm vào thủ công hoặc thông qua một quy trình cấp phát khác.

Tự động tham gia và SCIM

Auto-join và quản lý SCIM là loại trừ lẫn nhau trên cùng một Resource Group. Auto-join tự động thêm thành viên tổ chức, trong khi quản lý SCIM có nghĩa là chỉ IdP kiểm soát thành viên. Hai hành vi này xung đột, vì vậy:

• Bạn không thể bật tính năng tham gia tự động trên một Resource Group được liên kết với nhóm SCIM.
• Bạn không thể liên kết nhóm SCIM với Nhóm Tài nguyên có bật tính năng tham gia tự động.

Để chuyển một Resource Group từ auto-join sang SCIM-managed (hoặc ngược lại), hãy tắt cài đặt hiện tại trước.

Mời từ bên ngoài

Bạn có thể chia sẻ Resource Groups với người dùng bên ngoài tổ chức của mình. Quản trị viên tổ chức bật tính năng này bằng cài đặt External invitations, trong tab Access settings của trang cài đặt Resource Groups. Tính năng này tắt theo mặc định và không khả dụng cho các tổ chức có managed users.

Người dùng được mời sẽ tham gia với tư cách là người cộng tác bên ngoài:

• Mặc định, họ được gán vai trò tổ chức no_access, do đó họ chỉ nhìn thấy các tài nguyên của Nhóm Tài nguyên đó.
• Bạn có thể mời họ với vai trò read hoặc write trong Nhóm Tài nguyên.
• Họ không cần đăng nhập bằng SSO của tổ chức bạn.

Để mời một người, hãy mở tab Users của Resource Group và thêm họ bằng tên người dùng. Thành viên tổ chức sẽ tham gia nhóm ngay lập tức; người ngoài sẽ nhận được lời mời. Các lời mời đang chờ sẽ nằm cùng với người dùng của nhóm dưới nhãn “Pending”, và bạn có thể gửi lại hoặc thu hồi chúng. Sử dụng bộ lọc External để chỉ liệt kê các cộng tác viên bên ngoài.

Chia sẻ kho lưu trữ với các cộng tác viên bên ngoài

Quản trị viên nhóm tài nguyên cũng có thể chia sẻ một kho lưu trữ riêng từ trang Cài đặt của nó, trong phần Chia sẻ với cộng tác viên bên ngoài. Phần này liệt kê những người đã có trong Nhóm Tài nguyên của kho lưu trữ và cho phép bạn mời các cộng tác viên bên ngoài tham gia. Bất kỳ ai được thêm vào đó sẽ có quyền truy cập vào mọi tài nguyên trong Nhóm Tài nguyên, chứ không chỉ riêng kho lưu trữ đó.

Nếu kho chưa nằm trong một Resource Group, các thành viên có quyền tạo Resource Groups có thể tạo một nhóm từ phần đó và mời các cộng tác viên cùng lúc. Tự động bao gồm được bật theo mặc định: nó đưa các thành viên của tổ chức (trừ những người có vai trò no_access) vào nhóm mới thông qua tự động tham gia với vai trò inherit, nhờ đó họ giữ nguyên quyền truy cập hiện tại vào kho. Nếu bạn tắt tính năng này, chỉ những người dùng mà bạn thêm vào Resource Group, cùng với quản trị viên tổ chức, mới có thể xem được nó.

Bạn cũng có thể quản lý các lời mời từ bên ngoài thông qua API: Mời cộng tác viên bên ngoài qua API.

Ai có thể tạo Nhóm Tài nguyên

Mặc định, chỉ quản trị viên tổ chức mới có thể tạo các Resource Group mới. Quản trị viên tổ chức có thể thay đổi điều này bằng cách thiết lập vai trò thành viên tối thiểu cần thiết để tạo Resource Groups trong tab Access settings của trang cài đặt Resource Groups.

Các tùy chọn khả dụng là:

• Chỉ quản trị viên (mặc định): chỉ quản trị viên tổ chức có thể tạo Nhóm Tài nguyên.
• Write+: các thành viên có vai trò Write hoặc Admin có thể tạo Resource Groups.
• Contributor+: các thành viên có vai trò Contributor, Write hoặc Admin có thể tạo Resource Groups.
• Read+: bất kỳ thành viên tổ chức nào cũng có thể tạo Resource Groups, ngoại trừ các thành viên có vai trò tổ chức no_access.

Khi một thành viên không phải quản trị viên tạo một Resource Group thông qua giao diện người dùng, họ sẽ được tự động thêm vào nhóm mới tạo này với vai trò admin. Thông qua API, điều này không xảy ra tự động, vì người gọi API có thể đang tạo nhóm thay mặt cho người khác. Người gọi API không phải quản trị viên phải bao gồm ít nhất một người dùng có vai trò admin trong danh sách thành viên ban đầu của nhóm.

Truy cập tính năng chi tiết

Tính năng này thuộc gói Enterprise trở lên.

Quản trị viên tổ chức cũng có thể kiểm soát ai được phép sử dụng một tính năng tổ chức cụ thể, tách biệt với quyền truy cập kho lưu trữ. Cài đặt này nằm trên tab Access settings của trang cài đặt Resource Groups.

Các tính năng sau có thể bị hạn chế:

• Blog: viết và xuất bản bài viết blog của tổ chức.
• Bộ sưu tập: tạo và chỉnh sửa bộ sưu tập của tổ chức.
• Jobs: chạy và xem Jobs được tính phí cho tổ chức.
• Điểm cuối suy luận: tạo, quản lý và gọi các Điểm cuối suy luận thuộc về tổ chức.
• Nhà cung cấp suy luận: các yêu cầu Nhà cung cấp suy luận được tính phí cho tổ chức.

Với mỗi mục, bạn có thể chọn ai được cấp quyền truy cập:

• Mọi người (mặc định): mọi thành viên của tổ chức tùy thuộc vào vai trò tổ chức của họ.
• Chỉ quản trị viên tổ chức: chỉ quản trị viên tổ chức giữ quyền truy cập.
• Các nhóm tài nguyên cụ thể: chỉ các thành viên của các Nhóm Tài nguyên được chọn, tùy thuộc vào vai trò của họ trong nhóm.

Quản trị viên tổ chức luôn giữ quyền truy cập vào mọi tính năng, bất kể tùy chọn nào được chọn.

Việc giới hạn một tính năng cho các nhóm tài nguyên cụ thể kiểm soát ai có thể sử dụng tính năng đó, chứ không phải nơi nào. Các thành viên thuộc các nhóm được chọn vẫn có thể tiếp tục sử dụng tính năng ở bất kỳ đâu trong tổ chức (ví dụ: tạo một bộ sưu tập không thuộc bất kỳ nhóm tài nguyên nào), trong khi các thành viên khác sẽ mất hoàn toàn quyền truy cập vào tính năng đó. Sự giới hạn này không bao giờ cấp thêm quyền: những gì một thành viên có thể thực hiện vẫn được xác định bởi vai trò tổ chức của họ.

Thành viên không có quyền truy cập sẽ không còn có thể sử dụng tính năng này trong ngữ cảnh của tổ chức, cả từ API lẫn giao diện người dùng. Các yêu cầu API sẽ trả về lỗi ủy quyền. Không có gì thay đổi đối với họ dưới tài khoản cá nhân hoặc trong một tổ chức khác.

Gán chi phí

Tính năng này thuộc gói Enterprise trở lên.

Resource Groups cũng đóng vai trò là đơn vị gán chi phí cho các dịch vụ tính toán. Khi chi phí tính toán được ghi nhận vào một resource group, chi phí sẽ được theo dõi riêng biệt cho từng nhóm, giúp dễ dàng hơn trong việc hiểu rõ mức chi tiêu giữa các đội.

• Spaces: chi phí được tự động gán cho nhóm tài nguyên mà Space đó thuộc về.
• Jobs: đặt namespace thành tổ chức sở hữu và truyền ID của nhóm tài nguyên bằng cách sử dụng resource_group_id trong Python, --resource-group-id trong CLI, hoặc resourceGroupId trong thân yêu cầu HTTP. Xem Thanh toán cho một nhóm tài nguyên.
• Nhà cung cấp suy luận: truyền ID của nhóm tài nguyên qua header X-HF-Bill-To (hoặc tham số bill_to trong SDK). Xem Hóa đơn cho tổ chức Team và Enterprise.
• Inference Endpoints: chi phí được tự động gán cho nhóm tài nguyên mà kho lưu trữ mô hình thuộc về. Các endpoint được khởi tạo trực tiếp từ danh mục Inference Endpoints tích hợp sẵn hiện chưa được hỗ trợ.

Bạn có thể sử dụng điểm cuối API chuyên dụng để lấy dữ liệu gán chi phí cho các nhóm tài nguyên.

Giới hạn chi tiêu

Tính năng này thuộc gói Enterprise trở lên.

Ngoài việc theo dõi chi phí, bạn có thể đặt giới hạn cho chúng. Quản trị viên tổ chức và quản trị viên nhóm tài nguyên có thể thiết lập giới hạn chi tiêu hàng tháng trong tab Cài đặt của nhóm, dưới mục Giới hạn chi tiêu.

Có hai loại giới hạn, cả hai đều được biểu thị bằng USD:

• Tổng (tất cả các sản phẩm): giới hạn mức chi tiêu tính toán gộp của nhóm.
• Giới hạn riêng cho từng sản phẩm của Inference Providers, Spaces, Jobs và Inference Endpoints, bên cạnh giới hạn tổng.

Để trống một trường nếu không muốn đặt giới hạn. Khi cả giới hạn tổng và giới hạn theo sản phẩm đều áp dụng, giá trị nào chặt chẽ hơn sẽ được ưu tiên.

Các giới hạn được áp dụng cho mức chi tiêu được gán cho nhóm trong tháng dương lịch hiện tại, do đó một nhóm đã chạm giới hạn sẽ được mở khóa vào đầu tháng tiếp theo, hoặc ngay khi quản trị viên nâng giới hạn.

Điều gì xảy ra khi đạt đến giới hạn

Mức sử dụng mới được tính phí cho nhóm tài nguyên sẽ bị từ chối với lỗi ủy quyền:

• Nhà cung cấp suy luận: các yêu cầu được tính phí cho nhóm sẽ bị từ chối.
• Jobs: việc tạo, gửi lại hoặc tiếp tục một job trong nhóm sẽ bị từ chối, bao gồm cả các job đã được lên lịch.
• Spaces: việc nâng cấp một Space trong nhóm lên phần cứng trả phí bị từ chối.
• Inference Endpoints: các yêu cầu đến các endpoint gây phát sinh chi phí cho nhóm sẽ bị từ chối.

Các tác vụ đang chạy trong nhóm cũng sẽ bị dừng ngay sau khi đạt đến giới hạn:

• Các Spaces trả phí sẽ bị tạm dừng. Các Spaces trên phần cứng miễn phí sẽ không bị ảnh hưởng, cũng như các Spaces đang chạy trên hỗ trợ phần cứng.
• Jobs bị hủy, với lý do dừng là Resource group spend limit reached.

Việc tăng giới hạn, hoặc khi bắt đầu tháng mới, cho phép các thành viên bắt đầu các khối lượng công việc mới. Các Spaces và Jobs đã bị dừng sẽ không được khởi động lại tự động.

Bạn cũng có thể đặt giới hạn chi tiêu bằng cách lập trình, xem Đặt giới hạn chi tiêu qua API.

API Nhóm Tài nguyên

Bạn có thể liệt kê các nhóm tài nguyên và thêm người dùng vào chúng (hoặc thay đổi vai trò tổ chức và phân công nhóm tài nguyên của một thành viên) thông qua Hub API. Để xem tài liệu tham khảo đầy đủ, các ví dụ và quy trình hàng loạt, hãy xem hướng dẫn Quản lý Kiểm soát Truy cập Người dùng theo Chương trình.

Update on GitHub