容器镜像访问控制

谁可以拉取和推送镜像取决于仓库的可见性以及每位成员在组织中的角色：任何人都可以拉取公开镜像，只有成员可以拉取私有镜像，而推送需要 write 角色。令牌遵循相同的规则：具有 read 权限的 User Access Token 用于拉取，具有 write 权限的用于推送。

使用资源组进行访问控制

在采用 Team 或 Enterprise 套餐的组织中，镜像可以归属于某个 Resource Group。此时，成员在该组中的角色将取代其组织角色，用于该镜像的操作：read 用于拉取，write 用于推送。Resource Group 中的私有镜像只能由该组的成员和组织管理员拉取。

在创建仓库时选择组，或者从镜像的设置中、或从该组的 Resources 选项卡中进行选择。使用 API 时，在创建仓库时传入 resourceGroupId，或移动现有仓库（组的 ID 位于其页面 URL 的末尾，GET /api/organizations/my-org/resource-groups 可列出所有组）：

curl -X POST https://huggingface.co/api/containers/my-org/my-app/resource-group \
  -H "Authorization: Bearer $HF_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"resourceGroupId": "<resource-group-id>"}'