서비스 계정

이 기능은 Enterprise 및 Enterprise Plus 플랜의 일부입니다.

Service accounts는 CI/CD 파이프라인, 자동화 스크립트, 백엔드 통합과 같은 조직의 리소스에 대한 프로그래매틱 접근을 위해 설계된 조직 소유의 ID입니다. 개인 멤버 계정과 달리, service account는 특정 개인과 연결되지 않습니다. 이는 조직에 속하며 해당 조직의 관리자에 의해 관리됩니다.

서비스 계정은 개인과 분리되어 있어 조직에 사람이 입사하거나 퇴사하더라도 자동화 워크플로가 계속 실행되며, 멤버의 개인 토큰에 영향을 주지 않고 자격 증명의 범위를 설정하고 순환할 수 있습니다.

서비스 계정 생성

조직 관리자로 Service Accounts 섹션에 액세스하여 서비스 계정을 생성하고 관리합니다.

서비스 계정을 생성할 때 다음을 제공합니다:

• 서비스 계정을 식별하기 위한 name입니다.
• 서비스 계정의 용도를 문서화하기 위한 선택적 description입니다.

서비스 계정은 비밀번호가 없으며 인터랙티브하게 로그인할 수 없습니다. 발급한 액세스 토큰을 통해서만 접근할 수 있습니다. 일반 사용자와 달리 HF 프로필 페이지가 없고, 조직의 멤버 목록에도 포함되지 않으며, Service Accounts 설정을 통해서만 관리됩니다.

액세스 토큰 관리

서비스 계정의 조직에 대한 액세스는 발급한 세밀한 액세스 토큰에 의해 완전히 정의됩니다. 각 토큰에 대해 이름과 세밀한 권한 집합을 선택하므로, 특정 워크플로에 필요한 액세스만 부여할 수 있습니다.

권한은 두 가지 수준에서 부여할 수 있습니다:

• 조직 전체 — 조직 내 모든 저장소에 권한(예: 저장소 콘텐츠에 대한 읽기 또는 쓰기 액세스)을 적용합니다.
• 저장소별 — 읽기 또는 쓰기 액세스 권한을 특정 저장소에만 적용합니다. 토큰이 적용될 저장소를 검색하여 선택한 후, 부여할 권한을 선택합니다. 선택한 저장소는 조직이 소유하거나 공개 저장소여야 합니다.

이를 통해 조직 전체에 대한 액세스 권한을 부여하는 대신, 예를 들어 단일 모델 저장소만 읽을 수 있는 토큰과 같이 범위가 좁게 설정된 토큰을 발급할 수 있습니다.

서비스 계정 페이지에서 관리자는 다음을 수행할 수 있습니다:

• 생성 선택한 이름과 세분화된 권한을 가진 새로운 액세스 토큰을 생성합니다.
• 기존 토큰의 이름 또는 권한을 업데이트합니다.
• 토큰을 Rotate하여 새 값으로 교체합니다. 이전 토큰은 즉시 무효화되며, 자격 증명(credential)이 노출되었을 가능성이 있는 경우 유용합니다.
• 토큰의 액세스를 영구적으로 취소하려면 삭제를 클릭하세요.

액세스 토큰은 생성 또는 회전 시점에 한 번만 표시됩니다. 안전하게 저장하세요. 나중에 다시 가져올 수 없습니다. 분실한 경우, 토큰을 회전하여 새로운 값을 생성하세요.

S3 자격 증명 생성

서비스 계정 토큰을 사용하면 S3 호환 API를 통해 조직의 Storage Buckets에 액세스할 수 있습니다. 게이트웨이는 서비스 계정 토큰에서 파생된 AWS 스타일 액세스 키로 인증을 수행합니다.

1. 서비스 계정 페이지로 이동합니다. 아직 토큰이 없다면 Create new token 버튼을 눌러 토큰을 생성합니다. 토큰의 권한이 S3 자격 증명의 권한이 됩니다.

2. 목록에서 토큰을 찾아 드롭다운 메뉴를 열고 Generate S3 credentials를 선택합니다.

   

3. 생성된 access key ID(HFAK… 접두사)와 secret access key를 안전한 곳에 복사하세요. secret은 한 번만 표시됩니다. 분실한 경우 Invalidate and refresh S3 credentials를 사용하여 새 쌍을 생성하세요. 이전 access key는 즉시 작동하지 않습니다.

S3 자격 증명은 기본 액세스 토큰의 권한을 상속합니다. 사용할 버킷에만 토큰의 범위를 제한하세요.

토큰을 삭제하지 않고 페어를 비활성화하려면 S3 자격 증명 폐기를 사용하세요. 토큰(또는 서비스 계정)을 삭제하면 해당 S3 자격 증명도 함께 폐기됩니다. 서비스 계정 페이지에는 각 토큰과 현재 페어링된 액세스 키 ID가 표시됩니다.

엔드포인트 URL의 <namespace>로 조직 이름을 사용하세요(클라이언트 구성 참조). S3 자격 증명 생성 및 폐기는 조직의 감사 로그에 기록됩니다.

토큰에 Network Security exemption이 활성화되어 있으면, 조직 관리자만 해당 토큰에 대한 S3 자격 증명을 생성할 수 있습니다.

네트워크 보안 예외

이 옵션은 Enterprise Plus 플랜의 일부입니다.

조직에서 Network Security 설정을 사용하는 경우, 서비스 계정 토큰은 다른 자격 증명과 마찬가지로 해당 설정의 적용 대상입니다. 즉, 조직의 IP 범위에서만 작동하며, Content Access Policy가 토큰이 접근할 수 있는 범위에 적용됩니다.

Some automated workflows run outside your corporate network — for example, a CI job hosted by a cloud provider. For those cases, you can exempt an individual token from your organization’s Network Security enforcement with the Bypass IP restrictions and the Content Access Policy option in the token form.

활성화 시:

• 토큰은 조직 액세스를 IP 범위만 제한이 켜져 있는 경우를 포함하여 모든 IP 주소에서 작동합니다.
• 토큰은 조직의 콘텐츠 액세스 정책(Content Access Policy)에 의해 차단되었을 콘텐츠에 접근할 수 있습니다.
• 이 예외는 사용자의 조직 자체의 Network Security 설정에만 적용됩니다. 다른 조직의 정책을 우회하지 않습니다.
• 서비스 계정 페이지에서 토큰은 IP 제한 없음 배지와 함께 나열됩니다.
• 토큰을 회전해도 면제가 유지됩니다.

조직 관리자만 면제 활성화 또는 이미 면제된 토큰의 로테이션을 수행할 수 있습니다.

면제 토큰은 네트워크 경계로 더 이상 보호되지 않으므로, 해당 토큰이 도달할 수 있는 리소스를 보호하는 유일한 자격 증명이 됩니다. 따라서 가능한 가장 작은 저장소 집합으로 범위를 제한하고, 읽기 전용 권한으로 충분하다면 그렇게 부여하며, 정기적으로 토큰을 교체하는 것을 권장합니다.

청구

서비스 계정은 조직의 과금 대상 멤버로 집계되지 않으므로, 계정을 생성해도 플랜의 유료 좌석을 소모하지 않습니다.

Update on GitHub