# Controle de Acesso a Imagens de Container

Quem pode fazer pull e push de uma imagem segue a visibilidade do repositório e o papel de cada membro na organização: qualquer pessoa pode fazer pull de uma imagem pública, apenas membros podem fazer pull de uma privada, e o push requer o papel `write`. Os tokens seguem a mesma regra: um [User Access Token](./security-tokens) com `read` faz pull, e um com `write` faz push.

## Controle de Acesso com Grupos de Recursos

Em uma organização com plano Team ou Enterprise, uma imagem pode pertencer a um [Resource Group](./security-resource-groups). O papel dos membros no grupo substitui então seu papel na organização para essa imagem: `read` para puxar, `write` para enviar. Uma imagem privada em um Resource Group só pode ser puxada pelos membros do grupo e pelos administradores da organização.

Escolha o grupo ao criar o repositório, nas configurações da imagem ou na aba **Recursos** do grupo. Com a API, passe `resourceGroupId` ao criar o repositório ou mova um existente (o ID do grupo termina a URL da página dele, e `GET /api/organizations/my-org/resource-groups` lista-os):

```bash
curl -X POST https://huggingface.co/api/containers/my-org/my-app/resource-group \
  -H "Authorization: Bearer $HF_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"resourceGroupId": "<resource-group-id>"}'
```