Token Yönetimi

Bu özellik, Team & Enterprise planlarının bir parçasıdır.

Tokens Management, organizasyon yöneticilerinin organizasyonlarındaki erişim jetonlarını denetlemesini ve organizasyon kaynaklarına güvenli erişimi sağlamasını mümkün kılar.

Token yönetimi politikalarının yürürlükte olduğu durumlarda üye deneyimi için — token durumunu nasıl kontrol edeceğinizi, hangi hataları beklemeniz gerektiğini ve reddetme ile iptal etme işlemlerinin bir token üzerinde nasıl etki ettiğini görmek için Token yönetimi politikalarına sahip organizasyonlardaki tokenlar başlığını inceleyin.

Erişim Belirteçlerini Görüntüleme ve Yönetme

Token listesi özelliği, organizasyonunuzdaki tüm erişim tokenlarını görüntüler. Yöneticiler şunları yapabilir:

• Token kullanımını izleyin ve olası güvenlik risklerini tespit edin veya önleyin:
  • Özel kaynaklara yetkisiz erişim (“sızma”)
  • Aşırı geniş erişim kapsamları
  • Optimal olmayan token hijyeni (örneğin, uzun süredir döndürülmemiş tokenlar)
• Etkisiz veya kullanılmayan belirteçleri belirleyin

İnce tanecikli jetonlar, belirli izinlerini gösterir:

İptal edilen jetonlar varsayılan olarak listede gizlidir. Görünümde bunları dahil etmek için listenin üzerindeki İptal edilen jetonları göster anahtarını kullanın.

Herhangi bir iptal edilen token için, organizasyonun token politikasından bağımsız olarak bir REVOKED durum rozeti gösterilir. PENDING, APPROVED ve DENIED rozetleri yalnızca “Require administrator approval” politikası etkinleştirilmiş organizasyonlarda görünür, çünkü bu durumlar yalnızca onay akışı tarafından oluşturulur.

Token Politikası

Team & Enterprise organizasyon yöneticileri aşağıdaki politikaları uygulayabilir:

Token Yetkilendirmesini İnceleme

Token politikası “Yönetici onayı gerekli” olarak ayarlandığında, organizasyon yöneticileri, organizasyona ait kaynaklara erişen tüm ince tanecikli tokenların ayrıntılarını inceleyebilir ve erişimi onaylayabilir veya reddedebilir. Yeni bir token bekleyen durumuna geçtiğinde, doğrulanmış e-posta adreslerine sahip en fazla 50 organizasyon yöneticisine, token inceleme sayfasına doğrudan bağlantı içeren bir bildirim gönderilir. Bir token otomatik olarak onaylandığında (örneğin, oluşturucu bir organizasyon yöneticisi olduğunda) bildirim gönderilmez.

• Pending jetonları bir yönetici kararını bekliyor
• Onaylandı belirteçleri yetkilendirilmiştir ve aktiftir
• Reddedilen jetonlar, organizasyon kaynaklarına erişmekten engellenmiştir

Bir onay kodu onaylandığında veya reddedildiğinde, kod sahibi bir e-posta bildirimi alır.

Reddetme kalıcı değildir: reddedilen bir jeton, bir yönetici tarafından daha sonra onaylanarak erişimi geri kazanılabilir. Benzer şekilde, zaten onaylanmış bir jeton herhangi bir zamanda reddedilebilir ve bu, onaya dayalı erişimini anında kaldırır.

Token adları yalnızca “Yönetici onayı gerekli” politikası etkinleştirildiğinde yöneticiler tarafından görülebilir.

Engellendiğinde Üyelerin Gördüğü

Tokenları bekleyen veya reddedilen üyeler, organizasyon kaynaklarına erişim sırasında 403 hatası alır: “Organizasyon token politikası gereği, bu kaynağa erişmeden önce tokenınızın organizasyon tarafından onaylanması gerekir.”

Hata mesajı, hem bekleyen hem de reddedilen durumlar için aynıdır. Durumu görmek için üyeler, ilgili jetonun düzenleme sayfasına gidebilir. Kuruluş yöneticisi jeton yönetimi ayarları sayfası, tüm üye jetonları için durum rozetlerini gösterir.

Reddet vs. Geri Al

Yöneticiler, bir jetonun bir organizasyona erişimini kaldırmak için iki yola sahiptir:

Onay iş akışı içinde erişimi yönetirken deny kullanın (jeton denied durumuna geçer ve daha sonra yeniden onaylanabilir). Bir jetonun organizasyona erişimini kalıcı olarak kesmeniz gerektiğinde revoke kullanın.

API ile Jetonları Listeleme

Ayarlar arayüzünde gösterilen jeton listesi programatik olarak da kullanılabilir:

# ORG_NAME should be your organization name and ADMIN_HF_TOKEN an admin's access token
curl -H "Authorization: Bearer ${ADMIN_HF_TOKEN}" \
  "https://huggingface.co/api/organizations/${ORG_NAME}/settings/tokens"

Yanıt, üye erişim belirteçlerinin bir dizisidir. Tam şema için OpenAPI referansına bakın: GET /api/organizations/<name>/settings/tokens

Varsayılan olarak iptal edilen jetonlar gizlenir; arayüzdeki İptal edilen jetonları göster anahtarı gibi bunları dahil etmek için q=status:all parametresini iletin.

Tokenleri İptal Etme

Bu özellik, Enterprise planı ve üzeri planlarda mevcuttur.

Kuruluş yöneticileri, herhangi bir üyenin erişim belirteçini belirteç ayrıntı sayfasından iptal edebilir. İptal, kuruluşun “Yönetici onayı gerekli” politikasını kullanıp kullanmadığından bağımsız olarak kullanılabilir. İptal edilen bir belirteç artık kuruluşun kaynaklarına erişemez, ancak başka yerlerde çalışmaya devam eder. Belirteç sahibi, iptal işlemi sırasında bir e-posta bildirimi alır.

İptal edilen jetonlar, organizasyonun jeton politikası daha sonra değiştirilse veya devre dışı bırakılsa bile iptal edilmiş olarak kalır. İptal işlemi organizasyon düzeyinde kalıcıdır — iptali geri alma eylemi yoktur. Bir üyenin erişiminin yeniden sağlanması gerekiyorsa, iptal edilen jetonu silmeli ve yeni bir tane oluşturmalıdır. Organizasyon “Yönetici onayı gerekli” politikasını kullanıyorsa, yeni jeton bekleyen durumunda başlar ve yönetici onayı gerektirir.

Tokenleri iptal edilen üyeler, şu mesajla birlikte 403 hatası alır: “Tokeniniz organizasyon yöneticisi tarafından iptal edildi, artık organizasyon kaynaklarına erişemezsiniz. Daha fazla bilgi için lütfen onlarla iletişime geçin.” Organizasyon “Yönetici onayı gerekli” politikasını kullanıp kullanmadığından bağımsız olarak bu mesaj görüntülenir.

API ile iptal etme

Yöneticiler, bir token'ı programatik olarak token kimliği (token id) kullanarak da iptal edebilir. Bu, bir token'ın derhal iptal edilmesi gereken otomatik iş akışları için faydalıdır.

# ORG_NAME should be your organization name and ADMIN_HF_TOKEN an admin's access token
# TOKEN_ID is the 24-character id shown on the org token settings page (or returned by the tokens listing API)
curl -X POST "https://huggingface.co/api/organizations/${ORG_NAME}/settings/tokens/${TOKEN_ID}/revoke" \
  -H "Authorization: Bearer ${ADMIN_HF_TOKEN}"

Bir yönetici kendi belirteçini iptal edemez: kimlik doğrulama için kullanılan belirteçle eşleşen bir belirteç kimliğine sahip istek, 403 hatasıyla reddedilir.

Bu uç nokta, jetonu yalnızca organizasyonunuza erişim yetkisini iptal eder; jeton, sahibinin diğer kaynakları için çalışmaya devam eder. Sızdırılmış bir jetonu her yerde geçersiz kılmak için, kimlik doğrulama gerektirmeyen ve ham jeton değerleri birimini kabul eden POST /api/credentials/revoke uç noktasını kullanın.

Programatik Jeton Yayını

Bu özellik, Enterprise planı ve üzeri planlarda mevcuttur.

Üyelerine programatik olarak erişim belirteçleri (access token) çıkarması gereken kuruluşlar (ör. dahili platformlar, CI/CD hatları veya özel entegrasyonlar) için OAuth Token Exchange bölümüne bakın. Bu Enterprise planı özelliği, arka uç hizmetlerinizin etkileşimli kullanıcı onayı gerektirmeden kuruluş üyeleri için kapsamlı (scoped) belirteçler çıkarmasına olanak tanır.

Hizmet Hesapları

Bu özellik, Enterprise planı ve üzeri planlarda mevcuttur.

Bireysel bir üye yerine organizasyon tarafından sahip olunan otomatik erişim için, yöneticiler Service Accounts oluşturabilir ve organizasyonunuzun kaynaklarına yönelik ince taneli jetonlar yayınlayabilir.