Die Rechte eines Mitglieds stammen aus drei Quellen: seiner eingebauten Rolle, den Gruppen, in denen es Mitglied ist, und allen Zugriffsrichtlinien. Diese Seite erklärt Berechtigungen, die Matrix Access Rights und Gruppen. Zugriffsrichtlinien finden Sie unter Access policies.
Berechtigungen und Mindestrollen
Jede Aktion in Hermetry ist durch eine Berechtigung geschützt, zum Beispiel iot_device.devices.read (siehe Geräte) oder iot_rpc.send.privileged (privilegierte Befehle senden). Jede Berechtigung hat eine Mindestrolle (Owner, Admin oder User). Ein Mitglied kann eine Berechtigung nutzen, wenn:
- seine eingebaute Rolle mindestens der Mindestrolle entspricht und die Matrix der Organisation diese Berechtigung dieser Rolle gewährt, oder
- eine seiner aktiven Gruppen sie gewährt und die Mindestrolle Admin oder User ist.
Eine Gruppe kann ein Mitglied über eine Mindestrolle Admin hinausheben, aber niemals über eine Mindestrolle Owner. Nur für Owner vorgesehene Berechtigungen (Übertragung der Eigentümerschaft, Löschen der Organisation, Rohbefehle, Firmware-Signaturschlüssel, Rotation von API-Schlüsseln) bleiben unabhängig von Gruppen bei den Ownern.
Berechtigungen gehören zu Modulen. Ein Modul, das Ihr Tarif nicht enthält, fügt den unten stehenden Listen keine Berechtigungen hinzu.
Access Control
Öffnen Sie Settings > Access Control (Adresse /admin/settings/access-control): „Roles, groups and the permission matrix for this organization.“ Es gibt drei Registerkarten.
Access Rights
Die Matrix „Which permissions each role/group is granted.“ Zeilen sind die Berechtigungen Ihrer aktivierten Module, nach Modul gruppiert; Spalten sind die eingebauten Rollen und Ihre Gruppen. Verwenden Sie Filter permissions by name, key, group or module…, um eine Zeile zu finden.
- Zellen ankreuzen oder abwählen.
- Wählen Sie Save (n), wobei n die Anzahl der Änderungen ist.
„Locked cells (the Owner column and owner-only permissions) can only be changed by the owner.“ Wo eine Zugriffsrichtlinie gilt, hat deren Verweigerung immer Vorrang vor der Matrix.
Eine Berechtigung, die ein Modul-Update hinzugefügt hat und für die Ihre Organisation noch keine Regel hat, wird als Allowed by default angezeigt: Es gilt der Plattformstandard, sodass Mitglieder sie nutzen können, wenn ihre Rolle deren Mindestrolle erreicht.
Gruppen
„Built-in roles are fixed; create custom groups to grant tailored permission sets. Groups appear as columns in Access Rights.“
So erstellen Sie eine Gruppe:
- Wählen Sie New group.
- Geben Sie einen Key ein (Kleinbuchstaben, mit Punkten, zum Beispiel
plant.north.operators; „Cannot be changed later“) und ein Label. - Wählen Sie Create und öffnen Sie dann die Gruppe, um ihre Permissions auszuwählen (Search permissions…, Select all oder Clear je Modul) und eine Description hinzuzufügen.
- Lassen Sie Active eingeschaltet. „An inactive group keeps its members but grants nothing — the way to switch a permission set off without unassigning anybody.“
From template… fügt eine fertige Gruppe hinzu (siehe unten). Das Löschen einer Gruppe entfernt sie von jedem Mitglied.
Benutzer
„Assign each member’s role/group.“ Ändern Sie für jedes Mitglied die Role oder wählen Sie unter Groups die Option Edit, um Gruppen zuzuweisen. „Groups only add permissions on top of the built-in role — they never take one away.“
Sie können Gruppen auch über die Seite eines Mitglieds mit Manage groups zuweisen und das Ergebnis auf der Registerkarte Permissions des Mitglieds unter Effective access prüfen. Siehe Users and roles.
Die IoT-Gruppenvorlagen
| Vorlage | Gewährt |
|---|---|
| IoT operator | „Watches and edits devices and writes their attributes. No device credentials, no creating or deleting devices.“ |
| IoT viewer | „Sees every IoT page and list (devices, profiles, alarms, places, cameras, firmware, rules, certificates, LoRaWAN, endpoints, device settings) and is given no right to change anything. No credentials, keys, eSIM, panel sessions or settings pages.“ |
Vorlagen bieten nur Berechtigungen von Modulen an, die Ihre Organisation nutzt. Nach dem Hinzufügen ist eine Vorlagengruppe eine gewöhnliche Gruppe: Sie können sie bearbeiten, zuweisen oder löschen.
Typische Einrichtungen:
| Person | Rolle | Gruppen |
|---|---|---|
| Feldtechniker | User | IoT operator |
| Auditor, Kundenbetrachter | User | IoT viewer |
| Integrator, der Flows und Profile erstellt | Admin | keine |
| Werksleiter, der Firmware freigibt | Admin | keine |
Gängige IoT-Berechtigungen
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
iot_device.devices.read | Geräte anzeigen | User |
iot_device.devices.create / .update / .delete | Geräte erstellen, bearbeiten, löschen | Admin |
iot_device.credentials.manage | Gerätezugangsdaten ausstellen, rotieren und widerrufen | Admin |
iot_device.attributes.write | Geräteattribute schreiben | Admin |
iot_device_profile.profiles.read / .write | Gerätprofile anzeigen / ändern | User / Admin |
iot_alarm.read, iot_alarm.acknowledge | Alarme anzeigen und quittieren | User |
iot_alarm.resolve, iot_alarm.mute, iot_alarm.rules.manage | Alarme beheben, Geräte stummschalten, Alarmregeln verwalten | Admin |
iot_rpc.send.basic | Einfache Befehle senden | User |
iot_rpc.send.privileged, iot_rpc.send.critical, iot_rpc.commands.manage | Privilegierte und kritische Befehle senden, Befehlskatalog verwalten | Admin |
iot_rpc.send.raw | Rohbefehle senden | Owner |
iot_ota.packages.manage, iot_ota.assign | Firmware und Zuweisungen verwalten | Admin |
iot_ota.keys.manage | Firmware-Signaturschlüssel verwalten | Owner |
iot_rules.read, iot_rules.run, iot_rules.mode | Regelkarten anzeigen, ausführen, zwischen manuellem und automatischem Modus wechseln | User |
iot_rules.manage | Regelkarten erstellen und ändern | Admin |
iot_provisioning.claim, iot_provisioning.quarantine.activate | Lizenzierte Geräte beanspruchen, Geräte in Quarantäne aktivieren | Admin |
iot_pki.certificates.read, iot_pki.certificates.revoke | Gerätezertifikate anzeigen und widerrufen | Admin |
automation.read, automation.manage | Flows anzeigen und bearbeiten | Admin |
dashboard.boards.read, dashboard.boards.write | Eigene Boards anzeigen und bearbeiten | User |
dashboard.boards.manage | Geteilte Boards verwalten | Admin |
Die vollständige Liste finden Sie in der Permissions reference.
Bewährte Praxis
- Bevorzugen Sie Gruppen gegenüber einer höheren Rolle. Ein User mit der Gruppe IoT operator kann keine Zugangsdaten sehen und keine Einstellungen ändern; ein Admin kann das.
- Wählen Sie aussagekräftige Gruppenschlüssel: Sie erscheinen im Audit-Log und in Zugriffsrichtlinien (
subject.roles contains 'plant.north.operators'). - Prüfen Sie die Matrix Access Rights, nachdem Sie ein Modul hinzugefügt haben: Seine neuen Berechtigungen beginnen als Allowed by default.