Blöcke, die mit externen Systemen kommunizieren, speichern niemals selbst Adressen oder Passwörter. Sie verweisen auf eine Verbindung: einen MQTT-Broker oder einen HTTP-Endpunkt, den Sie einmal einrichten und wiederverwenden. Geheimnisse in Verbindungen werden verschlüsselt gespeichert, nie erneut angezeigt und gelangen niemals in eine Nachricht, ein Protokoll, einen Laufbericht oder einen Export.
Verbindungen verwalten
- Öffnen Sie Automation, dann das Kopfzeilenmenü, und wählen Sie Connections.
- Wählen Sie New connection, wählen Sie den Type und wählen Sie Next.
- Füllen Sie die Felder aus und wählen Sie dann Save.
- Wählen Sie Test, um sie zu prüfen.
In den Einstellungen eines Blocks öffnet Manage connections dieselbe Liste, gefiltert auf die Typen, die der Block verwenden kann.
| Spalte | Zeigt |
|---|---|
| Name, Type, Version | Die Verbindung |
| In use by | Die Flows und Blöcke, die sie verwenden; andernfalls No flow uses it. |
| Warnungen | „TLS not verified“, „Certificate ends in n days“, „Certificate expired“ |
Eine Verbindung, die ein Flow noch verwendet, kann nicht gelöscht werden: „A flow still uses it (n). Change those nodes first.“
HTTP-Endpunkt
„Eine Basis-URL mit ihrer Authentifizierung, für HTTP-Request-Knoten.“
| Feld | Bedeutung | Werte |
|---|---|---|
| base_url | Die Basisadresse | http:// oder https://, erforderlich, bis zu 512 Zeichen, kein ?, # oder @ |
| allowed_hosts | Hosts, die ein Block aufrufen darf | exakte Namen oder Platzhalter einer Ebene (*.example.com); Standard: der Host der Basis-URL |
| auth | Authentifizierung | none, basic, bearer, header, oauth2_client_credentials, aws_sigv4 (signierte Anfragen für Cloud-Speicher und Function-APIs) |
| tls_verify | Zertifikat des Servers prüfen | an (Standard) |
| Eigene CA (PEM) | Diesen CAs statt der öffentlichen vertrauen | Dies ist vorzuziehen, statt die Prüfung abzuschalten |
| Client-Zertifikat (PEM), Client-Schlüssel (PEM), Client-Schlüssel-Passwort | Für Server, die ein Client-Zertifikat verlangen (gegenseitiges TLS) | der Schlüssel und das Passwort sind Geheimnisse |
Authentifizierungsfelder:
| auth | Felder |
|---|---|
| basic | username, password (Geheimnis) |
| bearer | token (Geheimnis), gesendet als Authorization: Bearer |
| header | header_name (Buchstaben, Ziffern, -, bis zu 64), header_value (Geheimnis) |
| oauth2_client_credentials | token_url (https, auf den erlaubten Hosts), client_id, client_secret (Geheimnis), scope, client_auth (basic oder body: wohin ID und Geheimnis gehen) |
| aws_sigv4 | access_key_id, secret_access_key (Geheimnis), session_token (Geheimnis, nur für temporäre Zugangsdaten), region, service |
- OAuth 2 Client Credentials: Die Plattform holt ein Token von der Token-URL, behält es bis eine Minute vor Ablauf und sendet es als Bearer-Token. Ein
401der API verwirft das Token, sodass der nächste Aufruf ein neues holt. Ein abgelehneter Client schlägt mitoauth_failedfehl. - Signierte Anfragen: Jede Anfrage wird unmittelbar vor dem Versand mit dem Zugriffsschlüssel signiert, sodass die Signatur genau das abdeckt, was tatsächlich gesendet wird. Verwenden Sie je einen Endpunkt pro Dienst und Region, mit einem Schlüssel, der nur das darf, was der Flow braucht.
- Test sendet eine Anfrage und meldet: „The server answered and accepted the credentials.“, „The credentials were rejected.“, „The address is private or not allowed.“, „The certificate could not be verified.“, „The server did not answer in time.“ und ähnliche Meldungen.
MQTT-Broker
| Feld | Bedeutung | Standard | Werte |
|---|---|---|---|
| host | Der Name oder die Adresse des Brokers | erforderlich | bei jedem Verbindungsaufbau gegen den Adressschutz geprüft |
| port | Port | 1883 | 1 bis 65.535 (8883 ist mit TLS üblich) |
| tls | TLS verwenden | aus | mit eigener CA und Client-Zertifikat für gegenseitiges TLS |
| tls_verify | Zertifikat des Brokers prüfen | an | |
| protocol | MQTT-Version | 5 | 3.1.1, 5 |
| client_id_mode | suffixed (eine Basis plus ein eindeutiges Suffix je Verbindung) oder fixed (genau wie angegeben) | suffixed | |
| client_id | Die Client-ID oder ihre Basis | none | 256 Zeichen; erforderlich bei fixed |
| username, password | Zugangsdaten | none | das Passwort ist ein Geheimnis |
| topic_prefix | Wofür ~/ in einem Topic steht | none | 256 Zeichen |
| keepalive_s | Keep-Alive | 60 | 1 bis 65.535 s |
| connect_timeout_ms | Zeit bis zum Verbinden | 10,000 | 1.000 bis 60.000 |
| clean_session | Jede Verbindung mit einer leeren Sitzung beginnen | an | |
| session_expiry_s | MQTT 5, clean session aus: wie lange der Broker die Sitzung behält | 300 | 1 bis 86.400 s |
- Verwenden Sie
fixed, wenn der Broker nur eine Verbindung je Client-ID akzeptiert (manche Cloud-Broker binden die ID an eine Identität): Die Plattform hält dann genau eine Verbindung für die Organisation, den Broker und die ID. - QoS 2 benötigt clean session aus, um eine unterbrochene Verbindung zu überstehen.
- Test öffnet eine Verbindung und meldet „The broker accepted the connection.“, „The broker refused the connection (code n).“, „The credentials were rejected.“ und ähnliche Meldungen.
Externer Zeitreihendatenbank-Server
Eine Verbindung für den Block, der in eine externe Zeitreihendatenbank schreibt: die Server URL, die erlaubten Hosts, die API-Version der Datenbank (v2 oder v1), danach eine Organisation und ein API-Token (v2) oder ein Benutzername und ein Passwort (v1) sowie tls_verify. Token und Passwort sind Geheimnisse. Richten Sie sie nur ein, wenn Sie diesen Block verwenden.
Adressregeln
- Private, Loopback- und interne Adressen werden bei jedem Versuch nach der Namensauflösung immer abgelehnt (
ssrf_blocked, „The address is private or not allowed.“). Ihre Verbindungen müssen auf öffentliche Adressen zeigen. - Eine HTTP-Anfrage geht nur an Schema, Port und erlaubte Hosts des Endpunkts; ein Pfad, der den Basispfad verlässt, wird abgelehnt.
- Weiterleitungen werden nicht verfolgt.
Geheimnisse
| Regel | Detail |
|---|---|
| Nur schreibbar | Ein gespeichertes Geheimnis zeigt „A value is stored. Leave empty to keep it.“ Lassen Sie das Feld leer, um es zu behalten; geben Sie einen neuen Wert ein, um es zu ersetzen. |
| Verschlüsselt | Verschlüsselt gespeichert. Ist auf der Plattform kein Verschlüsselungsschlüssel eingerichtet, schlägt das Speichern eines Geheimnisses fehl („Secrets cannot be stored right now…“). |
| Nie kopiert | Geheimnisse gelangen nie in Nachrichten, Laufberichte, Protokolle, das Audit-Log oder Exporte. Die Geheimnisse der Verbindungen eines importierten Flows müssen erneut eingegeben werden. |
| Gleichzeitige Bearbeitung | „Someone else changed this connection since you opened it. Your changes were not saved.“ Öffnen Sie die neueste Version und bearbeiten Sie sie erneut. |
Webhook-Geheimnisse
Ein Webhook-Trigger mit token– oder hmac-Authentifizierung hat ein erzeugtes Geheimnis. Öffnen Sie den Dialog Webhooks im Editor (er erscheint, sobald der Flow bereitgestellt und eingeschaltet ist):
| Eintrag | Bedeutung |
|---|---|
| Adresse | Die URL zum Aufrufen, mit Copy |
| Auth | Bearer-Token, Signierte Anfrage oder Angemeldete Sitzung |
| Antwort | „antwortet sofort mit 202“ oder „antwortet mit der Antwort des Flows“ |
| Beispielaufruf | Eine fertige Anfrage zum Kopieren |
| Neues Geheimnis erzeugen | Ein neues Geheimnis, einmal angezeigt. „The old one keeps working for another 24 hours, so the callers can switch over.“ |
| Altes Geheimnis sofort widerrufen | Ein neues Geheimnis, und das alte endet sofort. Verwenden Sie dies, wenn das alte Geheimnis preisgegeben wurde. |
Ein Session-Webhook hat kein Geheimnis: Der Aufrufer ist ein angemeldetes Mitglied Ihrer Organisation, das die Berechtigung Call session-auth webhooks of deployed flows besitzt (und die zusätzliche Berechtigung des Blocks, falls gesetzt). Siehe Trigger blocks.