Jede Aktion in Hermetry ist durch eine Berechtigung geschützt. Diese Seite listet die Berechtigungen der IoT-Module und die Plattformberechtigungen auf, denen IoT-Administratoren am häufigsten begegnen, jeweils mit ihrer minimalen Rolle und dem, was sie erlauben. Wie Rollen, Gruppen und die Matrix Zugriffsrechte zusammenwirken, wird unter Gruppen und Berechtigungen erklärt; Zugriffsrichtlinien, die den Zugriff weiter einschränken, finden Sie unter Zugriffsrichtlinien.
So lesen Sie die Tabellen
| Spalte | Bedeutung |
|---|---|
| Berechtigung | Die ID, wie sie unter Zugriffsrechte (Suche nach ID) und unter API-Schlüssel Modulberechtigungen angezeigt wird |
| Was sie erlaubt | Der Name der Berechtigung, wie die Konsole ihn anzeigt, leicht gekürzt |
| Minimale Rolle | Die niedrigste integrierte Rolle, die sie halten kann. Benutzer bedeutet jedes Mitglied standardmäßig, Admin bedeutet Administratoren und Eigentümer, Eigentümer bedeutet nur Eigentümer. |
Regeln, die für jede Zeile gelten:
- Ein Mitglied hat eine Berechtigung, wenn seine Rolle mindestens der minimalen Rolle entspricht und die Matrix der Organisation diese Rolle damit ausstattet, oder wenn eine seiner aktiven Gruppen sie gewährt und die minimale Rolle Benutzer oder Admin ist.
- Eine Gruppe kann ein Mitglied über eine minimale Rolle Admin heben, niemals über eine minimale Rolle Eigentümer.
- Eine Berechtigung eines Moduls, das Ihr Tarif nicht enthält, existiert für Ihre Organisation nicht.
- Ein API-Schlüssel hält nur die Berechtigungen, die Sie ihm geben, und niemals mehr als sein Inhaber; Berechtigungen nur für Eigentümer werden von API-Schlüsseln nie gehalten.
- Einige Berechtigungen gehören zu Funktionen, die sich in Entwicklung befinden; sie sind entsprechend gekennzeichnet. Ihre Vergabe hat keine Wirkung, bis die Funktion veröffentlicht wird. Siehe In Entwicklung.
IoT-Berechtigungen
Geräte
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_device.devices.read | Geräte anzeigen | Benutzer |
iot_device.devices.create | Geräte anlegen | Admin |
iot_device.devices.update | Geräte bearbeiten und deaktivieren | Admin |
iot_device.devices.delete | Geräte löschen | Admin |
iot_device.credentials.manage | Gerätezugangsdaten verwalten | Admin |
iot_device.attributes.read | Geräteattribute anzeigen | Benutzer |
iot_device.attributes.write | Server- und gemeinsame Geräteattribute schreiben | Admin |
iot_device.bindings.read | Messwertzuordnungen anzeigen | Benutzer |
iot_device.bindings.manage | Messwertzuordnungen verwalten (mit der eigenen Verwaltungsberechtigung des Zieldatensatzes) | Admin |
Gerätprofile
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_device_profile.profiles.read | Geräteprofile anzeigen | Benutzer |
iot_device_profile.profiles.write | Geräteprofile anlegen, bearbeiten und löschen | Admin |
iot_device_profile.provisioning.manage | Bereitstellungseinstellungen und Schlüssel von Geräteprofilen verwalten | Admin |
iot_device_profile.templates.manage | Die Profilvorlagen der Plattform verwalten. Nur Plattformbetreiber. | Admin |
Befehle
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_rpc.read | Befehlsverlauf und Befehlskataloge anzeigen | Benutzer |
iot_rpc.send.basic | Einfache (nur lesende) Befehle an Geräte senden | Benutzer |
iot_rpc.send.privileged | Konfigurationsbefehle an Geräte senden | Admin |
iot_rpc.send.critical | Befehle mit hoher Auswirkung an Geräte senden (Neustart) | Admin |
iot_rpc.send.raw | Rohbefehle senden (Methoden außerhalb des Katalogs) | Eigentümer |
iot_rpc.commands.manage | Die Befehlskataloge von Geräteprofilen verwalten | Admin |
Alarme
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_alarm.read | Alarme und Alarmregeln anzeigen | Benutzer |
iot_alarm.rules.manage | Die Alarmregeln von Geräteprofilen bearbeiten | Admin |
iot_alarm.mute | Die Alarme eines Geräts stummschalten | Admin |
iot_alarm.acknowledge | Alarme quittieren und Notizen hinzufügen | Benutzer |
iot_alarm.resolve | Alarme von Hand auflösen (löschen) | Admin |
Regelkarte
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_rules.read | Die Regeln von Standorten und Geräten sowie deren Läufe anzeigen | Benutzer |
iot_rules.run | Eine Regel jetzt ausführen | Benutzer |
iot_rules.mode | Einen Standort zwischen Manuell und Automatisch umschalten | Benutzer |
iot_rules.manage | Regeln hinzufügen, ändern, ein- oder ausschalten und löschen | Admin |
Standorte und Anlagen
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_asset.assets.read | IoT-Standorte und Anlagen anzeigen | Benutzer |
iot_asset.assets.manage | IoT-Standorte und Anlagen anlegen, bearbeiten, verschieben und löschen | Admin |
iot_asset.relations.manage | Beziehungen und Gerätezuordnung verwalten | Admin |
Telemetrie
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
telemetry.read | Telemetriemesswerte lesen (von den Geräten, die Sie sehen dürfen) | Benutzer |
telemetry.admin.read | Die Einstellungen des Telemetriespeichers anzeigen (Arten, Aufbewahrung, Schlüssel) | Admin |
telemetry.admin.manage | Den Telemetriespeicher verwalten | Admin |
IoT-Telemetrieeinstellungen
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_telemetry.settings.read | IoT-Telemetrieeinstellungen anzeigen | Admin |
iot_telemetry.settings.update | IoT-Telemetrieeinstellungen ändern | Admin |
Firmware-Updates
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_ota.read | Firmware-Pakete, Zuweisungen und Update-Zustände der Geräte anzeigen | Benutzer |
iot_ota.packages.manage | Firmware-Pakete hochladen, als veraltet markieren, widerrufen und löschen | Admin |
iot_ota.assign | Firmware zuweisen, OTA-Einstellungen ändern und Updates wiederholen | Admin |
iot_ota.keys.manage | Öffentliche Schlüssel zur Firmware-Signatur registrieren und widerrufen | Eigentümer |
Gerätеeinstellungen aus der Ferne
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_device_settings.manifests.read | Den Katalog der Gerätesettings-Manifeste anzeigen | Admin |
iot_device_settings.manifests.manage | Gerätesettings-Manifeste in den Katalog hochladen | Admin |
iot_device_settings.read | Die Einstellungen eines Geräts anzeigen | Admin |
iot_device_settings.operate | Die Betriebseinstellungen eines Geräts ändern (die niedrigste Klasse; zusammen mit Lesen vergeben) | Admin |
iot_device_settings.write | Die Konfigurationseinstellungen eines Geräts ändern (Netzwerk, WLAN, Firewall; umfasst Betriebseinstellungen; zusammen mit Betrieb vergeben) | Admin |
iot_device_settings.baselines.manage | Gerätesettings-Basislinien anlegen, ändern und löschen (benannte Teilabschnittswerte für viele Geräte) | Admin |
iot_device_settings.jobs.manage | Settings-Aufträge starten, pausieren, fortsetzen und abbrechen, die eine Basislinie oder eine einzelne Änderung in Wellen auf viele Geräte anwenden (was ein Auftrag ändern darf, dürfen Sie ebenfalls ändern) | Admin |
iot_device_settings.dangerous.write | Die gefährlichen Einstellungen eines Geräts ändern (was die Verbindung zum Gerät unterbrechen kann; zusammen mit Schreiben vergeben) | Eigentümer |
Bereitstellung und Beanspruchung
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_provisioning.claim | Geräte beanspruchen | Admin |
iot_provisioning.release | Geräte freigeben | Admin |
iot_provisioning.release.force | Geräte erzwungen freigeben. Nur Plattformbetreiber. | Admin |
iot_provisioning.quarantine.activate | In Quarantäne gesetzte Geräte aktivieren | Admin |
iot_provisioning.pool.read | Den Werkspool lizenzierter Geräte anzeigen. Nur Plattformbetreiber. | Admin |
iot_provisioning.pool.manage | Den Werkspool verwalten. Nur Plattformbetreiber. | Admin |
Gerätezertifikate
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_pki.certificates.read | Gerätezertifikate anzeigen | Admin |
iot_pki.certificates.revoke | Gerätezertifikate widerrufen | Admin |
iot_pki.recovery.approve | Zertifikatswiederherstellung genehmigen | Admin |
iot_pki.ca.manage | Die Zertifizierungsstellen der Plattform anzeigen und verwalten. Nur Plattformbetreiber. | Admin |
iot_pki.settings.update | Einstellungen für Gerätezertifikate ändern | Admin |
Protokoll-Endpunkte
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_gateway.endpoints.read | Protokoll-Endpunkte und die Verbindung abgefragter Geräte anzeigen | Benutzer |
iot_gateway.endpoints.manage | Protokoll-Endpunkte anlegen, bearbeiten, testen und löschen; abgefragte Geräte suchen und verbinden | Admin |
Kamera-Protokollaktionen
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_gateway_isapi.actions.manage | Das Keyframe-Intervall einer unterstützten Kamera ändern (Auf 2 Sekunden setzen) und es wiederherstellen | Admin |
Kameras
| Berechtigung | Was sie erlaubt | Minimale Rolle |
|---|---|---|
iot_camera.cameras.read | Kameras, ihre Streams und Einstellungen der Live-Ansicht anzeigen | Benutzer |
iot_camera.cameras.manage | Eine Vorrichtung als Kamera verwenden, Live-Ansicht ein- und ausschalten, deren Streams neu einlesen, die Kamera entfernen | Admin |
iot_camera.view_live | Das Live-Bild einer Kamera ansehen | Benutzer |
iot_camera.snapshots.read | Die Schnappschüsse der Kameras und die Speicherwerte der Kameras ansehen (in Entwicklung) | Benutzer |
iot_camera.snapshots.manage | Jetzt einen Schnappschuss einer Kamera erstellen und Schnappschüsse löschen (in Entwicklung) | Admin |
iot_camera.disk.read | Einsehen, was eine Kamera auf ihrer eigenen Speicherkarte ablegt (in Entwicklung) | Admin |
iot_camera.disk.download | Aufnahmen und Bilder von der eigenen Speicherkarte einer Kamera herunterladen (in Entwicklung) | Admin |
iot_camera.recordings.read | Die Zeitleiste der Aufnahmen ansehen, Aufnahmen abspielen und Ereignisclips auflisten (in Entwicklung) | Benutzer |
iot_camera.recordings.manage | Aufzeichnung ein- und ausschalten, Aufzeichnungseinstellungen ändern, Clips speichern, löschen und exportieren (in Entwicklung) | Admin |
LoRaWAN
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
iot_lorawan.gateways.read | LoRaWAN-Gateways ansehen | Benutzer |
iot_lorawan.gateways.manage | LoRaWAN-Gateways hinzufügen, bearbeiten, deaktivieren und löschen sowie deren Token erneuern | Admin |
iot_lorawan.devices.read | LoRaWAN-Geräte ansehen | Benutzer |
iot_lorawan.devices.manage | LoRaWAN-Geräte hinzufügen, bearbeiten und löschen sowie deren AppKey festlegen | Admin |
iot_lorawan.keys.read | Den AppKey eines LoRaWAN-Geräts anzeigen | Admin |
iot_lorawan.frames.read | Die Live-LoRaWAN-Frames ansehen | Benutzer |
LoRaWAN-Codecs
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
iot_lorawan_codecs.read | LoRaWAN-Codecs ansehen und den Codec-Testprüfstand ausführen | Benutzer |
iot_lorawan_codecs.manage | Eigene LoRaWAN-Codecs hinzufügen, ändern und löschen | Admin |
iot_lorawan_codecs.library.manage | Codecs der Plattformbibliothek zurückziehen und wiederherstellen | Admin |
Router-Panels (Fernzugriff)
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
iot_remote_access.panel.open | Das Web-Panel eines beanspruchten Routers öffnen, betreten und schließen | Admin |
iot_remote_access.sessions.read | Die Panel-Sitzungen der Organisation ansehen | Admin |
eSIM
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
iot_esim.read | Den eSIM-Chip, die Profile und die Vorgänge eines Routers ansehen (in Entwicklung) | Admin |
iot_esim.manage | eSIM-Profile eines Routers herunterladen, wechseln, ausschalten, umbenennen und löschen (in Entwicklung) | Inhaber |
Dashboards
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
dashboard.home.view | Die Startseite öffnen | Benutzer |
dashboard.boards.read | Dashboards ansehen | Benutzer |
dashboard.boards.write | Eigene Dashboards erstellen und anordnen | Benutzer |
dashboard.boards.manage | Gemeinsame Dashboards verwalten | Admin |
dashboard.widgets.author_private | Eigene private Widgets erstellen und bearbeiten | Benutzer |
dashboard.widgets.author | Widgets erstellen und bearbeiten | Admin |
dashboard.widgets.publish | Widget-Versionen veröffentlichen | Admin |
dashboard.query.execute | Widget-Datenabfragen ausführen | Benutzer |
dashboard.commands.execute | Widget-Befehle ausführen | Benutzer |
dashboard.display.view | Ein Dashboard über einen Anzeigelink öffnen | Jeder mit einem Anzeigelink |
dashboard.settings.read | Dashboard-Einstellungen ansehen | Admin |
dashboard.settings.update | Dashboard-Einstellungen ändern | Admin |
Prozessbilder (SCADA)
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
dashboard_scada.commands.author | Befehle für Symbole in Prozessbildern erstellen | Admin |
dashboard_scada.diagrams.read | Prozessbilder ansehen | Benutzer |
dashboard_scada.diagrams.write | Prozessbilder erstellen, bearbeiten und löschen | Admin |
3D-Entwürfe
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
dashboard_viewer.designs.read | 3D-Entwürfe ansehen | Benutzer |
dashboard_viewer.designs.write | 3D-Entwürfe erstellen, bearbeiten und löschen | Admin |
Automatisierung (Flows)
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
automation.read | Flows und den Block-Katalog ansehen | Admin |
automation.manage | Flows erstellen, bearbeiten und bereitstellen | Admin |
automation.manage_privileged | Flows mit Blöcken der Steuerungsebene (Befehle, Einstellungen) bereitstellen | Admin |
automation.debug | Nachrichten einspeisen, Nachrichteninhalte und fehlgeschlagene Nachrichten ansehen | Admin |
automation.hooks.call | Webhooks bereitgestellter Flows aus einer angemeldeten Sitzung aufrufen (Dashboard-Widgets, App-Seiten) | Benutzer |
Plattformberechtigungen, die häufig mit IoT verwendet werden
| Berechtigung | Was sie erlaubt | Mindestrolle |
|---|---|---|
members.view | Mitglieder ansehen | Benutzer |
members.invite, tenant_invitation.invitations.invite | Mitglieder einladen, Einladungen versenden | Admin |
members.edit_role, members.suspend, members.remove | Rolle oder Status eines Mitglieds ändern, sperren, entfernen | Admin |
members.manage_owner | Inhaber ändern oder entfernen | Inhaber |
members.transfer_ownership | Inhaberschaft übertragen | Inhaber |
api_key.keys.read, .create, .update, .delete | API-Schlüssel ansehen, erstellen, aktualisieren und widerrufen | Admin |
api_key.keys.rotate, api_key.keys.revoke_all | API-Schlüssel rotieren, alle API-Schlüssel widerrufen | Inhaber |
webhook.endpoints.read, .create, .update, .delete, .test, .trigger | Webhook-Endpunkte verwalten, Test- und manuelle Ereignisse senden | Admin |
webhook.endpoints.rotate_secret | Ein Webhook-Signaturgeheimnis rotieren | Inhaber |
webhook.deliveries.read, .redeliver, .replay | Zustellungen ansehen, erneut zustellen, fehlgeschlagene erneut abspielen | Admin |
audit_log.logs.read, .export, .verify | Das Audit-Protokoll ansehen, exportieren und prüfen | Admin |
audit_log.logs.anonymize, audit_log.logs.purge | Einen Akteur anonymisieren (Löschung), abgelaufene Einträge bereinigen | Inhaber |
tenant_usage.metrics.read | Nutzungsmetriken und Kontingente ansehen | Admin |
tenant_usage.settings.update | Einstellungen für Nutzungswarnungen ändern | Admin |
tenant_setting.config.read, .update | Organisationseinstellungen ansehen und ändern | Admin |
tenant_session.settings.read, .update | Die Anmelderichtlinie ansehen und ändern | Admin |
auth_abac.policies.read, .write, auth_abac.simulate, auth_abac.decisions.read | Zugriffsrichtlinien, der Simulator und das Entscheidungsprotokoll | Inhaber |
auth_saml.config.read, .update, .delete | SAML-Single-Sign-on konfigurieren | Inhaber |
auth_sso.settings.read, .update | Single-Sign-on-Einstellungen ansehen und ändern | Admin |
tenant_domain.domains.create, tenant_domain.domains.delete | Eigene Domains hinzufügen und entfernen | Inhaber |
tenant_domain.domains.read, .verify | Domains ansehen, Inhaberschaft prüfen | Admin |
tenant_export.data.export | Alle Daten der Organisation exportieren | Inhaber |
tenant_branding.branding.update | Branding ändern | Admin |
notification_mail.settings.update, notification_sms.settings.update, notification_push.settings.update, notification_inapp.settings.update | E-Mail-, SMS-, Push- und In-App-Benachrichtigungen ändern | Admin |
notification_external.link.manage | Eigene Chat-Konten verknüpfen oder trennen | Benutzer |
notification_external.provider.manage | Chat-Plattformen der Organisation verbinden oder trennen | Admin |
ai_firewall.incidents.read, .manage, ai_firewall.settings.manage | KI-Firewall-Vorfälle und -Einstellungen ansehen und verwalten | Admin |
mcp_server.connect | KI-Assistenten (MCP-Clients) verbinden | Benutzer |
mcp_server.settings.manage | MCP-Einstellungen verwalten | Admin |
Nur-Inhaber-Aktionen
Diese bleiben unabhängig von den Gruppen bei den Inhabern:
| Aktion | Berechtigung |
|---|---|
| Inhaberschaft übertragen; Inhaber ändern oder entfernen | members.transfer_ownership, members.manage_owner |
| SAML-Single-Sign-on konfigurieren | auth_saml.config.* |
| Zugriffsrichtlinien | auth_abac.* |
| Eigene Domains hinzufügen und entfernen | tenant_domain.domains.create, tenant_domain.domains.delete |
| Alle Daten exportieren | tenant_export.data.export |
| Alle API-Schlüssel rotieren und widerrufen | api_key.keys.rotate, api_key.keys.revoke_all |
| Webhook-Signaturgeheimnis rotieren | webhook.endpoints.rotate_secret |
| Rohbefehle senden | iot_rpc.send.raw |
| Firmware-Signaturschlüssel registrieren und widerrufen | iot_ota.keys.manage |
| Gefährliche Einstellungen eines Geräts ändern | iot_device_settings.dangerous.write |
Die IoT-Gruppenvorlagen
Einstellungen > Zugriffskontrolle > Gruppen > Aus Vorlage… fügt diese Gruppen hinzu. Jede listet nur die Berechtigungen der Module auf, die Ihre Organisation nutzt.
| Vorlage | Berechtigungen |
|---|---|
| IoT-Operator | iot_device.devices.read, iot_device.devices.update, iot_device.attributes.write |
| IoT-Betrachter | iot_device.devices.read, iot_device.attributes.read, iot_device.bindings.read, iot_device_profile.profiles.read, iot_alarm.read, iot_asset.assets.read, iot_rules.read, iot_rpc.read, iot_ota.read, iot_pki.certificates.read, iot_device_settings.read, iot_gateway.endpoints.read, iot_lorawan.gateways.read, iot_lorawan.devices.read, iot_lorawan.frames.read, iot_lorawan_codecs.read, iot_camera.cameras.read, iot_camera.view_live, iot_camera.snapshots.read, iot_camera.recordings.read |
Mitglieder sind standardmäßig User, daher ergänzt eine IoT-Betrachter-Gruppe vor allem die Leseberechtigungen, deren Mindestrolle Admin ist (Gerätoeinstellungen, Zertifikate). Ein IoT-Operator kann Geräte bearbeiten und deren Attribute schreiben, aber keine Zugangsdaten verwalten und keine Geräte anlegen oder löschen.
Keine der beiden Vorlagen erlaubt es einem Mitglied, Befehle über das hinaus zu senden, was seine Rolle zulässt: Basis-Befehle benötigen iot_rpc.send.basic, das jeder User standardmäßig hat. Um zu verhindern, dass Betrachter Board-Steuerungen auslösen, entfernen Sie diese Berechtigung in Zugriffsrechte aus der User-Rolle oder geben Betrachtern eine Rolle und Gruppen ohne sie.