Kuray Karaaslan
@kuray-karaaslan · Mitglied seit August 2026
- Themen
- 11
- Antworten
- 28
- Punkte
- 0
Erstellte Forenantworten
Von English mit KI übersetzt ·
In der Referenz der Berechtigungen: jede IoT-Berechtigung mit ihrer minimalen Rolle und dem, was sie erlaubt, dazu die Plattform-Berechtigungen, denen IoT-Administratoren am häufigsten begegnen. Die IDs dort sind die Schlüssel, die Sie in der Matrix sehen, sodass Sie eine davon in den Filter einfügen können.
In the Permissions reference: every IoT permission with its minimum role and what it allows, plus the platform ones IoT admins meet most. The ids there are the keys you see in the matrix, so you can paste one into the filter.
Von English mit KI übersetzt ·
Eine Gruppe funktioniert. dashboard_viewer.designs.write hat Admin als minimale Rolle, und eine Gruppe kann ein Mitglied über ein Admin-Minimum heben. Nur Owner-Minimums sind für Gruppen nicht erreichbar.
A group works. dashboard_viewer.designs.write has Admin as its minimum role, and a group can lift a member over an Admin minimum. Only Owner minimums are out of reach for groups.
Von English mit KI übersetzt ·
Das ist nicht nötig. Eine Vorlagengruppe ist nach dem Hinzufügen eine ganz normale Gruppe. Wenn Sie vergleichen möchten, fügen Sie die Vorlage hinzu und betrachten Sie die beiden Spalten unter Zugriffsrechte nebeneinander. Löschen Sie anschließend die Gruppe, die Sie nicht behalten möchten. Beim Löschen einer Gruppe wird sie von allen Mitgliedern entfernt, verschieben Sie die Personen also vorher.
No need. A template group is an ordinary group once it’s added. If you want to compare, add the template and look at both columns side by side in Access Rights, then delete whichever you don’t keep. Deleting a group removes it from every member, so move people first.
Von English mit KI übersetzt ·
Erwartet, und danke, dass du getestet hast, bevor der Auditor es tut. Gruppen fügen der Rolle nur zusätzliche Berechtigungen hinzu. Die Gruppe selbst gewährt keine Schreibrechte, aber die User-Rolle besitzt standardmäßig einige Rechte, die wirksam werden. Die, auf die du gestoßen bist: Alarme quittieren, Regeln ausführen und deren Modus umschalten sowie einfache (nur lesende) Befehle senden.Zwei Möglichkeiten, das zu schließen:
- Wenn kein User in deiner Organisation diese Aktionen ausführen soll, entferne in den Zugriffsrechten für User das Häkchen bei
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeundiot_rpc.send.basic. - Wenn es nur die Viewer betrifft, schreibe eine Deny-Zugriffsrichtlinie mit diesen Aktionen und der Bedingung
subject.roles containsmit dem Schlüssel der Viewer-Gruppe. Deny gewinnt immer. Führe sie zuerst im Shadow-Modus aus und prüfe sie im Zugriffstester mit der Rolle eines Owners, damit du dich nicht selbst aussperrst.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.
Von English mit KI übersetzt ·
Ja. Live-Ansicht und das Anzeigen von Kameras sind bereits Benutzerberechtigungen, und die Vorlage enthält Kameras, Live-Ansicht, Schnappschüsse und Aufzeichnungen. Vorlagen bieten nur Berechtigungen von Modulen an, die Ihre Organisation hat. Wenn die Kameras aktiviert sind, sehen Sie sie daher in der Gruppe.
Yes. Watching live and viewing cameras are User permissions already, and the template includes cameras, live view, snapshots and recordings. Templates only offer permissions of modules your organisation has, so with cameras on you’ll see them in the group.
Von English mit KI übersetzt ·
Nein, es lehnt jedes Zertifikat ab, bis der Sperrlisten-Satz (revocation set) geladen ist. Einen Passwort-Ersatzweg gibt es ebenfalls nicht: Ein vorgelegtes Zertifikat entscheidet immer.
No, it refuses every certificate until its revocation set is loaded. There’s no password fallback either: a presented certificate always decides.
Von English mit KI übersetzt ·
Jede Firewall-Aktion beginnt im Observe-Modus, sofern Sie nichts anderes wählen, und Aktionen auf Geräten beginnen im Suggest-Modus, sodass ein Vorschlag auf einen Administrator wartet. Das Widerrufen der Zugangsdaten eines Geräts, das Beenden seiner Verbindung und das Widerrufen seines Zertifikats sind nur im Suggest-Modus möglich: Jeden Lauf genehmigt eine Person. Das Deaktivieren eines Geräts läuft nur dann von selbst, wenn Sie diese Aktion selbst auf Auto setzen.
Every firewall action starts in Observe unless you choose otherwise, and actions on devices start in Suggest, so a proposal waits for an administrator. Revoking a device’s credential, ending its connection and revoking its certificate are Suggest-only: a person approves every run. Disabling a device runs on its own only if you set that action to Auto yourself.
Von English mit KI übersetzt ·
Von selbst, spätestens 30 Tage vor Ablauf. Sie können auch mit „Zertifikat erneuern“ (der Befehl cert.renew) eine vorzeitige Erneuerung anfordern; dabei bleibt das aktuelle Zertifikat erhalten, bis das neue in Betrieb ist. Geräte, die zur Erneuerung aufgefordert wurden und dies nicht getan haben, werden zusammen mit den ablaufenden Zertifikaten an Administratoren gemeldet.
By themselves, at the latest 30 days before expiry. You can also ask one to renew early with Renew certificate (the cert.renew command); it keeps the current certificate until the new one is in use. Devices that were asked to renew and didn’t are reported to administrators along with the expiring ones.
Von English mit KI übersetzt ·
Die Verbindung wird sofort getrennt. Zertifikat widerrufen verlangt einen Grund (Schlüsselkompromittierung, Ersetzt, Gerät außer Betrieb genommen oder Nicht angegeben) sowie die Seriennummer des Geräts zur Bestätigung. Der Fingerabdruck wird in die Widerrufsliste jedes Gateway-Knotens aufgenommen, die aktive Verbindung wird getrennt, und der nächste Anmeldeversuch erhält CONNACK 5. Außerdem wird er in die nächste CRL aufgenommen; die Liste jeder ausstellenden CA ist 7 Tage gültig.Das ist nicht rückgängig zu machen. Das Gerät benötigt ein neues Zertifikat, bevor es sich wieder verbinden kann.
It’s disconnected at once. Revoke certificate asks for a reason (Key compromise, Superseded, Device retired or Unspecified) and for the device serial as confirmation. The fingerprint goes into the revocation set of every gateway node, the live connection is dropped, and the next login attempt gets CONNACK 5. It’s also listed in the next CRL; each issuing CA’s list is valid for 7 days.
It can’t be undone. The device needs a new certificate before it connects again.
Von English mit KI übersetzt ·
Nein. Das Hochladen einer eigenen CA für X.509-Geräte von Drittanbietern ist nicht verfügbar; Drittanbieter-Geräte verwenden Zugriffstoken oder MQTT basic. Der Zertifikatspfad ist für lizenzierte Geräte vorgesehen, deren Zertifikate bei der Bereitstellung von der CA von Hermetry stammen.
No. Uploading your own CA for third-party X.509 devices isn’t available; third-party devices use access tokens or MQTT basic. The certificate path is for licensed devices, whose certificates come from Hermetry’s CA at provisioning.
Von English mit KI übersetzt ·
Nein. Eine Domain ist als Primary markiert. E-Mails und Benachrichtigungslinks verwenden die primäre Domain, solange sie erreichbar ist, andernfalls die kostenlose Adresse.
No. One domain is marked Primary. E-mail and notification links use the primary domain while it serves, and the free address otherwise.
Von English mit KI übersetzt ·
Ja. Ein Administrator kann neue Domains in den Domain-Einstellungen auf eine CNAME-Challenge umstellen (Bevorzugte DNS-Challenge: TXT-Eintrag oder CNAME-Eintrag). Diese Einstellung gibt es genau für diese Art von DNS-Dienst.Das ist auch deshalb wichtig, weil eine ausstehende Challenge 24 Stunden gültig ist. Danach muss erneut verifiziert werden und man erhält eine neue Challenge. Ein TXT-Eintrag, der Tage zum Wirksamwerden braucht, käme daher immer zu spät.
Yes. An administrator can switch new domains to a CNAME challenge in the domain settings (Preferred DNS Challenge: TXT record or CNAME record). That setting exists for exactly this kind of DNS service.
That also matters because a pending challenge is valid for 24 hours. After that you verify again and get a new one, so a TXT record that takes days to go in would always arrive too late.
Von English mit KI übersetzt ·
Nicht nur das. Der Log-Tab zeigt die geprüften Änderungen am Gerät, jeweils von einer Person oder vom System, zusammen mit seiner Verbindungshistorie (Verbindungen, Trennungen, abgelehnte Anmeldungen) in einer gemeinsamen Zeitleiste; Show schaltet zwischen All, Connections und Changes um. Für ein einzelnes Gerät ist das schneller als der API-Aufruf. Ich habe den Beitrag zwei Tage vor der Veröffentlichung geschrieben.
Not only. The Log tab shows the device’s audited changes, each by a person or by the system, together with its connection history (connects, disconnects, refused logins) in one timeline; Show switches between All, Connections and Changes. For a single device it’s quicker than the API call. I wrote the post two days before it shipped.
Von English mit KI übersetzt ·
Ja, Zeilen mit hohem und kritischem Risiko lösen den audit.high_risk-Webhook aus, sodass Sie sie sofort weiterleiten können. Für Massenabfragen unterstützt der Export-Endpunkt CSV oder NDJSON und kann auf einen einzelnen Akteur beschränkt werden:
GET /tenant/{tenantId}/api/audit-logs/export?format=ndjson&fromDate=2026-10-01&toDate=2026-10-21Yes, high and critical rows fire the audit.high_risk webhook, so you can forward them as they happen. For bulk pulls the export endpoint does CSV or NDJSON and can be limited to one actor:
GET /tenant/{tenantId}/api/audit-logs/export?format=ndjson&fromDate=2026-10-01&toDate=2026-10-21Von English mit KI übersetzt ·
Suchen Sie nach der gewünschten Aktion, statt zu scrollen, oder filtern Sie nach Schweregrad: Die Einträge im Screenshot sind alle Low, daher blendet ein Filter auf High oder Critical sie aus.
Search for the action you’re after instead of scrolling, or filter by severity: the ones in the shot are all Low, so a High or Critical filter leaves them out.