Kuray Karaaslan
@kuray-karaaslan · Mitglied seit August 2026
- Themen
- 11
- Antworten
- 28
- Punkte
- 0
Erstellte Forenantworten
Von English mit KI übersetzt ·
Nein. Gruppen und Richtlinien entscheiden über die Aktion, und IoT-Seiten übergeben keine Geräteattribute an Richtlinien. Ein Mitglied, das Geräte einsehen darf, sieht daher alle Geräte der Organisation. Wenn das Werk Nord niemals die Geräte des Werks Süd sehen darf, müssen diese in zwei Organisationen liegen. Ein Konto kann Mitglied beider sein, mit einer jeweils anderen Rolle.
No. Groups and policies decide on the action, and IoT pages pass no device attributes to policies, so a member who may view devices sees all devices of the organisation. If the north plant must never see the south plant’s devices, they belong in two organisations. One account can be a member of both, with a different role in each.
Von English mit KI übersetzt ·
Zwei Möglichkeiten.Wenn kein User Befehle senden soll, entfernen Sie für User auf dem Reiter Zugriffsrechte das Häkchen bei iot_rpc.send.basic.Wenn es nur um die Fremdfirmen geht, nehmen Sie sie in eine Gruppe auf (Schlüssel etwa contractors) und fügen Sie eine Zugriffsrichtlinie vom Typ Deny hinzu: Aktionen iot_rpc.send.basic, iot_rpc.send.privileged und iot_device.attributes.write, Bedingung subject.roles contains contractors. Ein Deny hat Vorrang vor jedem Permit. Richtlinien erfordern die Rolle Owner. Aktivieren Sie zuerst den Schattenmodus und beobachten Sie das Entscheidungsprotokoll einige Tage, bevor Sie die Richtlinie erzwingen.
Two ways.
If no User should send commands, untick iot_rpc.send.basic for User on the Access Rights tab.
If it’s only the contractors, put them in a group (key contractors, say) and add a Deny access policy: actions iot_rpc.send.basic, iot_rpc.send.privileged and iot_device.attributes.write, condition subject.roles contains contractors. A deny wins over any permit. Policies need the Owner role. Turn on shadow mode first and watch the decision log for a few days before you enforce it.
Von English mit KI übersetzt ·
Das ist die älteste Sitzung, die jedes Mal beendet wird, wenn sich ein Pi anmeldet. Geben Sie jedem Bildschirm ein eigenes Konto, sofern die Lizenzplätze Ihres Tarifs das erlauben. Dann konkurrieren die Sitzungen nicht mehr miteinander, und das Audit-Log zeigt, welcher Bildschirm was getan hat, statt 12 identische Akteure. Wenn die Bildschirme nur ein Dashboard anzeigen, sehen Sie sich stattdessen Anzeige-Links an: Ein Anzeige-Link zeigt ein gemeinsames Dashboard auf einem Bildschirm, an dem sich niemand anmeldet.
That’s the oldest session being ended each time a Pi signs in. Give each screen its own account if your plan’s seats allow it. Then the sessions stop fighting, and the audit log shows which screen did what instead of 12 identical actors. If the screens only show a board, look at display links instead: a display link shows a shared board on a screen where nobody signs in.
Von English mit KI übersetzt ·
Sofort. Das Gerät, das diese Sitzung verwendet, wird sofort abgemeldet, und wenn es dasjenige ist, das Sie gerade verwenden, sind auch Sie abgemeldet.
Immediately. The device using that session is signed out at once, and if it’s the one you’re on, you’re signed out too.
Von English mit KI übersetzt ·
Öffnen Sie unter Members die Person und verwenden Sie Sign out: Sie wird dann auf allen Geräten gleichzeitig von der Organisation abgemeldet. Sie kann sich wieder anmelden. Wenn Sie sie fernhalten möchten, sperren Sie sie stattdessen (suspend).Jede Anmeldung und Abmeldung steht im Audit-Log. Mit einem Filter auf auth.login und auth.logout sehen Sie, wer die Organisation genutzt hat und von wo.Für gemeinsam genutzte PCs: Weisen Sie die Leute darauf hin, dort die Option remember me nicht zu aktivieren und sich beim Verlassen abzumelden.
From Members, open the person and use Sign out: they are signed out of the organisation on every device at once. They can sign in again, so if you want to keep them out, suspend them instead. Every sign-in and sign-out is in the audit log, so filtering on auth.login and auth.logout tells you who used the organisation and from where.
For the shared PCs: tell people not to tick remember me there, and to sign out when they leave.
Von English mit KI übersetzt ·
Die Anforderung wird bei jeder Anfrage geprüft, nicht nur beim Passwortformular: Ab dem Moment der Aktivierung muss jede Anfrage von einer Sitzung stammen, die einen zweiten Faktor abgeschlossen hat. Eine Sitzung ohne diesen erhält die Meldung „Diese Organisation erfordert eine zweistufige Verifizierung. Melden Sie sich erneut an und schließen Sie sie ab.“In einer Organisation wie Ihrer ist der kürzeste Weg ein Passkey. Eine Anmeldung per Passkey zählt allein schon als abgeschlossener zweiter Faktor.
The requirement is checked on every request, not only on the password form: from the moment it’s on, every request has to come from a session that completed a second factor. A session without one gets „This organization requires two-step verification. Sign in again and complete it.“
In an organisation like yours the shortest path is a passkey. A passkey sign-in counts as a completed second factor on its own.
Von English mit KI übersetzt ·
Zwei verschiedene Dinge.Ein vertrauenswürdiges Gerät überspringt den zweiten Faktor für einen gewissen Zeitraum, höchstens 30 Tage, und fragt trotzdem nach dem Passwort. Diese siehst du unter Mein Profil > Sicherheit, mit Widerrufen und Alle widerrufen.Angemeldet bleiben verändert, wie lange die Sitzung selbst gültig ist: Jede Sitzung hat eine absolute Lebensdauer, und das Aktivieren von Angemeldet bleiben verlängert sie. Das Beenden von Sitzungen funktioniert wie bisher, über Aktive Sitzungen in deinem Profil oder durch einen Administrator, der ein Mitglied aus der Organisation abmeldet.
Two different things.
A trusted device skips the second factor for a while, 30 days at most, and still asks for the password. You see those under My Profile > Security, with Revoke and Revoke all.
Remember me changes how long the session itself lives: every session has an absolute lifetime, and ticking remember me makes it longer. Ending sessions works as before, from Active Sessions on your profile, or an admin signing a member out of the organisation.
Every row holds the time, the actor (a member, an API key, the system or a service), the action, its severity, the resource, and the address and browser. Secrets, passwords, tokens and attribute values are never written. The log is hash-chained and you set its retention to what your compliance rules need. Export CSV downloads the rows for the date range of the filter. What is audited lists the actions by area, and Audit log covers reading, exporting and verifying it.
Welcome Daniel. The checklist for a new organisation on the Security page is a good place to begin: a passkey plus a backup passkey for every owner and admin, Require two-step verification for every member once everyone has a second factor, at least two owners or admins, and field staff on the User role. Device profiles on TLS only (port 8883) and allowed networks for fixed sites are on the same list.
Von English mit KI übersetzt ·
Pro Region. Geräte verbinden sich mit dem Geräte-Host der Organisation in deren Region. Verwenden Sie den Host auf der Karte „Verbindungsdetails“ des Geräts, statt ihn aus dem Gedächtnis einzutippen.
Per region. Devices connect to the device host of the organisation’s region. Use the host on the device’s Connection details card rather than typing one from memory.
Von English mit KI übersetzt ·
Eine Organisation hat eine Heimatregion, sodass alle ihre Daten an einem Ort liegen. Wenn die Lagerdaten in den USA und die Anlagendaten in der EU bleiben müssen, handelt es sich um zwei Organisationen. Jede Organisation hat eigene Mitglieder und Rollen, was ohnehin oft gewünscht ist. Jede Region ist außerdem eine eigene Bereitstellung. Frag deshalb den Support, wie die Anmeldung über beide hinweg funktioniert, bevor du mit einem gemeinsamen Login planst.
An organisation has one home region, so all of its data sits in one place. If the warehouse data has to stay in the US and the plant data in the EU, that’s two organisations. Each organisation has its own members and roles, which is often what you want anyway. Each region is also a separate deployment, so ask support how sign-in works across the two before you plan around one login.
Per organisation. Each organisation has one home region and your members sign in to it from wherever they are. Its devices connect to the device host of that region too. Changing the home region later is something only Hermetry can do, through the contact page, so pick it before you connect a fleet. More on Regions and data residency.
Von English mit KI übersetzt ·
Beide befinden sich auf der Seite Residency in den Organisationseinstellungen (/admin/settings/residency, für Eigentümer und Administratoren).Backups: Angezeigt wird die Art des Ortes, an dem Backups aufbewahrt werden. Solange dies für Ihren Knoten nicht gemeldet wird, steht dort „nicht bestätigt“, statt etwas zu vermuten.Operatorzugriff: Es gibt ein Notfallverfahren („break-glass“). Eine Freigabe ist zeitlich begrenzt und erfordert zwei Unterschriften; jede Aktion, die darunter ausgeführt wird, ist im Audit-Log der betroffenen Organisation markiert, und die Freigaben der letzten 365 Tage sind auf derselben Seite aufgeführt. Die Seite listet außerdem die Unterauftragsverarbeiter der Region und die Regionsdaten auf (Residency-Klasse, Rechtsraum, Gerichtsbarkeit, rechtliche Rahmenbedingungen). Die Regionsdaten werden von unserer Control Plane signiert, daher kann die Seite keine Daten anzeigen, die nicht für Ihren Knoten ausgestellt wurden.
Both are on the Residency page of the organisation settings (/admin/settings/residency, owners and admins).
Backups: it shows the class of place where backups are kept. Until that is reported for your node it says not attested, rather than guessing.
Operator access: there is an emergency („break-glass“) procedure. A grant is time-limited and needs two signatures, every action taken under it is marked in the audit log of the organisation it touches, and the grants of the last 365 days are listed on that same page. The page also lists the region’s sub-processors and its region facts (residency class, legal area, jurisdiction, legal frameworks). The region facts are signed by our control plane, so the page can’t show facts that weren’t issued for your node.