Von English mit KI übersetzt ·
Erwartet, und danke, dass du getestet hast, bevor der Auditor es tut. Gruppen fügen der Rolle nur zusätzliche Berechtigungen hinzu. Die Gruppe selbst gewährt keine Schreibrechte, aber die User-Rolle besitzt standardmäßig einige Rechte, die wirksam werden. Die, auf die du gestoßen bist: Alarme quittieren, Regeln ausführen und deren Modus umschalten sowie einfache (nur lesende) Befehle senden.Zwei Möglichkeiten, das zu schließen:
- Wenn kein User in deiner Organisation diese Aktionen ausführen soll, entferne in den Zugriffsrechten für User das Häkchen bei
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeundiot_rpc.send.basic. - Wenn es nur die Viewer betrifft, schreibe eine Deny-Zugriffsrichtlinie mit diesen Aktionen und der Bedingung
subject.roles containsmit dem Schlüssel der Viewer-Gruppe. Deny gewinnt immer. Führe sie zuerst im Shadow-Modus aus und prüfe sie im Zugriffstester mit der Rolle eines Owners, damit du dich nicht selbst aussperrst.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.