Von English mit KI übersetzt ·
2.3.0 fügt die Rolle IoT-Viewer hinzu: Lesezugriff auf jeden IoT-Bildschirm, für Personen, die nur zusehen und nichts ändern. Prüfer, eine Schichtleitung, die nur einen Blick darauf werfen muss, jemand außerhalb des Teams, der sich über den Fortschritt informiert.Sie fügen sie als Gruppe hinzu: Einstellungen > Zugriffskontrolle > Gruppen > Aus Vorlage… > IoT viewer, dann geben Sie der Person die Rolle User und diese Gruppe. Mitglieder sind standardmäßig User, und User kann bereits Geräte, Alarme und Dashboards lesen. Die Gruppe fügt daher vor allem die Leserechte hinzu, deren Mindestrolle Admin ist, etwa Gerätoeinstellungen und Zertifikate. Sie gewährt keine Zugangsdaten, Schlüssel, eSIM, Router-Panel-Sitzungen oder Einstellungsseiten.Bevor Sie es jemandem außerhalb Ihres Unternehmens geben: Ein Viewer sieht jedes Gerät in der Organisation. Zugriffsrichtlinien lassen sich nicht für ein einzelnes Gerät oder einen einzelnen Standort festlegen. Wenn zwei Personengruppen niemals die Geräte der jeweils anderen sehen dürfen, legen Sie diese Geräte in getrennte Organisationen, die in der Datenbank voneinander getrennt gehalten werden.Außerdem in 2.3.0 behoben: Wenn Ihre Sitzung beendet ist, zeigt die Anmeldeseite dies jetzt an, statt ein leeres Formular anzuzeigen.Dokumentation: Gruppen und Berechtigungen, Berechtigungsreferenz, Zugriffsrichtlinien.
2.3.0 adds an IoT viewer role: read access to every IoT screen, for people who watch and never change anything. Auditors, a shift lead who only needs to look, someone outside the team who checks in on progress.
You add it as a group: Settings > Access Control > Groups > From template… > IoT viewer, then give the person the User role and that group. Members are User by default and User already reads devices, alarms and dashboards, so the group mainly adds the read permissions whose minimum role is Admin, such as device settings and certificates. It gives no credentials, keys, eSIM, router panel sessions or settings pages.
Before you hand it to anyone outside your company: a viewer sees every device in the organisation. Access policies can’t be written for one device or one site. If two groups of people must never see each other’s devices, put those devices in separate organisations, which are kept apart in the database.
Also fixed in 2.3.0: when your session has ended, the sign-in page now says so instead of showing an empty form.
Docs: Groups and permissions, Permissions reference, Access policies.
Von English mit KI übersetzt ·
Gutes Timing, in zwei Wochen kommt ein Prüfer von unserer Versicherung. Die Hälfte dessen, was sie wollen, ist die Kamera im Heizhaus. Bekommt der Viewer die Live-Ansicht?
Good timing, we have an auditor from our insurer coming in two weeks. Half of what they want is the camera on the boiler house. Does the viewer get live view?
Von English mit KI übersetzt ·
Ja. Live-Ansicht und das Anzeigen von Kameras sind bereits Benutzerberechtigungen, und die Vorlage enthält Kameras, Live-Ansicht, Schnappschüsse und Aufzeichnungen. Vorlagen bieten nur Berechtigungen von Modulen an, die Ihre Organisation hat. Wenn die Kameras aktiviert sind, sehen Sie sie daher in der Gruppe.
Yes. Watching live and viewing cameras are User permissions already, and the template includes cameras, live view, snapshots and recordings. Templates only offer permissions of modules your organisation has, so with cameras on you’ll see them in the group.
Von English mit KI übersetzt ·
Ich habe es mit dem Testaccount eines Kollegen ausprobiert, User + IoT viewer. Trotzdem konnten sie einen Alarm quittieren und von einem Board aus eine Regel ausführen. Ist das so beabsichtigt? Ich habe „never change anything“ etwas wörtlicher verstanden.
Tried it with a colleague’s test account, User + IoT viewer. They could still acknowledge an alarm and run a rule from a board. Is that expected? I read „never change anything“ a bit more literally.
Von English mit KI übersetzt ·
Erwartet, und danke, dass du getestet hast, bevor der Auditor es tut. Gruppen fügen der Rolle nur zusätzliche Berechtigungen hinzu. Die Gruppe selbst gewährt keine Schreibrechte, aber die User-Rolle besitzt standardmäßig einige Rechte, die wirksam werden. Die, auf die du gestoßen bist: Alarme quittieren, Regeln ausführen und deren Modus umschalten sowie einfache (nur lesende) Befehle senden.Zwei Möglichkeiten, das zu schließen:
- Wenn kein User in deiner Organisation diese Aktionen ausführen soll, entferne in den Zugriffsrechten für User das Häkchen bei
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeundiot_rpc.send.basic. - Wenn es nur die Viewer betrifft, schreibe eine Deny-Zugriffsrichtlinie mit diesen Aktionen und der Bedingung
subject.roles containsmit dem Schlüssel der Viewer-Gruppe. Deny gewinnt immer. Führe sie zuerst im Shadow-Modus aus und prüfe sie im Zugriffstester mit der Rolle eines Owners, damit du dich nicht selbst aussperrst.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.
Von English mit KI übersetzt ·
Ich habe mich für die Richtlinie entschieden, nur Viewer. Der Schattenmodus ist vorerst aktiv, ich schaue mir am Freitag das Entscheidungsprotokoll an und schalte den Schattenmodus danach aus.
Went with the policy, viewers only. Shadow mode is on for now, I’ll look at the decision log on Friday and then turn shadow mode off.
Von English mit KI übersetzt ·
Wir haben im September eine handgebaute Gruppe mit reinem Lesezugriff angelegt. Gibt es einen Grund, sie durch die Vorlage zu ersetzen?
We built a hand-made read-only group in September. Any reason to swap it for the template?
Von English mit KI übersetzt ·
Das ist nicht nötig. Eine Vorlagengruppe ist nach dem Hinzufügen eine ganz normale Gruppe. Wenn Sie vergleichen möchten, fügen Sie die Vorlage hinzu und betrachten Sie die beiden Spalten unter Zugriffsrechte nebeneinander. Löschen Sie anschließend die Gruppe, die Sie nicht behalten möchten. Beim Löschen einer Gruppe wird sie von allen Mitgliedern entfernt, verschieben Sie die Personen also vorher.
No need. A template group is an ordinary group once it’s added. If you want to compare, add the template and look at both columns side by side in Access Rights, then delete whichever you don’t keep. Deleting a group removes it from every member, so move people first.
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.
Mitdiskutieren
Melde dich an, um Fragen zu stellen und zu beantworten, hilfreiche Beiträge mit „Gefällt mir“ zu markieren und die Antwort zu kennzeichnen, die dein Problem gelöst hat. Jeder Beitrag bringt Punkte und Stufen.