Los derechos de un miembro provienen de tres fuentes: su rol integrado, los grupos a los que pertenece y las políticas de acceso que tenga. Esta página explica los permisos, la matriz Access Rights y los grupos. Las políticas de acceso se describen en Access policies.
Permisos y roles mínimos
Cada acción en Hermetry está protegida por un permiso, por ejemplo iot_device.devices.read (ver devices) o iot_rpc.send.privileged (enviar comandos privilegiados). Cada permiso tiene un rol mínimo (Owner, Admin o User). Un miembro puede usar un permiso cuando:
- su rol integrado es al menos el rol mínimo y la matriz de la organización lo concede a ese rol, o
- uno de sus grupos activos lo concede y el rol mínimo es Admin o User.
Un grupo puede elevar a un miembro por encima de un mínimo Admin, pero nunca por encima de un mínimo Owner. Los permisos exclusivos del propietario (transferencia de la titularidad, eliminación de la organización, comandos sin procesar, claves de firma de firmware y rotación de claves de API) quedan reservados a los propietarios, digan lo que digan los grupos.
Los permisos pertenecen a módulos. Un módulo que tu plan no incluye no añade permisos a las listas siguientes.
Control de acceso
Abre Settings > Access Control (dirección /admin/settings/access-control): «Roles, groups and the permission matrix for this organization.» Tiene tres pestañas.
Access Rights
La matriz de «Which permissions each role/group is granted.» Las filas son los permisos de tus módulos habilitados, agrupados por módulo; las columnas son los roles integrados y tus grupos. Usa Filter permissions by name, key, group or module… para encontrar una fila.
- Marca o desmarca las celdas.
- Selecciona Save (n), donde n es el número de cambios.
«Locked cells (the Owner column and owner-only permissions) can only be changed by the owner.» Cuando se aplica una política de acceso, su denegación siempre prevalece sobre la matriz.
Un permiso que añadió una actualización de módulo, para el que tu organización aún no tiene regla, aparece como Allowed by default: se aplica el valor predeterminado de la plataforma, por lo que los miembros pueden usarlo si su rol cumple el rol mínimo.
Grupos
«Built-in roles are fixed; create custom groups to grant tailored permission sets. Groups appear as columns in Access Rights.»
Para crear un grupo:
- Selecciona New group.
- Introduce una Key (en minúsculas, con puntos, por ejemplo
plant.north.operators; «Cannot be changed later») y una Label. - Selecciona Create y, a continuación, abre el grupo para elegir sus Permissions (Search permissions…, Select all o Clear por módulo) y añade una Description.
- Deja Active activado. «An inactive group keeps its members but grants nothing — the way to switch a permission set off without unassigning anybody.»
From template… añade un grupo predefinido (más abajo). Eliminar un grupo lo quita de todos los miembros.
Usuarios
«Assign each member’s role/group.» Para cada miembro, cambia el Role o selecciona Edit en Groups para asignar grupos. «Groups only add permissions on top of the built-in role — they never take one away.»
También puedes asignar grupos desde la página de un miembro con Manage groups, y comprobar el resultado en la pestaña Permissions del miembro (Effective access). Consulta Users and roles.
Las plantillas de grupos IoT
| Plantilla | Concede |
|---|---|
| IoT operator | «Watches and edits devices and writes their attributes. No device credentials, no creating or deleting devices.» |
| IoT viewer | «Sees every IoT page and list (devices, profiles, alarms, places, cameras, firmware, rules, certificates, LoRaWAN, endpoints, device settings) and is given no right to change anything. No credentials, keys, eSIM, panel sessions or settings pages.» |
Las plantillas solo ofrecen permisos de los módulos que usa tu organización. Una vez añadida, una plantilla de grupo es un grupo normal: puedes editarlo, asignarlo o eliminarlo.
Configuraciones habituales:
| Persona | Rol | Grupos |
|---|---|---|
| Técnico de campo | User | IoT operator |
| Auditor, visor de cliente | User | IoT viewer |
| Integrador que crea flujos y perfiles | Admin | ninguno |
| Responsable de planta que aprueba firmware | Admin | ninguno |
Permisos IoT comunes
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
iot_device.devices.read | Ver dispositivos | User |
iot_device.devices.create / .update / .delete | Crear, editar y eliminar dispositivos | Admin |
iot_device.credentials.manage | Emitir, rotar y revocar credenciales de dispositivos | Admin |
iot_device.attributes.write | Escribir atributos de dispositivos | Admin |
iot_device_profile.profiles.read / .write | Ver / cambiar perfiles de dispositivos | User / Admin |
iot_alarm.read, iot_alarm.acknowledge | Ver y reconocer alarmas | User |
iot_alarm.resolve, iot_alarm.mute, iot_alarm.rules.manage | Resolver alarmas, silenciar dispositivos, gestionar reglas de alarma | Admin |
iot_rpc.send.basic | Enviar comandos básicos | User |
iot_rpc.send.privileged, iot_rpc.send.critical, iot_rpc.commands.manage | Enviar comandos privilegiados y críticos, gestionar el catálogo de comandos | Admin |
iot_rpc.send.raw | Enviar comandos sin procesar | Owner |
iot_ota.packages.manage, iot_ota.assign | Gestionar firmware y asignaciones | Admin |
iot_ota.keys.manage | Gestionar claves de firma de firmware | Owner |
iot_rules.read, iot_rules.run, iot_rules.mode | Ver tarjetas de reglas, ejecutarlas y cambiar el modo manual/automático | User |
iot_rules.manage | Crear y modificar tarjetas de reglas | Admin |
iot_provisioning.claim, iot_provisioning.quarantine.activate | Reclamar dispositivos licenciados, activar dispositivos en cuarentena | Admin |
iot_pki.certificates.read, iot_pki.certificates.revoke | Ver y revocar certificados de dispositivos | Admin |
automation.read, automation.manage | Ver y editar flujos | Admin |
dashboard.boards.read, dashboard.boards.write | Ver y editar mis propios paneles | User |
dashboard.boards.manage | Gestionar paneles compartidos | Admin |
La lista completa está en la Permissions reference.
Buenas prácticas
- Prefiere los grupos a elevar un rol. Un User con el grupo IoT operator no puede ver credenciales ni cambiar ajustes; un Admin sí puede.
- Usa claves de grupo significativas: aparecen en el registro de auditoría y en las políticas de acceso (
subject.roles contains 'plant.north.operators'). - Revisa la matriz Access Rights después de añadir un módulo: sus nuevos permisos empiezan como Allowed by default.