Cada acción en Hermetry está protegida por un permiso. Esta página enumera los permisos de los módulos de IoT y los permisos de la plataforma que los administradores de IoT encuentran con más frecuencia, cada uno con su rol mínimo y lo que permite. Cómo se combinan los roles, los grupos y la matriz de Access Rights se explica en Grupos y permisos; las políticas de acceso que restringen aún más el acceso están en Políticas de acceso.
Cómo leer las tablas
| Columna | Significado |
|---|---|
| Permiso | El id, tal como aparece en Access Rights (buscar por id) y en Module permissions de la clave API |
| Lo que permite | El nombre del permiso tal como lo muestra la consola, ligeramente abreviado |
| Rol mínimo | El rol integrado más bajo que puede tenerlo. User significa todos los miembros por defecto, Admin significa administradores y propietarios, Owner significa solo propietarios. |
Reglas que se aplican a todas las filas:
- Un miembro tiene un permiso cuando su rol es al menos el rol mínimo y la matriz de la organización lo concede a ese rol, o cuando uno de sus grupos activos lo concede y el rol mínimo es User o Admin.
- Un grupo puede elevar a un miembro por encima de un mínimo Admin, nunca por encima de un mínimo Owner.
- Un permiso de un módulo que su plan no incluye no existe para su organización.
- Una clave API solo tiene los permisos que usted le concede y nunca más de los que tiene su titular; los permisos exclusivos del propietario nunca los tienen las claves API.
- Algunos permisos pertenecen a funciones que están en desarrollo; están marcados. Concederlos no tiene efecto hasta que la función se publique. Véase En desarrollo.
Permisos de IoT
Dispositivos
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_device.devices.read | Ver dispositivos | User |
iot_device.devices.create | Crear dispositivos | Admin |
iot_device.devices.update | Editar y desactivar dispositivos | Admin |
iot_device.devices.delete | Eliminar dispositivos | Admin |
iot_device.credentials.manage | Gestionar las credenciales de los dispositivos | Admin |
iot_device.attributes.read | Ver atributos de dispositivos | User |
iot_device.attributes.write | Escribir atributos del servidor y atributos compartidos de los dispositivos | Admin |
iot_device.bindings.read | Ver enlaces de lecturas | User |
iot_device.bindings.manage | Gestionar enlaces de lecturas (con el permiso de gestión propio del registro de destino) | Admin |
Perfiles de dispositivo
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_device_profile.profiles.read | Ver perfiles de dispositivo | User |
iot_device_profile.profiles.write | Crear, editar y eliminar perfiles de dispositivo | Admin |
iot_device_profile.provisioning.manage | Gestionar la configuración de aprovisionamiento y las claves de los perfiles de dispositivo | Admin |
iot_device_profile.templates.manage | Gestionar las plantillas de perfiles de la plataforma. Solo operadores de la plataforma. | Admin |
Comandos
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_rpc.read | Ver el historial de comandos y los catálogos de comandos | User |
iot_rpc.send.basic | Enviar comandos básicos (solo lectura) a los dispositivos | User |
iot_rpc.send.privileged | Enviar comandos de configuración a los dispositivos | Admin |
iot_rpc.send.critical | Enviar comandos de alto impacto a los dispositivos (reinicio) | Admin |
iot_rpc.send.raw | Enviar comandos sin procesar (métodos fuera del catálogo) | Owner |
iot_rpc.commands.manage | Gestionar los catálogos de comandos de los perfiles de dispositivo | Admin |
Alarmas
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_alarm.read | Ver alarmas y reglas de alarma | User |
iot_alarm.rules.manage | Editar las reglas de alarma de los perfiles de dispositivo | Admin |
iot_alarm.mute | Silenciar las alarmas de un dispositivo | Admin |
iot_alarm.acknowledge | Reconocer alarmas y añadir notas | User |
iot_alarm.resolve | Resolver (borrar) alarmas manualmente | Admin |
Tarjeta de reglas
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_rules.read | Ver las reglas de los lugares y dispositivos y sus ejecuciones | User |
iot_rules.run | Ejecutar una regla ahora | User |
iot_rules.mode | Cambiar un lugar entre Manual y Auto | User |
iot_rules.manage | Añadir, cambiar, activar o desactivar y eliminar reglas | Admin |
Sitios y activos
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_asset.assets.read | Ver sitios y activos de IoT | User |
iot_asset.assets.manage | Crear, editar, mover y eliminar sitios y activos de IoT | Admin |
iot_asset.relations.manage | Gestionar relaciones y ubicación de dispositivos | Admin |
Telemetría
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
telemetry.read | Leer lecturas de telemetría (de los dispositivos que puede ver) | User |
telemetry.admin.read | Ver la configuración del almacén de telemetría (tipos, retención, claves) | Admin |
telemetry.admin.manage | Gestionar el almacén de telemetría | Admin |
Configuración de telemetría de IoT
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_telemetry.settings.read | Ver la configuración de telemetría de IoT | Admin |
iot_telemetry.settings.update | Cambiar la configuración de telemetría de IoT | Admin |
Actualizaciones de firmware
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_ota.read | Ver paquetes de firmware, asignaciones y estados de actualización de los dispositivos | User |
iot_ota.packages.manage | Subir, depreciar, revocar y eliminar paquetes de firmware | Admin |
iot_ota.assign | Asignar firmware, cambiar la configuración de OTA y reintentar actualizaciones | Admin |
iot_ota.keys.manage | Registrar y revocar las claves públicas de firma de firmware | Owner |
Ajustes remotos de dispositivos
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_device_settings.manifests.read | Ver el catálogo de manifiestos de ajustes de dispositivos | Admin |
iot_device_settings.manifests.manage | Subir manifiestos de ajustes de dispositivos al catálogo | Admin |
iot_device_settings.read | Ver los ajustes de un dispositivo | Admin |
iot_device_settings.operate | Cambiar los ajustes operativos de un dispositivo (la clase más baja; conceder junto con lectura) | Admin |
iot_device_settings.write | Cambiar los ajustes de configuración de un dispositivo (red, Wi-Fi, cortafuegos; incluye los ajustes operativos; conceder junto con operate) | Admin |
iot_device_settings.baselines.manage | Crear, cambiar y eliminar líneas base de ajustes de dispositivos (valores parciales con nombre de secciones para muchos dispositivos) | Admin |
iot_device_settings.jobs.manage | Iniciar, pausar, reanudar y cancelar trabajos de ajustes que aplican una línea base o un cambio a muchos dispositivos en oleadas (lo que un trabajo puede cambiar es lo que usted puede cambiar) | Admin |
iot_device_settings.dangerous.write | Cambiar los ajustes peligrosos de un dispositivo (lo que puede dejar el dispositivo sin conexión; conceder junto con write) | Owner |
Aprovisionamiento y reclamación
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_provisioning.claim | Reclamar dispositivos | Admin |
iot_provisioning.release | Liberar dispositivos | Admin |
iot_provisioning.release.force | Forzar la liberación de dispositivos. Solo operadores de la plataforma. | Admin |
iot_provisioning.quarantine.activate | Activar dispositivos en cuarentena | Admin |
iot_provisioning.pool.read | Ver el pool de fábrica de dispositivos licenciados. Solo operadores de la plataforma. | Admin |
iot_provisioning.pool.manage | Gestionar el pool de fábrica. Solo operadores de la plataforma. | Admin |
Certificados de dispositivo
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_pki.certificates.read | Ver certificados de dispositivo | Admin |
iot_pki.certificates.revoke | Revocar certificados de dispositivo | Admin |
iot_pki.recovery.approve | Aprobar la recuperación de certificados | Admin |
iot_pki.ca.manage | Ver y gestionar las autoridades de certificación de la plataforma. Solo operadores de la plataforma. | Admin |
iot_pki.settings.update | Cambiar la configuración de certificados de dispositivo | Admin |
Endpoints de protocolo
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_gateway.endpoints.read | Ver endpoints de protocolo y la conexión de los dispositivos sondeados | User |
iot_gateway.endpoints.manage | Crear, editar, probar y eliminar endpoints de protocolo; descubrir y conectar dispositivos sondeados | Admin |
Acciones de protocolo de cámaras
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_gateway_isapi.actions.manage | Cambiar el intervalo de fotogramas clave de una cámara compatible (Set to 2 seconds) y restaurarlo | Admin |
Cámaras
| Permiso | Lo que permite | Rol mínimo |
|---|---|---|
iot_camera.cameras.read | Ver cámaras, sus flujos y la configuración de vídeo en directo | User |
iot_camera.cameras.manage | Usar un dispositivo como cámara, activar y desactivar la vista en directo, volver a leer sus streams y eliminar la cámara | Admin |
iot_camera.view_live | Ver la imagen en directo de una cámara | Usuario |
iot_camera.snapshots.read | Ver las instantáneas de las cámaras y las cifras de almacenamiento de la cámara (en desarrollo) | Usuario |
iot_camera.snapshots.manage | Tomar una instantánea de una cámara en este momento y eliminar instantáneas (en desarrollo) | Admin |
iot_camera.disk.read | Ver lo que guarda una cámara en su propia tarjeta de memoria (en desarrollo) | Admin |
iot_camera.disk.download | Descargar grabaciones e imágenes de la tarjeta de memoria propia de una cámara (en desarrollo) | Admin |
iot_camera.recordings.read | Ver la línea temporal de grabaciones, reproducir grabaciones y listar clips de eventos (en desarrollo) | Usuario |
iot_camera.recordings.manage | Activar y desactivar la grabación, cambiar los ajustes de grabación, guardar, eliminar y exportar clips (en desarrollo) | Admin |
LoRaWAN
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
iot_lorawan.gateways.read | Ver las pasarelas LoRaWAN | Usuario |
iot_lorawan.gateways.manage | Añadir, editar, desactivar y eliminar pasarelas LoRaWAN y rotar sus tokens | Admin |
iot_lorawan.devices.read | Ver los dispositivos LoRaWAN | Usuario |
iot_lorawan.devices.manage | Añadir, editar y eliminar dispositivos LoRaWAN y definir su AppKey | Admin |
iot_lorawan.keys.read | Mostrar la AppKey de un dispositivo LoRaWAN | Admin |
iot_lorawan.frames.read | Ver las tramas LoRaWAN en tiempo real | Usuario |
Codecs LoRaWAN
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
iot_lorawan_codecs.read | Ver los codecs LoRaWAN y usar el banco de pruebas de codecs | Usuario |
iot_lorawan_codecs.manage | Añadir, modificar y eliminar tus propios codecs LoRaWAN | Admin |
iot_lorawan_codecs.library.manage | Retirar y restaurar codecs de la biblioteca de la plataforma | Admin |
Paneles de routers (acceso remoto)
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
iot_remote_access.panel.open | Abrir, acceder y cerrar el panel web de un router reclamado | Admin |
iot_remote_access.sessions.read | Ver las sesiones de panel de la organización | Admin |
eSIM
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
iot_esim.read | Ver el chip eSIM, los perfiles y las operaciones de un router (en desarrollo) | Admin |
iot_esim.manage | Descargar, cambiar, desactivar, renombrar y eliminar los perfiles eSIM de un router (en desarrollo) | Propietario |
Paneles
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
dashboard.home.view | Abrir la página de inicio | Usuario |
dashboard.boards.read | Ver paneles | Usuario |
dashboard.boards.write | Crear y organizar tus propios paneles | Usuario |
dashboard.boards.manage | Gestionar paneles compartidos | Admin |
dashboard.widgets.author_private | Crear y editar tus propios widgets privados | Usuario |
dashboard.widgets.author | Crear y editar widgets | Admin |
dashboard.widgets.publish | Publicar versiones de widgets | Admin |
dashboard.query.execute | Ejecutar consultas de datos de widgets | Usuario |
dashboard.commands.execute | Ejecutar comandos de widgets | Usuario |
dashboard.display.view | Abrir un panel mediante un enlace de visualización | Cualquiera con un enlace de visualización |
dashboard.settings.read | Ver la configuración de los paneles | Admin |
dashboard.settings.update | Cambiar la configuración de los paneles | Admin |
Diagramas de proceso (SCADA)
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
dashboard_scada.commands.author | Crear comandos en los símbolos de los diagramas de proceso | Admin |
dashboard_scada.diagrams.read | Ver diagramas de proceso | Usuario |
dashboard_scada.diagrams.write | Crear, editar y eliminar diagramas de proceso | Admin |
Diseños 3D
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
dashboard_viewer.designs.read | Ver diseños 3D | Usuario |
dashboard_viewer.designs.write | Crear, editar y eliminar diseños 3D | Admin |
Automatización (flujos)
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
automation.read | Ver flujos y el catálogo de bloques | Admin |
automation.manage | Crear, editar y desplegar flujos | Admin |
automation.manage_privileged | Desplegar flujos con bloques de nivel de control (comandos, ajustes) | Admin |
automation.debug | Inyectar mensajes, ver el contenido de los mensajes y los mensajes fallidos | Admin |
automation.hooks.call | Llamar a webhooks de flujos desplegados desde una sesión iniciada (widgets de paneles, páginas de la aplicación) | Usuario |
Permisos de la plataforma usados habitualmente con IoT
| Permiso | Qué permite | Rol mínimo |
|---|---|---|
members.view | Ver miembros | Usuario |
members.invite, tenant_invitation.invitations.invite | Invitar miembros, enviar invitaciones | Admin |
members.edit_role, members.suspend, members.remove | Cambiar el rol o el estado de un miembro, suspender, eliminar | Admin |
members.manage_owner | Modificar o eliminar propietarios | Propietario |
members.transfer_ownership | Transferir la propiedad | Propietario |
api_key.keys.read, .create, .update, .delete | Ver, crear, actualizar y revocar claves de API | Admin |
api_key.keys.rotate, api_key.keys.revoke_all | Rotar claves de API, revocar todas las claves de API | Propietario |
webhook.endpoints.read, .create, .update, .delete, .test, .trigger | Gestionar endpoints de webhook, enviar eventos de prueba y manuales | Admin |
webhook.endpoints.rotate_secret | Rotar el secreto de firma de un webhook | Propietario |
webhook.deliveries.read, .redeliver, .replay | Ver entregas, reenviar y repetir las fallidas | Admin |
audit_log.logs.read, .export, .verify | Ver, exportar y verificar el registro de auditoría | Admin |
audit_log.logs.anonymize, audit_log.logs.purge | Anonimizar un actor (borrado), purgar filas caducadas | Propietario |
tenant_usage.metrics.read | Leer métricas de uso y cuotas | Admin |
tenant_usage.settings.update | Cambiar la configuración de alertas de uso | Admin |
tenant_setting.config.read, .update | Ver y cambiar la configuración de la organización | Admin |
tenant_session.settings.read, .update | Ver y cambiar la política de inicio de sesión | Admin |
auth_abac.policies.read, .write, auth_abac.simulate, auth_abac.decisions.read | Políticas de acceso, el simulador y el registro de decisiones | Propietario |
auth_saml.config.read, .update, .delete | Configurar el inicio de sesión único SAML | Propietario |
auth_sso.settings.read, .update | Ver y cambiar la configuración del inicio de sesión único | Admin |
tenant_domain.domains.create, tenant_domain.domains.delete | Añadir y eliminar dominios personalizados | Propietario |
tenant_domain.domains.read, .verify | Ver dominios, verificar la propiedad | Admin |
tenant_export.data.export | Exportar todos los datos de la organización | Propietario |
tenant_branding.branding.update | Cambiar la identidad visual | Admin |
notification_mail.settings.update, notification_sms.settings.update, notification_push.settings.update, notification_inapp.settings.update | Cambiar la configuración de notificaciones por correo, SMS, push y en la aplicación | Admin |
notification_external.link.manage | Vincular o desvincular tus propias cuentas de chat | Usuario |
notification_external.provider.manage | Conectar o desconectar las plataformas de chat de la organización | Admin |
ai_firewall.incidents.read, .manage, ai_firewall.settings.manage | Leer y gestionar incidentes y ajustes del cortafuegos de IA | Admin |
mcp_server.connect | Conectar asistentes de IA (clientes MCP) | Usuario |
mcp_server.settings.manage | Gestionar la configuración de MCP | Admin |
Acciones exclusivas del propietario
Estas acciones siguen reservadas a los propietarios, independientemente de lo que indiquen los grupos:
| Acción | Permiso |
|---|---|
| Transferir la propiedad; cambiar o eliminar propietarios | members.transfer_ownership, members.manage_owner |
| Configurar el inicio de sesión único SAML | auth_saml.config.* |
| Políticas de acceso | auth_abac.* |
| Añadir y eliminar dominios personalizados | tenant_domain.domains.create, tenant_domain.domains.delete |
| Exportar todos los datos | tenant_export.data.export |
| Rotar y revocar todas las claves de API | api_key.keys.rotate, api_key.keys.revoke_all |
| Rotar un secreto de firma de webhook | webhook.endpoints.rotate_secret |
| Enviar comandos sin procesar | iot_rpc.send.raw |
| Registrar y revocar claves de firma de firmware | iot_ota.keys.manage |
| Cambiar los ajustes peligrosos de un dispositivo | iot_device_settings.dangerous.write |
Las plantillas de grupos de IoT
Settings > Access Control > Groups > From template… añade estos grupos. Cada uno solo incluye los permisos de los módulos que tiene su organización.
| Plantilla | Permisos |
|---|---|
| IoT operator | iot_device.devices.read, iot_device.devices.update, iot_device.attributes.write |
| IoT viewer | iot_device.devices.read, iot_device.attributes.read, iot_device.bindings.read, iot_device_profile.profiles.read, iot_alarm.read, iot_asset.assets.read, iot_rules.read, iot_rpc.read, iot_ota.read, iot_pki.certificates.read, iot_device_settings.read, iot_gateway.endpoints.read, iot_lorawan.gateways.read, iot_lorawan.devices.read, iot_lorawan.frames.read, iot_lorawan_codecs.read, iot_camera.cameras.read, iot_camera.view_live, iot_camera.snapshots.read, iot_camera.recordings.read |
Los miembros son User por defecto, así que un grupo IoT viewer añade sobre todo los permisos de lectura cuyo rol mínimo es Admin (ajustes de dispositivo, certificados). Un IoT operator puede editar dispositivos y escribir sus atributos, pero no puede gestionar credenciales ni crear y eliminar dispositivos.
Ninguna de las dos plantillas permite a un miembro enviar comandos más allá de lo que permite su rol: los comandos Basic requieren iot_rpc.send.basic, que todos los User tienen por defecto. Para impedir que los viewers pulsen los controles de la placa, elimina ese permiso del rol User en Access Rights, o asigna a los viewers un rol y grupos que no lo incluyan.