Kuray Karaaslan
@kuray-karaaslan · Se unió el agosto 2026
- Temas
- 11
- Respuestas
- 28
- Puntos
- 0
Respuestas de foro creadas
Traducido del English por IA ·
En la referencia de permisos: cada permiso de IoT con su rol mínimo y lo que permite, además de los de la plataforma con los que más se encuentran los administradores de IoT. Los ID que aparecen allí son las claves que ve en la matriz, así que puede pegar uno en el filtro.
In the Permissions reference: every IoT permission with its minimum role and what it allows, plus the platform ones IoT admins meet most. The ids there are the keys you see in the matrix, so you can paste one into the filter.
Traducido del English por IA ·
Un grupo funciona. dashboard_viewer.designs.write tiene Admin como rol mínimo, y un grupo puede elevar a un miembro por encima de un mínimo Admin. Solo los mínimos Owner quedan fuera del alcance de los grupos.
A group works. dashboard_viewer.designs.write has Admin as its minimum role, and a group can lift a member over an Admin minimum. Only Owner minimums are out of reach for groups.
Traducido del English por IA ·
No hace falta. Un grupo de plantilla es un grupo normal una vez añadido. Si quiere comparar, añada la plantilla y revise las dos columnas una al lado de la otra en Derechos de acceso; después elimine el grupo que no vaya a conservar. Eliminar un grupo lo quita de todos sus miembros, así que mueva antes a las personas.
No need. A template group is an ordinary group once it’s added. If you want to compare, add the template and look at both columns side by side in Access Rights, then delete whichever you don’t keep. Deleting a group removes it from every member, so move people first.
Traducido del English por IA ·
Era de esperar, y gracias por probarlo antes que el auditor. Los grupos solo añaden permisos sobre el rol. El grupo en sí no concede ningún permiso de escritura, pero el rol User tiene por defecto algunos derechos que sí actúan. Los que te encontraste: reconocer alarmas, ejecutar reglas y cambiar su modo, y enviar comandos básicos (de solo lectura).Dos formas de cerrarlo:
- Si ningún User de tu organización debe hacer esas cosas, desmarca
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeeiot_rpc.send.basicpara User en Derechos de acceso. - Si solo afecta a los visores, crea una política de acceso Deny con esas acciones y la condición
subject.roles containsseguida de la clave del grupo de visores. Deny siempre prevalece. Ejecútala primero en modo shadow y compruébala en el probador de accesos con el rol de un propietario para no bloquearte a ti mismo.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.
Traducido del English por IA ·
Sí. Ver en directo y visualizar cámaras ya son permisos de Usuario, y la plantilla incluye cámaras, vista en directo, instantáneas y grabaciones. Las plantillas solo ofrecen permisos de los módulos que tiene su organización, así que, con las cámaras activadas, los verá en el grupo.
Yes. Watching live and viewing cameras are User permissions already, and the template includes cameras, live view, snapshots and recordings. Templates only offer permissions of modules your organisation has, so with cameras on you’ll see them in the group.
Traducido del English por IA ·
No, rechaza todos los certificados hasta que se cargue su conjunto de revocación (revocation set). Tampoco hay un método alternativo con contraseña: un certificado presentado siempre decide.
No, it refuses every certificate until its revocation set is loaded. There’s no password fallback either: a presented certificate always decides.
Traducido del English por IA ·
Toda acción del firewall empieza en modo Observe, a menos que usted elija otra cosa, y las acciones sobre dispositivos empiezan en modo Suggest, por lo que una propuesta espera a un administrador. Revocar la credencial de un dispositivo, terminar su conexión y revocar su certificado solo funcionan en modo Suggest: una persona aprueba cada ejecución. Desactivar un dispositivo solo se ejecuta por sí mismo si usted configura esa acción en Auto.
Every firewall action starts in Observe unless you choose otherwise, and actions on devices start in Suggest, so a proposal waits for an administrator. Revoking a device’s credential, ending its connection and revoking its certificate are Suggest-only: a person approves every run. Disabling a device runs on its own only if you set that action to Auto yourself.
Traducido del English por IA ·
Por sí mismos, como máximo 30 días antes de su vencimiento. También puede pedir una renovación anticipada con «Renovar certificado» (el comando cert.renew); se mantiene el certificado actual hasta que el nuevo esté en uso. Los dispositivos a los que se pidió renovar y no lo hicieron se notifican a los administradores junto con los que vencen.
By themselves, at the latest 30 days before expiry. You can also ask one to renew early with Renew certificate (the cert.renew command); it keeps the current certificate until the new one is in use. Devices that were asked to renew and didn’t are reported to administrators along with the expiring ones.
Traducido del English por IA ·
Se desconecta de inmediato. Revocar certificado pide un motivo (Compromiso de clave, Reemplazado, Dispositivo retirado o Sin especificar) y el número de serie del dispositivo como confirmación. La huella digital se añade al conjunto de revocación de cada nodo gateway, se cierra la conexión activa y el siguiente intento de inicio de sesión recibe CONNACK 5. También aparece en la siguiente CRL; la lista de cada CA emisora es válida durante 7 días.No se puede deshacer. El dispositivo necesita un nuevo certificado antes de volver a conectarse.
It’s disconnected at once. Revoke certificate asks for a reason (Key compromise, Superseded, Device retired or Unspecified) and for the device serial as confirmation. The fingerprint goes into the revocation set of every gateway node, the live connection is dropped, and the next login attempt gets CONNACK 5. It’s also listed in the next CRL; each issuing CA’s list is valid for 7 days.
It can’t be undone. The device needs a new certificate before it connects again.
Traducido del English por IA ·
No. No está disponible la carga de su propia CA para dispositivos X.509 de terceros; los dispositivos de terceros usan tokens de acceso o MQTT basic. La vía de certificados es para dispositivos con licencia, cuyos certificados provienen de la CA de Hermetry durante el aprovisionamiento.
No. Uploading your own CA for third-party X.509 devices isn’t available; third-party devices use access tokens or MQTT basic. The certificate path is for licensed devices, whose certificates come from Hermetry’s CA at provisioning.
Traducido del English por IA ·
No. Un dominio está marcado como Primary. Los correos electrónicos y los enlaces de notificación usan el dominio principal mientras esté activo, y la dirección gratuita en caso contrario.
No. One domain is marked Primary. E-mail and notification links use the primary domain while it serves, and the free address otherwise.
Traducido del English por IA ·
Sí. Un administrador puede cambiar los nuevos dominios a un desafío CNAME en la configuración del dominio (Desafío DNS preferido: registro TXT o registro CNAME). Esa opción existe precisamente para este tipo de servicio DNS.Esto también es importante, porque un desafío pendiente es válido durante 24 horas. Después, hay que volver a verificar y obtener uno nuevo, así que un registro TXT que tarda días en propagarse siempre llegaría demasiado tarde.
Yes. An administrator can switch new domains to a CNAME challenge in the domain settings (Preferred DNS Challenge: TXT record or CNAME record). That setting exists for exactly this kind of DNS service.
That also matters because a pending challenge is valid for 24 hours. After that you verify again and get a new one, so a TXT record that takes days to go in would always arrive too late.
Traducido del English por IA ·
No solo eso. La pestaña Log muestra los cambios auditados del dispositivo, cada uno realizado por una persona o por el sistema, junto con su historial de conexiones (conexiones, desconexiones, inicios de sesión rechazados) en una sola línea de tiempo; Show alterna entre All, Connections y Changes. Para un solo dispositivo es más rápido que la llamada a la API. Escribí la entrada dos días antes de que se publicara.
Not only. The Log tab shows the device’s audited changes, each by a person or by the system, together with its connection history (connects, disconnects, refused logins) in one timeline; Show switches between All, Connections and Changes. For a single device it’s quicker than the API call. I wrote the post two days before it shipped.
Traducido del English por IA ·
Sí, las filas de riesgo alto y crítico activan el webhook audit.high_risk, así que puedes reenviarlas en cuanto ocurren. Para las descargas masivas, el endpoint de exportación admite CSV o NDJSON y puede limitarse a un único actor:
GET /tenant/{tenantId}/api/audit-logs/export?format=ndjson&fromDate=2026-10-01&toDate=2026-10-21Yes, high and critical rows fire the audit.high_risk webhook, so you can forward them as they happen. For bulk pulls the export endpoint does CSV or NDJSON and can be limited to one actor:
GET /tenant/{tenantId}/api/audit-logs/export?format=ndjson&fromDate=2026-10-01&toDate=2026-10-21Traducido del English por IA ·
Busque la acción que le interesa en lugar de desplazarse, o filtre por gravedad: las que aparecen en la captura son todas Low, así que un filtro de High o Critical las deja fuera.
Search for the action you’re after instead of scrolling, or filter by severity: the ones in the shot are all Low, so a High or Critical filter leaves them out.