Kuray Karaaslan
@kuray-karaaslan · Se unió el agosto 2026
- Temas
- 11
- Respuestas
- 28
- Puntos
- 0
Respuestas de foro creadas
Traducido del English por IA ·
No. Los grupos y las políticas deciden sobre la acción, y las páginas de IoT no pasan atributos de dispositivo a las políticas, así que un miembro que puede ver dispositivos ve todos los dispositivos de la organización. Si la planta norte nunca debe ver los dispositivos de la planta sur, deben pertenecer a dos organizaciones. Una misma cuenta puede ser miembro de ambas, con un rol distinto en cada una.
No. Groups and policies decide on the action, and IoT pages pass no device attributes to policies, so a member who may view devices sees all devices of the organisation. If the north plant must never see the south plant’s devices, they belong in two organisations. One account can be a member of both, with a different role in each.
Traducido del English por IA ·
Dos formas.Si ningún User debe enviar comandos, desmarque iot_rpc.send.basic para User en la pestaña Derechos de acceso.Si solo son los contratistas, colóquelos en un grupo (clave contractors, por ejemplo) y añada una política de acceso Deny: acciones iot_rpc.send.basic, iot_rpc.send.privileged e iot_device.attributes.write, condición subject.roles contains contractors. Un deny prevalece sobre cualquier permit. Las políticas requieren el rol Owner. Active primero el modo shadow y revise el registro de decisiones durante unos días antes de aplicarla.
Two ways.
If no User should send commands, untick iot_rpc.send.basic for User on the Access Rights tab.
If it’s only the contractors, put them in a group (key contractors, say) and add a Deny access policy: actions iot_rpc.send.basic, iot_rpc.send.privileged and iot_device.attributes.write, condition subject.roles contains contractors. A deny wins over any permit. Policies need the Owner role. Turn on shadow mode first and watch the decision log for a few days before you enforce it.
Traducido del English por IA ·
Esa es la sesión más antigua que se cierra cada vez que un Pi inicia sesión. Asigne a cada pantalla su propia cuenta si las licencias de su plan lo permiten. Así las sesiones dejarán de interferirse entre sí, y el registro de auditoría mostrará qué pantalla hizo cada acción en lugar de 12 actores idénticos. Si las pantallas solo muestran un panel, mire mejor los enlaces de visualización: un enlace de visualización muestra un panel compartido en una pantalla donde nadie inicia sesión.
That’s the oldest session being ended each time a Pi signs in. Give each screen its own account if your plan’s seats allow it. Then the sessions stop fighting, and the audit log shows which screen did what instead of 12 identical actors. If the screens only show a board, look at display links instead: a display link shows a shared board on a screen where nobody signs in.
Traducido del English por IA ·
Inmediatamente. El dispositivo que usa esa sesión se desconecta al momento y, si es el que estás usando, tú también quedarás desconectado.
Immediately. The device using that session is signed out at once, and if it’s the one you’re on, you’re signed out too.
Traducido del English por IA ·
Desde Members, abre la persona y usa Sign out: queda desconectada de la organización en todos los dispositivos a la vez. Puede volver a iniciar sesión, así que si quieres impedirle el acceso, suspéndela en su lugar. Cada inicio y cierre de sesión aparece en el registro de auditoría, así que filtrando por auth.login y auth.logout ves quién usó la organización y desde dónde.Para los PC compartidos: diles a las personas que no marquen remember me allí y que cierren la sesión al irse.
From Members, open the person and use Sign out: they are signed out of the organisation on every device at once. They can sign in again, so if you want to keep them out, suspend them instead. Every sign-in and sign-out is in the audit log, so filtering on auth.login and auth.logout tells you who used the organisation and from where.
For the shared PCs: tell people not to tick remember me there, and to sign out when they leave.
Traducido del English por IA ·
El requisito se comprueba en cada solicitud, no solo en el formulario de contraseña: desde el momento en que se activa, cada solicitud debe proceder de una sesión que haya completado un segundo factor. Una sesión sin él recibe el mensaje «Esta organización requiere verificación en dos pasos. Inicie sesión de nuevo y complétela.»En una organización como la suya, el camino más corto es una passkey. Un inicio de sesión con passkey cuenta por sí solo como segundo factor completado.
The requirement is checked on every request, not only on the password form: from the moment it’s on, every request has to come from a session that completed a second factor. A session without one gets «This organization requires two-step verification. Sign in again and complete it.»
In an organisation like yours the shortest path is a passkey. A passkey sign-in counts as a completed second factor on its own.
Traducido del English por IA ·
Dos cosas distintas.Un dispositivo de confianza omite el segundo factor durante un tiempo, 30 días como máximo, y aun así pide la contraseña. Estos aparecen en Mi perfil > Seguridad, con Revocar y Revocar todo.Recordarme cambia cuánto dura la propia sesión: cada sesión tiene una duración absoluta, y marcar recordarme la hace más larga. Cerrar sesiones funciona como antes, desde Sesiones activas en tu perfil, o cuando un administrador cierra la sesión de un miembro de la organización.
Two different things.
A trusted device skips the second factor for a while, 30 days at most, and still asks for the password. You see those under My Profile > Security, with Revoke and Revoke all.
Remember me changes how long the session itself lives: every session has an absolute lifetime, and ticking remember me makes it longer. Ending sessions works as before, from Active Sessions on your profile, or an admin signing a member out of the organisation.
Every row holds the time, the actor (a member, an API key, the system or a service), the action, its severity, the resource, and the address and browser. Secrets, passwords, tokens and attribute values are never written. The log is hash-chained and you set its retention to what your compliance rules need. Export CSV downloads the rows for the date range of the filter. What is audited lists the actions by area, and Audit log covers reading, exporting and verifying it.
Welcome Daniel. The checklist for a new organisation on the Security page is a good place to begin: a passkey plus a backup passkey for every owner and admin, Require two-step verification for every member once everyone has a second factor, at least two owners or admins, and field staff on the User role. Device profiles on TLS only (port 8883) and allowed networks for fixed sites are on the same list.
Traducido del English por IA ·
Por región. Los dispositivos se conectan al host de dispositivos de la organización de su región. Use el host de la tarjeta «Detalles de conexión» del dispositivo en lugar de escribirlo de memoria.
Per region. Devices connect to the device host of the organisation’s region. Use the host on the device’s Connection details card rather than typing one from memory.
Traducido del English por IA ·
Una organización tiene una región principal, por lo que todos sus datos se encuentran en un solo lugar. Si los datos del almacén deben permanecer en EE. UU. y los de la planta en la UE, son dos organizaciones. Cada organización tiene sus propios miembros y roles, que es a menudo lo que se quiere de todos modos. Además, cada región es un despliegue independiente, así que pregunte al soporte cómo funciona el inicio de sesión entre las dos antes de planificar con un único acceso.
An organisation has one home region, so all of its data sits in one place. If the warehouse data has to stay in the US and the plant data in the EU, that’s two organisations. Each organisation has its own members and roles, which is often what you want anyway. Each region is also a separate deployment, so ask support how sign-in works across the two before you plan around one login.
Per organisation. Each organisation has one home region and your members sign in to it from wherever they are. Its devices connect to the device host of that region too. Changing the home region later is something only Hermetry can do, through the contact page, so pick it before you connect a fleet. More on Regions and data residency.
Traducido del English por IA ·
Ambos se encuentran en la página Residency de la configuración de la organización (/admin/settings/residency, propietarios y administradores).Copias de seguridad: muestra la clase de lugar donde se guardan las copias de seguridad. Mientras no se informe para su nodo, muestra « no certificado » en lugar de hacer suposiciones.Acceso del operador: existe un procedimiento de emergencia (« break-glass »). Una concesión tiene duración limitada y requiere dos firmas; cada acción realizada bajo ella queda marcada en el registro de auditoría de la organización afectada, y las concesiones de los últimos 365 días aparecen en esa misma página. La página también enumera los subprocesadores de la región y sus datos regionales (clase de residencia, área jurídica, jurisdicción, marcos legales). Los datos regionales están firmados por nuestro plano de control, por lo que la página no puede mostrar datos que no se emitieron para su nodo.
Both are on the Residency page of the organisation settings (/admin/settings/residency, owners and admins).
Backups: it shows the class of place where backups are kept. Until that is reported for your node it says not attested, rather than guessing.
Operator access: there is an emergency («break-glass») procedure. A grant is time-limited and needs two signatures, every action taken under it is marked in the audit log of the organisation it touches, and the grants of the last 365 days are listed on that same page. The page also lists the region’s sub-processors and its region facts (residency class, legal area, jurisdiction, legal frameworks). The region facts are signed by our control plane, so the page can’t show facts that weren’t issued for your node.