Traducido del English por IA ·
Era de esperar, y gracias por probarlo antes que el auditor. Los grupos solo añaden permisos sobre el rol. El grupo en sí no concede ningún permiso de escritura, pero el rol User tiene por defecto algunos derechos que sí actúan. Los que te encontraste: reconocer alarmas, ejecutar reglas y cambiar su modo, y enviar comandos básicos (de solo lectura).Dos formas de cerrarlo:
- Si ningún User de tu organización debe hacer esas cosas, desmarca
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeeiot_rpc.send.basicpara User en Derechos de acceso. - Si solo afecta a los visores, crea una política de acceso Deny con esas acciones y la condición
subject.roles containsseguida de la clave del grupo de visores. Deny siempre prevalece. Ejecútala primero en modo shadow y compruébala en el probador de accesos con el rol de un propietario para no bloquearte a ti mismo.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.