Traducido del English por IA ·
2.3.0 añade el rol IoT viewer: acceso de lectura a todas las pantallas de IoT, para personas que solo observan y nunca cambian nada. Auditores, un jefe de turno que solo necesita mirar, alguien ajeno al equipo que quiere revisar el progreso.Lo añade como un grupo: Ajustes > Control de acceso > Grupos > Desde plantilla… > IoT viewer, y luego asigne a la persona el rol User y ese grupo. Los miembros son User por defecto, y User ya lee dispositivos, alarmas y paneles, así que el grupo añade sobre todo los permisos de lectura cuyo rol mínimo es Admin, como la configuración de dispositivos y los certificados. No da credenciales, claves, eSIM, sesiones del panel del router ni páginas de ajustes.Antes de dárselo a alguien ajeno a su empresa: un viewer ve todos los dispositivos de la organización. Las políticas de acceso no se pueden definir para un solo dispositivo ni para un solo emplazamiento. Si dos grupos de personas nunca deben ver los dispositivos del otro, coloque esos dispositivos en organizaciones separadas, que se mantienen aisladas en la base de datos.También corregido en 2.3.0: cuando su sesión ha terminado, la página de inicio de sesión ahora lo indica en lugar de mostrar un formulario vacío.Documentación: Grupos y permisos, Referencia de permisos, Políticas de acceso.
2.3.0 adds an IoT viewer role: read access to every IoT screen, for people who watch and never change anything. Auditors, a shift lead who only needs to look, someone outside the team who checks in on progress.
You add it as a group: Settings > Access Control > Groups > From template… > IoT viewer, then give the person the User role and that group. Members are User by default and User already reads devices, alarms and dashboards, so the group mainly adds the read permissions whose minimum role is Admin, such as device settings and certificates. It gives no credentials, keys, eSIM, router panel sessions or settings pages.
Before you hand it to anyone outside your company: a viewer sees every device in the organisation. Access policies can’t be written for one device or one site. If two groups of people must never see each other’s devices, put those devices in separate organisations, which are kept apart in the database.
Also fixed in 2.3.0: when your session has ended, the sign-in page now says so instead of showing an empty form.
Docs: Groups and permissions, Permissions reference, Access policies.
Traducido del English por IA ·
Buen momento, dentro de dos semanas viene un auditor de nuestra aseguradora. La mitad de lo que piden es la cámara de la casa de calderas. ¿El visor tiene acceso a la vista en directo?
Good timing, we have an auditor from our insurer coming in two weeks. Half of what they want is the camera on the boiler house. Does the viewer get live view?
Traducido del English por IA ·
Sí. Ver en directo y visualizar cámaras ya son permisos de Usuario, y la plantilla incluye cámaras, vista en directo, instantáneas y grabaciones. Las plantillas solo ofrecen permisos de los módulos que tiene su organización, así que, con las cámaras activadas, los verá en el grupo.
Yes. Watching live and viewing cameras are User permissions already, and the template includes cameras, live view, snapshots and recordings. Templates only offer permissions of modules your organisation has, so with cameras on you’ll see them in the group.
Traducido del English por IA ·
Lo probé con la cuenta de prueba de un compañero, User + IoT viewer. Aun así podían reconocer una alarma y ejecutar una regla desde un panel. ¿Es lo esperado? Yo leí «never change anything» de forma un poco más literal.
Tried it with a colleague’s test account, User + IoT viewer. They could still acknowledge an alarm and run a rule from a board. Is that expected? I read «never change anything» a bit more literally.
Traducido del English por IA ·
Era de esperar, y gracias por probarlo antes que el auditor. Los grupos solo añaden permisos sobre el rol. El grupo en sí no concede ningún permiso de escritura, pero el rol User tiene por defecto algunos derechos que sí actúan. Los que te encontraste: reconocer alarmas, ejecutar reglas y cambiar su modo, y enviar comandos básicos (de solo lectura).Dos formas de cerrarlo:
- Si ningún User de tu organización debe hacer esas cosas, desmarca
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeeiot_rpc.send.basicpara User en Derechos de acceso. - Si solo afecta a los visores, crea una política de acceso Deny con esas acciones y la condición
subject.roles containsseguida de la clave del grupo de visores. Deny siempre prevalece. Ejecútala primero en modo shadow y compruébala en el probador de accesos con el rol de un propietario para no bloquearte a ti mismo.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.
Traducido del English por IA ·
Me decidí por la política, solo visualizadores. El modo shadow está activado por ahora, revisaré el registro de decisiones el viernes y luego desactivaré el modo shadow.
Went with the policy, viewers only. Shadow mode is on for now, I’ll look at the decision log on Friday and then turn shadow mode off.
Traducido del English por IA ·
Creamos en septiembre un grupo de solo lectura hecho a mano. ¿Hay alguna razón para cambiarlo por la plantilla?
We built a hand-made read-only group in September. Any reason to swap it for the template?
Traducido del English por IA ·
No hace falta. Un grupo de plantilla es un grupo normal una vez añadido. Si quiere comparar, añada la plantilla y revise las dos columnas una al lado de la otra en Derechos de acceso; después elimine el grupo que no vaya a conservar. Eliminar un grupo lo quita de todos sus miembros, así que mueva antes a las personas.
No need. A template group is an ordinary group once it’s added. If you want to compare, add the template and look at both columns side by side in Access Rights, then delete whichever you don’t keep. Deleting a group removes it from every member, so move people first.
- Debes estar registrado para responder a este debate.
Únete a la conversación
Inicia sesión para preguntar y responder, dar me gusta a las publicaciones útiles y marcar la respuesta que resolvió tu problema. Cada aportación suma puntos y niveles.