Les droits d’un membre proviennent de trois sources : son rôle intégré, les groupes auxquels il appartient et les éventuelles politiques d’accès. Cette page explique les permissions, la matrice Access Rights et les groupes. Les politiques d’accès sont décrites dans Access policies.
Permissions et rôles minimum
Chaque action dans Hermetry est protégée par une permission, par exemple iot_device.devices.read (voir devices) ou iot_rpc.send.privileged (envoyer des commandes privilégiées). Chaque permission a un rôle minimum (Owner, Admin ou User). Un membre peut utiliser une permission lorsque :
- son rôle intégré est au moins égal au rôle minimum et la matrice de l’organisation l’accorde à ce rôle, ou
- l’un de ses groupes actifs l’accorde et le rôle minimum est Admin ou User.
Un groupe peut élever un membre au-dessus d’un minimum Admin, mais jamais au-dessus d’un minimum Owner. Les permissions réservées au propriétaire (transfert de propriété, suppression de l’organisation, commandes brutes, clés de signature du firmware, rotation des clés API) restent réservées aux propriétaires, quels que soient les groupes.
Les permissions dépendent des modules. Un module que votre offre n’inclut pas n’ajoute aucune permission aux listes ci-dessous.
Contrôle d’accès
Ouvrez Settings > Access Control (adresse /admin/settings/access-control) : « Roles, groups and the permission matrix for this organization. » Cette page comporte trois onglets.
Access Rights
La matrice « Which permissions each role/group is granted ». Les lignes sont les permissions de vos modules activés, regroupées par module ; les colonnes sont les rôles intégrés et vos groupes. Utilisez Filter permissions by name, key, group or module… pour trouver une ligne.
- Cochez ou décochez les cellules.
- Sélectionnez Save (n), où n est le nombre de modifications.
« Locked cells (the Owner column and owner-only permissions) can only be changed by the owner. » Lorsqu’une politique d’accès s’applique, son refus l’emporte toujours sur la matrice.
Une permission ajoutée par une mise à jour de module, pour laquelle votre organisation n’a pas encore de règle, s’affiche Allowed by default : la valeur par défaut de la plateforme s’applique, et les membres peuvent donc l’utiliser si leur rôle atteint son rôle minimum.
Groupes
« Built-in roles are fixed; create custom groups to grant tailored permission sets. Groups appear as columns in Access Rights. »
Pour créer un groupe :
- Sélectionnez New group.
- Saisissez une Key (minuscules, avec points, par exemple
plant.north.operators; « Cannot be changed later ») et un Label. - Sélectionnez Create, puis ouvrez le groupe pour choisir ses Permissions (Search permissions…, Select all ou Clear par module) et ajoutez une Description.
- Laissez Active activé. « An inactive group keeps its members but grants nothing — the way to switch a permission set off without unassigning anybody. »
From template… ajoute un groupe prêt à l’emploi (ci-dessous). La suppression d’un groupe le retire de chaque membre.
Utilisateurs
« Assign each member’s role/group. » Pour chaque membre, modifiez le Role ou sélectionnez Edit sous Groups pour attribuer des groupes. « Groups only add permissions on top of the built-in role — they never take one away. »
Vous pouvez aussi attribuer des groupes depuis la page d’un membre avec Manage groups, puis vérifier le résultat dans l’onglet Permissions du membre (Effective access). Voir Users and roles.
Les modèles de groupes IoT
| Modèle | Accorde |
|---|---|
| IoT operator | « Watches and edits devices and writes their attributes. No device credentials, no creating or deleting devices. » |
| IoT viewer | « Sees every IoT page and list (devices, profiles, alarms, places, cameras, firmware, rules, certificates, LoRaWAN, endpoints, device settings) and is given no right to change anything. No credentials, keys, eSIM, panel sessions or settings pages. » |
Les modèles proposent uniquement les permissions des modules utilisés par votre organisation. Une fois ajouté, un groupe issu d’un modèle est un groupe ordinaire : vous pouvez le modifier, l’attribuer ou le supprimer.
Configurations types :
| Personne | Rôle | Groupes |
|---|---|---|
| Technicien de terrain | User | IoT operator |
| Auditeur, client consultant | User | IoT viewer |
| Intégrateur qui construit des flows et des profils | Admin | aucun |
| Responsable d’usine qui approuve le firmware | Admin | aucun |
Permissions IoT courantes
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_device.devices.read | Consulter les appareils | User |
iot_device.devices.create / .update / .delete | Créer, modifier, supprimer des appareils | Admin |
iot_device.credentials.manage | Émettre, renouveler et révoquer les identifiants des appareils | Admin |
iot_device.attributes.write | Écrire les attributs des appareils | Admin |
iot_device_profile.profiles.read / .write | Consulter / modifier les profils d’appareils | User / Admin |
iot_alarm.read, iot_alarm.acknowledge | Consulter et acquitter les alarmes | User |
iot_alarm.resolve, iot_alarm.mute, iot_alarm.rules.manage | Résoudre les alarmes, mettre les appareils en sourdine, gérer les règles d’alarme | Admin |
iot_rpc.send.basic | Envoyer des commandes de base | User |
iot_rpc.send.privileged, iot_rpc.send.critical, iot_rpc.commands.manage | Envoyer des commandes privilégiées et critiques, gérer le catalogue de commandes | Admin |
iot_rpc.send.raw | Envoyer des commandes brutes | Owner |
iot_ota.packages.manage, iot_ota.assign | Gérer le firmware et les affectations | Admin |
iot_ota.keys.manage | Gérer les clés de signature du firmware | Owner |
iot_rules.read, iot_rules.run, iot_rules.mode | Consulter les cartes de règles, les exécuter, basculer le mode manuel/automatique | User |
iot_rules.manage | Créer et modifier les cartes de règles | Admin |
iot_provisioning.claim, iot_provisioning.quarantine.activate | Revendiquer des appareils licenciés, activer des appareils en quarantaine | Admin |
iot_pki.certificates.read, iot_pki.certificates.revoke | Consulter et révoquer les certificats des appareils | Admin |
automation.read, automation.manage | Consulter et modifier les flows | Admin |
dashboard.boards.read, dashboard.boards.write | Consulter et modifier ses propres tableaux de bord | User |
dashboard.boards.manage | Gérer les tableaux de bord partagés | Admin |
La liste complète se trouve dans la Permissions reference.
Bonnes pratiques
- Privilégiez les groupes plutôt que l’élévation d’un rôle. Un User avec le groupe IoT operator ne peut pas voir les identifiants ni modifier les paramètres ; un Admin le peut.
- Choisissez des clés de groupe explicites : elles apparaissent dans le journal d’audit et dans les politiques d’accès (
subject.roles contains 'plant.north.operators'). - Vérifiez la matrice Access Rights après l’ajout d’un module : ses nouvelles permissions commencent en Allowed by default.