Un identifiant est ce avec quoi un appareil se connecte. Chaque appareil dispose d’au plus un identifiant actif. Les secrets ne sont affichés qu’une seule fois, au moment de leur émission, et Hermetry ne stocke qu’un hachage. Cette page explique les trois types d’identifiants et comment les émettre, les renouveler, les remplacer et les révoquer.
La gestion des identifiants nécessite la permission Gérer les identifiants des appareils (administrateurs par défaut). Les capteurs LoRaWAN, les enfants de passerelle et les appareils interrogés n’ont pas d’identifiant propre.
Les trois types
| Type | Affiché comme | Comment l’appareil se connecte | Secret |
|---|---|---|---|
| Jeton d’accès | Jeton d’accès | Nom d’utilisateur MQTT = le jeton, mot de passe vide, identifiant client quelconque. HTTP : Authorization: Bearer <token>. | 32 caractères aléatoires, générés par Hermetry. |
| MQTT basique | MQTT basique (nom d’utilisateur et mot de passe) | Un nom d’utilisateur et un mot de passe, avec éventuellement un identifiant client fixé. Un identifiant client seul ne permet jamais de se connecter. | Un mot de passe généré de 32 caractères, ou celui de votre choix. |
| Certificat X.509 | Certificat X.509 | Un certificat client (TLS mutuel) ; identifiant client = numéro de série = CN du certificat. | Aucun stocké : « La clé privée reste sur l’appareil ; seule l’empreinte du certificat est stockée. » |
Le profil de l’appareil doit autoriser le type (Authentification autorisée dans l’onglet Transport & auth du profil). Une connexion avec un type que le profil n’autorise pas est refusée avec CONNACK 5.
Règles MQTT basique
| Élément | Règle |
|---|---|
| Nom d’utilisateur | 1 à 128 caractères imprimables, sans espaces. Unique sur l’ensemble de la plateforme. provision est réservé. |
| Identifiant client (facultatif) | 1 à 64 caractères parmi A–Z a–z 0–9 . _ : -. Lorsqu’il est fixé, l’appareil doit l’utiliser. |
| Mot de passe généré | 32 caractères. Omettez le mot de passe pour en obtenir un. |
| Mot de passe choisi | Au moins 16 caractères (votre organisation peut exiger davantage, jusqu’à 128 : Longueur minimale d’un mot de passe MQTT choisi dans Appareils > ⋯ > Paramètres), au moins 8 caractères différents, pas un motif répété ou de clavier, pas un mot de passe courant (y compris complété par des chiffres ou des symboles), et ne contenant ni le nom d’utilisateur ni l’identifiant client. |
Un mot de passe refusé indique la raison (too_short, too_few_distinct, pattern, common, contains_identifier), jamais le mot de passe lui-même.
Règles X.509
Le certificat doit être émis par l’autorité de certification des appareils Hermetry, être actif, appartenir à votre organisation et porter le numéro de série de l’appareil comme CN. Les appareils licenciés le reçoivent lorsque vous les revendiquez. L’envoi de certificats de votre propre autorité de certification n’est pas disponible. Voir Certificats d’appareils.
Moment de l’émission d’un identifiant
| Situation | Ce que reçoit l’appareil |
|---|---|
| Nouvel appareil avec Émettre un jeton d’accès pour les nouveaux appareils activé (par défaut) | Un jeton d’accès, affiché une seule fois dans le panneau. |
| Nouvel appareil avec ce paramètre désactivé | Aucun identifiant. En définir un via l’API. |
| Import en masse | Un jeton d’accès ou un MQTT basique par ligne ; les mots de passe et jetons figurent dans un fichier d’identifiants téléchargeable une seule fois, dans un délai de 15 minutes. Voir Importer des appareils en masse. |
| Auto-provisionnement | L’identifiant renvoyé dans la réponse de provisionnement. |
| Revendication d’un appareil licencié | Son certificat X.509. |
L’onglet Identifiants
Ouvrez l’appareil puis son onglet Identifiants. Il est affiché aux administrateurs, pour les appareils qui se connectent d’eux-mêmes. Il liste le Type, l’Identifiant client, le Nom d’utilisateur, l’Empreinte (SHA-256), le Sujet et l’Expiration lorsqu’ils s’appliquent, ainsi que les dates de Création et de Dernière rotation. En dessous, la carte Détails de connexion indique comment l’appareil se connecte, avec un emplacement réservé là où va le secret. Si l’appareil n’a pas d’identifiant, l’onglet indique « L’appareil n’a aucun identifiant actif. »
Renouveler le secret
- Sélectionnez Renouveler le secret.
- Confirmez Renouveler le secret ? : « L’ancien secret cesse de fonctionner immédiatement et l’appareil se déconnecte jusqu’à sa mise à jour. »
- Le Nouveau secret apparaît une seule fois, avec Afficher, Masquer et Copier, et les lignes de connexion sont complétées avec lui. Copiez ce dont vous avez besoin, puis sélectionnez Je l’ai enregistré.
Le renouvellement émet un nouveau secret du même type : un nouveau jeton, ou un nouveau mot de passe pour le même nom d’utilisateur MQTT.
Remplacer, changer de type ou révoquer (API)
L’onglet propose le renouvellement. Remplacer l’identifiant par un autre type, et le révoquer, se font via l’API avec la même permission :
| Appel | Effet |
|---|---|
GET /tenant/{tenantId}/api/iot/devices/{deviceId}/credentials | L’identifiant actif : type et identifiants, jamais de secret. null s’il est révoqué. |
POST …/credentials/rotate | Un nouveau secret du même type, renvoyé une seule fois. |
PUT …/credentials | Remplace l’identifiant par celui du corps de la requête. Un jeton ou mot de passe généré est renvoyé une seule fois (secret). |
DELETE …/credentials | Révoque l’identifiant. L’appareil ne peut plus se connecter. |
Corps de requête pour PUT :
{"type": "ACCESS_TOKEN"}{"type": "MQTT_BASIC", "username": "pump-07", "clientId": "pump-07", "password": null}{"type": "X509_CERTIFICATE", "certificateId": "6f1c…"}Un password valant null (ou omis) donne un mot de passe généré. Les réponses portent Cache-Control: no-store.
Ce qui se passe à chaque modification
- Le renouvellement, le remplacement et la révocation mettent fin à l’ancien identifiant immédiatement. Il n’y a aucune période de grâce.
- Toutes les sessions ouvertes de l’appareil prennent fin immédiatement, sur chaque nœud du broker.
- La modification est inscrite dans le journal d’audit et dans l’onglet Journal de l’appareil (Identifiant renouvelé, Identifiant remplacé, Identifiant révoqué).
- L’événement webhook
device.credentials_rotatedest envoyé avecchange:rotated,replaced,renewedourevoked. Il ne transporte que des identifiants et des champs sûrs, jamais un identifiant d’accès.
Planifiez les renouvellements : mettez d’abord l’appareil à jour s’il peut recevoir un nouveau secret à distance (par exemple par un canal de configuration que vous contrôlez), ou préparez-vous à le mettre à jour manuellement.
Bonnes pratiques
- Un identifiant par appareil. Ne copiez jamais un jeton d’un appareil à un autre ; la seconde connexion prend le contrôle de la session du premier appareil.
- Privilégiez les secrets générés. Ne choisissez un mot de passe que si le micrologiciel doit en embarquer un fixe.
- Renouvelez les secrets collés dans des tickets, des discussions ou des scripts.
- Révoquez l’identifiant d’un appareil que vous mettez hors service, ou supprimez l’appareil.
- Gardez les jetons hors des URL. Utilisez Jeton dans l’URL uniquement pour les appareils incapables d’envoyer des en-têtes.
- Surveillez les notifications de « nouveau réseau » : un appareil qui se connecte depuis un réseau inattendu peut signaler un identifiant divulgué.