Chaque action dans Hermetry est protégée par une permission. Cette page répertorie les permissions des modules IoT et les permissions de la plateforme que les administrateurs IoT rencontrent le plus souvent, chacune avec son rôle minimum et ce qu’elle autorise. La manière dont les rôles, les groupes et la matrice Access Rights se combinent est expliquée dans Groups and permissions ; les politiques d’accès qui restreignent davantage l’accès se trouvent dans Access policies.
Comment lire les tableaux
| Colonne | Signification |
|---|---|
| Permission | L’identifiant, tel qu’affiché dans Access Rights (recherche par identifiant) et dans Module permissions des clés API |
| Ce qu’elle autorise | Le nom de la permission tel qu’affiché dans la console, légèrement raccourci |
| Rôle minimum | Le rôle intégré le plus bas pouvant la détenir. User signifie tous les membres par défaut, Admin signifie les administrateurs et les propriétaires, Owner signifie les propriétaires uniquement. |
Règles applicables à chaque ligne :
- Un membre dispose d’une permission lorsque son rôle est au moins égal au rôle minimum et que la matrice de l’organisation l’accorde à ce rôle, ou lorsqu’un de ses groupes actifs l’accorde et que le rôle minimum est User ou Admin.
- Un groupe peut élever un membre au-dessus d’un minimum Admin, jamais au-dessus d’un minimum Owner.
- Une permission d’un module que votre offre n’inclut pas n’existe pas pour votre organisation.
- Une clé API ne détient que les permissions que vous lui accordez, et jamais plus que son titulaire ; les permissions réservées aux propriétaires ne sont jamais détenues par les clés API.
- Certaines permissions concernent des fonctionnalités en cours de développement ; elles sont signalées. Leur attribution n’a aucun effet tant que la fonctionnalité n’est pas publiée. Voir In development.
Permissions IoT
Devices
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_device.devices.read | Consulter les appareils | User |
iot_device.devices.create | Créer des appareils | Admin |
iot_device.devices.update | Modifier et désactiver les appareils | Admin |
iot_device.devices.delete | Supprimer des appareils | Admin |
iot_device.credentials.manage | Gérer les identifiants des appareils | Admin |
iot_device.attributes.read | Consulter les attributs des appareils | User |
iot_device.attributes.write | Écrire les attributs serveur et partagés des appareils | Admin |
iot_device.bindings.read | Consulter les liaisons de mesures | User |
iot_device.bindings.manage | Gérer les liaisons de mesures (avec la permission de gestion propre à l’enregistrement cible) | Admin |
Device profiles
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_device_profile.profiles.read | Consulter les profils d’appareils | User |
iot_device_profile.profiles.write | Créer, modifier et supprimer les profils d’appareils | Admin |
iot_device_profile.provisioning.manage | Gérer les paramètres de provisioning et les clés des profils d’appareils | Admin |
iot_device_profile.templates.manage | Gérer les modèles de profils de la plateforme. Réservé aux opérateurs de la plateforme. | Admin |
Commands
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_rpc.read | Consulter l’historique des commandes et les catalogues de commandes | User |
iot_rpc.send.basic | Envoyer des commandes de base (en lecture seule) aux appareils | User |
iot_rpc.send.privileged | Envoyer des commandes de configuration aux appareils | Admin |
iot_rpc.send.critical | Envoyer aux appareils des commandes à fort impact (redémarrage) | Admin |
iot_rpc.send.raw | Envoyer des commandes brutes (méthodes hors catalogue) | Owner |
iot_rpc.commands.manage | Gérer les catalogues de commandes des profils d’appareils | Admin |
Alarms
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_alarm.read | Consulter les alarmes et les règles d’alarme | User |
iot_alarm.rules.manage | Modifier les règles d’alarme des profils d’appareils | Admin |
iot_alarm.mute | Mettre en sourdine les alarmes d’un appareil | Admin |
iot_alarm.acknowledge | Acquitter les alarmes et ajouter des notes | User |
iot_alarm.resolve | Résoudre (effacer) les alarmes manuellement | Admin |
Rules card
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_rules.read | Consulter les règles des sites et des appareils ainsi que leurs exécutions | User |
iot_rules.run | Exécuter une règle immédiatement | User |
iot_rules.mode | Basculer un site entre Manual et Auto | User |
iot_rules.manage | Ajouter, modifier, activer ou désactiver et supprimer des règles | Admin |
Sites and assets
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_asset.assets.read | Consulter les sites et actifs IoT | User |
iot_asset.assets.manage | Créer, modifier, déplacer et supprimer les sites et actifs IoT | Admin |
iot_asset.relations.manage | Gérer les relations et le placement des appareils | Admin |
Telemetry
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
telemetry.read | Lire les mesures de télémétrie (des appareils que vous pouvez voir) | User |
telemetry.admin.read | Consulter les paramètres du stockage de télémétrie (types, rétention, clés) | Admin |
telemetry.admin.manage | Gérer le stockage de télémétrie | Admin |
IoT telemetry settings
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_telemetry.settings.read | Consulter les paramètres de télémétrie IoT | Admin |
iot_telemetry.settings.update | Modifier les paramètres de télémétrie IoT | Admin |
Firmware updates
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_ota.read | Consulter les paquets firmware, les affectations et les états de mise à jour des appareils | User |
iot_ota.packages.manage | Téléverser, déprécier, révoquer et supprimer les paquets firmware | Admin |
iot_ota.assign | Affecter un firmware, modifier les paramètres OTA et relancer les mises à jour | Admin |
iot_ota.keys.manage | Enregistrer et révoquer les clés publiques de signature des firmwares | Owner |
Remote device settings
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_device_settings.manifests.read | Consulter le catalogue des manifestes de paramètres d’appareils | Admin |
iot_device_settings.manifests.manage | Téléverser des manifestes de paramètres d’appareils dans le catalogue | Admin |
iot_device_settings.read | Consulter les paramètres d’un appareil | Admin |
iot_device_settings.operate | Modifier les paramètres de fonctionnement d’un appareil (la classe la plus basse ; à accorder avec la lecture) | Admin |
iot_device_settings.write | Modifier les paramètres de configuration d’un appareil (réseau, Wi-Fi, pare-feu ; inclut les paramètres de fonctionnement ; à accorder avec operate) | Admin |
iot_device_settings.baselines.manage | Créer, modifier et supprimer les référentiels de paramètres d’appareils (valeurs partielles nommées de sections, pour plusieurs appareils) | Admin |
iot_device_settings.jobs.manage | Démarrer, mettre en pause, reprendre et annuler les tâches de paramètres qui appliquent un référentiel ou une modification à plusieurs appareils par vagues (ce qu’une tâche peut modifier est ce que vous pouvez modifier) | Admin |
iot_device_settings.dangerous.write | Modifier les paramètres dangereux d’un appareil (ceux qui peuvent couper la liaison avec l’appareil ; à accorder avec write) | Owner |
Provisioning and claiming
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_provisioning.claim | Revendiquer des appareils | Admin |
iot_provisioning.release | Libérer des appareils | Admin |
iot_provisioning.release.force | Libérer de force des appareils. Réservé aux opérateurs de la plateforme. | Admin |
iot_provisioning.quarantine.activate | Activer les appareils en quarantaine | Admin |
iot_provisioning.pool.read | Consulter le pool d’usine des appareils sous licence. Réservé aux opérateurs de la plateforme. | Admin |
iot_provisioning.pool.manage | Gérer le pool d’usine. Réservé aux opérateurs de la plateforme. | Admin |
Device certificates
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_pki.certificates.read | Consulter les certificats des appareils | Admin |
iot_pki.certificates.revoke | Révoquer les certificats des appareils | Admin |
iot_pki.recovery.approve | Approuver la récupération de certificats | Admin |
iot_pki.ca.manage | Consulter et gérer les autorités de certification de la plateforme. Réservé aux opérateurs de la plateforme. | Admin |
iot_pki.settings.update | Modifier les paramètres des certificats des appareils | Admin |
Protocol endpoints
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_gateway.endpoints.read | Consulter les points de terminaison de protocole et la connexion des appareils interrogés | User |
iot_gateway.endpoints.manage | Créer, modifier, tester et supprimer les points de terminaison de protocole ; découvrir et connecter les appareils interrogés | Admin |
Camera protocol actions
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_gateway_isapi.actions.manage | Modifier l’intervalle d’images clés d’une caméra prise en charge (Set to 2 seconds) et le rétablir | Admin |
Cameras
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_camera.cameras.read | Consulter les caméras, leurs flux et les paramètres de vue en direct | User |
iot_camera.cameras.manage | Utiliser un appareil comme caméra, activer et désactiver la vue en direct, relire ses flux, supprimer la caméra | Administrateur |
iot_camera.view_live | Regarder l’image en direct d’une caméra | Utilisateur |
iot_camera.snapshots.read | Consulter les instantanés des caméras et les statistiques de stockage des caméras (en développement) | Utilisateur |
iot_camera.snapshots.manage | Prendre un instantané d’une caméra immédiatement et supprimer des instantanés (en développement) | Administrateur |
iot_camera.disk.read | Voir ce qu’une caméra conserve sur sa propre carte mémoire (en développement) | Administrateur |
iot_camera.disk.download | Télécharger les enregistrements et les images de la carte mémoire propre à une caméra (en développement) | Administrateur |
iot_camera.recordings.read | Consulter la chronologie des enregistrements, lire les enregistrements et lister les extraits d’événements (en développement) | Utilisateur |
iot_camera.recordings.manage | Activer et désactiver l’enregistrement, modifier les paramètres d’enregistrement, enregistrer, supprimer et exporter des extraits (en développement) | Administrateur |
LoRaWAN
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_lorawan.gateways.read | Voir les passerelles LoRaWAN | Utilisateur |
iot_lorawan.gateways.manage | Ajouter, modifier, désactiver et supprimer des passerelles LoRaWAN et renouveler leurs jetons | Administrateur |
iot_lorawan.devices.read | Voir les appareils LoRaWAN | Utilisateur |
iot_lorawan.devices.manage | Ajouter, modifier et supprimer des appareils LoRaWAN et définir leur AppKey | Administrateur |
iot_lorawan.keys.read | Afficher l’AppKey d’un appareil LoRaWAN | Administrateur |
iot_lorawan.frames.read | Voir les trames LoRaWAN en direct | Utilisateur |
Codecs LoRaWAN
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_lorawan_codecs.read | Voir les codecs LoRaWAN et utiliser le banc d’essai des codecs | Utilisateur |
iot_lorawan_codecs.manage | Ajouter, modifier et supprimer vos propres codecs LoRaWAN | Administrateur |
iot_lorawan_codecs.library.manage | Retirer et restaurer les codecs de la bibliothèque de la plateforme | Administrateur |
Panneaux de routeurs (accès à distance)
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_remote_access.panel.open | Ouvrir, accéder et fermer le panneau web d’un routeur revendiqué | Administrateur |
iot_remote_access.sessions.read | Voir les sessions de panneau de l’organisation | Administrateur |
eSIM
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
iot_esim.read | Voir la puce eSIM, les profils et les opérations d’un routeur (en développement) | Administrateur |
iot_esim.manage | Télécharger, changer, désactiver, renommer et supprimer les profils eSIM d’un routeur (en développement) | Propriétaire |
Tableaux de bord
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
dashboard.home.view | Ouvrir la page d’accueil | Utilisateur |
dashboard.boards.read | Voir les tableaux de bord | Utilisateur |
dashboard.boards.write | Créer et organiser vos propres tableaux de bord | Utilisateur |
dashboard.boards.manage | Gérer les tableaux de bord partagés | Administrateur |
dashboard.widgets.author_private | Créer et modifier vos propres widgets privés | Utilisateur |
dashboard.widgets.author | Créer et modifier des widgets | Administrateur |
dashboard.widgets.publish | Publier des versions de widgets | Administrateur |
dashboard.query.execute | Exécuter les requêtes de données des widgets | Utilisateur |
dashboard.commands.execute | Exécuter les commandes des widgets | Utilisateur |
dashboard.display.view | Ouvrir un tableau de bord via un lien d’affichage | Toute personne disposant d’un lien d’affichage |
dashboard.settings.read | Voir les paramètres des tableaux de bord | Administrateur |
dashboard.settings.update | Modifier les paramètres des tableaux de bord | Administrateur |
Schémas de procédé (SCADA)
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
dashboard_scada.commands.author | Créer les commandes des symboles des schémas de procédé | Administrateur |
dashboard_scada.diagrams.read | Voir les schémas de procédé | Utilisateur |
dashboard_scada.diagrams.write | Créer, modifier et supprimer des schémas de procédé | Administrateur |
Maquettes 3D
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
dashboard_viewer.designs.read | Voir les maquettes 3D | Utilisateur |
dashboard_viewer.designs.write | Créer, modifier et supprimer des maquettes 3D | Administrateur |
Automatisation (flux)
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
automation.read | Voir les flux et le catalogue de blocs | Administrateur |
automation.manage | Créer, modifier et déployer des flux | Administrateur |
automation.manage_privileged | Déployer des flux contenant des blocs de niveau contrôle (commandes, paramètres) | Administrateur |
automation.debug | Injecter des messages, voir le contenu des messages et les messages en échec | Administrateur |
automation.hooks.call | Appeler les webhooks des flux déployés depuis une session connectée (widgets de tableau de bord, pages d’application) | Utilisateur |
Permissions de la plateforme souvent utilisées avec l’IoT
| Permission | Ce qu’elle autorise | Rôle minimum |
|---|---|---|
members.view | Voir les membres | Utilisateur |
members.invite, tenant_invitation.invitations.invite | Inviter des membres, envoyer des invitations | Administrateur |
members.edit_role, members.suspend, members.remove | Modifier le rôle ou le statut d’un membre, suspendre, retirer | Administrateur |
members.manage_owner | Modifier ou retirer des propriétaires | Propriétaire |
members.transfer_ownership | Transférer la propriété | Propriétaire |
api_key.keys.read, .create, .update, .delete | Voir, créer, modifier et révoquer des clés API | Administrateur |
api_key.keys.rotate, api_key.keys.revoke_all | Renouveler des clés API, révoquer toutes les clés API | Propriétaire |
webhook.endpoints.read, .create, .update, .delete, .test, .trigger | Gérer les points de terminaison webhook, envoyer des événements de test et manuels | Administrateur |
webhook.endpoints.rotate_secret | Renouveler une clé de signature de webhook | Propriétaire |
webhook.deliveries.read, .redeliver, .replay | Voir les envois, renvoyer, rejouer les envois en échec | Administrateur |
audit_log.logs.read, .export, .verify | Consulter, exporter et vérifier le journal d’audit | Administrateur |
audit_log.logs.anonymize, audit_log.logs.purge | Anonymiser un acteur (effacement), purger les lignes expirées | Propriétaire |
tenant_usage.metrics.read | Consulter les métriques d’utilisation et les quotas | Administrateur |
tenant_usage.settings.update | Modifier les paramètres d’alerte d’utilisation | Administrateur |
tenant_setting.config.read, .update | Consulter et modifier les paramètres de l’organisation | Administrateur |
tenant_session.settings.read, .update | Consulter et modifier la politique de connexion | Administrateur |
auth_abac.policies.read, .write, auth_abac.simulate, auth_abac.decisions.read | Politiques d’accès, le simulateur et le journal des décisions | Propriétaire |
auth_saml.config.read, .update, .delete | Configurer l’authentification unique SAML | Propriétaire |
auth_sso.settings.read, .update | Consulter et modifier les paramètres de l’authentification unique | Administrateur |
tenant_domain.domains.create, tenant_domain.domains.delete | Ajouter et retirer des domaines personnalisés | Propriétaire |
tenant_domain.domains.read, .verify | Voir les domaines, vérifier la propriété | Administrateur |
tenant_export.data.export | Exporter toutes les données de l’organisation | Propriétaire |
tenant_branding.branding.update | Modifier l’identité visuelle | Administrateur |
notification_mail.settings.update, notification_sms.settings.update, notification_push.settings.update, notification_inapp.settings.update | Modifier les paramètres des notifications e-mail, SMS, push et intégrées à l’application | Administrateur |
notification_external.link.manage | Lier ou délier vos propres comptes de messagerie instantanée | Utilisateur |
notification_external.provider.manage | Connecter ou déconnecter les plateformes de messagerie instantanée de l’organisation | Administrateur |
ai_firewall.incidents.read, .manage, ai_firewall.settings.manage | Consulter et gérer les incidents et les paramètres du pare-feu IA | Administrateur |
mcp_server.connect | Connecter des assistants IA (clients MCP) | Utilisateur |
mcp_server.settings.manage | Gérer les paramètres MCP | Administrateur |
Actions réservées aux propriétaires
Ces actions restent réservées aux propriétaires, quels que soient les groupes :
| Action | Permission |
|---|---|
| Transférer la propriété ; modifier ou retirer des propriétaires | members.transfer_ownership, members.manage_owner |
| Configurer l’authentification unique SAML | auth_saml.config.* |
| Politiques d’accès | auth_abac.* |
| Ajouter et retirer des domaines personnalisés | tenant_domain.domains.create, tenant_domain.domains.delete |
| Exporter toutes les données | tenant_export.data.export |
| Renouveler et révoquer toutes les clés API | api_key.keys.rotate, api_key.keys.revoke_all |
| Renouveler un secret de signature de webhook | webhook.endpoints.rotate_secret |
| Envoyer des commandes brutes | iot_rpc.send.raw |
| Enregistrer et révoquer les clés de signature du firmware | iot_ota.keys.manage |
| Modifier les paramètres sensibles d’un appareil | iot_device_settings.dangerous.write |
Les modèles de groupes IoT
Paramètres > Contrôle d’accès > Groupes > À partir d’un modèle… ajoute ces groupes. Chacun ne répertorie que les autorisations des modules dont dispose votre organisation.
| Modèle | Autorisations |
|---|---|
| Opérateur IoT | iot_device.devices.read, iot_device.devices.update, iot_device.attributes.write |
| Observateur IoT | iot_device.devices.read, iot_device.attributes.read, iot_device.bindings.read, iot_device_profile.profiles.read, iot_alarm.read, iot_asset.assets.read, iot_rules.read, iot_rpc.read, iot_ota.read, iot_pki.certificates.read, iot_device_settings.read, iot_gateway.endpoints.read, iot_lorawan.gateways.read, iot_lorawan.devices.read, iot_lorawan.frames.read, iot_lorawan_codecs.read, iot_camera.cameras.read, iot_camera.view_live, iot_camera.snapshots.read, iot_camera.recordings.read |
Les membres sont Utilisateur par défaut ; un groupe Observateur IoT ajoute donc surtout les autorisations de lecture dont le rôle minimum est Administrateur (paramètres des appareils, certificats). Un opérateur IoT peut modifier les appareils et écrire leurs attributs, mais ne peut pas gérer les identifiants ni créer et supprimer des appareils.
Aucun de ces modèles ne permet à un membre d’envoyer des commandes au-delà de ce que son rôle autorise : les commandes Basiques nécessitent iot_rpc.send.basic, que tout Utilisateur possède par défaut. Pour empêcher les observateurs d’actionner les commandes de la carte, retirez cette autorisation du rôle Utilisateur dans Droits d’accès, ou attribuez aux observateurs un rôle et des groupes qui ne l’incluent pas.