Kuray Karaaslan
@kuray-karaaslan · Membre depuis août 2026
- Sujets
- 11
- Réponses
- 28
- Points
- 0
Toutes mes réponses sur les forums
Traduit de English par IA ·
Dans la référence des permissions : chaque permission IoT avec son rôle minimum et ce qu’elle autorise, ainsi que les permissions de la plateforme que rencontrent le plus souvent les administrateurs IoT. Les identifiants qui y figurent sont les clés que vous voyez dans la matrice, vous pouvez donc en coller un dans le filtre.
In the Permissions reference: every IoT permission with its minimum role and what it allows, plus the platform ones IoT admins meet most. The ids there are the keys you see in the matrix, so you can paste one into the filter.
Traduit de English par IA ·
Un groupe fonctionne. dashboard_viewer.designs.write a Admin comme rôle minimum, et un groupe peut élever un membre au-dessus d’un minimum Admin. Seuls les minimums Owner sont hors de portée pour les groupes.
A group works. dashboard_viewer.designs.write has Admin as its minimum role, and a group can lift a member over an Admin minimum. Only Owner minimums are out of reach for groups.
Traduit de English par IA ·
Ce n’est pas nécessaire. Un groupe modèle est un groupe ordinaire une fois ajouté. Si vous voulez comparer, ajoutez le modèle et examinez les deux colonnes côte à côte dans Droits d’accès, puis supprimez celle que vous ne gardez pas. La suppression d’un groupe le retire de tous ses membres, donc déplacez d’abord les personnes.
No need. A template group is an ordinary group once it’s added. If you want to compare, add the template and look at both columns side by side in Access Rights, then delete whichever you don’t keep. Deleting a group removes it from every member, so move people first.
Traduit de English par IA ·
Attendu, et merci d’avoir testé avant l’auditeur. Les groupes ajoutent seulement des permissions au-dessus du rôle. Le groupe lui-même n’accorde aucun droit d’écriture, mais le rôle User possède par défaut certains droits qui agissent. Ceux que vous avez rencontrés : acquitter les alarmes, exécuter les règles et changer leur mode, et envoyer des commandes basiques (en lecture seule).Deux façons de corriger cela :
- Si aucun User de votre organisation ne doit faire ces actions, décochez
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeetiot_rpc.send.basicpour User dans les Droits d’accès. - Si cela ne concerne que les visualiseurs, rédigez une politique d’accès Deny avec ces actions et la condition
subject.roles containssuivie de la clé du groupe de visualiseurs. Deny l’emporte toujours. Exécutez-la d’abord en mode shadow et vérifiez-la dans le testeur d’accès avec le rôle d’un propriétaire pour ne pas vous bloquer vous-même.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.
Traduit de English par IA ·
Oui. La visualisation en direct et l’affichage des caméras font déjà partie des permissions Utilisateur, et le modèle comprend les caméras, la vue en direct, les instantanés et les enregistrements. Les modèles n’proposent que les permissions des modules dont votre organisation dispose ; donc, si les caméras sont activées, vous les verrez dans le groupe.
Yes. Watching live and viewing cameras are User permissions already, and the template includes cameras, live view, snapshots and recordings. Templates only offer permissions of modules your organisation has, so with cameras on you’ll see them in the group.
Traduit de English par IA ·
Non, il refuse tout certificat tant que son jeu de révocation (revocation set) n’est pas chargé. Il n’existe pas non plus de solution de repli par mot de passe : un certificat présenté décide toujours.
No, it refuses every certificate until its revocation set is loaded. There’s no password fallback either: a presented certificate always decides.
Traduit de English par IA ·
Chaque action du pare-feu commence en mode Observe, sauf si vous choisissez autrement, et les actions sur les appareils commencent en mode Suggest, de sorte qu’une proposition attend un administrateur. La révocation des identifiants d’un appareil, la fin de sa connexion et la révocation de son certificat ne sont disponibles qu’en mode Suggest : une personne approuve chaque exécution. La désactivation d’un appareil ne s’exécute automatiquement que si vous réglez vous-même cette action sur Auto.
Every firewall action starts in Observe unless you choose otherwise, and actions on devices start in Suggest, so a proposal waits for an administrator. Revoking a device’s credential, ending its connection and revoking its certificate are Suggest-only: a person approves every run. Disabling a device runs on its own only if you set that action to Auto yourself.
Traduit de English par IA ·
D’eux-mêmes, au plus tard 30 jours avant expiration. Vous pouvez aussi demander un renouvellement anticipé avec « Renouveler le certificat » (la commande cert.renew) ; le certificat actuel est conservé jusqu’à ce que le nouveau soit en service. Les appareils invités à se renouveler sans l’avoir fait sont signalés aux administrateurs avec ceux qui arrivent à expiration.
By themselves, at the latest 30 days before expiry. You can also ask one to renew early with Renew certificate (the cert.renew command); it keeps the current certificate until the new one is in use. Devices that were asked to renew and didn’t are reported to administrators along with the expiring ones.
Traduit de English par IA ·
La déconnexion est immédiate. Révoquer le certificat demande un motif (Compromission de clé, Remplacé, Appareil retiré ou Non spécifié) ainsi que le numéro de série de l’appareil pour confirmation. L’empreinte est ajoutée à la liste de révocation de chaque nœud de passerelle, la connexion active est coupée, et la prochaine tentative de connexion reçoit CONNACK 5. Elle figure aussi dans la prochaine CRL ; la liste de chaque CA émettrice est valable 7 jours.Cette action est irréversible. L’appareil doit obtenir un nouveau certificat avant de pouvoir se reconnecter.
It’s disconnected at once. Revoke certificate asks for a reason (Key compromise, Superseded, Device retired or Unspecified) and for the device serial as confirmation. The fingerprint goes into the revocation set of every gateway node, the live connection is dropped, and the next login attempt gets CONNACK 5. It’s also listed in the next CRL; each issuing CA’s list is valid for 7 days.
It can’t be undone. The device needs a new certificate before it connects again.
Traduit de English par IA ·
Non. Le téléversement de votre propre autorité de certification (CA) pour les appareils X.509 tiers n’est pas disponible ; les appareils tiers utilisent des jetons d’accès ou MQTT basic. La voie des certificats est réservée aux appareils sous licence, dont les certificats proviennent de la CA de Hermetry lors du provisionnement.
No. Uploading your own CA for third-party X.509 devices isn’t available; third-party devices use access tokens or MQTT basic. The certificate path is for licensed devices, whose certificates come from Hermetry’s CA at provisioning.
Traduit de English par IA ·
Non. Un domaine est marqué comme Primary. Les e-mails et les liens de notification utilisent le domaine principal tant qu’il est actif, et l’adresse gratuite sinon.
No. One domain is marked Primary. E-mail and notification links use the primary domain while it serves, and the free address otherwise.
Traduit de English par IA ·
Oui. Un administrateur peut passer les nouveaux domaines à un challenge CNAME dans les paramètres du domaine (Challenge DNS préféré : enregistrement TXT ou enregistrement CNAME). Ce réglage existe précisément pour ce type de service DNS.C’est aussi important, car un challenge en attente est valable 24 heures. Ensuite, il faut vérifier à nouveau et obtenir un nouveau challenge : un enregistrement TXT qui met des jours à être pris en compte arriverait donc toujours trop tard.
Yes. An administrator can switch new domains to a CNAME challenge in the domain settings (Preferred DNS Challenge: TXT record or CNAME record). That setting exists for exactly this kind of DNS service.
That also matters because a pending challenge is valid for 24 hours. After that you verify again and get a new one, so a TXT record that takes days to go in would always arrive too late.
Traduit de English par IA ·
Pas seulement. L’onglet Log affiche les modifications auditées de l’appareil, chacune effectuée par une personne ou par le système, avec son historique de connexion (connexions, déconnexions, connexions refusées) dans une seule chronologie ; Show permet de basculer entre All, Connections et Changes. Pour un seul appareil, c’est plus rapide que l’appel API. J’ai rédigé le message deux jours avant la sortie.
Not only. The Log tab shows the device’s audited changes, each by a person or by the system, together with its connection history (connects, disconnects, refused logins) in one timeline; Show switches between All, Connections and Changes. For a single device it’s quicker than the API call. I wrote the post two days before it shipped.
Traduit de English par IA ·
Oui, les lignes à risque élevé et critique déclenchent le webhook audit.high_risk, vous pouvez donc les transmettre au fil de l’eau. Pour les extractions en masse, le point d’accès d’export prend en charge le CSV ou le NDJSON et peut être limité à un seul acteur :
GET /tenant/{tenantId}/api/audit-logs/export?format=ndjson&fromDate=2026-10-01&toDate=2026-10-21Yes, high and critical rows fire the audit.high_risk webhook, so you can forward them as they happen. For bulk pulls the export endpoint does CSV or NDJSON and can be limited to one actor:
GET /tenant/{tenantId}/api/audit-logs/export?format=ndjson&fromDate=2026-10-01&toDate=2026-10-21Traduit de English par IA ·
Recherchez l’action qui vous intéresse au lieu de faire défiler la liste, ou filtrez par gravité : celles de la capture sont toutes Low, donc un filtre High ou Critical les exclut.
Search for the action you’re after instead of scrolling, or filter by severity: the ones in the shot are all Low, so a High or Critical filter leaves them out.