Kuray Karaaslan
@kuray-karaaslan · Membre depuis août 2026
- Sujets
- 11
- Réponses
- 28
- Points
- 0
Toutes mes réponses sur les forums
Traduit de English par IA ·
Non. Les groupes et les politiques décident de l’action, et les pages IoT ne transmettent aucun attribut d’appareil aux politiques ; un membre autorisé à consulter les appareils voit donc tous les appareils de l’organisation. Si l’usine nord ne doit jamais voir les appareils de l’usine sud, ils doivent appartenir à deux organisations. Un même compte peut être membre des deux, avec un rôle différent dans chacune.
No. Groups and policies decide on the action, and IoT pages pass no device attributes to policies, so a member who may view devices sees all devices of the organisation. If the north plant must never see the south plant’s devices, they belong in two organisations. One account can be a member of both, with a different role in each.
Traduit de English par IA ·
Deux façons de faire.Si aucun User ne doit envoyer de commandes, décochez iot_rpc.send.basic pour User dans l’onglet Droits d’accès.Si ce sont uniquement les sous-traitants, placez-les dans un groupe (clé contractors, par exemple) et ajoutez une politique d’accès Deny : actions iot_rpc.send.basic, iot_rpc.send.privileged et iot_device.attributes.write, condition subject.roles contains contractors. Un deny l’emporte sur toute permission. Les politiques nécessitent le rôle Owner. Activez d’abord le mode shadow et surveillez le journal des décisions pendant quelques jours avant de l’appliquer.
Two ways.
If no User should send commands, untick iot_rpc.send.basic for User on the Access Rights tab.
If it’s only the contractors, put them in a group (key contractors, say) and add a Deny access policy: actions iot_rpc.send.basic, iot_rpc.send.privileged and iot_device.attributes.write, condition subject.roles contains contractors. A deny wins over any permit. Policies need the Owner role. Turn on shadow mode first and watch the decision log for a few days before you enforce it.
Traduit de English par IA ·
C’est la session la plus ancienne qui est terminée à chaque connexion d’un Pi. Attribuez à chaque écran son propre compte si le nombre de sièges de votre offre le permet. Les sessions cesseront alors de se disputer, et le journal d’audit indiquera quel écran a fait quoi, au lieu de 12 acteurs identiques. Si les écrans affichent seulement un tableau de bord, consultez plutôt les liens d’affichage : un lien d’affichage montre un tableau de bord partagé sur un écran où personne ne se connecte.
That’s the oldest session being ended each time a Pi signs in. Give each screen its own account if your plan’s seats allow it. Then the sessions stop fighting, and the audit log shows which screen did what instead of 12 identical actors. If the screens only show a board, look at display links instead: a display link shows a shared board on a screen where nobody signs in.
Traduit de English par IA ·
Immédiatement. L’appareil utilisant cette session est déconnecté aussitôt et, si c’est celui que vous utilisez, vous êtes déconnecté également.
Immediately. The device using that session is signed out at once, and if it’s the one you’re on, you’re signed out too.
Traduit de English par IA ·
Depuis Members, ouvrez la personne et utilisez Sign out : elle est déconnectée de l’organisation sur tous les appareils en même temps. Elle peut se reconnecter ; si vous voulez l’empêcher d’accéder, suspendez-la plutôt. Chaque connexion et déconnexion figure dans le journal d’audit : en filtrant sur auth.login et auth.logout, vous voyez qui a utilisé l’organisation et depuis où.Pour les PC partagés : demandez aux utilisateurs de ne pas cocher remember me à cet endroit, et de se déconnecter en partant.
From Members, open the person and use Sign out: they are signed out of the organisation on every device at once. They can sign in again, so if you want to keep them out, suspend them instead. Every sign-in and sign-out is in the audit log, so filtering on auth.login and auth.logout tells you who used the organisation and from where.
For the shared PCs: tell people not to tick remember me there, and to sign out when they leave.
Traduit de English par IA ·
L’exigence est vérifiée à chaque requête, et pas seulement sur le formulaire de mot de passe : dès son activation, chaque requête doit provenir d’une session ayant effectué un second facteur. Une session sans second facteur reçoit le message « Cette organisation exige une vérification en deux étapes. Reconnectez-vous et effectuez-la. »Dans une organisation comme la vôtre, le chemin le plus court est une passkey. Une connexion par passkey compte à elle seule comme un second facteur validé.
The requirement is checked on every request, not only on the password form: from the moment it’s on, every request has to come from a session that completed a second factor. A session without one gets « This organization requires two-step verification. Sign in again and complete it. »
In an organisation like yours the shortest path is a passkey. A passkey sign-in counts as a completed second factor on its own.
Traduit de English par IA ·
Deux choses différentes.Un appareil de confiance ignore le second facteur pendant un certain temps, 30 jours au maximum, mais demande toujours le mot de passe. Vous les retrouvez sous Mon profil > Sécurité, avec Révoquer et Tout révoquer.Rester connecté modifie la durée de vie de la session elle-même : chaque session a une durée de vie absolue, et cocher Rester connecté la rallonge. La fin des sessions fonctionne comme auparavant, depuis Sessions actives sur votre profil, ou par un administrateur qui déconnecte un membre de l’organisation.
Two different things.
A trusted device skips the second factor for a while, 30 days at most, and still asks for the password. You see those under My Profile > Security, with Revoke and Revoke all.
Remember me changes how long the session itself lives: every session has an absolute lifetime, and ticking remember me makes it longer. Ending sessions works as before, from Active Sessions on your profile, or an admin signing a member out of the organisation.
Every row holds the time, the actor (a member, an API key, the system or a service), the action, its severity, the resource, and the address and browser. Secrets, passwords, tokens and attribute values are never written. The log is hash-chained and you set its retention to what your compliance rules need. Export CSV downloads the rows for the date range of the filter. What is audited lists the actions by area, and Audit log covers reading, exporting and verifying it.
Welcome Daniel. The checklist for a new organisation on the Security page is a good place to begin: a passkey plus a backup passkey for every owner and admin, Require two-step verification for every member once everyone has a second factor, at least two owners or admins, and field staff on the User role. Device profiles on TLS only (port 8883) and allowed networks for fixed sites are on the same list.
Traduit de English par IA ·
Par région. Les appareils se connectent à l’hôte d’appareils de l’organisation de leur région. Utilisez l’hôte indiqué sur la carte « Détails de connexion » de l’appareil plutôt que de le saisir de mémoire.
Per region. Devices connect to the device host of the organisation’s region. Use the host on the device’s Connection details card rather than typing one from memory.
Traduit de English par IA ·
Une organisation a une seule région d’origine, si bien que toutes ses données se trouvent au même endroit. Si les données de l’entrepôt doivent rester aux États-Unis et les données de l’usine dans l’UE, il faut deux organisations. Chaque organisation possède ses propres membres et rôles, ce qui est souvent ce que l’on souhaite de toute façon. Chaque région est aussi un déploiement distinct : demandez donc au support comment fonctionne la connexion entre les deux avant de prévoir un seul identifiant.
An organisation has one home region, so all of its data sits in one place. If the warehouse data has to stay in the US and the plant data in the EU, that’s two organisations. Each organisation has its own members and roles, which is often what you want anyway. Each region is also a separate deployment, so ask support how sign-in works across the two before you plan around one login.
Per organisation. Each organisation has one home region and your members sign in to it from wherever they are. Its devices connect to the device host of that region too. Changing the home region later is something only Hermetry can do, through the contact page, so pick it before you connect a fleet. More on Regions and data residency.
Traduit de English par IA ·
Les deux se trouvent sur la page Residency des paramètres de l’organisation (/admin/settings/residency, propriétaires et administrateurs).Sauvegardes : la page indique la catégorie de lieu où les sauvegardes sont conservées. Tant que celle-ci n’est pas signalée pour votre nœud, elle affiche « non attesté », plutôt que de deviner.Accès opérateur : il existe une procédure d’urgence (« break-glass »). Une autorisation est limitée dans le temps et nécessite deux signatures ; chaque action effectuée sous cette autorisation est marquée dans le journal d’audit de l’organisation concernée, et les autorisations des 365 derniers jours figurent sur cette même page. La page liste aussi les sous-traitants de la région et ses informations régionales (classe de résidence, domaine juridique, juridiction, cadres juridiques). Les informations régionales sont signées par notre plan de contrôle ; la page ne peut donc pas afficher des informations qui n’ont pas été émises pour votre nœud.
Both are on the Residency page of the organisation settings (/admin/settings/residency, owners and admins).
Backups: it shows the class of place where backups are kept. Until that is reported for your node it says not attested, rather than guessing.
Operator access: there is an emergency (« break-glass ») procedure. A grant is time-limited and needs two signatures, every action taken under it is marked in the audit log of the organisation it touches, and the grants of the last 365 days are listed on that same page. The page also lists the region’s sub-processors and its region facts (residency class, legal area, jurisdiction, legal frameworks). The region facts are signed by our control plane, so the page can’t show facts that weren’t issued for your node.