Traduit de English par IA ·
Attendu, et merci d’avoir testé avant l’auditeur. Les groupes ajoutent seulement des permissions au-dessus du rôle. Le groupe lui-même n’accorde aucun droit d’écriture, mais le rôle User possède par défaut certains droits qui agissent. Ceux que vous avez rencontrés : acquitter les alarmes, exécuter les règles et changer leur mode, et envoyer des commandes basiques (en lecture seule).Deux façons de corriger cela :
- Si aucun User de votre organisation ne doit faire ces actions, décochez
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeetiot_rpc.send.basicpour User dans les Droits d’accès. - Si cela ne concerne que les visualiseurs, rédigez une politique d’accès Deny avec ces actions et la condition
subject.roles containssuivie de la clé du groupe de visualiseurs. Deny l’emporte toujours. Exécutez-la d’abord en mode shadow et vérifiez-la dans le testeur d’accès avec le rôle d’un propriétaire pour ne pas vous bloquer vous-même.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.