Traduit de English par IA ·
2.3.0 ajoute un rôle IoT viewer : un accès en lecture à chaque écran IoT, pour les personnes qui regardent et ne modifient jamais rien. Des auditeurs, un chef d’équipe qui doit seulement consulter, une personne extérieure à l’équipe qui suit l’avancement.Vous l’ajoutez comme un groupe : Paramètres > Contrôle d’accès > Groupes > À partir d’un modèle… > IoT viewer, puis attribuez à la personne le rôle User et ce groupe. Les membres sont User par défaut, et User lit déjà les appareils, les alarmes et les tableaux de bord ; le groupe ajoute donc surtout les permissions de lecture dont le rôle minimum est Admin, comme les paramètres des appareils et les certificats. Il n’accorde ni identifiants, ni clés, ni eSIM, ni sessions du panneau du routeur, ni pages de paramètres.Avant de le confier à quelqu’un hors de votre entreprise : un viewer voit chaque appareil de l’organisation. Les politiques d’accès ne peuvent pas être définies pour un seul appareil ou un seul site. Si deux groupes de personnes ne doivent jamais voir les appareils de l’autre, placez ces appareils dans des organisations séparées, qui sont isolées l’une de l’autre dans la base de données.Également corrigé dans la version 2.3.0 : lorsque votre session a expiré, la page de connexion l’indique désormais au lieu d’afficher un formulaire vide.Documentation : Groupes et permissions, Référence des permissions, Politiques d’accès.
2.3.0 adds an IoT viewer role: read access to every IoT screen, for people who watch and never change anything. Auditors, a shift lead who only needs to look, someone outside the team who checks in on progress.
You add it as a group: Settings > Access Control > Groups > From template… > IoT viewer, then give the person the User role and that group. Members are User by default and User already reads devices, alarms and dashboards, so the group mainly adds the read permissions whose minimum role is Admin, such as device settings and certificates. It gives no credentials, keys, eSIM, router panel sessions or settings pages.
Before you hand it to anyone outside your company: a viewer sees every device in the organisation. Access policies can’t be written for one device or one site. If two groups of people must never see each other’s devices, put those devices in separate organisations, which are kept apart in the database.
Also fixed in 2.3.0: when your session has ended, the sign-in page now says so instead of showing an empty form.
Docs: Groups and permissions, Permissions reference, Access policies.
Traduit de English par IA ·
Tombe à pic, nous recevons dans deux semaines un auditeur de notre assureur. La moitié de ce qu’il demande concerne la caméra de la chaufferie. Le rôle viewer a-t-il accès à la vue en direct ?
Good timing, we have an auditor from our insurer coming in two weeks. Half of what they want is the camera on the boiler house. Does the viewer get live view?
Traduit de English par IA ·
Oui. La visualisation en direct et l’affichage des caméras font déjà partie des permissions Utilisateur, et le modèle comprend les caméras, la vue en direct, les instantanés et les enregistrements. Les modèles n’proposent que les permissions des modules dont votre organisation dispose ; donc, si les caméras sont activées, vous les verrez dans le groupe.
Yes. Watching live and viewing cameras are User permissions already, and the template includes cameras, live view, snapshots and recordings. Templates only offer permissions of modules your organisation has, so with cameras on you’ll see them in the group.
Traduit de English par IA ·
Je l’ai testé avec le compte de test d’un collègue, User + IoT viewer. Ils pouvaient tout de même acquitter une alarme et exécuter une règle depuis un tableau. Est-ce le comportement attendu ? J’ai lu « never change anything » de manière un peu plus littérale.
Tried it with a colleague’s test account, User + IoT viewer. They could still acknowledge an alarm and run a rule from a board. Is that expected? I read « never change anything » a bit more literally.
Traduit de English par IA ·
Attendu, et merci d’avoir testé avant l’auditeur. Les groupes ajoutent seulement des permissions au-dessus du rôle. Le groupe lui-même n’accorde aucun droit d’écriture, mais le rôle User possède par défaut certains droits qui agissent. Ceux que vous avez rencontrés : acquitter les alarmes, exécuter les règles et changer leur mode, et envoyer des commandes basiques (en lecture seule).Deux façons de corriger cela :
- Si aucun User de votre organisation ne doit faire ces actions, décochez
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeetiot_rpc.send.basicpour User dans les Droits d’accès. - Si cela ne concerne que les visualiseurs, rédigez une politique d’accès Deny avec ces actions et la condition
subject.roles containssuivie de la clé du groupe de visualiseurs. Deny l’emporte toujours. Exécutez-la d’abord en mode shadow et vérifiez-la dans le testeur d’accès avec le rôle d’un propriétaire pour ne pas vous bloquer vous-même.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.
Traduit de English par IA ·
J’ai opté pour la politique, visualiseurs uniquement. Le mode shadow est activé pour le moment, je vais consulter le journal des décisions vendredi, puis désactiver le mode shadow.
Went with the policy, viewers only. Shadow mode is on for now, I’ll look at the decision log on Friday and then turn shadow mode off.
Traduit de English par IA ·
Nous avons créé en septembre un groupe en lecture seule fait à la main. Y a-t-il une raison de le remplacer par le modèle ?
We built a hand-made read-only group in September. Any reason to swap it for the template?
Traduit de English par IA ·
Ce n’est pas nécessaire. Un groupe modèle est un groupe ordinaire une fois ajouté. Si vous voulez comparer, ajoutez le modèle et examinez les deux colonnes côte à côte dans Droits d’accès, puis supprimez celle que vous ne gardez pas. La suppression d’un groupe le retire de tous ses membres, donc déplacez d’abord les personnes.
No need. A template group is an ordinary group once it’s added. If you want to compare, add the template and look at both columns side by side in Access Rights, then delete whichever you don’t keep. Deleting a group removes it from every member, so move people first.
- Vous devez être connecté pour répondre à ce sujet.
Rejoignez la discussion
Connectez-vous pour poser et répondre à des questions, aimer les messages utiles et marquer la réponse qui a résolu votre problème. Chaque contribution rapporte des points et des niveaux.