Üyenin hakları üç kaynaktan gelir: yerleşik rolü, üyesi olduğu gruplar ve varsa erişim politikaları. Bu sayfada izinler, Erişim Hakları matrisi ve gruplar açıklanmaktadır. Erişim politikaları Erişim politikaları bölümündedir.
İzinler ve asgari roller
Hermetry’deki her işlem bir izin ile korunur; örneğin iot_device.devices.read (bkz. cihazlar) veya iot_rpc.send.privileged (ayrıcalıklı komut gönderme). Her iznin bir asgari rolü vardır (Sahip, Yönetici veya Kullanıcı). Bir üye şu durumlarda bir izni kullanabilir:
- yerleşik rolü asgari rolden en az yüksekse ve kuruluşun matrisi izni bu role veriyorsa, veya
- etkin gruplarından biri izni veriyorsa ve asgari rol Yönetici veya Kullanıcı ise.
Bir grup, üyeyi Yönetici asgari rolünün üzerine çıkarabilir, ancak hiçbir zaman Sahip asgari rolünün üzerine çıkaramaz. Yalnızca sahiplere ait izinler (sahipliğin devri, kuruluşun silinmesi, ham komutlar, yazılım imzalama anahtarları, API anahtarlarını yenileme) gruplar ne derse desin sahiplerde kalır.
İzinler modüllere aittir. Planınızın içermediği bir modül, aşağıdaki listelere hiçbir izin eklemez.
Erişim Kontrolü
Ayarlar > Erişim Kontrolü yolunu açın (adres /admin/settings/access-control): “Bu kuruluş için roller, gruplar ve izin matrisi.” Üç sekmesi vardır.
Erişim Hakları
“Her rol/grubun sahip olduğu izinlerin” matrisi. Satırlar etkin modüllerinizin izinleridir ve modüle göre gruplanır; sütunlar yerleşik roller ve gruplarınızdır. Bir satırı bulmak için İzinleri ad, anahtar, grup veya modüle göre filtreleyin… alanını kullanın.
- Hücreleri işaretleyin veya işareti kaldırın.
- Kaydet (n) seçeneğini seçin; burada n değişiklik sayısıdır.
“Kilitli hücreler (Sahip sütunu ve yalnızca sahiplere ait izinler) yalnızca sahip tarafından değiştirilebilir.” Bir erişim politikası uygulandığında, politikanın reddi her zaman matrisin önüne geçer.
Bir modül güncellemesinin eklediği ve kuruluşunuzun henüz kuralı olmayan bir izin, Varsayılan olarak izinli olarak görünür: platform varsayılanı geçerlidir, dolayısıyla asgari rolü karşılayan üyeler bu izni kullanabilir.
Gruplar
“Yerleşik roller sabittir; özel izin kümeleri vermek için özel gruplar oluşturun. Gruplar, Erişim Hakları içinde sütun olarak görünür.”
Bir grup oluşturmak için:
- Yeni grup seçeneğini seçin.
- Bir Anahtar (küçük harf, noktalı, örneğin
plant.north.operators; “Daha sonra değiştirilemez”) ve bir Etiket girin. - Oluştur seçeneğini seçin, ardından grubu açıp İzinler alanından izinleri seçin (her modül için İzinlerde ara…, Tümünü seç veya Temizle) ve bir Açıklama ekleyin.
- Etkin seçeneğini açık bırakın. “Etkin olmayan bir grup üyelerini tutar ancak hiçbir izin vermez; kimseyi gruptan çıkarmadan bir izin kümesini kapatmanın yoludur.”
Şablondan… hazır bir grup ekler (aşağıya bakın). Bir grubu silmek, onu her üyeden kaldırır.
Kullanıcılar
“Her üyenin rolünü/grubunu atayın.” Her üye için Rol değerini değiştirin veya Gruplar altındaki Düzenle seçeneğini seçerek grup atayın. “Gruplar yalnızca yerleşik rolün üzerine izin ekler; hiçbir zaman bir iznı elinden almaz.”
Ayrıca bir üyenin sayfasındaki Grupları yönet seçeneğiyle grup atayabilir ve sonucu üyenin İzinler sekmesindeki Etkin erişim bölümünden kontrol edebilirsiniz. Bkz. Kullanıcılar ve roller.
IoT grup şablonları
| Şablon | Sağladığı |
|---|---|
| IoT operatörü | “Cihazları izler ve düzenler, özniteliklerini yazar. Cihaz kimlik bilgisi yok, cihaz oluşturma veya silme yok.” |
| IoT görüntüleyici | “Her IoT sayfasını ve listesini görür (cihazlar, profiller, alarmlar, yerler, kameralar, yazılım, kurallar, sertifikalar, LoRaWAN, uç noktalar, cihaz ayarları) ve hiçbir şeyi değiştirme hakkı yoktur. Kimlik bilgisi, anahtar, eSIM, panel oturumu veya ayar sayfası yoktur.” |
Şablonlar yalnızca kuruluşunuzun kullandığı modüllerin izinlerini sunar. Eklendikten sonra bir şablon grubu sıradan bir gruptur: düzenleyebilir, atayabilir veya silebilirsiniz.
Tipik kurulumlar:
| Kişi | Rol | Gruplar |
|---|---|---|
| Saha teknisyeni | Kullanıcı | IoT operatörü |
| Denetçi, müşteri görüntüleyici | Kullanıcı | IoT görüntüleyici |
| Akış ve profil oluşturan entegratör | Yönetici | yok |
| Yazılım onaylayan tesis müdürü | Yönetici | yok |
Yaygın IoT izinleri
| İzin | Neye izin verir | Asgari rol |
|---|---|---|
iot_device.devices.read | Cihazları görüntüleme | Kullanıcı |
iot_device.devices.create / .update / .delete | Cihaz oluşturma, düzenleme, silme | Yönetici |
iot_device.credentials.manage | Cihaz kimlik bilgilerini düzenleme, yenileme ve iptal etme | Yönetici |
iot_device.attributes.write | Cihaz özniteliklerini yazma | Yönetici |
iot_device_profile.profiles.read / .write | Cihaz profillerini görüntüleme / değiştirme | Kullanıcı / Yönetici |
iot_alarm.read, iot_alarm.acknowledge | Alarmları görüntüleme ve onaylama | Kullanıcı |
iot_alarm.resolve, iot_alarm.mute, iot_alarm.rules.manage | Alarmları çözme, cihazları sessize alma, alarm kurallarını yönetme | Yönetici |
iot_rpc.send.basic | Temel komutlar gönderme | Kullanıcı |
iot_rpc.send.privileged, iot_rpc.send.critical, iot_rpc.commands.manage | Ayrıcalıklı ve kritik komutlar gönderme, komut kataloğunu yönetme | Yönetici |
iot_rpc.send.raw | Ham komutlar gönderme | Sahip |
iot_ota.packages.manage, iot_ota.assign | Yazılımları ve atamaları yönetme | Yönetici |
iot_ota.keys.manage | Yazılım imzalama anahtarlarını yönetme | Sahip |
iot_rules.read, iot_rules.run, iot_rules.mode | Kural kartlarını görüntüleme, çalıştırma, manuel/otomatik mod arasında geçiş | Kullanıcı |
iot_rules.manage | Kural kartları oluşturma ve değiştirme | Yönetici |
iot_provisioning.claim, iot_provisioning.quarantine.activate | Lisanslı cihazları sahiplenme, karantinadaki cihazları etkinleştirme | Yönetici |
iot_pki.certificates.read, iot_pki.certificates.revoke | Cihaz sertifikalarını görüntüleme ve iptal etme | Yönetici |
automation.read, automation.manage | Akışları görüntüleme ve düzenleme | Yönetici |
dashboard.boards.read, dashboard.boards.write | Kendi panolarını görüntüleme ve düzenleme | Kullanıcı |
dashboard.boards.manage | Paylaşılan panoları yönetme | Yönetici |
Tam liste İzinler başvurusunda bulunmaktadır.
İyi uygulamalar
- Rolü yükseltmek yerine grupları tercih edin. IoT operatörü grubundaki bir Kullanıcı kimlik bilgilerini göremez ve ayarları değiştiremez; bir Yönetici ise yapabilir.
- Grup anahtarlarını anlamlı tutun: denetim günlüğünde ve erişim politikalarında görünürler (
subject.roles contains 'plant.north.operators'). - Bir modül ekledikten sonra Erişim Hakları matrisini gözden geçirin: yeni izinleri Varsayılan olarak izinli olarak başlar.