Kimlik bilgisi, bir cihazın oturum açmak için kullandığı bilgidir. Her cihazın en fazla bir etkin kimlik bilgisi vardır. Gizli bilgiler verildiklerinde bir kez gösterilir ve Hermetry yalnızca bir özet (hash) saklar. Bu sayfa üç kimlik bilgisi türünü ve bunların nasıl verileceğini, döndürüleceğini, değiştirileceğini ve iptal edileceğini anlatır.
Kimlik bilgilerini yönetmek için Cihaz kimlik bilgilerini yönet izni gerekir (varsayılan olarak yöneticiler). LoRaWAN sensörlerinin, ağ geçidi alt cihazlarının ve sorgulanan (polled) cihazların kendilerine ait bir kimlik bilgisi yoktur.
Üç tür
| Tür | Gösterim biçimi | Cihazın oturum açma yöntemi | Gizli bilgi |
|---|---|---|---|
| Erişim belirteci | Erişim belirteci | MQTT kullanıcı adı = belirteç, parola boş, istemci kimliği serbest. HTTP: Authorization: Bearer <token>. | Hermetry tarafından üretilen 32 rastgele karakter. |
| MQTT temel | MQTT temel (kullanıcı adı ve parola) | Bir kullanıcı adı ve bir parola; isteğe bağlı olarak sabitlenmiş bir istemci kimliği. Yalnızca istemci kimliği hiçbir zaman oturum açmaz. | Üretilen 32 karakterlik bir parola veya sizin seçtiğiniz bir parola. |
| X.509 sertifikası | X.509 sertifikası | Bir istemci sertifikası (karşılıklı TLS); istemci kimliği = seri numarası = sertifika CN değeri. | Saklanan bir şey yok: “Özel anahtar cihazda kalır; yalnızca sertifika parmak izi saklanır.” |
Cihazın profili bu türe izin vermelidir (profilin Transport & auth sekmesindeki Allowed authentication). Profilin izin vermediği bir türle yapılan oturum açma CONNACK 5 ile reddedilir.
MQTT temel kuralları
| Öğe | Kural |
|---|---|
| Kullanıcı adı | Boşluk içermeyen 1 ila 128 yazdırılabilir karakter. Tüm platformda benzersiz olmalıdır. provision ayrılmıştır. |
| İstemci kimliği (isteğe bağlı) | A–Z a–z 0–9 . _ : - karakterlerinden oluşan 1 ila 64 karakter. Sabitlendiğinde cihaz bunu kullanmalıdır. |
| Üretilen parola | 32 karakter. Bir parola belirtmezseniz bir tane üretilir. |
| Seçilen parola | En az 16 karakter (kuruluşunuz daha fazlasını isteyebilir, en fazla 128: Devices > ⋯ > Settings içindeki Minimum length of a chosen MQTT password), en az 8 farklı karakter, tekrarlanan veya klavye örüntüsü olmayan, yaygın bir parola olmayan (rakam veya sembol eklenmiş hali de dahil) ve kullanıcı adını ya da istemci kimliğini içermeyen bir parola. |
Reddedilen bir parola nedenini belirtir (too_short, too_few_distinct, pattern, common, contains_identifier); parolayı asla göstermez.
X.509 kuralları
Sertifika, Hermetry cihaz sertifika yetkilisi tarafından verilmiş, etkin, kuruluşunuza ait olan ve CN alanında cihaz seri numarasını taşıyan olmalıdır. Lisanslı cihazlar, siz onları sahiplendiğinizde bunu alır. Kendi CA’nizdan sertifika yüklemesi kullanılamaz. Bkz. Device certificates.
Bir kimlik bilgisi ne zaman verilir
| Durum | Cihazın aldığı |
|---|---|
| Yeni cihaz, Issue an access token for new devices açıkken (varsayılan) | Bir erişim belirteci; çekmecede bir kez gösterilir. |
| Yeni cihaz, bu ayar kapalıyken | Kimlik bilgisi yok. API üzerinden bir tane ayarlayın. |
| Toplu içe aktarma | Her satır için bir erişim belirteci veya MQTT temel; parolalar ve belirteçler, 15 dakika içinde bir kez indirebileceğiniz bir kimlik bilgileri dosyasındadır. Bkz. Importing devices in bulk. |
| Kendi kendine sağlama (self-provisioning) | Sağlama yanıtında döndürülen kimlik bilgisi. |
| Lisanslı bir cihazı sahiplenme | Its X.509 certificate. |
Kimlik bilgileri sekmesi
Cihazı ve Credentials sekmesini açın. Bu sekme, cihazların kendi oturum açtığı durumlarda yöneticilere gösterilir. Uygulandığı yerde Type, Client ID, Username, Fingerprint (SHA-256), Subject ve Expires alanlarını, ayrıca kimlik bilgisinin Created ve Last rotated zamanlarını listeler. Altında, Connection details kartı cihazın nasıl oturum açtığını gösterir; gizli bilginin yerinde bir yer tutucu bulunur. Cihazın kimlik bilgisi yoksa sekme “The device has no active credential.” der.
Gizli bilgiyi döndürme
- Rotate secret seçeneğini seçin.
- Rotate the secret? onayını verin: “Eski gizli bilgi hemen çalışmayı durdurur ve cihaz güncellenene kadar bağlantısı kesilir.”
- New secret bir kez görünür; Show, Hide ve Copy seçenekleriyle birlikte gelir ve bağlantı satırları bununla doldurulur. İhtiyacınız olanı kopyalayın, ardından I have stored it seçeneğini seçin.
Döndürme, aynı türde yeni bir gizli bilgi üretir: yeni bir belirteç veya aynı MQTT kullanıcı adı için yeni bir parola.
Değiştirme, türü değiştirme veya iptal (API)
Sekme döndürme işlemini sunar. Kimlik bilgisini başka bir türle değiştirmek ve iptal etmek, aynı izinle API üzerinden yapılır:
| Çağrı | Etkisi |
|---|---|
GET /tenant/{tenantId}/api/iot/devices/{deviceId}/credentials | Etkin kimlik bilgisi: tür ve tanımlayıcılar; asla gizli bilgi değil. İptal edilmişse null. |
POST …/credentials/rotate | Aynı türde yeni bir gizli bilgi; bir kez döndürülür. |
PUT …/credentials | Kimlik bilgisini gövdedeki kimlik bilgisiyle değiştirir. Üretilen bir belirteç veya parola bir kez döndürülür (secret). |
DELETE …/credentials | Kimlik bilgisini iptal eder. Cihaz artık oturum açamaz. |
PUT için gövdeler:
{"type": "ACCESS_TOKEN"}{"type": "MQTT_BASIC", "username": "pump-07", "clientId": "pump-07", "password": null}{"type": "X509_CERTIFICATE", "certificateId": "6f1c…"}null değerindeki (veya hiç belirtilmeyen) bir password üretilmiş bir parola alır. Yanıtlar Cache-Control: no-store başlığını taşır.
Her değişiklikte ne olur
- Döndürme, değiştirme ve iptal, eski kimlik bilgisini hemen sonlandırır. Bekleme süresi yoktur.
- Cihazın açık olan her oturumu, her broker düğümünde hemen sona erer.
- Değişiklik denetim günlüğüne ve cihazın Log sekmesine yazılır (Credential rotated, Credential replaced, Credential revoked).
device.credentials_rotatedwebhook olayı,changealanıyla gönderilir:rotated,replaced,renewedveyarevoked. Yalnızca kimlikleri ve güvenli alanları taşır, asla bir kimlik bilgisi taşımaz.
Döndürmeleri planlayın: cihaz yeni bir gizli bilgiyi uzaktan alabiliyorsa (örneğin sizin kontrol ettiğiniz bir yapılandırma kanalı üzerinden) önce cihazı güncelleyin; aksi halde cihazı elle güncellemeye hazır olun.
İyi uygulamalar
- Cihaz başına bir kimlik bilgisi. Bir belirteci hiçbir zaman bir cihazdan diğerine kopyalamayın; ikinci oturum açma, ilk cihazın oturumunu devralır.
- Üretilen gizli bilgileri tercih edin. Yalnızca yazılımın sabit bir parola taşıması gerektiğinde parola seçin.
- Biletlere, sohbetlere veya betiklere yapıştırılmış gizli bilgileri döndürün.
- Hizmet dışı bıraktığınız bir cihazın kimlik bilgisini iptal edin ya da cihazı silin.
- Belirteçleri URL’lerin dışında tutun. Token in the URL seçeneğini yalnızca başlık gönderemeyen cihazlar için kullanın.
- “Yeni ağ” bildirimlerini izleyin: beklenmedik bir ağdan oturum açan bir cihaz, sızdırılmış bir kimlik bilgisi anlamına gelebilir.