Yapay zekâ tarafından English dilinden çevrildi ·
Beklenen bir durum, ve denetçi fark etmeden önce test ettiğiniz için teşekkürler. Gruplar yalnızca rolün üzerine izin ekler. Grup kendisi yazma yetkisi vermez, ancak User rolü varsayılan olarak eylem gerçekleştiren bazı haklara sahiptir. Karşılaştığınız haklar: alarmları onaylama, kuralları çalıştırma ve modlarını değiştirme ve temel (salt okunur) komutlar gönderme.Bunu kapatmanın iki yolu:
- Kuruluşunuzdaki hiçbir User bu işlemleri yapmamalıysa, Erişim Hakları’nda User için
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeveiot_rpc.send.basicseçeneklerinin işaretini kaldırın. - Yalnızca izleyiciler için geçerliyse, bu eylemleri içeren bir Deny erişim politikası yazın ve koşul olarak izleyici grubunun anahtarını içeren
subject.roles containsifadesini kullanın. Deny her zaman önceliklidir. Önce gölge modda çalıştırın ve kendinizi kilitlememek için erişim test aracında bir sahibin rolüyle kontrol edin.
Expected, and thanks for testing before the auditor did. Groups only add permissions on top of the role. The group itself grants nothing that writes, but the User role holds some rights that act, by default. The ones you ran into: acknowledging alarms, running rules and switching their mode, and sending basic (read-only) commands.
Two ways to close it:
- If no User in your organisation should do those things, untick
iot_alarm.acknowledge,iot_rules.run,iot_rules.modeandiot_rpc.send.basicfor User in Access Rights. - If it’s only the viewers, write a Deny access policy with those actions and the condition
subject.roles containsthe viewer group’s key. Deny always wins. Run it in shadow mode first and check it in the access tester with an owner’s role so you don’t lock yourself out.