Autorizzazione
Decidere cosa può fare un dispositivo, un utente o un servizio già autenticato, per esempio su quali topic può pubblicare o quali dispositivi può comandare.
Una volta autenticato un dispositivo, l’autorizzazione (authorization) ne limita il raggio d’azione. Un broker ben configurato permette a un dispositivo di pubblicare solo sul proprio topic e di sottoscrivere solo il proprio canale di comando; un’API permette a un tecnico di leggere i dispositivi della sua zona e nient’altro; una funzione cloud può scrivere su una sola tabella. Queste regole sono espresse come policy o liste di controllo degli accessi legate alle identità nel registro dei dispositivi.
Il principio è il privilegio minimo: concedere esattamente ciò di cui il ruolo ha bisogno. Contiene i danni quando qualcosa viene compromesso, perché un sensore dirottato che può solo pubblicare le proprie letture non può comandare attuatori né leggere il resto della flotta. I permessi grossolani sono più rapidi da configurare e sono la ragione abituale per cui un incidente si propaga più di quanto dovrebbe; i progetti zero trust portano l’autorizzazione su ogni singola richiesta.
Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.