Eine Organisationsrichtlinie in der Vorschau anzeigen

POST /v1/organizations/{org_id}/policies/{policy_kind}:preview · Berechtigung organizations:write

Bewertet ein Kandidatenobjekt für die Einstellungen, ohne es zu speichern. Der Anfragetext entspricht dem von Erstellen oder Ersetzen einer Richtlinie, und der Server prüft ihn mit denselben Regeln und derselben Tarifprüfung. Ein Kandidat, den PUT ablehnen würde, wird hier daher mit demselben Problemcode abgelehnt. Es wird nichts geschrieben: keine Richtlinie, kein Audit-Eintrag und kein Ereignis. Die Anfrage nimmt weder If-Match noch Idempotency-Key entgegen, und die Antwort enthält kein ETag.

Die Antwort zählt die Benutzer, auf die der Kandidat angewendet wird (basis users_in_scope), nicht die Benutzer, die blockiert würden. Eine Ausnahme bildet phishing_resistant (siehe unten). Bedingungen, die nur bei der Anmeldung bekannt sind oder die der Richtliniendienst nicht kennt, werden nicht herausgefiltert. not_evaluated listet sie auf, damit die Zahl nie als mehr gelesen wird, als sie ist.

Bei phishing_resistant sind Anzahl und Stichprobe die Benutzer im Geltungsbereich, die sich heute nicht phishing-resistent anmelden können: Benutzer ohne aktive WebAuthn-Anmeldedaten (ein Passkey oder ein Sicherheitsschlüssel mit einem ersten Faktor), die die AAGUID-Allowlist akzeptiert. Die Allowlist ist die des Kandidaten, oder die der Umgebung, wenn die des Kandidaten leer ist. Bei einer Allowlist zählen Anmeldedaten nur, wenn ihr Modell aufgeführt ist und ihre Attestierung verifiziert wurde. Ausstehende, widerrufene und als Klon verdächtigte Anmeldedaten zählen nicht. credential_policy bedeutet, dass die Attestierungsanforderung der Umgebung, die Regel für gerätegebundene Passkeys und der Modellstatus des Authenticators nicht angewendet werden. Die Zahl kann daher niedriger ausfallen als die Anzahl der Benutzer, die blockiert würden. Umfasst der Geltungsbereich mehr als 10.000 Benutzer, fällt die Antwort auf users_in_scope mit passkey_enrollment zurück. Können die Daten der Anmeldedaten nicht gelesen werden, schlägt die Anfrage mit 503 fehl, und es wird keine Zahl zurückgegeben.

required_for none und mode off zählen niemanden. Ein aktives Mitglied ist ein Mitglied, dessen Mitgliedschaft aktiv ist und dessen Benutzer nicht gesperrt ist. Jeder Benutzer wird einmal gezählt. admin_scope bedeutet, dass admins als alle Mitglieder gezählt wird, so wie die Anmeldung es heute anwendet. Die Benutzer einer anderen Organisation oder einer anderen Umgebung werden nie gezählt.

Anfrage

Anfragetext:

{
  "settings": {
    "required_for": "all",
    "allowed_factors": [
      "totp",
      "webauthn"
    ],
    "enrollment_grace_days": 7
  }
}

Antwort

200 OK. sample enthält höchstens 20 Benutzer der gezählten Menge, sortiert nach ID, nur mit der Benutzer-ID.

{
  "organization_id": "org_01j9xk3m7q8r2s4t6v8w0y2z4a",
  "policy_kind": "mfa",
  "basis": "users_in_scope",
  "affected_count": 2,
  "sample": [
    {
      "user_id": "usr_01j9xk3m7q8r2s4t6v8w0y2z4b"
    },
    {
      "user_id": "usr_01j9xk3m7q8r2s4t6v8w0y2z4c"
    }
  ],
  "not_evaluated": [
    "mfa_enrollment"
  ]
}

Fehler

Beispiel

curl -X POST https://api.eu.keenauth.com/v1/organizations/org_01j9xk3m7q8r2s4t6v8w0y2z4a/policies/mfa:preview \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -d '{"settings":{"required_for":"all","allowed_factors":["totp","webauthn"]}}'

keenauth organizations policies preview org_01j9xk3m7q8r2s4t6v8w0y2z4a mfa \
  --data '{"settings":{"required_for":"all","allowed_factors":["totp","webauthn"]}}'