Sitzungs- und MFA-Richtlinien der Organisation

Die Ressourcen keenauth_session_policy und keenauth_mfa_policy legen die eigenen Sitzungslaufzeiten und Multi-Faktor-Regeln einer Organisation fest. Eine Richtlinie der Organisation kann nur strenger sein als die Einstellung der Umgebung (keenauth_environment_settings). Ein lockererer Wert schlägt mit 422 policy_weaker_than_parent fehl.

resource "keenauth_session_policy" "acme" {
  organization_id   = keenauth_organization.acme.id
  idle_minutes      = 60
  absolute_minutes  = 720
  refresh_idle_days = 7
}

resource "keenauth_mfa_policy" "acme" {
  organization_id       = keenauth_organization.acme.id
  required_for          = "admins"
  allowed_factors       = ["webauthn", "totp"]
  enrollment_grace_days = 7
}

Sitzungsrichtlinie

Attribut	Bereich	Beschreibung
`idle_minutes`	5–144000	Leerlaufzeitlimit der Sitzung. Höchstens `absolute_minutes`.
`absolute_minutes`	60–525600	Absolute Lebensdauer der Sitzung.
`refresh_idle_days`	1–365	Leerlaufdauer des Refresh-Tokens. Höchstens `refresh_absolute_days`.
`refresh_absolute_days`	1–365	Absolute Lebensdauer des Refresh-Tokens.

Setzen Sie mindestens ein Attribut. Ein weggelassenes Attribut wird von der Umgebung übernommen.
Eine Verkürzung einer Laufzeit beendet den Organisationskontext bestehender Sitzungen.
Die Sitzungsrichtlinie benötigt den Enterprise-Plan (403 plan_feature_unavailable). In Entwicklungsumgebungen ist sie offen.

MFA-Richtlinie

Attribut	Werte	Beschreibung
`required_for`	`none`, `admins`, `all`	Wer einen zweiten Faktor verwenden muss. `admins` umfasst Administratorrollen der Organisation und Mitglieder mit `idp_`-Systemberechtigungen.
`allowed_factors`	`totp`, `webauthn`, `sms`, `email`	Zweite Faktoren, die Mitglieder verwenden dürfen. Mindestens einer; jeder muss in der Umgebung aktiviert sein.
`enrollment_grace_days`	0–30	Tage, in denen sich ein Mitglied anmelden darf, bevor es einen erforderlichen Faktor registriert. Standard: `0`.

Lebenszyklus

Eine Organisation hat je Art genau eine Richtlinie. Die Ressourcen-ID ist die ID der Organisation.
Jeder Schreibvorgang sendet die vollständige Richtlinie. Ein Anlegen überschreibt keine bestehende Richtlinie: Hat die Organisation bereits eine (gesetzt im Dashboard oder im Admin-Portal), antwortet die API mit 428, und Sie importieren sie stattdessen.
Aktualisierungen und Löschungen senden If-Match. Eine außerhalb des Providers geänderte Richtlinie erscheint beim nächsten plan als Drift; eine außerhalb des Providers gelöschte Richtlinie wird neu angelegt.
Das Entfernen der Ressource löscht die Richtlinie, und die Organisation übernimmt wieder die Einstellung der Umgebung.

Import

Import mit der ID der Organisation:

tofu import keenauth_session_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d
tofu import keenauth_mfa_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d