keenauth_role

Die Ressource keenauth_role verwaltet eine Rolle der Umgebung und deren vollständige Berechtigungsmenge. Eine Rolle, die zu einer Organisation gehört, ist eine andere Ressource, keenauth_organization_role. Die Data Source keenauth_role liest eine Rolle anhand von id oder key.

resource "keenauth_permission" "invoices_read" {
  api_id = "api_01j9zq3v8c5m2x7k4t6r1n0b3d"
  value  = "invoices:read"
}

resource "keenauth_role" "billing" {
  key         = "billing"
  name        = "Billing"
  description = "Invoices and payment methods."

  permission_ids = [keenauth_permission.invoices_read.id]
}

data "keenauth_role" "billing" {
  key = "billing"
}

Lebenszyklus

• key ist in der Umgebung eindeutig, erscheint im org_roles-Claim und kann nicht geändert werden: ein neuer Schlüssel ersetzt die Rolle.
• name hat 1 bis 128 Zeichen und description höchstens 1024. Beide dürfen weder mit noch auf Leerzeichen beginnen oder enden, da die API sie kürzt.
• permission_ids ist die vollständige Menge (höchstens 500). Sie wird mit einer separaten Anfrage nach den Rollenfeldern geschrieben; schlägt diese Anfrage beim Anlegen fehl, bleibt die Rolle als tainted im State und wird beim nächsten Apply ersetzt. Eine Berechtigung, die an anderer Stelle hinzugefügt oder entfernt wird, setzt das nächste Apply zurück.
• is_privileged markiert eine privilegierte Rolle. Im Self-Service kann nur ein Administrator sie zuweisen, der die Rolle der Organisations-Administration innehat; eine externe Gruppenzuordnung zu ihr benötigt roles:write und eine Genehmigung. Wird eine bestehende Rolle privilegiert, bleiben ihre Gruppenzuordnungen bis zu ihrer Genehmigung unbestätigt. Der Standardwert ist false; wenn Sie eine privilegierte Rolle importieren, schreiben Sie is_privileged = true explizit, sonst macht das nächste Apply die Rolle nicht privilegiert.
• Aktualisierungen und Löschungen senden If-Match mit dem zuletzt gelesenen ETag. Hat sich die Rolle geändert, nachdem der Plan erstellt wurde, antwortet die API mit 412 und nichts ändert sich; führen Sie plan erneut aus.
• Mit force_destroy = true wird eine zugewiesene Rolle ebenfalls gelöscht und ihre Zuweisungen werden in derselben Anfrage entfernt; andernfalls schlägt das Löschen einer zugewiesenen Rolle mit 409 role_in_use fehl. Eine Rolle, die als Admin- oder Standard-Mitgliederrolle einer Organisation verwendet wird, kann gar nicht gelöscht werden. Eine Änderung nur von force_destroy sendet keine Anfrage.
• Zuweisungen von Rollen an Benutzer und Mitgliedschaften sind keine Ressourcen. Sie sind personenbezogene Daten und gelangen nie in den State; verwalten Sie sie über die API, die CLI oder das Dashboard.

Import

Importieren Sie nach Schlüssel oder ID:

tofu import keenauth_role.billing billing
tofu import keenauth_role.billing rol_01j9zq3v8c5m2x7k4t6r1n0b3d