Asignar un grupo externo a un rol

POST /v1/connections/{connection_id}/role-mappings · permiso connections:write

Asigna un valor de grupo enviado por el proveedor de identidad (external_group_key, comparado de forma exacta) a un rol; al iniciar sesión, la membresía recibe el rol con origen idp_mapping. Para una conexión de organización, el rol debe ser un rol del entorno o un rol de esa organización. Asignar a un rol privilegiado requiere además roles:write, y la asignación se crea ya aprobada. Como máximo 500 asignaciones por conexión. La escritura se registra en la auditoría como role_mapping.created; el valor del grupo no se escribe en el registro de auditoría.

Solicitud

Campo Tipo Obligatorio Descripción
connection_id path sí ID de la conexión empresarial (conn_…).
external_group_key string sí Valor del grupo desde el IdP, hasta 1024 caracteres, sin caracteres de control.
role_id string sí ID del rol (rol_…).

Respuesta

201 Created con la asignación.

{
  "id": "rmp_01j9xw0x4y5z9a1b3c5d7e9f1h",
  "connection_id": "conn_01j9xp6q0r1s5t7v9w1x3y5z7b",
  "organization_id": "org_01j9xk3m7q8r2s4t6v8w0y2z4a",
  "external_group_key": "cn=engineering,ou=groups,dc=example,dc=com",
  "role_id": "rol_01j9xr7s1t2w6x8y0z2a4b6c8e",
  "role_privileged": false,
  "approved_at": null,
  "created_at": "2026-10-12T09:31:00.123456Z"
}

Errores

HTTP code Cuándo
404 not_found La conexión no existe en este entorno o no es una conexión empresarial.
403 privileged_role_mapping_forbidden El rol es privilegiado y la credencial no tiene roles:write.
409 conflict El valor de grupo ya está asignado en esta conexión.
409 role_mapping_limit_reached La conexión ya tiene 500 asignaciones.
422 validation_failed external_group_key o role_id falta o no es válido, o el rol está fuera del ámbito de la conexión.
401 unauthenticated La credencial falta, no es válida o está revocada.
403 insufficient_permissions La credencial no tiene el permiso requerido.
429 rate_limited Se superó el límite de frecuencia; reintente después del período indicado en Retry-After.
503 service_unavailable Una dependencia no está disponible temporalmente; reintente después del período indicado en Retry-After.

Ejemplo

curl -i -X POST "https://api.eu.keenauth.com/v1/connections/conn_01j9xp6q0r1s5t7v9w1x3y5z7b/role-mappings" \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -d '{"external_group_key":"cn=engineering,ou=groups,dc=example,dc=com","role_id":"rol_01j9xr7s1t2w6x8y0z2a4b6c8e"}'