Previsualizar una política de organización

POST /v1/organizations/{org_id}/policies/{policy_kind}:preview · permiso organizations:write

Evalúa un objeto de configuración candidato sin guardarlo. El cuerpo es el mismo que para crear o reemplazar una política, y el servidor lo valida con las mismas reglas y el mismo control de plan, de modo que un candidato que PUT rechazaría se rechaza aquí con el mismo código de problema. No se escribe nada: ni política, ni entrada de auditoría, ni evento. La solicitud no admite If-Match ni Idempotency-Key, y la respuesta no incluye ETag.

La respuesta cuenta los usuarios a los que se aplica el candidato (basis users_in_scope), no los usuarios que serían bloqueados, con una excepción: phishing_resistant (véase más abajo). Las condiciones que solo se conocen al iniciar sesión, o que el servicio de políticas no tiene, no se filtran; not_evaluated las enumera para que el recuento nunca se interprete como mayor de lo que es.

Para phishing_resistant, el recuento y la muestra son los usuarios incluidos en el alcance que hoy no pueden iniciar sesión de forma resistente a phishing: usuarios sin una credencial WebAuthn activa (una clave de acceso, o una clave de seguridad usada como primer factor) que la lista de permitidos de AAGUID acepta. La lista de permitidos es la del candidato o, si está vacía, la del entorno; con una lista de permitidos, una credencial cuenta solo si su modelo aparece en ella y su atestación fue verificada. Las credenciales pendientes, revocadas o con sospecha de clonación no cuentan. credential_policy significa que el requisito de atestación del entorno, la regla de clave de acceso vinculada al dispositivo y el estado del modelo de autenticador no se aplican, por lo que el recuento puede ser menor que el número de usuarios que serían bloqueados. Cuando el alcance tiene más de 10.000 usuarios, la respuesta recurre a users_in_scope con passkey_enrollment. Si no se pueden leer los datos de credenciales, la solicitud falla con 503 y no se devuelve ningún recuento.

required_for none y mode off no cuentan a nadie. Un miembro activo es un miembro cuya membresía está activa y cuyo usuario no está bloqueado; cada usuario se cuenta una sola vez. admin_scope significa que admins se cuenta como todos los miembros, que es como lo aplica hoy el inicio de sesión. Los usuarios de otra organización u otro entorno nunca se cuentan.

Solicitud

Cuerpo de la solicitud:

{
  "settings": {
    "required_for": "all",
    "allowed_factors": [
      "totp",
      "webauthn"
    ],
    "enrollment_grace_days": 7
  }
}

Respuesta

200 OK. sample contiene como máximo 20 usuarios del conjunto contado, ordenados por ID, solo con el ID de usuario.

{
  "organization_id": "org_01j9xk3m7q8r2s4t6v8w0y2z4a",
  "policy_kind": "mfa",
  "basis": "users_in_scope",
  "affected_count": 2,
  "sample": [
    {
      "user_id": "usr_01j9xk3m7q8r2s4t6v8w0y2z4b"
    },
    {
      "user_id": "usr_01j9xk3m7q8r2s4t6v8w0y2z4c"
    }
  ],
  "not_evaluated": [
    "mfa_enrollment"
  ]
}

Errores

Ejemplo

curl -X POST https://api.eu.keenauth.com/v1/organizations/org_01j9xk3m7q8r2s4t6v8w0y2z4a/policies/mfa:preview \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -d '{"settings":{"required_for":"all","allowed_factors":["totp","webauthn"]}}'

keenauth organizations policies preview org_01j9xk3m7q8r2s4t6v8w0y2z4a mfa \
  --data '{"settings":{"required_for":"all","allowed_factors":["totp","webauthn"]}}'