# Dar acceso de soporte con keenauth support-access-grants

`keenauth support-access-grants` gestiona el acceso limitado en el tiempo que usted concede al personal de soporte de KeenAuth para un entorno. Una concesión tiene un ámbito, una duración de 1 a 72 horas y la referencia de su ticket de soporte. Nunca se edita; solo puede revocarse. Cada uso de una concesión por parte del personal se registra en el registro de auditoría del entorno.

## Quién puede conceder acceso

Crear y revocar una concesión requiere una sesión `keenauth login` de un usuario del panel con el rol `owner` o `admin`, y una confirmación de elevación en los últimos 300 segundos. Una clave de API o un cliente de máquina obtiene `403 insufficient_permissions`; la CLI muestra el error y termina con el código 3. Listar y leer concesiones solo requiere el permiso `support-access-grants:read`.

## Comandos

```sh
keenauth support-access-grants list --status active
keenauth support-access-grants get sag_01j9z3k4m5n6p7q8r9s0t1v2w3
keenauth support-access-grants create --data @grant.json
keenauth support-access-grants delete sag_01j9z3k4m5n6p7q8r9s0t1v2w3 --yes
```

`create` lee el cuerpo de la solicitud desde `--data` (`@file.json`, o `-` para la entrada estándar):

```json
{
  "scope": "read",
  "duration_hours": 24,
  "ticket_ref": "SUP-1234",
  "allowed_regions_of_staff": ["eu"]
}
```

| Campo | Descripción |
|---|---|
| `scope` | `read` (solo lectura) o `read_write_config` (cambios de configuración; el personal nunca escribe datos de usuario). |
| `duration_hours` | De 1 a 72. |
| `ticket_ref` | Referencia de su ticket de soporte: de 1 a 200 caracteres ASCII imprimibles, sin espacios al inicio ni al final. |
| `allowed_regions_of_staff` | Opcional, solo plan Enterprise: `eu`, `us`. Limita el acceso al personal ubicado en estas regiones. |

`delete` revoca la concesión antes de que venza. Pide confirmación; sin terminal debe pasar `--yes`, de lo contrario el comando termina con el código 2. Revocar una concesión que ya está revocada o vencida no cambia nada y tiene éxito.

Consulte la referencia de la API para [crear](/docs/api/management/support-access-grants/create) y [eliminar](/docs/api/management/support-access-grants/delete).