Proveedor de OpenTofu y Terraform

El proveedor keenauth/keenauth gestiona la configuración de un entorno de KeenAuth como código. Llama a la API de gestión, usa el protocolo de plugins 6 y funciona con OpenTofu y Terraform. Todavía no se publica en un registro de proveedores.

Autenticación y destino

El proveedor gestiona el entorno al que pertenece su credencial. Para gestionar varios entornos, configure un alias de proveedor por entorno. Se autentica de exactamente una de dos formas: con una clave de API de gestión o sin clave, como una management application con private_key_jwt. Definir ambas es un error.

terraform {
  required_providers {
    keenauth = { source = "keenauth/keenauth" }
  }
}

provider "keenauth" {
  region = "eu"
}

Autenticación sin clave con private_key_jwt

1. Cree una aplicación con app_type = "management" y un registro keenauth_management_client con los permisos que necesite la configuración.
2. Registre la clave pública de un par de claves en la aplicación (POST /v1/applications/{application_id}/credentials con type: public_key, la CLI o el panel).
3. Proporcione al proveedor el ID de la aplicación, la clave privada y el emisor:

export KEENAUTH_CLIENT_ID="app_..."
export KEENAUTH_PRIVATE_KEY="$(cat ops-automation.pk8.pem)"
export KEENAUTH_ISSUER="https://acme.eu.keenauth.app"
tofu plan

Para cada token de gestión, el proveedor firma una aserción de cliente (RFC 7523) válida durante 60 segundos: iss y sub son el ID de cliente, aud es el emisor, jti es aleatorio y kid es la huella RFC 7638 de la clave. Intercambia la aserción mediante la concesión client_credentials por un token de 10 minutos y obtiene uno nuevo un minuto antes de que expire el anterior. El token nunca puede tener más permisos que el registro keenauth_management_client de la aplicación. Los endpoints que solo aceptan una clave de API, como los clientes de gestión, necesitan un alias de proveedor configurado con api_key.

Recursos

resource "keenauth_connection" "google" {
  key      = "google"
  type     = "social"
  strategy = "google"
  name     = "google"
  status   = "active"
  settings = jsonencode({ scopes = ["openid", "email", "profile"] })
}

resource "keenauth_application" "storefront" {
  key            = "storefront"
  name           = "Storefront"
  app_type       = "web"
  party          = "first_party"
  redirect_uris  = ["https://shop.example.com/callback"]
  connection_ids = [keenauth_connection.google.id]
}

Importación

Las aplicaciones y las conexiones se pueden importar por su key o su ID, un dominio personalizado por su nombre de host o su ID, y una clave de API por su ID:

tofu import keenauth_application.storefront storefront
tofu import keenauth_connection.google conn_01j9zq3v8c5m2x7k4t6r1n0b3d
tofu import keenauth_custom_domain.login login.example.com

La configuración del entorno, la protección frente a ataques y el borrador de marca existen una vez por entorno; impórtelos con los ID fijos environment-settings, attack-protection y branding. Destruir uno de ellos solo lo elimina del estado.

Cambios seguros

• Una creación envía un Idempotency-Key, de modo que una creación reintentada nunca genera un segundo objeto.
• Una actualización o eliminación envía If-Match con el último ETag leído. Si alguien cambió el objeto después de crear el plan, la API responde 412 y nada cambia. Ejecute plan de nuevo.
• Un cambio hecho en el panel aparece en el siguiente plan como desviación, y apply lo revierte. Un objeto eliminado fuera del proveedor se quita del estado y se vuelve a crear.
• Una actualización envía solo los campos modificados como JSON merge patch (RFC 7396).

Secretos

Ningún recurso almacena un secreto en texto plano en el estado. Los secretos que entrega a KeenAuth son argumentos de solo escritura (*_wo): el proveedor los envía pero nunca los escribe en los archivos de estado o de plan, y los vuelve a enviar solo cuando cambia su *_wo_version. Necesitan OpenTofu o Terraform 1.11 o posterior. Hoy se trata del secreto de cliente de una conexión OIDC empresarial (keenauth_connection_oidc_config). Los secretos de cliente de las aplicaciones y las claves de firma no los gestiona esta versión del proveedor; créelos y rótelos en el panel o con la CLI. Los secretos que genera KeenAuth no pueden ser de solo escritura, porque un argumento de solo escritura solo transporta un valor desde la configuración hacia el proveedor. El proveedor nunca crea claves de API, porque la clave en bruto terminaría en el estado: cree una clave con la CLI, guárdela en su gestor de secretos e impórtela en keenauth_api_key por su ID. La API muestra el token SCIM de un directorio una sola vez, así que el proveedor revoca el token que devuelve la creación de un directorio y nunca lo conserva; keenauth_directory_token crea el token para su proveedor de identidad y lo guarda en el estado solo cifrado con su clave pública RSA. keenauth_webhook_endpoint guarda el secreto de firma del webhook de la misma forma, solo cifrado con su public_key, y lo descarta cuando no se indica ninguna clave. Los settings de una conexión no deben contener secretos; la API rechaza los ajustes con apariencia de secreto.

Límites de esta versión

• Se gestionan las aplicaciones, las conexiones y su configuración OIDC, la configuración del entorno, la protección frente a ataques, el tema del entorno del borrador de marca, los dominios personalizados, las claves de API (solo importación), las organizaciones, los roles y permisos, los dominios de organización, las políticas de sesión y MFA de organización, las plantillas de correo, los clientes de gestión, los directorios SCIM, sus asignaciones de grupo a rol, los tokens SCIM (cifrados con su clave pública) y los endpoints de webhook. Los hooks, los log streams y las plantillas de SMS llegarán en versiones posteriores.
• El proveedor no publica la marca; publique el borrador en el panel o con keenauth branding publish.
• Los campos opcionales con un valor predeterminado del servidor (por ejemplo grant_types) conservan su último valor cuando los quita de la configuración.
• Las descripciones del esquema y los mensajes de error están en inglés.