keenauth_api_key

El recurso keenauth_api_key registra una clave de la API de administración y la revoca al destruirlo.

Por qué el proveedor no crea claves

La API devuelve la clave en texto plano solo una vez, en la respuesta que la crea. Una clave creada por el proveedor se perdería o habría que escribirla en el archivo de estado. Por eso el proveedor nunca crea claves de API y nunca ve ni almacena la clave en texto plano. Un plan que crearía una clave falla en la fase de plan.

Crea con la CLI y luego importa

1. Crea la clave con keenauth api-keys create.
2. Guarda la clave en texto plano en tu gestor de secretos, por ejemplo Vault o un gestor de secretos de la nube.
3. Importa la clave por su ID:

import {
  to = keenauth_api_key.ci
  id = "key_01j9zq3v8c5m2x7k4t6r1n0b3d"
}

resource "keenauth_api_key" "ci" {
  name        = "ci"
  type        = "restricted"
  permissions = ["applications:read", "users:read"]
  expires_at  = "2027-01-31T00:00:00Z"
}

Nunca pases la clave en texto plano como ID de importación.

Las claves no se pueden cambiar

Todos los atributos son opcionales. Si defines uno, debe coincidir con la clave; escribe expires_at en UTC con Z y en segundos enteros. Para cambiar una clave, crea una nueva con la CLI (o rótala con keenauth api-keys rotate), importa la nueva clave y elimina el recurso anterior.

Qué ocurre con el tiempo

• tofu destroy (o eliminar el recurso) revoca la clave.
• Una clave revocada o caducada se elimina del estado en el siguiente refresh.
• El estado no contiene la clave en texto plano, los últimos cuatro caracteres, el prefijo de la IP del último uso ni el creador.