keenauth_directory

El recurso keenauth_directory crea un directorio SCIM 2.0 para una organización. Un directorio es el endpoint al que el proveedor de identidad de la organización (Okta, Entra ID y otros) aprovisiona usuarios y grupos.

resource "keenauth_directory" "acme_okta" {
  organization_id = keenauth_organization.acme.id
  name            = "Okta"
  scim_host       = "acme.eu.keenauth.app"
}

output "scim_base_url" {
  value = keenauth_directory.acme_okta.base_url
}

base_url es https://<scim_host>/scim/v2/<id>. Entréguelo al proveedor de identidad junto con un token SCIM.

Cambios en el sitio y reemplazos

name y la configuración del directorio se modifican en el sitio. El proveedor envía un JSON merge patch con solo los campos modificados y el ETag de la última lectura como If-Match; si el directorio cambió fuera de esta configuración después de esa lectura, la API responde 412, no se cambia nada y debe ejecutar plan de nuevo. La API no acepta configuración al crear un directorio, por lo que la configuración que defina se aplica justo después de la creación, en el mismo apply.

Cambiar organization_id, scim_host o type reemplaza el directorio.

Un reemplazo elimina primero el directorio antiguo. Eliminar un directorio es inmediato e irreversible: sus tokens, usuarios aprovisionados, grupos, membresías de grupos y retenciones pendientes de desaprovisionamiento se eliminan con él, y las solicitudes SCIM del proveedor de identidad reciben 401. Un nuevo directorio tiene un nuevo ID y una nueva base URL, y el proveedor de identidad debe apuntar a él con un nuevo token.
Proteja un directorio que no pueda permitirse perder con lifecycle { prevent_destroy = true }.
Un directorio nuevo está inactive. El proveedor no lo activa ni lo desactiva (lo hacen keenauth directories activate y deactivate); state solo se lee.
Eliminar la organización elimina sus directorios. Un directorio eliminado fuera del proveedor se quita del estado y se vuelve a planificar.

Configuración

resource "keenauth_directory" "acme_okta" {
  organization_id = keenauth_organization.acme.id
  name            = "Okta"
  scim_host       = "acme.eu.keenauth.app"

  provisioning_mode   = "user_store"
  attribute_allowlist = ["title", "urn:ietf:params:scim:schemas:extension:enterprise:2.0:user:department"]
  delete_action       = "remove_membership"

  mass_deprovision_guard = {
    percent      = 20
    absolute_min = 50
  }
}

Configuración	Valores	Valor predeterminado
`provisioning_mode`	`user_store` (se escriben los usuarios del entorno, las membresías de la organización y los roles de grupo) o `mirror` (solo se conservan los registros del directorio)	`user_store`
`attribute_allowlist`	Hasta 40 atributos SCIM opcionales que se conservan en los usuarios del directorio: `title`, `usertype`, `phonenumbers` y las claves de la extensión enterprise	vacío
`unverified_domain_action`	`invite` o `mirror_only`, para un usuario cuyo dominio de correo electrónico no está verificado para la organización	`invite`
`delete_action`	`remove_membership` o `delete_user`, para un `DELETE /Users` de SCIM	`remove_membership`
`on_delete_memberships`	`keep`, `suspend` o `remove`, para las membresías procedentes del directorio cuando este se elimina	`keep`
`mass_deprovision_guard`	`enabled`, `percent` (de 5 a 50) y `absolute_min` (de 10 a 1000); los desaprovisionamientos que superen ambos límites en 5 minutos quedan retenidos a la espera de aprobación	activado, 10, 25
`send_welcome_email`	`true` o `false`: un correo de activación de cuenta para los nuevos usuarios del directorio	`false`

Una configuración que no defina conserva el valor del servidor, y quitar una configuración del archivo conserva su último valor. En mass_deprovision_guard, un campo que no defina conserva su valor.
Quitar una clave de attribute_allowlist elimina ese atributo de todos los registros de usuario del directorio en la misma actualización. Un conjunto vacío ([]) vacía la lista.
provisioning_mode no puede cambiar mientras el directorio tenga registros de usuario; la API responde 409.

Tokens SCIM

El token SCIM es un secreto. La API lo devuelve una sola vez, en la respuesta que crea el directorio, y ningún endpoint puede leerlo después. El proveedor nunca lo escribe en el estado, en un archivo de plan, en una salida ni en un registro. Para mantener esa garantía, y para que no exista ninguna credencial válida que nadie posea, el proveedor revoca de inmediato el token que devuelve la creación.

Cree el token para su proveedor de identidad con keenauth_directory_token. Este mantiene el token en el estado solo cifrado con su clave pública RSA, y usted lo descifra con su clave privada.

Si el proveedor no puede revocar el token inicial, el apply se completa igualmente y muestra una advertencia con el comando que lo revoca (keenauth directories tokens delete <directory_id> <token_id>).

Argumentos

scim_host es el host principal del entorno: su dominio personalizado activo; si no lo hay, <slug>.<region>.keenauth.app. Debe ser un nombre DNS en minúsculas que enrute a este entorno; de lo contrario, la API responde 422. La API no comprueba que sea el host principal, por lo que se acepta un dominio personalizado secundario.
name tiene de 1 a 64 caracteres, sin caracteres de control y sin espacios al principio ni al final. No necesita ser único.
type es scim y no puede ser otro valor en GA-1.
state, base_url, created_at, etag e id son de solo lectura. La API no devuelve scim_host, por lo que el proveedor lo deriva del host de base_url.

Importación

Importe por ID de directorio:

tofu import keenauth_directory.acme_okta dir_01j9zq3v8c5m2x7k4t6r1n0b3d