Políticas de sesión y MFA de la organización

Los recursos keenauth_session_policy y keenauth_mfa_policy establecen las duraciones de sesión y las reglas de autenticación multifactor propias de una organización. Una política de organización solo puede ser más estricta que la configuración del entorno (keenauth_environment_settings). Un valor menos estricto falla con 422 policy_weaker_than_parent.

resource "keenauth_session_policy" "acme" {
  organization_id   = keenauth_organization.acme.id
  idle_minutes      = 60
  absolute_minutes  = 720
  refresh_idle_days = 7
}

resource "keenauth_mfa_policy" "acme" {
  organization_id       = keenauth_organization.acme.id
  required_for          = "admins"
  allowed_factors       = ["webauthn", "totp"]
  enrollment_grace_days = 7
}

Política de sesión

Atributo	Rango	Descripción
`idle_minutes`	5–144000	Tiempo de espera por inactividad de la sesión. Como máximo `absolute_minutes`.
`absolute_minutes`	60–525600	Duración absoluta de la sesión.
`refresh_idle_days`	1–365	Duración por inactividad del token de actualización. Como máximo `refresh_absolute_days`.
`refresh_absolute_days`	1–365	Duración absoluta del token de actualización.

Establezca al menos un atributo. Un atributo omitido se hereda del entorno.
Acortar una duración finaliza el contexto de organización de las sesiones existentes.
La política de sesión requiere el plan Enterprise (403 plan_feature_unavailable). Está abierta en entornos de desarrollo.

Política MFA

Atributo	Valores	Descripción
`required_for`	`none`, `admins`, `all`	Quién debe usar un segundo factor. `admins` abarca los roles de administrador de la organización y los miembros con permisos de sistema `idp_`.
`allowed_factors`	`totp`, `webauthn`, `sms`, `email`	Segundos factores que los miembros pueden usar. Al menos uno; cada uno debe estar habilitado en el entorno.
`enrollment_grace_days`	0–30	Días en los que un miembro puede iniciar sesión antes de registrar un factor obligatorio. Predeterminado: `0`.

Ciclo de vida

Una organización tiene una política de cada tipo. El ID del recurso es el ID de la organización.
Cada escritura envía la política completa. Una creación no sobrescribe una política existente: si la organización ya tiene una (definida en el panel o en el portal de administración), la API responde 428 y debe importarla.
Las actualizaciones y eliminaciones envían If-Match. Una política modificada fuera del proveedor aparece como desviación en el siguiente plan; una política eliminada fuera del proveedor se vuelve a crear.
Eliminar el recurso borra la política, y la organización vuelve a heredar la configuración del entorno.

Importación

Importe con el ID de la organización:

tofu import keenauth_session_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d
tofu import keenauth_mfa_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d