keenauth_role

El recurso keenauth_role gestiona un rol del entorno y su conjunto completo de permisos. Un rol que pertenece a una organización es otro recurso, keenauth_organization_role. La fuente de datos keenauth_role lee un rol por id o key.

resource "keenauth_permission" "invoices_read" {
  api_id = "api_01j9zq3v8c5m2x7k4t6r1n0b3d"
  value  = "invoices:read"
}

resource "keenauth_role" "billing" {
  key         = "billing"
  name        = "Billing"
  description = "Invoices and payment methods."

  permission_ids = [keenauth_permission.invoices_read.id]
}

data "keenauth_role" "billing" {
  key = "billing"
}

Ciclo de vida

• key es única en el entorno, aparece en la reclamación org_roles y no puede cambiarse: una nueva clave reemplaza el rol.
• name tiene de 1 a 128 caracteres y description como máximo 1024. Ninguno puede empezar ni terminar con espacios en blanco, porque la API los recorta.
• permission_ids es el conjunto completo (como máximo 500). Se escribe con una solicitud separada tras los campos del rol; si esa solicitud falla al crear, el rol queda en el estado como contaminado y se reemplaza en el siguiente apply. Un permiso añadido o quitado en otro lugar se revierte con el siguiente apply.
• is_privileged marca un rol privilegiado. En autoservicio, solo un administrador que tenga el rol de administrador de la organización puede asignarlo, y un mapeo de grupo externo hacia él requiere roles:write y una aprobación. Hacer privilegiado un rol existente deja sin aprobar sus mapeos de grupo hasta que se aprueben. El valor predeterminado es false; al importar un rol privilegiado, escriba is_privileged = true explícitamente, de lo contrario el siguiente apply lo dejará no privilegiado.
• Las actualizaciones y eliminaciones envían If-Match con el ETag leído por última vez. Si el rol cambió después de crear el plan, la API responde 412 y nada cambia; ejecute plan de nuevo.
• Con force_destroy = true, también se elimina un rol asignado y sus asignaciones se quitan en la misma solicitud; de lo contrario, eliminar un rol asignado falla con 409 role_in_use. Un rol usado como rol de administrador o de miembro predeterminado de una organización no puede eliminarse en absoluto. Cambiar solo force_destroy no envía ninguna solicitud.
• Las asignaciones de roles a usuarios y las membresías no son recursos. Son datos personales y nunca se incluyen en el estado; gestiónelas con la API, la CLI o el panel.

Importación

Importe por clave o por ID:

tofu import keenauth_role.billing billing
tofu import keenauth_role.billing rol_01j9zq3v8c5m2x7k4t6r1n0b3d