Exporter la configuration

GET /v1/config-export · autorisation config:read et autorisation de lecture de chaque type exporté

Renvoie la configuration de l'environnement sous la forme d'un document indépendant de l'environnement, afin que vous puissiez le relire, le conserver dans un système de gestion de versions ou l'appliquer ultérieurement à un autre environnement. Le document ne contient ni identifiants, ni versions, ni horodatages, ni secrets propres à l'environnement : les ressources se réfèrent les unes aux autres par key. Une même configuration produit toujours un document identique octet pour octet (types dans l'ordre ci-dessous, puis par key ; listes d'ensembles triées). La réponse est au format JSON, qui est aussi un YAML valide ; keenauth config export affiche le YAML par défaut.

Requête

L'environnement provient de l'identifiant d'accès. Le seul paramètre de requête est facultatif.

api, role et application nécessitent également les autorisations des types auxquels ils renvoient, car les références sont résolues vers leurs key. config:read seul n'accorde aucune lecture de ressource.

Réponse

Réponse 200 OK avec Cache-Control: no-store.

• Les références utilisent des key : application.default_api, application.connections (l'ordre des boutons est conservé), application.api_grants[].api et api.introspection_applications.
• Une connexion OIDC d'entreprise transporte son matériel de fédération sous la forme oidc (issuer, client_id, client_auth_method, provider_profile) ; l'URI de redirection, l'hôte SP et le secret lui-même sont propres à l'environnement et ne sont pas exportés, et oidc vaut null lorsque aucun matériel n'a encore été écrit. Dans un document que vous appliquez, oidc: null laisse le matériel inchangé. L'identifiant de locataire Entra n'est pas lisible ; une connexion avec le profil entra ne peut donc pas encore être gérée par le document.
• Les valeurs secrètes ne sont jamais exportées. Un secret que vous avez fourni à KeenAuth (le client_secret d'une connexion sociale ou OIDC d'entreprise) apparaît sous la forme d'un espace réservé, {"secret_ref": {"source": "env", "name": "KEENAUTH_CONNECTION_<KEY>_CLIENT_SECRET"}} ; la CLI lit la valeur à partir de cette variable d'environnement lorsque le document est appliqué. Les autres connexions ont "client_secret": null. Les secrets émis par KeenAuth (secrets client des applications, clés d'API, secrets de signature des webhooks) et les clés privées ne sont pas du tout exportés ; l'environnement cible émet les siens. jwks ne contient que des clés publiques.
• L'API système intégrée n'est pas exportée ; elle existe dans chaque environnement. Les applications détenues par l'organisation et les applications enregistrées par le client lui-même (Dynamic Client Registration, Client ID Metadata Document) ne sont pas non plus exportées ; chacune est listée dans warnings avec le code resource_skipped.
• Une référence qui ne peut pas être résolue (par exemple vers une application ignorée) est retirée du document et listée dans warnings avec le code reference_dropped et un pointer JSON.
• attack_protection correspond à l'objet que vous avez écrit avec Remplacer la protection contre les attaques, et non aux valeurs effectives. Chaque section et chaque champ sont écrits ; null signifie non défini, de sorte que l'environnement cible applique ses propres valeurs par défaut, ses seuils de sécurité minimaux et son offre. Une promotion ne fige donc jamais les valeurs par défaut de la source. Lorsque l'offre de l'environnement cible ne comprend pas un paramètre écrit (par exemple risk_policy.mode: enforce), l'application du plan échoue avec 403 plan_feature_unavailable et rien n'est écrit.
• role est un rôle d'environnement : name, description, is_privileged, assignable_in_self_service et permissions, chaque autorisation étant écrite sous la forme {"api": "<API key>", "value": "<permission value>"} (les identifiants sont propres à l'environnement, ils n'apparaissent donc jamais). Les rôles intégrés admin et member sont en lecture seule : ils ne sont pas exportés et sont listés dans warnings avec le code resource_skipped et la raison system_role ; un document ne peut ni créer, ni modifier, ni supprimer ces rôles (422, key_in_use). Les rôles d'organisation sont des données et non de la configuration ; ils ne sont pas exportés. Un rôle peut faire référence aux autorisations de l'API système intégrée. La suppression d'un rôle encore attribué échoue ; retirez-le d'abord.
• branding correspond au thème en brouillon, au CSS personnalisé et au modèle de page de l'environnement ; application_branding est le thème en brouillon d'une application et n'apparaît que pour les applications qui en possèdent un. Les surcharges de textes et les thèmes d'organisation ne sont pas encore exportés.
• Si deux espaces réservés finissent par avoir le même nom de variable (clés ne différant que par - et _), les deux ressources sont listées dans warnings avec le code secret_ref_name_shared ; renommez l'une des variables dans votre fichier.
• Le schéma JSON du document est publié à https://docs.keenauth.com/config/schema/v1.json ; indiquez-le à votre éditeur pour la complétion et la validation.

{
  "apiVersion": "config.keenauth.com/v1",
  "kinds": ["connection", "api", "application"],
  "resources": [
    {"kind": "connection", "key": "db", "spec": {"type": "database", "strategy": "password", "name": "db", "display_name": null, "status": "active", "settings": {}, "client_secret": null}},
    {"kind": "api", "key": "orders", "spec": {"identifier": "https://api.example.com/orders", "name": "Orders", "access_token_lifetime_s": 3600, "token_format": "jwt", "rbac_mode": "off", "allow_offline_access": false, "require_resource_indicator": false, "dpop_required": false, "mcp_profile": false, "first_party_access": "all", "introspection_applications": [], "permissions": [{"value": "orders:read", "display_name": null, "description": null, "consent_text_i18n": {}, "sensitivity": "normal"}]}},
    {"kind": "application", "key": "web", "spec": {"name": "Web", "app_type": "spa", "default_api": "orders", "connections": ["db"], "api_grants": [{"api": "orders", "scopes": ["orders:read"], "default_scopes": []}], "redirect_uris": ["https://app.example.com/callback"]}}
  ],
  "warnings": [
    {"code": "resource_skipped", "kind": "application", "key": "partner-bot", "reason": "organization_owned"}
  ]
}

La spécification application ci-dessus est abrégée ; la liste complète des champs figure dans la référence de l'API.

Erreurs

Exemple

curl "https://api.eu.keenauth.com/v1/config-export?kinds=connection,api,application" \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY"

keenauth config export --kinds connection,api,application > keenauth.yaml