Prévisualiser une politique d'organisation

POST /v1/organizations/{org_id}/policies/{policy_kind}:preview · autorisation organizations:write

Évalue un objet de paramètres candidat sans l'enregistrer. Le corps est le même que pour créer ou remplacer une politique, et le serveur le vérifie avec les mêmes règles et le même contrôle de forfait ; un candidat que PUT rejetterait est donc rejeté ici avec le même code de problème. Rien n'est écrit : ni politique, ni entrée d'audit, ni événement. La requête ne prend ni If-Match ni Idempotency-Key, et la réponse ne contient aucun ETag.

La réponse compte les utilisateurs auxquels le candidat s'applique (basis users_in_scope), et non les utilisateurs qui seraient bloqués, avec une exception : phishing_resistant (voir ci-dessous). Les conditions connues seulement à la connexion, ou que le service de politique ne détient pas, ne sont pas filtrées ; not_evaluated les liste afin que le nombre ne soit jamais lu comme plus élevé qu'il ne l'est.

Pour phishing_resistant, le nombre et l'échantillon désignent les utilisateurs concernés qui ne peuvent pas aujourd'hui se connecter de manière résistante au hameçonnage : utilisateurs sans identifiant WebAuthn actif (une clé d'accès, ou une clé de sécurité utilisée comme premier facteur) que la liste d'AAGUID accepte. La liste est celle du candidat, ou celle de l'environnement lorsque celle du candidat est vide ; avec une liste, un identifiant ne compte que si son modèle y figure et si son attestation a été vérifiée. Les identifiants en attente, révoqués ou suspectés de clonage ne comptent pas. credential_policy signifie que l'exigence d'attestation de l'environnement, la règle de passkey liée à l'appareil et le statut du modèle d'authentificateur ne sont pas appliqués ; le nombre peut donc être inférieur au nombre d'utilisateurs qui seraient bloqués. Lorsque le périmètre compte plus de 10 000 utilisateurs, la réponse bascule sur users_in_scope avec passkey_enrollment. Si les données d'identifiants ne peuvent pas être lues, la requête échoue avec 503 et aucun nombre n'est renvoyé.

required_for none et mode off ne comptent personne. Un membre actif est un membre dont l'adhésion est active et dont l'utilisateur n'est pas bloqué ; chaque utilisateur n'est compté qu'une fois. admin_scope signifie que admins est compté comme l'ensemble des membres, comme l'applique aujourd'hui la connexion. Les utilisateurs d'une autre organisation ou d'un autre environnement ne sont jamais comptés.

Requête

Corps de la requête :

{
  "settings": {
    "required_for": "all",
    "allowed_factors": [
      "totp",
      "webauthn"
    ],
    "enrollment_grace_days": 7
  }
}

Réponse

200 OK. sample contient au plus 20 utilisateurs de l'ensemble compté, triés par identifiant, avec l'identifiant utilisateur uniquement.

{
  "organization_id": "org_01j9xk3m7q8r2s4t6v8w0y2z4a",
  "policy_kind": "mfa",
  "basis": "users_in_scope",
  "affected_count": 2,
  "sample": [
    {
      "user_id": "usr_01j9xk3m7q8r2s4t6v8w0y2z4b"
    },
    {
      "user_id": "usr_01j9xk3m7q8r2s4t6v8w0y2z4c"
    }
  ],
  "not_evaluated": [
    "mfa_enrollment"
  ]
}

Erreurs

Exemple

curl -X POST https://api.eu.keenauth.com/v1/organizations/org_01j9xk3m7q8r2s4t6v8w0y2z4a/policies/mfa:preview \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY" \
  -H "Content-Type: application/json" \
  -d '{"settings":{"required_for":"all","allowed_factors":["totp","webauthn"]}}'

keenauth organizations policies preview org_01j9xk3m7q8r2s4t6v8w0y2z4a mfa \
  --data '{"settings":{"required_for":"all","allowed_factors":["totp","webauthn"]}}'