# Accorder un accès au support avec keenauth support-access-grants

`keenauth support-access-grants` gère l'accès limité dans le temps que vous accordez au personnel du support KeenAuth pour un environnement. Un octroi a une portée, une durée de 1 à 72 heures et la référence de votre ticket de support. Il n'est jamais modifié ; vous pouvez seulement le révoquer. Chaque utilisation d'un octroi par le personnel est consignée dans le journal d'audit de l'environnement.

## Qui peut accorder l'accès

La création et la révocation d'un octroi nécessitent une session `keenauth login` d'un utilisateur du tableau de bord ayant le rôle `owner` ou `admin`, ainsi qu'une confirmation renforcée dans les 300 dernières secondes. Une clé d'API ou un client machine obtient `403 insufficient_permissions` ; la CLI affiche l'erreur et se termine avec le code 3. La liste et la lecture des octrois nécessitent seulement l'autorisation `support-access-grants:read`.

## Commandes

```sh
keenauth support-access-grants list --status active
keenauth support-access-grants get sag_01j9z3k4m5n6p7q8r9s0t1v2w3
keenauth support-access-grants create --data @grant.json
keenauth support-access-grants delete sag_01j9z3k4m5n6p7q8r9s0t1v2w3 --yes
```

`create` lit le corps de la requête depuis `--data` (`@file.json`, ou `-` pour l'entrée standard) :

```json
{
  "scope": "read",
  "duration_hours": 24,
  "ticket_ref": "SUP-1234",
  "allowed_regions_of_staff": ["eu"]
}
```

| Champ | Description |
|---|---|
| `scope` | `read` (lecture seule) ou `read_write_config` (modifications de configuration ; le personnel n'écrit jamais de données utilisateur). |
| `duration_hours` | De 1 à 72. |
| `ticket_ref` | Référence de votre ticket de support : de 1 à 200 caractères ASCII imprimables, sans espace en début ou en fin. |
| `allowed_regions_of_staff` | Facultatif, forfait Enterprise uniquement : `eu`, `us`. Limite l'accès au personnel situé dans ces régions. |

`delete` révoque l'octroi avant son expiration. La commande demande une confirmation ; sans terminal, vous devez passer `--yes`, sinon elle se termine avec le code 2. Révoquer un octroi déjà révoqué ou expiré ne modifie rien et réussit.

Voir la référence de l'API pour [créer](/docs/api/management/support-access-grants/create) et [supprimer](/docs/api/management/support-access-grants/delete).