Politiques de session et MFA d'organisation

Les ressources keenauth_session_policy et keenauth_mfa_policy définissent les durées de session et les règles d'authentification multifacteur propres à une organisation. Une politique d'organisation ne peut être que plus stricte que le paramètre de l'environnement (keenauth_environment_settings). Une valeur moins stricte échoue avec 422 policy_weaker_than_parent.

resource "keenauth_session_policy" "acme" {
  organization_id   = keenauth_organization.acme.id
  idle_minutes      = 60
  absolute_minutes  = 720
  refresh_idle_days = 7
}

resource "keenauth_mfa_policy" "acme" {
  organization_id       = keenauth_organization.acme.id
  required_for          = "admins"
  allowed_factors       = ["webauthn", "totp"]
  enrollment_grace_days = 7
}

Politique de session

Attribut	Plage	Description
`idle_minutes`	5–144000	Délai d'inactivité de la session. Au plus `absolute_minutes`.
`absolute_minutes`	60–525600	Durée absolue de la session.
`refresh_idle_days`	1–365	Durée d'inactivité du jeton d'actualisation. Au plus `refresh_absolute_days`.
`refresh_absolute_days`	1–365	Durée absolue du jeton d'actualisation.

Définissez au moins un attribut. Un attribut omis est hérité de l'environnement.
Raccourcir une durée met fin au contexte d'organisation des sessions existantes.
La politique de session nécessite le plan Enterprise (403 plan_feature_unavailable). Elle est ouverte dans les environnements de développement.

Politique MFA

Attribut	Valeurs	Description
`required_for`	`none`, `admins`, `all`	Qui doit utiliser un second facteur. `admins` couvre les rôles d'administrateur de l'organisation et les membres ayant des permissions système `idp_`.
`allowed_factors`	`totp`, `webauthn`, `sms`, `email`	Seconds facteurs que les membres peuvent utiliser. Au moins un ; chacun doit être activé dans l'environnement.
`enrollment_grace_days`	0–30	Nombre de jours pendant lesquels un membre peut se connecter avant d'enregistrer un facteur requis. Valeur par défaut : `0`.

Cycle de vie

Une organisation a une politique de chaque type. L'ID de la ressource est l'ID de l'organisation.
Chaque écriture envoie la politique complète. Une création n'écrase pas une politique existante : si l'organisation en a déjà une (définie dans le tableau de bord ou le portail d'administration), l'API répond 428 et vous devez l'importer.
Les mises à jour et suppressions envoient If-Match. Une politique modifiée hors du fournisseur apparaît comme dérive au prochain plan ; une politique supprimée hors du fournisseur est recréée.
Supprimer la ressource supprime la politique, et l'organisation hérite de nouveau du paramètre de l'environnement.

Import

Importez avec l'ID de l'organisation :

tofu import keenauth_session_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d
tofu import keenauth_mfa_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d