Promuovere la configurazione con keenauth config promote

keenauth config promote copia la configurazione di un ambiente in un altro, per esempio da staging a production. Esegue gli stessi passaggi che eseguiresti a mano con config export, config plan e config apply, senza scrivere il documento su un file:

1. Esporta il documento di configurazione dell'ambiente --from.
2. Crea un piano per quel documento nell'ambiente --to.
3. Stampa il diff: + creazioni, ~ aggiornamenti, - eliminazioni; le risorse invariate vengono solo contate.
4. Applica il piano dopo la tua conferma.

I due ambienti possono trovarsi in regioni diverse. Le regioni non si chiamano mai tra loro: il documento passa dalla tua macchina, solo in memoria.

Prima di iniziare

Il comando usa il tuo accesso alla dashboard, perché serve accedere a entrambi gli ambienti. Accedi con keenauth login (vedi Accedere con keenauth login); ti serve un ruolo nella dashboard in entrambi gli ambienti che consenta di leggere la configurazione dell'origine e di scrivere quella della destinazione. Una chiave API appartiene a un solo ambiente, quindi il comando si rifiuta di essere eseguito mentre KEENAUTH_API_KEY è impostato ed esce con codice 2.

Utilizzo

keenauth config promote --from env_01j9z3k4m5n6p7q8r9s0t1stg0 --to env_01j9z3k4m5n6p7q8r9s0t1prd0

In un terminale (table), il diff viene stampato su stdout, la domanda su stderr e, dopo l'applicazione, una riga con l'ID del piano, il suo stato e il numero di modifiche. Con json o yaml, il diff va su stderr e stdout contiene solo il piano applicato, così uno script può leggerlo. Se la destinazione è già uguale all'origine, il comando stampa nothing to promote e non applica nulla.

Quando lo standard input non è un terminale e manca --yes, il comando esce con codice 2 prima di inviare qualsiasi richiesta.

I segreti non vengono mai promossi

Il documento esportato non contiene mai un valore segreto: il client secret di una connessione appare come un segnaposto secret_ref (per esempio KEENAUTH_CONNECTION_GOOGLE_CLIENT_SECRET). Una modifica nella destinazione che richiede un segreto viene mostrata con [needs a client secret].

Un piano del genere non viene applicato a meno che tu non fornisca tu stesso il segreto: imposta la variabile d'ambiente indicata nell'errore ed esegui di nuovo il comando con --secrets-from-env. Il valore viene letto dal tuo ambiente locale e inviato solo nel body della richiesta di applicazione. Non viene mai stampato, mai scritto su un file e mai letto dall'ambiente di origine.

export KEENAUTH_CONNECTION_GOOGLE_CLIENT_SECRET=...   # the production client secret
keenauth config promote --from env_01j9z3k4m5n6p7q8r9s0t1stg0 --to env_01j9z3k4m5n6p7q8r9s0t1prd0 --secrets-from-env

Connessioni OIDC enterprise e social

Le impostazioni OIDC di una connessione enterprise (spec.oidc: issuer, client ID, metodo di autenticazione del client e profilo del provider) vengono promosse insieme alla connessione. Quando la destinazione non ha ancora queste impostazioni, l'applicazione le crea e fissa la callback URL dall'host della destinazione, quindi passa --sp-host con l'host su cui i tuoi utenti accedono nell'ambiente di destinazione. L'host non fa parte del documento, perché differisce tra gli ambienti.

Il client secret di una connessione social non può ancora essere applicato da un piano: quando il piano ne richiede uno, l'applicazione viene rifiutata con 501 not_implemented anche con --secrets-from-env, e non viene modificato nulla. Promuovi gli altri tipi con --kinds, oppure escludi la connessione social dall'origine finché non sarà supportata.

Errori

Il piano è valido per un'ora. Se una risorsa della destinazione cambia tra la creazione del piano e l'applicazione, l'applicazione viene rifiutata con 409 config_conflict e non viene modificato nulla; esegui di nuovo il comando. Gli altri errori di applicazione sono uguali a quelli di config apply.

Codici di uscita