# Concedere accesso al supporto con keenauth support-access-grants

`keenauth support-access-grants` gestisce l'accesso a tempo limitato che concedi al personale di supporto di KeenAuth per un ambiente. Una concessione ha un ambito, una durata da 1 a 72 ore e il riferimento del tuo ticket di supporto. Non può essere modificata; puoi solo revocarla. Ogni utilizzo di una concessione da parte del personale viene registrato nel log di audit dell'ambiente.

## Chi può concedere l'accesso

Creare e revocare una concessione richiede una sessione `keenauth login` di un utente della dashboard con il ruolo `owner` o `admin`, e una conferma di step-up negli ultimi 300 secondi. Una chiave API o un client macchina ottiene `403 insufficient_permissions`; la CLI stampa l'errore e termina con codice 3. Elencare e leggere le concessioni richiede solo l'autorizzazione `support-access-grants:read`.

## Comandi

```sh
keenauth support-access-grants list --status active
keenauth support-access-grants get sag_01j9z3k4m5n6p7q8r9s0t1v2w3
keenauth support-access-grants create --data @grant.json
keenauth support-access-grants delete sag_01j9z3k4m5n6p7q8r9s0t1v2w3 --yes
```

`create` legge il corpo della richiesta da `--data` (`@file.json`, oppure `-` per lo standard input):

```json
{
  "scope": "read",
  "duration_hours": 24,
  "ticket_ref": "SUP-1234",
  "allowed_regions_of_staff": ["eu"]
}
```

| Campo | Descrizione |
|---|---|
| `scope` | `read` (sola lettura) oppure `read_write_config` (modifiche di configurazione; il personale non scrive mai i dati degli utenti). |
| `duration_hours` | Da 1 a 72. |
| `ticket_ref` | Il riferimento del tuo ticket di supporto: da 1 a 200 caratteri ASCII stampabili, senza spazi iniziali o finali. |
| `allowed_regions_of_staff` | Facoltativo, solo piano Enterprise: `eu`, `us`. Limita l'accesso al personale che si trova in queste regioni. |

`delete` revoca la concessione prima della scadenza. Chiede conferma; senza un terminale devi passare `--yes`, altrimenti il comando termina con codice 2. Revocare una concessione già revocata o scaduta non modifica nulla e ha esito positivo.

Vedi il riferimento API per [create](/docs/api/management/support-access-grants/create) e [delete](/docs/api/management/support-access-grants/delete).