keenauth_api_key

La risorsa keenauth_api_key tiene traccia di una chiave dell'API di gestione e la revoca alla distruzione.

Perché il provider non crea le chiavi

L'API restituisce la chiave in chiaro una sola volta, nella risposta che la crea. Una chiave creata dal provider andrebbe persa oppure dovrebbe essere scritta nel file di stato. Il provider quindi non crea mai chiavi API e non vede né memorizza mai la chiave in chiaro. Un piano che creerebbe una chiave fallisce già in fase di piano.

Crea con la CLI, poi importa

1. Crea la chiave con keenauth api-keys create.
2. Salva la chiave in chiaro nel tuo gestore di segreti, per esempio Vault o un gestore di segreti del cloud.
3. Importa la chiave tramite il suo ID:

import {
  to = keenauth_api_key.ci
  id = "key_01j9zq3v8c5m2x7k4t6r1n0b3d"
}

resource "keenauth_api_key" "ci" {
  name        = "ci"
  type        = "restricted"
  permissions = ["applications:read", "users:read"]
  expires_at  = "2027-01-31T00:00:00Z"
}

Non passare mai la chiave in chiaro come ID di importazione.

Le chiavi non si possono modificare

Tutti gli attributi sono facoltativi. Se ne imposti uno, deve corrispondere alla chiave; scrivi expires_at in UTC con Z e secondi interi. Per modificare una chiave, creane una nuova con la CLI (oppure ruotala con keenauth api-keys rotate), importa la nuova chiave e rimuovi la vecchia risorsa.

Cosa succede nel tempo

• tofu destroy (o la rimozione della risorsa) revoca la chiave.
• Una chiave revocata o scaduta viene rimossa dallo stato al successivo refresh.
• Lo stato non contiene la chiave in chiaro, gli ultimi quattro caratteri, il prefisso dell'IP dell'ultimo utilizzo né il creatore.