# keenauth support-access-grants によるサポートアクセスの付与

`keenauth support-access-grants` は、1 つの環境に対して KeenAuth のサポートスタッフに付与する、期間限定のアクセスを管理します。付与には範囲、1 から 72 時間の期間、およびサポートチケットの参照番号があります。付与は編集できず、取り消しのみ可能です。スタッフによる付与の使用はすべて、環境の監査ログに記録されます。

## アクセスを付与できるユーザー

付与の作成と取り消しには、`keenauth login` セッションで `owner` または `admin` のロールを持つダッシュボードユーザーが必要で、かつ過去 300 秒以内のステップアップ確認が必要です。API キーまたはマシンクライアントには `403 insufficient_permissions` が返され、CLI はエラーを表示して終了コード 3 で終了します。付与の一覧表示と参照には `support-access-grants:read` 権限のみが必要です。

## コマンド

```sh
keenauth support-access-grants list --status active
keenauth support-access-grants get sag_01j9z3k4m5n6p7q8r9s0t1v2w3
keenauth support-access-grants create --data @grant.json
keenauth support-access-grants delete sag_01j9z3k4m5n6p7q8r9s0t1v2w3 --yes
```

`create` はリクエストボディを `--data` から読み込みます（`@file.json`、または標準入力の場合は `-`）:

```json
{
  "scope": "read",
  "duration_hours": 24,
  "ticket_ref": "SUP-1234",
  "allowed_regions_of_staff": ["eu"]
}
```

| フィールド | 説明 |
|---|---|
| `scope` | `read`（読み取りのみ）または `read_write_config`（設定変更。スタッフがユーザーデータを書き込むことはありません）。 |
| `duration_hours` | 1 から 72。 |
| `ticket_ref` | サポートチケットの参照番号: 1 から 200 文字の印字可能な ASCII 文字。先頭または末尾に空白を含めないこと。 |
| `allowed_regions_of_staff` | 任意、Enterprise プランのみ: `eu`、`us`。これらの地域に所在するスタッフにアクセスを制限します。 |

`delete` は、期限切れ前に付与を取り消します。確認を求めます。ターミナルがない場合は `--yes` を指定する必要があり、指定しない場合はコマンドは終了コード 2 で終了します。すでに取り消されているか期限切れの付与を取り消しても、何も変わらず、成功として扱われます。

API リファレンスの [作成](/docs/api/management/support-access-grants/create) と [削除](/docs/api/management/support-access-grants/delete) も参照してください。