OpenTofu と Terraform プロバイダ

keenauth/keenauth プロバイダは、1 つの KeenAuth 環境の設定をコードとして管理します。管理 API を呼び出し、プラグインプロトコル 6 を使用し、OpenTofu と Terraform で動作します。まだプロバイダレジストリには公開されていません。

認証と対象

プロバイダは、その認証情報が属する環境を管理します。複数の環境を管理する場合は、環境ごとにプロバイダのエイリアスを 1 つずつ設定してください。認証方法は次の 2 つのうち 1 つだけです。管理 API キーを使用する方法、または private_key_jwt を使用する management アプリケーションとしてキーレスで認証する方法です。両方を設定するとエラーになります。

terraform {
  required_providers {
    keenauth = { source = "keenauth/keenauth" }
  }
}

provider "keenauth" {
  region = "eu"
}

private_key_jwt によるキーレス認証

1. app_type = "management" のアプリケーションを作成し、構成に必要な権限を持つ keenauth_management_client レコードを作成します。
2. 鍵ペアの公開鍵をアプリケーションに登録します（type: public_key を指定して POST /v1/applications/{application_id}/credentials を呼び出す、CLI を使用する、またはダッシュボードを使用します）。
3. アプリケーション ID、秘密鍵、発行者をプロバイダに渡します。

export KEENAUTH_CLIENT_ID="app_..."
export KEENAUTH_PRIVATE_KEY="$(cat ops-automation.pk8.pem)"
export KEENAUTH_ISSUER="https://acme.eu.keenauth.app"
tofu plan

プロバイダは管理トークンのたびに、60 秒間有効なクライアントアサーション（RFC 7523）に署名します。iss と sub はクライアント ID、aud は発行者、jti はランダム値、kid は鍵の RFC 7638 サムプリントです。このアサーションを client_credentials グラントで交換し、有効期間 10 分のトークンを取得します。古いトークンの期限切れの 1 分前に新しいトークンを取得します。トークンが持つ権限が、アプリケーションの keenauth_management_client レコードの権限を超えることはありません。管理クライアントなど、API キーのみを受け付けるエンドポイントには、api_key で設定したプロバイダのエイリアスが必要です。

リソース

resource "keenauth_connection" "google" {
  key      = "google"
  type     = "social"
  strategy = "google"
  name     = "google"
  status   = "active"
  settings = jsonencode({ scopes = ["openid", "email", "profile"] })
}

resource "keenauth_application" "storefront" {
  key            = "storefront"
  name           = "Storefront"
  app_type       = "web"
  party          = "first_party"
  redirect_uris  = ["https://shop.example.com/callback"]
  connection_ids = [keenauth_connection.google.id]
}

インポート

アプリケーションと接続は key または ID でインポートできます。カスタムドメインはホスト名または ID で、API キーは ID でインポートできます。

tofu import keenauth_application.storefront storefront
tofu import keenauth_connection.google conn_01j9zq3v8c5m2x7k4t6r1n0b3d
tofu import keenauth_custom_domain.login login.example.com

環境設定、攻撃対策、ブランディングの下書きは環境ごとに 1 つだけ存在します。固定 ID の environment-settings、attack-protection、branding を使用してインポートしてください。これらのいずれかを destroy すると、ステートから削除されるだけです。

安全な変更

• 作成時には Idempotency-Key が送信されるため、作成を再試行しても同じオブジェクトが 2 つ作成されることはありません。
• 更新や削除の際には、最後に読み取った ETag を使用して If-Match が送信されます。プランを作成した後にオブジェクトが変更されていた場合、API は 412 を返し、何も変更されません。plan を再実行してください。
• ダッシュボードで行われた変更は、次の plan でドリフトとして表示されます。apply を実行すると元に戻ります。プロバイダの外部で削除されたオブジェクトは、ステートから除去され、再作成されます。
• 更新時には、変更されたフィールドのみが JSON マージパッチ（RFC 7396）として送信されます。

シークレット

どのリソースも、シークレットを平文でステートに保存しません。KeenAuth に渡すシークレットは書き込み専用の引数（*_wo）です。プロバイダはこれらを送信しますが、ステートやプランファイルには書き込みません。送信し直すのは *_wo_version が変更された場合のみです。これらには OpenTofu または Terraform 1.11 以降が必要です。現在はエンタープライズ OIDC 接続のクライアントシークレット（keenauth_connection_oidc_config）が該当します。アプリケーションのクライアントシークレットと署名鍵は、このバージョンのプロバイダでは管理されません。ダッシュボードまたは CLI で作成とローテーションを行ってください。KeenAuth が生成するシークレットは書き込み専用にできません。書き込み専用の引数は、構成からプロバイダへ値を渡すだけだからです。プロバイダは API キーを作成しません。生のキーがステートに残ってしまうためです。CLI でキーを作成し、シークレットマネージャーに保存して、ID を指定して keenauth_api_key にインポートしてください。ディレクトリの SCIM トークンは API によって一度だけ表示されます。そのため、プロバイダはディレクトリ作成時に返されたトークンを取り消し、保持しません。keenauth_directory_token は、ID プロバイダ用のトークンを作成し、RSA 公開鍵で暗号化した状態でのみステートに保持します。keenauth_webhook_endpoint も同じ方法で Webhook の署名シークレットを扱います。その暗号化には public_key を使用し、鍵が指定されていない場合は破棄します。接続の settings にシークレットを含めることはできません。API はシークレットのような設定を拒否します。

このバージョンの制限

• 管理対象は、アプリケーション、接続とその OIDC 設定、環境設定、攻撃対策、ブランディングの下書きの環境テーマ、カスタムドメイン、API キー（インポートのみ）、組織、ロールと権限、組織ドメイン、組織のセッションと多要素認証のポリシー、メールテンプレート、管理クライアント、SCIM ディレクトリ、グループとロールの対応付け、SCIM トークン（公開鍵で暗号化）、Webhook エンドポイントです。フック、ログストリーム、SMS テンプレートは以降のバージョンで対応予定です。
• プロバイダはブランディングを公開しません。ダッシュボードまたは keenauth branding publish を使用して下書きを公開してください。
• サーバーにデフォルト値があるオプションのフィールド（例: grant_types）は、構成から削除しても最後の値を保持します。
• スキーマの説明とエラーメッセージは英語です。