keenauth_environment_settings

keenauth_environment_settings リソースは、環境の設定を管理します。言語、タイムゾーン、セッション、サインアップ、セキュリティ通知、アカウント復旧、MFA、Front-Channel Logout、許可された最初の認証要素が対象です。攻撃対策はこの設定には含まれません。

環境ごとに 1 オブジェクト

設定は環境ごとに 1 つだけ存在し、常に存在します。プロバイダー構成ごとに、このリソースは最大 1 回だけ宣言してください。リソースを作成すると現在の設定を読み取り、構成で変更する部分だけを書き込みます。削除するとステートから取り除かれるだけで、環境の設定はそのまま残ります。

記述した項目だけが管理されます

構成から省略した属性やグループは、現在の値を保持します。構成から属性を削除した場合は、最後の値が保持されます。allowed_first_factors や signup.email_domains などのリストは集合として扱われるため、順序は問題になりません。

resource "keenauth_environment_settings" "this" {
  default_zoneinfo      = "Europe/Istanbul"
  allowed_first_factors = ["passkey", "password", "social"]

  locales = {
    enabled = ["en", "tr"]
    default = "en"
  }

  session = {
    idle_timeout_s     = 86400
    absolute_timeout_s = 1209600
  }

  signup = {
    mode              = "open"
    email_domain_mode = "denylist"
    email_domains     = ["mailinator.com"]
  }
}

グループ

属性	制御する内容
`locales`	有効な言語と既定の言語。既定の言語は有効になっている必要があります。
`default_zoneinfo`	既定の IANA タイムゾーン。
`session`	秒単位のアイドルおよび絶対タイムアウト、同時セッション数の上限と上限到達時の動作、異常検知時の動作。アイドルタイムアウトは絶対タイムアウトより大きくできません。
`signup`	サインアップのモードと、メールドメインの許可リストまたは拒否リスト。ドメインは小文字で記述し、国際化名は A ラベル(`xn--…`)で記述します。
`security_notifications`	マスタースイッチと、通知メールを送信するイベント。
`account_recovery`	復旧モード、待機時間(時間単位)、復旧が無効な場合に表示されるサポートリンク。
`mfa`	第 2 要素としてのメールとその保証レベル、TOTP の発行者ラベル、リカバリーコードとその数。
`frontchannel_logout_enabled`	OpenID Connect の Front-Channel Logout。
`allowed_first_factors`	環境で許可された最初の認証要素。アプリケーションおよび組織のポリシーで絞り込めるのは、この集合の範囲内だけです。

安全な変更

更新では、変更されたフィールドだけを If-Match 付きの JSON merge patch として送信します。プランを作成した後に誰かが設定を変更していた場合、API は 412 を返し、何も変更されません。plan を再実行してください。
ダッシュボードでの変更は次の plan でドリフトとして表示され、管理対象の属性については apply で元に戻ります。
ポリシーを厳しくする変更(セッションの短縮、セッション上限の引き下げ、サインアップや復旧の厳格化、最初の認証要素の削除)は、新しいセッションとサインインに即座に適用されます。既存のセッションは有効期間の終わりまで続きます。

インポート

tofu import keenauth_environment_settings.this environment-settings