OpenTofu 및 Terraform 프로바이더

keenauth/keenauth 프로바이더는 KeenAuth 환경 하나의 설정을 코드로 관리합니다. 관리 API를 호출하며 플러그인 프로토콜 6을 사용하고 OpenTofu 및 Terraform과 함께 동작합니다. 아직 프로바이더 레지스트리에 게시되지 않았습니다.

인증 및 대상

프로바이더는 자신의 자격 증명이 속한 환경을 관리합니다. 여러 환경을 관리하려면 환경마다 프로바이더 별칭(alias)을 하나씩 설정하십시오. 인증 방식은 두 가지 중 하나만 사용할 수 있습니다. 관리 API 키를 사용하거나, private_key_jwt를 사용하는 management 애플리케이션으로 키 없이 인증하는 방식입니다. 두 가지를 모두 설정하면 오류가 발생합니다.

terraform {
  required_providers {
    keenauth = { source = "keenauth/keenauth" }
  }
}

provider "keenauth" {
  region = "eu"
}

private_key_jwt를 사용한 키 없는 인증

1. app_type = "management"로 애플리케이션을 생성하고, 설정에 필요한 권한을 담은 keenauth_management_client 레코드를 만드십시오.
2. 키 쌍의 공개 키를 애플리케이션에 등록하십시오(POST /v1/applications/{application_id}/credentials에 type: public_key를 보내거나, CLI 또는 대시보드를 사용합니다).
3. 프로바이더에 애플리케이션 ID, 개인 키, issuer를 전달하십시오.

export KEENAUTH_CLIENT_ID="app_..."
export KEENAUTH_PRIVATE_KEY="$(cat ops-automation.pk8.pem)"
export KEENAUTH_ISSUER="https://acme.eu.keenauth.app"
tofu plan

관리 토큰이 필요할 때마다 프로바이더는 60초 동안 유효한 클라이언트 어설션(RFC 7523)에 서명합니다. iss와 sub은 클라이언트 ID이고, aud는 issuer이며, jti는 무작위 값이고, kid는 키의 RFC 7638 썸프린트입니다. 이 어설션을 client_credentials 부여로 교환해 10분짜리 토큰을 받으며, 이전 토큰이 만료되기 1분 전에 새 토큰을 받습니다. 토큰의 권한이 애플리케이션의 keenauth_management_client 레코드를 넘는 일은 없습니다. 관리 클라이언트처럼 API 키로만 접근할 수 있는 엔드포인트에는 api_key로 설정한 프로바이더 별칭이 필요합니다.

리소스

resource "keenauth_connection" "google" {
  key      = "google"
  type     = "social"
  strategy = "google"
  name     = "google"
  status   = "active"
  settings = jsonencode({ scopes = ["openid", "email", "profile"] })
}

resource "keenauth_application" "storefront" {
  key            = "storefront"
  name           = "Storefront"
  app_type       = "web"
  party          = "first_party"
  redirect_uris  = ["https://shop.example.com/callback"]
  connection_ids = [keenauth_connection.google.id]
}

가져오기

애플리케이션과 연결은 key 또는 ID로, 사용자 지정 도메인은 호스트 이름 또는 ID로, API 키는 ID로 가져올 수 있습니다.

tofu import keenauth_application.storefront storefront
tofu import keenauth_connection.google conn_01j9zq3v8c5m2x7k4t6r1n0b3d
tofu import keenauth_custom_domain.login login.example.com

환경 설정, 공격 방어 설정, 브랜딩 초안은 환경마다 하나씩만 존재합니다. 이들은 고정 ID environment-settings, attack-protection, branding으로 가져오십시오. 이들 중 하나를 삭제하면 상태에서만 제거됩니다.

안전한 변경

• 생성 요청에는 Idempotency-Key가 포함되므로, 재시도된 생성 요청이 객체를 두 번 만들지 않습니다.
• 업데이트나 삭제 요청에는 마지막으로 읽은 ETag를 담은 If-Match가 포함됩니다. 계획을 세운 후 누군가 객체를 변경했다면 API가 412로 응답하며 아무것도 변경되지 않습니다. plan을 다시 실행하십시오.
• 대시보드에서 한 변경은 다음 plan에서 드리프트로 표시되며, apply를 실행하면 되돌아갑니다. 프로바이더 외부에서 삭제된 객체는 상태에서 제거된 후 다시 생성됩니다.
• 업데이트는 변경된 필드만 JSON 병합 패치(RFC 7396)로 전송합니다.

시크릿

어떤 리소스도 시크릿을 평문으로 상태에 저장하지 않습니다. KeenAuth에 전달하는 시크릿은 쓰기 전용 인수(*_wo)입니다. 프로바이더는 이를 전송하지만 상태 파일이나 계획 파일에는 절대 기록하지 않으며, *_wo_version이 변경될 때만 다시 전송합니다. 이 기능에는 OpenTofu 또는 Terraform 1.11 이상이 필요합니다. 현재는 엔터프라이즈 OIDC 연결의 클라이언트 시크릿(keenauth_connection_oidc_config)이 이에 해당합니다. 애플리케이션 클라이언트 시크릿과 서명 키는 이 버전의 프로바이더가 관리하지 않으므로, 대시보드나 CLI에서 생성하고 교체하십시오. KeenAuth가 생성하는 시크릿은 쓰기 전용이 될 수 없습니다. 쓰기 전용 인수는 설정에서 프로바이더로 값을 전달할 뿐이기 때문입니다. 프로바이더는 API 키를 생성하지 않습니다. 원본 키가 상태에 남게 되기 때문입니다. CLI로 키를 생성하고, 시크릿 관리자에 저장한 뒤, ID로 keenauth_api_key에 가져오십시오. 디렉터리의 SCIM 토큰은 API가 한 번만 보여 주므로, 프로바이더는 디렉터리 생성 시 반환되는 토큰을 폐기하고 보관하지 않습니다. keenauth_directory_token은 아이덴티티 공급자용 토큰을 생성하고, 이를 RSA 공개 키로 암호화된 형태로만 상태에 보관합니다. keenauth_webhook_endpoint도 웹훅 서명 비밀을 같은 방식으로 보관합니다. 즉 public_key로만 암호화하며, 키가 주어지지 않으면 비밀을 버립니다. 연결 settings에는 시크릿을 넣으면 안 됩니다. API는 시크릿처럼 보이는 설정을 거부합니다.

이 버전의 제한 사항

• 애플리케이션, 연결 및 그 OIDC 설정, 환경 설정, 공격 방어 설정, 브랜딩 초안의 환경 테마, 사용자 지정 도메인, API 키(가져오기만 가능), 조직, 역할과 권한, 조직 도메인, 조직 세션 및 다중 인증 정책, 이메일 템플릿, 관리 클라이언트, SCIM 디렉터리, 그룹-역할 매핑, SCIM 토큰(공개 키로 암호화), 웹훅 엔드포인트를 관리합니다. 훅, 로그 스트림, SMS 템플릿은 이후 버전에서 지원합니다.
• 프로바이더는 브랜딩을 게시하지 않습니다. 대시보드에서 또는 keenauth branding publish로 초안을 게시하십시오.
• 서버 기본값이 있는 선택 필드(예: grant_types)는 설정에서 제거해도 마지막 값을 유지합니다.
• 스키마 설명과 오류 메시지는 영어로 제공됩니다.