# Organizasyon oturum ve MFA politikaları

`keenauth_session_policy` ve `keenauth_mfa_policy` kaynakları bir organizasyonun kendi oturum sürelerini ve çok faktörlü kimlik doğrulama kurallarını belirler. Organizasyon politikası ortam ayarından (`keenauth_environment_settings`) yalnız daha sıkı olabilir. Daha gevşek bir değer `422 policy_weaker_than_parent` ile reddedilir.

```terraform
resource "keenauth_session_policy" "acme" {
  organization_id   = keenauth_organization.acme.id
  idle_minutes      = 60
  absolute_minutes  = 720
  refresh_idle_days = 7
}

resource "keenauth_mfa_policy" "acme" {
  organization_id       = keenauth_organization.acme.id
  required_for          = "admins"
  allowed_factors       = ["webauthn", "totp"]
  enrollment_grace_days = 7
}
```

## Oturum politikası

| Öznitelik | Aralık | Açıklama |
|---|---|---|
| `idle_minutes` | 5–144000 | Oturumun boşta kalma süresi. En çok `absolute_minutes`. |
| `absolute_minutes` | 60–525600 | Oturumun mutlak ömrü. |
| `refresh_idle_days` | 1–365 | Refresh token'ın boşta kalma ömrü. En çok `refresh_absolute_days`. |
| `refresh_absolute_days` | 1–365 | Refresh token'ın mutlak ömrü. |

- En az bir öznitelik yazın. Yazmadığınız öznitelik ortamdan devralınır.
- Bir süreyi kısaltmak mevcut oturumların organizasyon bağlamını sonlandırır.
- Oturum politikası Enterprise planı ister (`403 plan_feature_unavailable`). Geliştirme ortamlarında açıktır.

## MFA politikası

| Öznitelik | Değerler | Açıklama |
|---|---|---|
| `required_for` | `none`, `admins`, `all` | İkinci faktör kullanması gerekenler. `admins`, organizasyon yönetici rollerini ve `idp_` sistem izni taşıyan üyeleri kapsar. |
| `allowed_factors` | `totp`, `webauthn`, `sms`, `email` | Üyelerin kullanabileceği ikinci faktörler. En az biri; her biri ortamda açık olmalıdır. |
| `enrollment_grace_days` | 0–30 | Üyenin zorunlu faktörü kaydetmeden giriş yapabileceği gün sayısı. Varsayılan `0`. |

## Yaşam döngüsü

- Bir organizasyonun her türden tek politikası vardır. Kaynak kimliği organizasyon kimliğidir.
- Her yazma politikanın tamamını gönderir. Oluşturma mevcut bir politikanın üzerine yazmaz: organizasyonun zaten bir politikası varsa (panodan ya da Yönetici Portalından yazılmış), API `428` döndürür; onu içe aktarın.
- Güncelleme ve silme `If-Match` gönderir. Sağlayıcı dışında değiştirilen politika sonraki `plan`'da sapma olarak görünür; sağlayıcı dışında silinen politika yeniden oluşturulur.
- Kaynağı kaldırmak politikayı siler ve organizasyon ortam ayarını yeniden devralır.

## İçe aktarma

Organizasyon kimliğiyle içe aktarın:

```shell
tofu import keenauth_session_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d
tofu import keenauth_mfa_policy.acme org_01j9zq3v8c5m2x7k4t6r1n0b3d
```