Échange une session contre une session sur un autre tenant
POST/iam/session/assume
Sans login_token ni grant : le Bearer est une session ; exige iam:AssumeRole sur
tenant/<tenant>, accordé au sujet de la session par une policy du tenant cible. La
nouvelle session n'expire pas après la session source.
Avec login_token (première connexion) ou grant (renouvellement) : assume role approuvé
par un admin du tenant. Le Bearer est l'identité de l'employé (admin plateforme) ; la
session porte le claim grant et les droits d'admin du tenant, jusqu'au plafond
cap_expires_at.
Request
Responses
- 200
- 400
- 401
- 403
- 404
- 410
Session du tenant cible
Tenant absent ou invalide, ou login_token et grant ensemble
Session, identité ou jeton de connexion invalide
Pas d'iam:AssumeRole sur le tenant cible ; ou demande d'un autre tenant ou d'un autre employé, non admin plateforme, révoquée, plafond atteint
Tenant inconnu
Jeton de connexion déjà utilisé, ou fenêtre de connexion passée