sng iam
Fonctionnalité déployée et prise en charge. Les champs et commandes décrits ici sont stables au sein de la version v1alpha1.
Le groupe sng iam administre l'annuaire des utilisateurs de vos applications : les personnes qui se connectent à ce que vous construisez, leurs rôles et permissions, leurs invitations, les moyens de connexion et la page de connexion. Ces comptes se connectent à vos applications par OIDC ; ils n'ont aucun droit sur StackNGO. Les droits sur la plateforme se règlent avec sng tenant policy.
sng tenant use acme
sng iam role create support --permission tickets:read
sng iam user invite alice@acme.example --role support
sng iam login-page show
Le parcours guidé est Utilisateurs de vos applications. Les flags globaux (--config, --json, -v, --version) sont décrits dans l'index de la CLI.
Tenant visé. L'annuaire est celui du tenant de la session (sng tenant use) : il n'y a pas de flag de tenant.
Sortie. Un tableau, ou le JSON des objets avec --json.
Suppressions. Toute commande qui retire quelque chose demande confirmation (tapez oui) sauf avec --yes / -y ; sans terminal : confirmation requise : relancez avec --yes ou depuis un terminal interactif.
Applications et fournisseurs se créent par manifeste : sng template gen IAMApplication ou sng template gen IAMProvider, puis sng apply (Authentification de vos applications, Fournisseurs de connexion).
sng iam user
| Commande | Effet |
|---|---|
sng iam user list [--search Q] [--limit N] | liste les utilisateurs (--search : nom ou e-mail ; --limit : 50 par défaut) |
sng iam user describe ID | fiche d'un utilisateur : rôles, dernière connexion, moyens de connexion |
sng iam user invite EMAIL [--role R]… [--expires-in-hours N] | invite une personne ; le lien d'invitation s'affiche une seule fois |
sng iam user disable ID / enable ID | bloque / rétablit un compte (plus de nouvelle connexion ni de jeton) |
sng iam user roles ID --set R[,R] | remplace la liste des rôles de l'utilisateur |
sng iam user delete ID [--yes] | supprime le compte et ses moyens de connexion |
ID est l'identifiant stable du compte (sub), affiché par user list.
sng iam user invite alice@acme.example --role support --expires-in-hours 72
Invitation créée pour alice@acme.example
Lien d'invitation (affiché une seule fois) : https://auth.dev.stackngo.fr/t/acme/invitation/…
sng iam invitation
| Commande | Effet |
|---|---|
sng iam invitation list [--pending] | liste les invitations (jamais leur lien) ; --pending : celles qui n'ont pas été acceptées |
sng iam invitation delete ID [--yes] | annule une invitation |
sng iam role
| Commande | Effet |
|---|---|
sng iam role list | liste les rôles |
sng iam role describe NAME | rôle, description, permissions |
sng iam role create NAME [--permission P]… [--description D] | crée un rôle ; refusé s'il existe déjà |
sng iam role update NAME [--permission P]… [--description D] | ne change que les flags donnés ; --permission remplace les permissions ; refusé si le rôle a été modifié entre-temps |
sng iam role delete NAME [--yes] | supprime le rôle |
Un nom de rôle est en minuscules, chiffres et tirets (63 caractères au plus) ; un rôle porte jusqu'à 50 permissions de la forme tickets:read (lettres, chiffres, :._*/-, 128 caractères au plus).
sng iam app
| Commande | Effet |
|---|---|
sng iam app list | liste les applications qui utilisent votre annuaire |
sng iam app describe NAME | manifeste et statut d'une application |
sng iam app credentials NAME | clientId, clientSecret et issuer d'une application (action auth:ReadCredentials, policy admin) |
sng iam app rotate NAME [--yes] | renouvelle le clientSecret ; l'ancien est refusé en quelques secondes, le clientId ne change pas (action auth:RotateCredentials, policy admin). Confirmation interactive, sauf avec --yes |
sng iam provider
| Commande | Effet |
|---|---|
sng iam provider list | liste les moyens de connexion |
sng iam provider describe NAME | manifeste et statut d'un moyen de connexion |
sng iam login-page
| Commande | Effet |
|---|---|
sng iam login-page show | réglages de la page de connexion (par défaut si jamais enregistrés) |
sng iam login-page set [--logo-url URL] [--primary-color C] [--signup open|invite] | modifie la page ; seuls les flags donnés changent, une valeur vide retire le logo ou la couleur |
La console donne accès à tous les réglages de la page (Page de connexion). Après une modification, la page change en quelques minutes.
Erreurs fréquentes
| Message | Cause | Que faire |
|---|---|---|
tenant required: use -t or sng tenant use NAME | aucun tenant courant | sng tenant use NAME |
403 forbidden | action auth:* absente de vos policies | voir Catalogue des actions |
404 | l'annuaire de votre tenant n'est pas activé | contacter le support |
409 sur role create | le rôle existe déjà | role update |
409 sur login-page set | écriture depuis un cluster qui n'est pas le principal du tenant | relancer depuis le cluster principal |
422 sur login-page set | couleur ou adresse refusée | la sortie liste les champs en cause |