Cause. Un groupe deviendrait membre de lui-même : directement, ou par les groupes qui y sont imbriqués. L'imbrication est aussi limitée à huit niveaux.
Solution.
Consultez l'imbrication : kyvernon users groups get <name> montre les groupes imbriqués et les groupes dont il est membre.
Imbriquez les groupes dans l'autre sens, ou retirez un niveau d'imbrication avec kyvernon users groups remove-group <name> <member>.
error.identity.oidc_unreachable
Texte dans la console
Le fournisseur d'identité {issuer} n'a pas répondu. Les paramètres n'ont pas été modifiés.
Signification pour les clients de l'API
The identity provider did not answer OpenID Connect discovery at issuer; the stored provider is unchanged.
Cause. Avant d'enregistrer un fournisseur d'identité, le contrôleur lit son document de découverte (<issuer>/.well-known/openid-configuration). Il n'a pas reçu de réponse valide ; les paramètres enregistrés n'ont pas changé.
Solution.
Vérifiez l'URL de l'émetteur : c'est l'adresse que le fournisseur indique comme émetteur, sans /.well-known/....
Vérifiez que le contrôleur joint le fournisseur (DNS, pare-feu, proxy) et fait confiance à son certificat TLS.
Enregistrez de nouveau les paramètres : kyvernon users set-oidc --issuer <url> --client-id <id> --client-secret-file <file> --redirect-uri <url>.
error.identity.policy_invalid
Texte dans la console
La valeur de stratégie {field} est hors limites.
Signification pour les clients de l'API
A password or lockout policy value is out of range (field names it).
le champ de la requête qui contient la valeur, par exemple minLength ou autoUnlockIntervalSeconds.
Cause. Une valeur de la stratégie de mots de passe ou de la stratégie de verrouillage est hors limites. Le mot de passe le plus court compte au moins 12 caractères et le plus long au plus 256, et pas moins que le plus court. La stratégie de verrouillage compte de 1 à 1000 échecs de connexion dans une fenêtre de 1 seconde à sept jours, et déverrouille un compte automatiquement après 1 seconde à sept jours ; un compte que seul un administrateur peut déverrouiller n'est pas proposé.
Solution.
Consultez la stratégie actuelle : kyvernon users password-policy ou kyvernon users lockout-policy.
Enregistrez-la de nouveau avec une valeur dans les limites : kyvernon users set-password-policy --min-length <n> --max-length <n> ou kyvernon users set-lockout-policy --max-failed-attempts <n> --failed-attempt-interval <n> --auto-unlock-interval <n>.
error.identity.provider_privilege_in_tenant
Texte dans la console
Le rôle {role} contient {privilege}, qui ne peut pas être accordé dans les dossiers et pools d’un locataire.
Signification pour les clients de l'API
The role holds a provider-only privilege (Kyvernon.Firewall.ManageProvider, Kyvernon.Firewall.Bypass), which cannot be granted inside a tenant's folders and pools.
le privilège réservé au fournisseur que le rôle détient.
Cause. Un rôle qui détient un privilège réservé au fournisseur (Kyvernon.Firewall.ManageProvider ou Kyvernon.Firewall.Bypass) s'appliquerait dans les dossiers et groupes de ressources d'un locataire. Cela arrive dans deux cas : le rôle est accordé sur un objet qui appartient à un locataire, ou un privilège de ce type est ajouté à un rôle qui s'applique déjà dans un locataire. Les locataires ne détiennent jamais de privilèges de fournisseur, quel que soit l'utilisateur ou le groupe.
Solution.
Accordez le rôle sur un objet extérieur au locataire : kyvernon permissions set <entity> <principal> --role <role>.
Pour donner des droits de pare-feu à un utilisateur d'un locataire, utilisez un rôle sans les privilèges réservés au fournisseur. kyvernon roles list montre les privilèges des rôles.
Pour conserver le privilège de fournisseur sur un rôle, créez un rôle distinct et accordez-le uniquement en dehors des locataires : kyvernon roles create <name> --privilege <privilege>.