Identiteitsfouten

Oorzaken en oplossingen voor de foutcodes bij het wijzigen van rollen en machtigingen.

`error.identity.group_exists`

Tekst in de console: Er bestaat al een groep met de naam {group}.
Betekenis voor API-clients: A local group with that name exists (names are compared without regard to case).
Code: ALREADY_EXISTS, HTTP 409

Argument	Inhoud
`group`	de naam die al bestaat.

Oorzaak. Er bestaat al een lokale groep met die naam. Groepsnamen worden vergeleken zonder op hoofdletters te letten: Ops en ops zijn dezelfde groep.

Oplossing.

Gebruik de bestaande groep: kyvernon users groups get <name>.
Of kies een andere naam.

`error.identity.group_not_found`

Tekst in de console: Er is geen groep met de naam {group}.
Betekenis voor API-clients: No local group has that name.
Code: NOT_FOUND, HTTP 404

Argument	Inhoud
`group`	de gevraagde naam.

Oorzaak. Er is geen lokale groep met die naam. De groep is misschien hernoemd of verwijderd.

Oplossing.

Toon de groepen: kyvernon users groups list.
Gebruik de huidige naam van de groep.

`error.identity.group_cycle`

Tekst in de console: Groep {member} kan niet in {group} worden opgenomen: een groep zou zichzelf bevatten, of de nesting zou dieper dan acht niveaus worden.
Betekenis voor API-clients: Nesting member in group would make a group contain itself, or nest deeper than eight levels.
Code: INVALID_ARGUMENT, HTTP 400

Argument	Inhoud
`group`	de groep die het lid zou krijgen.
`member`	de groep die zou worden opgenomen.

Oorzaak. Een groep zou lid van zichzelf worden: rechtstreeks, of via de groepen die erin zijn opgenomen. Nesting is ook beperkt tot acht niveaus.

Oplossing.

Bekijk de nesting: kyvernon users groups get <name> toont de opgenomen groepen en de groepen waarvan de groep lid is.
Neem de groepen andersom op, of haal een niveau weg met kyvernon users groups remove-group <name> <member>.

`error.identity.oidc_unreachable`

Tekst in de console: De identiteitsprovider op {issuer} gaf geen antwoord. De instellingen zijn niet gewijzigd.
Betekenis voor API-clients: The identity provider did not answer OpenID Connect discovery at issuer; the stored provider is unchanged.
Code: FAILED_PRECONDITION, HTTP 412

Argument	Inhoud
`issuer`	de issuer-URL die niet antwoordde.

Oorzaak. Voordat een identiteitsprovider wordt opgeslagen, leest de controller het discoverydocument van de provider (<issuer>/.well-known/openid-configuration). Er kwam geen geldig antwoord; de opgeslagen instellingen zijn niet veranderd.

Oplossing.

Controleer de issuer-URL: het adres dat de provider als issuer noemt, zonder /.well-known/....
Controleer of de controller de provider bereikt (DNS, firewall, proxy) en zijn TLS-certificaat vertrouwt.
Sla de instellingen opnieuw op: kyvernon users set-oidc --issuer <url> --client-id <id> --client-secret-file <file> --redirect-uri <url>.

`error.identity.policy_invalid`

Tekst in de console: De beleidswaarde {field} valt buiten het toegestane bereik.
Betekenis voor API-clients: A password or lockout policy value is out of range (field names it).
Code: INVALID_ARGUMENT, HTTP 400

Argument	Inhoud
`field`	het veld van het verzoek met de waarde, bijvoorbeeld `minLength` of `autoUnlockIntervalSeconds`.

Oorzaak. Een waarde van het wachtwoordbeleid of van het vergrendelingsbeleid valt buiten het toegestane bereik. Het kortste wachtwoord telt minstens 12 tekens en het langste hoogstens 256, en niet minder dan het kortste. Het vergrendelingsbeleid telt 1 tot 1000 mislukte aanmeldingen binnen een venster van 1 seconde tot zeven dagen, en ontgrendelt een account automatisch na 1 seconde tot zeven dagen; een account dat alleen een beheerder kan ontgrendelen, wordt niet aangeboden.

Oplossing.

Bekijk het huidige beleid: kyvernon users password-policy of kyvernon users lockout-policy.
Sla het opnieuw op met een waarde binnen het bereik: kyvernon users set-password-policy --min-length <n> --max-length <n> of kyvernon users set-lockout-policy --max-failed-attempts <n> --failed-attempt-interval <n> --auto-unlock-interval <n>.

`error.identity.provider_privilege_in_tenant`

Tekst in de console: Rol {role} bevat {privilege}, dat niet binnen de mappen en pools van een tenant toegekend kan worden.
Betekenis voor API-clients: The role holds a provider-only privilege (Kyvernon.Firewall.ManageProvider, Kyvernon.Firewall.Bypass), which cannot be granted inside a tenant's folders and pools.
Code: INVALID_ARGUMENT, HTTP 400

Argument	Inhoud
`role`	de naam van de rol.
`privilege`	de bevoegdheid, alleen voor de provider, die de rol bevat.

Oorzaak. Een rol met een bevoegdheid die alleen voor de provider is (Kyvernon.Firewall.ManageProvider of Kyvernon.Firewall.Bypass) zou gelden binnen de mappen en resourcegroepen van een tenant. Dat gebeurt in twee gevallen: de rol wordt toegekend op een object dat bij een tenant hoort, of een bevoegdheid van die soort wordt toegevoegd aan een rol die al binnen een tenant geldt. Tenants hebben nooit providerbevoegdheden, ongeacht de gebruiker of groep.

Oplossing.

Ken de rol toe op een object buiten de tenant: kyvernon permissions set <entity> <principal> --role <role>.
Om een tenantgebruiker firewallbevoegdheden te geven, gebruikt u een rol zonder de bevoegdheden die alleen voor de provider zijn. Rollen in kyvernon roles list tonen hun bevoegdheden.
Om de providerbevoegdheid op een rol te houden, maakt u een aparte rol ervoor en kent u die rol alleen buiten tenants toe: kyvernon roles create <name> --privilege <privilege>.