Registrar um delegated grant AWS
Registra as coordenadas do delegated-grant AWS para uma assinatura de sink AWS (sqs, eventbridge) — o ARN da role de entrega entre contas (cross-account) não secreto, a região e o destino que o dispatcher assume em tempo de entrega. Esta é a escrita que ocorre depois de o cliente aplicar a trust policy dos setup-artifacts na sua conta AWS. Ela é somente escrita (write-only): não executa nenhuma sondagem inline e não altera o estado de verificação (um grant registrado permanece pending_verification até um verify posterior). Nenhuma credencial AWS trafega neste corpo. O host de destino é validado antes da escrita. Um sink não-AWS retorna 422 validation_error.
Autorizações
Um JWT bearer emitido pelo plugin-auth (lib-auth). A identidade do tenant é resolvida a partir das claims validadas do token; a superfície /v1 nunca lê um tenant do corpo, do path ou da query. Chamadores de máquina obtêm um token via o fluxo client-credentials do plugin-auth. A superfície /admin autoriza contra um escopo de operador e não carrega contexto de tenant.
Cabeçalhos
A client-chosen unique key that makes this mutation at-most-once. A mutation sent without it is rejected before any write with 400 missing_idempotency_key. Reusing the same key with an identical request replays the original response byte-for-byte (with X-Idempotency-Replayed: true); reusing it with a different request body returns 409 idempotency_conflict. To re-drive a corrected request, mint a new key.
Parâmetros de caminho
The unique identifier of the subscription (UUIDv7).
Corpo
The non-secret AWS delegated-grant coordinates. No AWS credential crosses this body — the role is assumed per delivery, guarded by the separately minted ExternalId.
The cross-account delivery role ARN Streaming Hub assumes at delivery time.
"arn:aws:iam::444455556666:role/streaming-hub-delegated-delivery"
The AWS region of the destination.
"us-east-1"
The resolved destination (queue URL or event-bus ARN). SSRF-validated before the write.
"https://sqs.us-east-1.amazonaws.com/444455556666/orders"
Resposta
O grant foi persistido (sem corpo; o estado de verificação permanece inalterado).

