안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""세션 시계 네 개를 한 화면에 모읍니다 (운영 매뉴얼 M1).

🟢 읽기만 합니다. 아무것도 바꾸지 않습니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<읽기 전용 토큰>   # 권한: Access Read
  export CF_ACCOUNT_ID=<계정 ID>
  python sessions.py

왜 모아 보나 — 값이 **네 곳에 흩어져** 있어서 화면으로는 한눈에 못 봅니다.
그래서 「전역을 15분으로 줄였는데 왜 하루 종일 안 묻지?」가 생깁니다.

  ① 단말(Cloudflare One Client) 세션   조직 설정 · 앱에서 켜 두면 나머지 셋을 이깁니다
  ② 정책 세션                          정책마다 · 비워 두면 앱 값을 그대로 씁니다
  ③ 앱(애플리케이션) 세션              앱마다
  ④ 전역 세션                          조직 하나

🔴 **앱에서 「Authenticate with Cloudflare One Client」 를 켜 두면 ①이 이깁니다.**
   이 표에서 그 앱은 「단말 세션 우선」으로 찍힙니다 — 그 앱의 ②③④ 는 그날 안 쓰일 수 있습니다.
🔴 **정책 세션이 비어 있으면 앱 값을 따릅니다.** 「②를 안 건드렸으니 ④가 듣겠지」가 아닙니다.

공식 문서
  세션 관리   https://developers.cloudflare.com/cloudflare-one/access-controls/access-settings/session-management/
  조직 조회   https://developers.cloudflare.com/api/resources/zero_trust/subresources/organizations/methods/list/
  앱 목록     https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/applications/methods/list/
  정책 목록   https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/policies/methods/list/
"""
import json
import os
import sys
import urllib.error
import urllib.parse
import urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def call(path, params=None):
    url = API + "/accounts/" + ACCOUNT + path
    if params:
        url += "?" + urllib.parse.urlencode(params)
    req = urllib.request.Request(url)
    req.add_header("Authorization", "Bearer " + TOKEN)
    try:
        with urllib.request.urlopen(req, timeout=30) as r:
            return json.loads(r.read().decode("utf-8"))
    except urllib.error.HTTPError as e:
        raw = e.read().decode("utf-8", "replace")
        try:
            msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False)
        except ValueError:
            msg = raw[:200]
        sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg))


def get_all(path, params=None):
    out, cursor = [], ""
    for _ in range(50):
        q = dict(params or {})
        q["per_page"] = "100"
        if cursor:
            q["cursor"] = cursor
        j = call(path, q)
        batch = j.get("result") or []
        out.extend(batch)
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not batch:
            break
        cursor = nxt
    return out


org = (call("/access/organizations") or {}).get("result") or {}
print("④ 전역 세션            %s" % (org.get("session_duration") or "(응답에 없음 — 기본 24h)"))
print("① 단말(WARP) 세션      %s" % (org.get("warp_auth_session_duration")
                                   or "(응답에 없음 — 화면에서 확인하십시오)"))
print("   자동 리다이렉트     %s" % ("예" if org.get("auto_redirect_to_identity") else "아니오"))
print("   조직 MFA 강제       %s" % ("예" if (org.get("mfa_config") or {}).get("mfa_required_for_all_apps") else "아니오"))

apps = get_all("/access/apps")
print("\n앱 %d개 — ③앱 세션 · ②정책 세션 · 단말 세션 우선 여부" % len(apps))
print("%-34s %-12s %-14s %s" % ("앱", "앱 세션", "단말세션 우선", "정책 세션"))
print("-" * 86)

for a in apps:
    warp_first = bool(a.get("allow_authenticate_via_warp"))
    pol_txt = []
    for p in (a.get("policies") or []):
        d = p.get("session_duration")
        pol_txt.append("%s=%s" % (str(p.get("name") or p.get("id"))[:14], d or "앱 값 따름"))
    if not pol_txt:
        # 앱 응답에 정책이 안 실리는 경우가 있어 따로 물어봅니다.
        try:
            for p in get_all("/access/apps/%s/policies" % a.get("id")):
                d = p.get("session_duration")
                pol_txt.append("%s=%s" % (str(p.get("name") or p.get("id"))[:14], d or "앱 값 따름"))
        except SystemExit:
            pol_txt.append("(정책을 못 읽었습니다 — 권한)")
    print("%-34s %-12s %-14s %s" % (
        str(a.get("name") or a.get("id"))[:34],
        a.get("session_duration") or "기본 24h",
        "예 (①이 이김)" if warp_first else "아니오",
        " · ".join(pol_txt) or "-"))

print("\n읽는 법")
print("  · 🔴 비어 있는 값은 「여기서 설정하지 않았다」는 뜻이고, 0(즉시 만료)이 아닙니다.")
print("       공식 문서 기준 — ④전역 24h(15분~1개월) · ③앱 24h(지연 없이~1개월) · ②정책 = 앱 값.")
print("       ①단말 세션은 문서에 기본값이 없어, 화면에서 확인하셔야 합니다.")
print("  · 「단말세션 우선 = 예」인 앱은 ①이 나머지를 이깁니다. 규정 시간을 맞추려면 ①을 줄입니다.")
print("  · 「정책 세션 = 앱 값 따름」이면 ②를 비워 둔 것입니다 — ③이 그대로 ②가 됩니다.")
print("  · 「앱 세션 = 기본 24h」는 그 앱에 값을 안 넣었다는 뜻입니다. ④전역을 따르는 것이 아니라")
print("       앱 자신의 기본값 24h 가 적용됩니다 — 전역을 15분으로 줄여도 이 앱은 24시간입니다.")
print("  · 2단계(MFA) 지속시간은 이 넷과 **별개의 시계**입니다(앱·정책의 MFA 설정에서 봅니다).")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""화면이 숨기고 있는 기기 줄을 세어 봅니다 (운영 매뉴얼 M3).

🟢 읽기만 합니다. 아무것도 바꾸지 않습니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<읽기 전용 토큰>   # 권한: Zero Trust Read 면 충분합니다
  export CF_ACCOUNT_ID=<계정 ID>        # Zero Trust 화면 주소의 32자리
  python hidden.py

왜 세어 보나 — Devices 화면의 필터 기본값이 「등록이 살아 있는 기기만」이라
등록 0개짜리 줄은 목록에 아예 안 나옵니다. API 도 똑같습니다:

  physical-devices  active_registrations  기본 "only"    (include / only / exclude)
  registrations     status                기본 "active"  (active / all / revoked)

그래서 「지웠는데 왜 안 줄지?」의 절반은 **안 보이는 줄**입니다.

공식 문서
  기기 목록  https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/devices/methods/list/
  등록 목록  https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/list/
"""
import json, os, sys, urllib.parse, urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def get_all(path, params=None):
    """커서 페이징. 🔴 page= 는 2750 not supported 로 죽습니다 — 커서만 씁니다."""
    out, cursor = [], ""
    for _ in range(50):
        q = dict(params or {})
        q["per_page"] = "100"
        if cursor:
            q["cursor"] = cursor
        url = API + "/accounts/" + ACCOUNT + path + "?" + urllib.parse.urlencode(q)
        req = urllib.request.Request(url)
        req.add_header("Authorization", "Bearer " + TOKEN)
        with urllib.request.urlopen(req, timeout=30) as r:
            j = json.loads(r.read().decode("utf-8"))
        if not j.get("success", True):
            sys.exit("조회 실패: " + json.dumps(j.get("errors"), ensure_ascii=False))
        batch = j.get("result") or []
        out.extend(batch)
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not batch:
            break
        cursor = nxt
    return out


shown = get_all("/devices/physical-devices")                                   # 화면 기본값
every = get_all("/devices/physical-devices", {"active_registrations": "include"})
seen = set(str(d.get("id")) for d in shown)
hidden = [d for d in every if str(d.get("id")) not in seen]

print("① 화면 기본값 그대로 (active_registrations=only)  : %d 줄" % len(shown))
print("② 등록 0개인 줄까지 (active_registrations=include) : %d 줄" % len(every))
print("   ─────────────────────────────────────────────────────")
print("   차이 = 화면이 숨기고 있는 기기 줄 : %d 줄" % len(hidden))

for d in hidden[:40]:
    who = (d.get("last_seen_user") or d.get("user") or {}).get("email") or "-"
    print("   %-36s %-24s %s" % (str(d.get("id"))[:36], str(d.get("name") or "-")[:24], who))

# 등록 쪽에도 같은 함정이 있습니다. 이쪽 기본값은 status=active 라 「취소된 줄」이 안 보입니다.
act = get_all("/devices/registrations")
allr = get_all("/devices/registrations", {"status": "all"})
print("\n③ 등록 status 기본값(active) : %d 건" % len(act))
print("④ 등록 status=all            : %d 건" % len(allr))
print("   차이 = 취소(revoke)된 줄 : %d 건" % (len(allr) - len(act)))
print("   🔴 취소는 삭제가 아닙니다. 줄이 남아 있고 가상 IP 도 안 돌려줍니다.")

print("\n화면으로 같은 것을 보려면 Team & Resources › Devices › Filters › Active registrations 를")
print("「Include devices without active registrations」 로 바꿉니다 — 목록이 늘어납니다.")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""「한 대가 두 줄이 되는」 순간을 직접 재현합니다 (운영 매뉴얼 M4).

🔴 **이것만 실제로 지웁니다.** 시험용 단말로만 하십시오 —
   사무실에서 쓰는 PC 로 하면 그 사람이 다시 로그인해야 합니다.
   기본은 미리보기이고, `--apply` 를 붙여야 지웁니다.

  export CF_API_TOKEN=<토큰>      # 권한: Zero Trust Read + Write
  export CF_ACCOUNT_ID=<계정 ID>

  python demo.py you@company.com            # ① 미리보기 — 무엇을 지울지만
  python demo.py you@company.com --apply    # ② 실제로 지우고 재인증을 기다립니다

무엇을 보나 — 등록을 지우고 그 단말이 다시 인증하면, Cloudflare 는 기존 기기 줄에
등록을 다시 붙이지 않고 **기기 줄을 새로 만듭니다.** 물리적으로 같은 장비인데
목록에 두 줄이 되고, 옛 줄이 「등록 0개」로 남아 화면에서 숨겨집니다.
그래서 「지웠는데 왜 안 줄지?」로 보입니다.

공식 문서
  등록 목록  https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/list/
  등록 삭제  https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/delete/
  개념       https://developers.cloudflare.com/cloudflare-one/team-and-resources/devices/device-registration/
"""
import json, os, sys, time, urllib.parse, urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")

args = [a for a in sys.argv[1:] if not a.startswith("--")]
APPLY = "--apply" in sys.argv
if not args:
    sys.exit("누구의 단말인지 지정해야 합니다: python demo.py you@company.com\n"
             "아무 등록이나 지우게 두지 않습니다 — 그것이 이 코드의 유일한 안전장치입니다.")
WANT = args[0].strip().lower()
WAIT = 180


def call(method, path, params=None):
    url = API + "/accounts/" + ACCOUNT + path + ("?" + urllib.parse.urlencode(params) if params else "")
    req = urllib.request.Request(url, method=method)
    req.add_header("Authorization", "Bearer " + TOKEN)
    with urllib.request.urlopen(req, timeout=30) as r:
        return json.loads(r.read().decode("utf-8"))


def get_all(path, params=None):
    out, cursor = [], ""
    while True:
        q = dict(params or {})
        q["per_page"] = "100"
        if cursor:
            q["cursor"] = cursor
        j = call("GET", path, q)
        out.extend(j.get("result") or [])
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not j.get("result"):
            return out
        cursor = nxt


def email_of(reg):
    for k in ("user", "last_seen_user"):
        v = (reg.get(k) or {}).get("email")
        if v:
            return v.lower()
    return ""


# ── ① 지금 줄 수 ────────────────────────────────────────────────
before_devices = get_all("/devices/physical-devices", {"active_registrations": "include"})
# status=all 로 받되 **취소(revoke)된 줄은 표적에서 뺍니다.** 이미 죽은 줄이라
# 지워도 재인증이 일어나지 않아 M4 가 재현되지 않고, 「왜 안 늘지?」로 헛다리를 짚게 됩니다.
before_regs = [r for r in get_all("/devices/registrations", {"status": "all"})
               if email_of(r) == WANT and not r.get("revoked_at")]
print("① 지금 기기 줄: %d개  (active_registrations=include 로 세었습니다)" % len(before_devices))
print("   그중 %s 의 등록: %d건" % (WANT, len(before_regs)))
if len(before_regs) != 1:
    print("\n② 표적을 하나로 좁혀야 합니다 — 지금 %d건입니다:" % len(before_regs))
    for r in before_regs:
        print("   %s  %s" % (r.get("id"), r.get("name") or "-"))
    sys.exit(0 if before_regs else 1)

target = before_regs[0]
print("\n② 표적: %s  %s" % (target.get("id"), target.get("name") or "-"))
print("\n③ 할 일 — 이 등록을 지우고, 단말이 스스로 재인증하기를 기다립니다.")
print("    DELETE /devices/registrations/%s" % target.get("id"))
print("   그다음 ①을 다시 세면 **줄 수가 1 늘어 있습니다.** 같은 장비인데 목록에 두 줄입니다.")

if not APPLY:
    print("\n미리보기였습니다. 실제로 해 보려면 --apply 를 붙이십시오 — 시험용 단말로만.")
    sys.exit(0)

# ── ④ 지웁니다 ──────────────────────────────────────────────────
call("DELETE", "/devices/registrations/" + str(target.get("id")))
print("\n④ 지웠습니다: %s" % target.get("id"))

# ── ⑤ 기다립니다 ────────────────────────────────────────────────
print("⑤ 단말이 알아서 다시 인증하기를 기다립니다 (우리 랩에서 약 1분 30초, 최대 %d초)" % WAIT)
print("   그동안 그 단말에 아무것도 하지 마십시오 — 손대면 무엇 때문에 늘었는지 알 수 없습니다.")
deadline = time.time() + WAIT
old_ids = set(str(r.get("id")) for r in before_regs)
fresh = None
while time.time() < deadline:
    time.sleep(10)
    now = [r for r in get_all("/devices/registrations", {"status": "all"}) if email_of(r) == WANT]
    new = [r for r in now if str(r.get("id")) not in old_ids]
    if new:
        fresh = new[0]
        break
    print("   … 아직입니다 (남은 %d초)" % max(0, int(deadline - time.time())))

# ── ⑥ 다시 셉니다 ───────────────────────────────────────────────
after = get_all("/devices/physical-devices", {"active_registrations": "include"})
delta = len(after) - len(before_devices)
print("\n⑥ 다시 세었습니다: %d → %d (%+d)" % (len(before_devices), len(after), delta))
if fresh:
    print("   새 등록: %s  %s" % (fresh.get("id"), fresh.get("name") or "-"))
if delta > 0:
    print("\n🔴 **줄이 늘었습니다.** 같은 장비인데 목록에 두 줄입니다 — 이것이 M4 입니다.")
    print("   옛 줄은 이제 「등록 0개」로 남아 있고, 그 줄은 아무 일도 하지 않습니다.")
elif fresh:
    print("\n재인증은 됐는데 줄 수가 그대로입니다 — 옛 줄이 이미 정리됐거나 같은 줄에 붙은 것입니다.")
else:
    print("\n아직 재인증이 안 됐습니다. 조금 뒤 다시 세어 보십시오.")

print("\n⑦ 되돌리기 — 새로 생긴 줄은 그대로 두고 **옛 「등록 0개」 줄만** 지우면 원래 개수로 돌아옵니다.")
print("   ⚠️ 새로 생긴 줄까지 지우면 그 단말이 또 재인증해서 또 늘어납니다. 그것이 이 실험의 교훈입니다.")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""등록을 지우기 전후로 Zero Trust 설정을 통째로 받아 비교합니다 (운영 매뉴얼 M5).

🟢 읽기만 합니다. 아무것도 바꾸지 않습니다.

  export CF_API_TOKEN=<읽기 전용 토큰>;  export CF_ACCOUNT_ID=<계정 ID>

  python snapshot.py before                 # ① 지우기 전
  #   …여기서 등록을 지웁니다…
  python snapshot.py after before           # ② 지운 뒤 + 비교

🔴 이것을 `diff` 로 직접 하면 **거의 반드시 틀립니다.**
   updated_at · last_successful_login · last_seen 은 아무것도 안 건드려도 흐릅니다.
   그대로 비교하면 「사용자가 바뀌었다」가 나오고, 그러면 이 절의 결론
   (설정은 그대로다)이 통째로 뒤집혀 보입니다. 그래서 그 필드들을 빼고 비교하고,
   **뺀 목록을 화면에 함께 찍습니다** — 무엇을 안 셌는지 감추면 그것대로 거짓말입니다.

공식 문서
  정책   https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/policies/methods/list/
  그룹   https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/groups/methods/list/
  앱     https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/applications/methods/list/
  등록   https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/registrations/methods/list/
"""
import json, os, sys, urllib.parse, urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")
if len(sys.argv) < 2:
    sys.exit("사용법: python snapshot.py <받을 폴더> [비교할 폴더]")
OUT = sys.argv[1]
DIFF = sys.argv[2] if len(sys.argv) > 2 else None

# 「바뀌지 않아야 하는」 설정 11종.
STABLE = [
    ("access-users", "/access/users"), ("access-policies", "/access/policies"),
    ("access-groups", "/access/groups"), ("access-apps", "/access/apps"),
    ("access-idps", "/access/identity_providers"),
    ("access-tokens", "/access/service_tokens"),
    ("devices-profiles", "/devices/policies"), ("devices-posture", "/devices/posture"),
    ("devices-settings", "/devices/settings"),
    ("gateway-rules", "/gateway/rules"), ("gateway-lists", "/gateway/lists"),
]
# 「바뀌어야 하는」 대조군 2종. 이쪽이 안 움직였으면 애초에 아무것도 안 지운 것입니다.
MOVING = [
    ("devices-registrations", "/devices/registrations", {"status": "all"}),
    ("devices-physical", "/devices/physical-devices", {"active_registrations": "include"}),
]
VOLATILE = {"updated_at", "last_successful_login", "last_seen", "last_seen_at",
            "last_used", "seen_at", "modified_on"}


def get(path, params=None, paged=False):
    out, cursor = [], ""
    while True:
        q = dict(params or {})
        if paged:
            q["per_page"] = "100"
            if cursor:
                q["cursor"] = cursor
        url = API + "/accounts/" + ACCOUNT + path + ("?" + urllib.parse.urlencode(q) if q else "")
        req = urllib.request.Request(url)
        req.add_header("Authorization", "Bearer " + TOKEN)
        with urllib.request.urlopen(req, timeout=30) as r:
            j = json.loads(r.read().decode("utf-8"))
        if not paged:
            return j.get("result")
        out.extend(j.get("result") or [])
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not j.get("result"):
            return out
        cursor = nxt


def strip_volatile(o):
    if isinstance(o, dict):
        return dict((k, strip_volatile(v)) for k, v in o.items() if k not in VOLATILE)
    if isinstance(o, list):
        return [strip_volatile(x) for x in o]
    return o


def index(rows):
    if isinstance(rows, dict):
        return {"(단일 객체)": rows}
    return dict((str((r or {}).get("id") or (r or {}).get("name") or i), r)
                for i, r in enumerate(rows or []))


os.makedirs(OUT, exist_ok=True)
got = {}
for item in STABLE + MOVING:
    name, path = item[0], item[1]
    params = item[2] if len(item) > 2 else None
    try:
        got[name] = get(path, params, paged=name.startswith("devices-r") or name.startswith("devices-p"))
    except Exception as e:
        # 🔴 한 곳이 막혀도 나머지는 계속 받습니다. 여기서 통째로 죽으면
        #    「비교할 수 없다」가 「바뀐 게 없다」로 둔갑합니다.
        got[name] = {"_error": str(e)[:120]}
        print("   ⚠️ %s — 못 받았습니다: %s" % (name, str(e)[:70]))
    with open(os.path.join(OUT, name + ".json"), "w", encoding="utf-8") as f:
        json.dump(got[name], f, ensure_ascii=False, indent=2, sort_keys=True)
    n = len(got[name]) if isinstance(got[name], list) else 1
    print("   %-24s %s" % (name, n))

if not DIFF:
    print("\n받았습니다. 등록을 지운 뒤 한 번 더 받아 비교합니다:")
    print("   python snapshot.py after %s" % OUT)
    sys.exit(0)

print("\n비교: %s → %s" % (DIFF, OUT))
print("   시각 필드는 뺍니다(%s) — 그냥 흐르는 값이라" % ", ".join(sorted(VOLATILE)))
print("   그것까지 세면 「전부 바뀌었다」가 나와 결론이 통째로 틀려집니다.")
moving_names = set(m[0] for m in MOVING)
stable_changed, moving_changed = [], []

for item in STABLE + MOVING:
    name = item[0]
    old_path = os.path.join(DIFF, name + ".json")
    if not os.path.exists(old_path):
        continue
    old = json.load(open(old_path, encoding="utf-8"))
    new = got[name]
    if isinstance(old, dict) and old.get("_error") or isinstance(new, dict) and new.get("_error"):
        print("   %-24s 한쪽이 오류라 비교하지 못합니다" % name)
        continue
    a, b = index(old), index(new)
    canon = lambda o: json.dumps(strip_volatile(o), sort_keys=True, ensure_ascii=False)
    added = [k for k in b if k not in a]
    removed = [k for k in a if k not in b]
    changed = [k for k in b if k in a and canon(a[k]) != canon(b[k])]
    total = len(added) + len(removed) + len(changed)
    mark = "그대로" if not total else "+%d / -%d / 변경 %d" % (len(added), len(removed), len(changed))
    flag = ""
    if total and name not in moving_names:
        flag, _ = "  🔴", stable_changed.append(name)
    elif total:
        flag, _ = "  ← 여기는 바뀌어야 정상입니다", moving_changed.append(name)
    print("   %-24s %4d → %4d   %s%s" % (name, len(a), len(b), mark, flag))
    for k in added[:5]:
        print("        + " + k)
    for k in removed[:5]:
        print("        - " + k)

print("")
if not moving_changed:
    print("⚠️ 단말 쪽도 안 바뀌었습니다 — 두 스냅샷 사이에 아무것도 안 지운 것입니다.")
elif not stable_changed:
    print("🟢 설정 11종 전부 그대로. 바뀐 것은 단말뿐입니다. 이것이 M5 입니다 —")
    print("   정책·그룹은 사용자·기기 객체가 아니라 이메일·도메인·IdP 그룹 조건으로 쓰여 있습니다.")
    print("   조건에 적힌 값은 그 사용자를 지워도 남습니다.")
    print("   → 정리는 두 갈래입니다: ① 단말·기기 정리  ② 이메일이 직접 적힌 정책·목록에서 그 줄 빼기.")
else:
    print("🔴 바뀌면 안 되는 것이 바뀌었습니다: " + ", ".join(stable_changed))
    print("   등록 삭제만으로는 이렇게 되지 않습니다. 같은 시간에 다른 작업이 끼어들었는지")
    print("   감사 로그(actor.email · interface)를 보십시오.")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""화면의 「Remove users」 와 API 의 사용자 삭제는 무엇이 다른가 (운영 매뉴얼 M6).

🟢 기본은 읽기만 합니다. 바꾸는 것은 --release-seat / --delete-user 를 --apply 와 함께
   줄 때뿐이고, 그때도 한 사람씩만 합니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<토큰>      # 읽기만 할 때: Access Read · 바꿀 때: Access Write
  export CF_ACCOUNT_ID=<계정 ID>  # Zero Trust 화면 주소의 32자리

  python remove.py --email someone@example.com                  # 지금 상태만 봅니다
  python remove.py --email someone@example.com --release-seat --apply
  python remove.py --email someone@example.com --delete-user --apply --yes

왜 두 동작이 헷갈리나 — 이름이 비슷한데 **바뀌는 것이 다릅니다.**

  화면의 「Remove users」  →  PATCH  /access/seats     좌석만 놓습니다. 사용자 줄은 남습니다.
  API 의 사용자 삭제       →  DELETE /access/users/{id}  화면에 대응 버튼이 없는 동작입니다.

🔴 **어느 쪽도 지금 열려 있는 세션을 끊지 않습니다.** 이 스크립트는 그것을 말로만 하지 않고
   `active_sessions` 를 전후로 세어 보여 줍니다 — 「지웠는데 왜 화면이 그대로 열려 있나」의 답입니다.

🔴 **영구 차단은 Cloudflare 만으로 되지 않습니다.** 명단(정책)에 이메일이 남아 있으면
   다시 로그인해서 좌석을 다시 차지합니다. IdP 계정 비활성화를 함께 해야 끝납니다.

공식 문서
  좌석 관리      https://developers.cloudflare.com/cloudflare-one/team-and-resources/users/seat-management/
  좌석 PATCH     https://developers.cloudflare.com/api/resources/zero_trust/subresources/seats/methods/edit/
  사용자 목록    https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/list/
  사용자 삭제    https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/delete/
  열린 세션      https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/subresources/active_sessions/methods/list/
"""
import argparse
import json
import os
import sys
import urllib.error
import urllib.parse
import urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def call(method, path, body=None, params=None):
    """한 번 호출. 실패하면 **조용히 넘기지 않고** 그 자리에서 보여 줍니다."""
    url = API + "/accounts/" + ACCOUNT + path
    if params:
        url += "?" + urllib.parse.urlencode(params)
    data = None if body is None else json.dumps(body).encode("utf-8")
    req = urllib.request.Request(url, data=data, method=method)
    req.add_header("Authorization", "Bearer " + TOKEN)
    if data:
        req.add_header("Content-Type", "application/json")
    try:
        with urllib.request.urlopen(req, timeout=30) as r:
            return json.loads(r.read().decode("utf-8"))
    except urllib.error.HTTPError as e:
        raw = e.read().decode("utf-8", "replace")
        try:
            j = json.loads(raw)
            msg = json.dumps(j.get("errors"), ensure_ascii=False)
        except ValueError:
            msg = raw[:300]
        sys.exit("%s %s → HTTP %d %s" % (method, path, e.code, msg))


def get_all(path, params=None):
    """커서 페이징. 🔴 page= 는 2750 not supported 로 죽습니다 — 커서만 씁니다."""
    out, cursor = [], ""
    for _ in range(50):
        q = dict(params or {})
        q["per_page"] = "100"
        if cursor:
            q["cursor"] = cursor
        j = call("GET", path, params=q)
        batch = j.get("result") or []
        out.extend(batch)
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not batch:
            break
        cursor = nxt
    return out


def find_user(email):
    want = email.strip().lower()
    for u in get_all("/access/users"):
        if str(u.get("email") or "").strip().lower() == want:
            return u
    return None


def sessions(user_id):
    """열린 세션 수. 권한이 없거나 기능이 꺼져 있으면 세지 못한 것으로 둡니다."""
    try:
        j = call("GET", "/access/users/%s/active_sessions" % user_id)
        return len(j.get("result") or [])
    except SystemExit:
        return None


def show(label, u):
    seat = u.get("access_seat")
    gw = u.get("gateway_seat")
    n = sessions(u.get("id"))
    print("  %-6s 좌석(access) %-5s · 좌석(gateway) %-5s · 열린 세션 %s"
          % (label, "예" if seat else "아니오", "예" if gw else "아니오",
             "못 셈(권한)" if n is None else "%d개" % n))


def main():
    ap = argparse.ArgumentParser(description="좌석 반납과 사용자 삭제를 구분해 보여 줍니다 (M6)")
    ap.add_argument("--email", required=True, help="대상 한 사람")
    ap.add_argument("--release-seat", action="store_true", help="화면의 「Remove users」 와 같은 요청(PATCH seats)")
    ap.add_argument("--delete-user", action="store_true", help="화면에 없는 API 전용 동작(DELETE users)")
    ap.add_argument("--apply", action="store_true", help="이것이 없으면 아무것도 바꾸지 않습니다")
    ap.add_argument("--yes", action="store_true", help="--delete-user 에 함께 필요합니다")
    a = ap.parse_args()

    u = find_user(a.email)
    if not u:
        sys.exit("그 주소는 이 계정의 Zero Trust 사용자 목록에 없습니다: " + a.email)

    print("사용자 %s" % u.get("email"))
    print("  id       %s" % u.get("id"))
    print("  seat_uid %s" % (u.get("seat_uid") or "-"))
    print("  마지막 로그인 %s" % (u.get("last_successful_login") or "-"))
    print("\n[전]")
    show("지금", u)

    if not (a.release_seat or a.delete_user):
        print("\n무엇도 바꾸지 않았습니다. 바꾸려면 --release-seat 또는 --delete-user 를 --apply 와 함께 주십시오.")
        print("두 동작의 차이:")
        print("  --release-seat  PATCH /access/seats        좌석만 놓습니다. 사용자 줄과 세션은 남습니다.")
        print("  --delete-user   DELETE /access/users/{id}  화면에 대응 버튼이 없는 동작입니다.")
        return

    if not a.apply:
        print("\n미리보기입니다(--apply 없음). 보낼 요청:")
        if a.release_seat:
            print("  PATCH /accounts/%s/access/seats" % ACCOUNT)
            print("    [{\"seat_uid\": \"%s\", \"access_seat\": false, \"gateway_seat\": false}]" % (u.get("seat_uid") or "?"))
        if a.delete_user:
            print("  DELETE /accounts/%s/access/users/%s" % (ACCOUNT, u.get("id")))
        return

    if a.delete_user and not a.yes:
        sys.exit("--delete-user 는 --yes 도 필요합니다. 되돌릴 수 없는 동작입니다.")

    if a.release_seat:
        if not u.get("seat_uid"):
            sys.exit("seat_uid 가 없습니다 — 좌석을 쓰고 있지 않아 반납할 것이 없습니다.")
        call("PATCH", "/access/seats", body=[{
            "seat_uid": u.get("seat_uid"), "access_seat": False, "gateway_seat": False,
        }])
        print("\n좌석을 반납했습니다(화면의 「Remove users」 와 같은 요청).")

    if a.delete_user:
        call("DELETE", "/access/users/%s" % u.get("id"))
        print("\n사용자를 삭제했습니다(API 전용 동작).")

    after = find_user(a.email)
    print("\n[후]")
    if after:
        show("지금", after)
        print("\n🔴 사용자 줄이 **그대로 남아 있습니다.** 좌석을 놓은 것과 사람을 지운 것은 다른 일입니다.")
    else:
        print("  사용자 목록에서 사라졌습니다.")
    print("🔴 열린 세션은 어느 쪽으로도 끊기지 않습니다 — 만료까지 그 브라우저는 계속 열립니다.")
    print("🔴 명단(Access 정책)에 이메일이 남아 있으면 다시 로그인해 좌석을 다시 차지합니다.")
    print("   영구 차단은 IdP 계정 비활성화까지 해야 끝납니다.")


if __name__ == "__main__":
    main()

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""자동 정리가 **누구를** 데려가는지 미리 봅니다 (운영 매뉴얼 M7).

🟢 읽기만 합니다. 아무것도 바꾸지 않습니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<읽기 전용 토큰>   # 권한: Access Read
  export CF_ACCOUNT_ID=<계정 ID>
  python inactive.py                 # 조직에 설정된 기간으로 셉니다
  python inactive.py --days 90       # 「90일로 바꾸면 누가 걸리나」를 미리 봅니다

무엇을 하나 — Zero Trust 에서 자동으로 도는 정리는 **사용자 단위 하나뿐**입니다
(Settings › Admin controls › Remove inactive users from seats · 1개월~1년).
이 스크립트는 그 설정값을 읽고, **지금 그 기준에 걸리는 사람**을 줄로 보여 줍니다.

🔴 **활성 사용자에게 쌓인 옛 단말은 이 설정으로 안 지워집니다.** 정리는 「사람」 단위라서,
   매일 들어오는 사람의 오래된 기기 줄은 그대로 남습니다 — 그건 M4 의 경로로 쌓인 것이고
   기기 쪽 스크립트(hidden.py · cleanup.py)로 골라내야 합니다.
🔴 **좌석에서 빼는 것이 차단은 아닙니다.** 명단에 남아 있으면 다시 로그인해 다시 차지합니다(M6).

공식 문서
  좌석 관리   https://developers.cloudflare.com/cloudflare-one/team-and-resources/users/seat-management/
  조직 조회   https://developers.cloudflare.com/api/resources/zero_trust/subresources/organizations/methods/list/
  사용자 목록 https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/list/
"""
import argparse
import datetime
import json
import os
import sys
import urllib.error
import urllib.parse
import urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def call(path, params=None):
    url = API + "/accounts/" + ACCOUNT + path
    if params:
        url += "?" + urllib.parse.urlencode(params)
    req = urllib.request.Request(url)
    req.add_header("Authorization", "Bearer " + TOKEN)
    try:
        with urllib.request.urlopen(req, timeout=30) as r:
            return json.loads(r.read().decode("utf-8"))
    except urllib.error.HTTPError as e:
        raw = e.read().decode("utf-8", "replace")
        try:
            msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False)
        except ValueError:
            msg = raw[:200]
        sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg))


def get_all(path):
    out, cursor = [], ""
    for _ in range(50):
        q = {"per_page": "100"}
        if cursor:
            q["cursor"] = cursor
        j = call(path, q)
        batch = j.get("result") or []
        out.extend(batch)
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not batch:
            break
        cursor = nxt
    return out


def parse_when(s):
    """ISO 시각을 날짜로. 못 읽으면 None — **못 읽은 줄은 대상에 넣지 않습니다.**"""
    if not s:
        return None
    t = str(s).replace("Z", "+00:00")
    try:
        return datetime.datetime.fromisoformat(t)
    except ValueError:
        return None


ap = argparse.ArgumentParser(description="자동 정리에 걸릴 사람을 미리 봅니다 (M7)")
ap.add_argument("--days", type=int, default=0, help="기준 일수를 직접 넣어 봅니다(조직 설정 대신)")
a = ap.parse_args()

org = (call("/access/organizations") or {}).get("result") or {}
# 조직 설정값은 **분 단위**로 옵니다(user_seat_expiration_inactive_time 은 예: "43200m").
raw = str(org.get("user_seat_expiration_inactive_time") or "")
set_days = 0
if raw.endswith("m") and raw[:-1].isdigit():
    set_days = int(raw[:-1]) // (60 * 24)
elif raw.endswith("h") and raw[:-1].isdigit():
    set_days = int(raw[:-1]) // 24
elif raw.isdigit():
    set_days = int(raw) // (60 * 24)

days = a.days or set_days
print("조직 설정 user_seat_expiration_inactive_time : %s%s"
      % (raw or "(꺼져 있습니다)", "" if not set_days else "  (약 %d일)" % set_days))
if a.days:
    print("이 실행에서 쓰는 기준 : %d일 (직접 주신 값)" % days)
if not days:
    print("\n🔴 기준이 없습니다. 조직에 설정이 없으면 **자동 정리가 아예 돌지 않습니다** —")
    print("   Settings › Admin controls › Remove inactive users from seats 에서 켭니다.")
    print("   지금 누가 걸릴지 보려면 --days 90 처럼 직접 주십시오.")
    sys.exit(0)

now = datetime.datetime.now(datetime.timezone.utc)
users = get_all("/access/users")
old, unknown, seated = [], [], 0
for u in users:
    if u.get("access_seat") or u.get("gateway_seat"):
        seated += 1
    when = parse_when(u.get("last_successful_login"))
    if when is None:
        unknown.append(u)
        continue
    idle = (now - when).days
    if idle >= days:
        old.append((idle, u))

old.sort(key=lambda x: -x[0])
print("\n사용자 %d명 · 좌석을 쓰는 사람 %d명" % (len(users), seated))
print("기준(%d일) 이상 로그인 없는 사람 : %d명" % (days, len(old)))
print("%-34s %-10s %s" % ("이메일", "안 들어온 날", "좌석"))
print("-" * 60)
for idle, u in old[:60]:
    print("%-34s %-10s %s" % (
        str(u.get("email") or "-")[:34], "%d일" % idle,
        "쓰는 중" if (u.get("access_seat") or u.get("gateway_seat")) else "없음"))

if unknown:
    print("\n마지막 로그인을 못 읽은 줄 %d개 — **대상에 넣지 않았습니다.**" % len(unknown))
    print("한 번도 로그인하지 않은 사람일 수 있습니다(좌석도 없습니다).")

print("\n🔴 이 목록은 **사람**입니다. 활성 사용자에게 쌓인 옛 기기 줄은 여기 안 나옵니다 —")
print("   그건 hidden.py / cleanup.py 로 봅니다(M4).")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""경로에 실행 파일이 아니라 스크립트가 박힌 자세 검사를 찾아냅니다 (운영 매뉴얼 M8).

🟢 읽기만 합니다. 아무것도 바꾸지 않습니다.

  export CF_API_TOKEN=<읽기 전용 토큰>;  export CF_ACCOUNT_ID=<계정 ID>
  python posture.py

무엇을 찾나 — Application check 의 경로에 셸 스크립트·배치 파일을 넣으면
**실행 중이어도 「아니오」로 나옵니다.** 검사가 보는 것은 실행 중 프로세스의
실제 실행 파일 경로(리눅스면 /proc/<pid>/exe)여서, 스크립트를 돌리면 그 값이
해석기(/bin/sh)가 되어 지정한 경로와 안 맞기 때문입니다.

🔵 단말이 실제로 어떻게 판정됐는지(running · sha256)를 주는 **공개 API 는 없습니다**
   (2026-09-11 OpenAPI 전수 확인). 그것은 대시보드에서 봅니다.
   이 코드는 **설정 쪽**을 봅니다 — 단말을 한 대씩 열어 볼 수 없는 것을 한 번에 봅니다.

공식 문서
  자세 검사 API      https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/posture/methods/list/
  Application check  https://developers.cloudflare.com/cloudflare-one/reusable-components/posture-checks/client-checks/application-check/
"""
import json, os, sys, urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")

SCRIPT_EXT = (".sh", ".bash", ".zsh", ".ksh", ".py", ".rb", ".pl", ".php", ".lua",
              ".bat", ".cmd", ".ps1", ".vbs", ".js", ".jar")
WIN_EXEC_EXT = (".exe", ".com", ".msi", ".dll", ".sys")


def get(path):
    req = urllib.request.Request(API + "/accounts/" + ACCOUNT + path)
    req.add_header("Authorization", "Bearer " + TOKEN)
    with urllib.request.urlopen(req, timeout=30) as r:
        return json.loads(r.read().decode("utf-8")).get("result") or []


def posture_uids(o, out):
    """정책 안 어디에 있든 device_posture.integration_uid 를 긁어 옵니다.
    (Access 정책의 자세 검사 조건은 {"device_posture": {"integration_uid": "<검사 id>"}} 모양입니다.)"""
    if isinstance(o, dict):
        dp = o.get("device_posture")
        if isinstance(dp, dict) and dp.get("integration_uid"):
            out.add(str(dp["integration_uid"]))
        for v in o.values():
            posture_uids(v, out)
    elif isinstance(o, list):
        for v in o:
            posture_uids(v, out)


rules = get("/devices/posture")
path_rules = [r for r in rules if r.get("type") in ("application", "file")]
print("자세 검사 %d개 중 경로를 보는 것 %d개 (Application check · File check)"
      % (len(rules), len(path_rules)))
if not path_rules:
    print("경로형 검사가 없습니다 — 아직 이 함정에 빠질 자리가 없습니다.")
    sys.exit(0)

# 어느 정책이 이 검사를 물고 있는지 — 판정이 뒤집히면 막히는 것이 그것입니다.
used = {}
for path, label in (("/access/policies", "재사용 정책"), ("/access/apps", "앱")):
    try:
        for item in get(path):
            got = set()
            posture_uids(item, got)
            for u in got:
                used.setdefault(u, []).append("%s 「%s」" % (label, item.get("name") or item.get("id")))
    except Exception as e:
        print("   ⚠️ %s 를 못 읽었습니다(%s) — 사용처는 비워 둡니다" % (path, str(e)[:50]))

bad = 0
for r in path_rules:
    inp = r.get("input") or {}
    p = str(inp.get("path") or "")
    osname = str(inp.get("operating_system") or "-")
    low = p.lower()
    kind = "Application check(돌고 있나)" if r.get("type") == "application" else "File check(설치돼 있나)"

    if low.endswith(SCRIPT_EXT):
        mark = "🔴"
        why = ("스크립트 경로입니다. 실행 중이어도 running:false 로 나옵니다 — 검사가 보는 것은 "
               "실행 중 프로세스의 실제 실행 파일이라 여기서는 해석기(/bin/sh 등)가 잡힙니다.")
    elif osname == "windows" and low and not low.endswith(WIN_EXEC_EXT):
        mark, why = "⚠️", "윈도우인데 실행 파일 확장자가 아닙니다. 바로가기·스크립트면 안 잡힙니다."
    else:
        mark, why = "🟢", ""
    if mark != "🟢":
        bad += 1

    print("\n%s %s" % (mark, r.get("name") or r.get("id")))
    print("     %s · OS %s" % (kind, osname))
    print("     경로 %s" % (p or "(없음)"))
    where = used.get(str(r.get("id")), [])
    print("     쓰는 곳: " + (", ".join(where[:4]) if where
                            else "없음 — 만들어만 두고 아무 정책에도 안 걸었습니다"))
    if why:
        print("     → " + why)

print("")
if bad:
    print("🔴 손봐야 할 검사 %d개. 경로를 진짜 실행 파일로 바꾸십시오." % bad)
    print("   「설치돼 있나」만 보고 싶은 것이라면 Application check 가 아니라 File check 를 씁니다 —")
    print("   파일이 있으면 돌든 안 돌든 sha256 이 계산됩니다. 다른 신호입니다.")
else:
    print("🟢 스크립트 경로로 잘못 건 검사는 없습니다.")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""한 사람의 2차 인증 수단을 보고, 필요하면 지웁니다 (운영 매뉴얼 M9).

🟢 기본은 읽기만 합니다. 지우는 것은 --delete 를 --apply 와 함께 줄 때뿐입니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<토큰>      # 읽기: Access Read · 지우기: Access Write
  export CF_ACCOUNT_ID=<계정 ID>

  python mfa.py --email someone@example.com
  python mfa.py --email someone@example.com --delete <인증기 id> --apply

🔴 **목록 API 가 없습니다.** 이 목록은 `last_seen_identity` 안의 `mfa_authenticators` 이고,
   그것은 「마지막 로그인 순간에 찍힌 사진」입니다. 그 뒤에 등록한 수단은 **안 보입니다** —
   그래서 이 스크립트는 개수를 단정하지 않고 **찍힌 시각을 함께** 냅니다.
   한 번 더 로그인하면 갱신됩니다.

🔴 **지우는 것과 등록해 주는 것은 다릅니다.** 관리자가 대신 등록해 줄 수는 없습니다 —
   지우면 그 사람이 다음 접속에 「Setup MFA」 화면을 받아 본인이 다시 QR 을 찍습니다.

권하는 예방 — 사용자마다 수단 2개 이상(인증 앱 + 보안키/생체). 그러면 하나를 잃어도
본인이 App Launcher › Account 에서 직접 정리할 수 있고 관리자가 아예 필요 없습니다.

공식 문서
  Independent MFA  https://developers.cloudflare.com/cloudflare-one/access-controls/access-settings/independent-mfa/
  마지막 신원      https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/subresources/last_seen_identity/methods/get/
  사용자 목록      https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/users/methods/list/
"""
import argparse
import json
import os
import sys
import urllib.error
import urllib.parse
import urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def call(method, path, params=None):
    url = API + "/accounts/" + ACCOUNT + path
    if params:
        url += "?" + urllib.parse.urlencode(params)
    req = urllib.request.Request(url, method=method)
    req.add_header("Authorization", "Bearer " + TOKEN)
    try:
        with urllib.request.urlopen(req, timeout=30) as r:
            return json.loads(r.read().decode("utf-8"))
    except urllib.error.HTTPError as e:
        raw = e.read().decode("utf-8", "replace")
        try:
            msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False)
        except ValueError:
            msg = raw[:200]
        sys.exit("%s %s → HTTP %d %s" % (method, path, e.code, msg))


def get_all(path):
    out, cursor = [], ""
    for _ in range(50):
        q = {"per_page": "100"}
        if cursor:
            q["cursor"] = cursor
        j = call("GET", path, q)
        batch = j.get("result") or []
        out.extend(batch)
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not batch:
            break
        cursor = nxt
    return out


ap = argparse.ArgumentParser(description="한 사람의 2차 인증 수단 (M9)")
ap.add_argument("--email", required=True)
ap.add_argument("--delete", metavar="ID", help="지울 인증기 id")
ap.add_argument("--apply", action="store_true", help="이것이 없으면 지우지 않습니다")
a = ap.parse_args()

want = a.email.strip().lower()
user = None
for u in get_all("/access/users"):
    if str(u.get("email") or "").strip().lower() == want:
        user = u
        break
if not user:
    sys.exit("그 주소는 이 계정의 Zero Trust 사용자 목록에 없습니다: " + a.email)

print("사용자 %s" % user.get("email"))
print("  id            %s" % user.get("id"))
print("  마지막 로그인 %s" % (user.get("last_successful_login") or "-"))

seen = (call("GET", "/access/users/%s/last_seen_identity" % user.get("id")) or {}).get("result") or {}
auth = seen.get("mfa_authenticators") or []
print("\n찍힌 시각 %s  ← 이 시점의 사진입니다" % (seen.get("iat") or user.get("last_successful_login") or "-"))
print("등록된 수단 %d개" % len(auth))
for m in auth:
    print("  %-38s %-14s %s" % (
        str(m.get("id") or "-")[:38], str(m.get("type") or "-")[:14], str(m.get("name") or "")[:30]))
if not auth:
    print("  (이 사진에는 없습니다 — 한 번도 등록하지 않았거나, **이 로그인 뒤에 등록**했을 수 있습니다)")

if not a.delete:
    print("\n지우려면 --delete <id> 를 --apply 와 함께 주십시오.")
    print("지운 뒤 그 사람은 다음 접속에 「Setup MFA」 를 받고 본인이 다시 등록합니다.")
    sys.exit(0)

if not a.apply:
    print("\n미리보기입니다(--apply 없음). 보낼 요청:")
    print("  DELETE /accounts/%s/access/users/%s/mfa_authenticators/%s" % (ACCOUNT, user.get("id"), a.delete))
    sys.exit(0)

if auth and not any(str(m.get("id")) == a.delete for m in auth):
    print("\n⚠️ 그 id 는 이 사진에 없습니다 — 사진이 낡았을 수 있어 그대로 보냅니다.")

call("DELETE", "/access/users/%s/mfa_authenticators/%s" % (user.get("id"), a.delete))
print("\n지웠습니다. 그 사람이 다음에 보호된 앱에 접속하면 「Setup MFA」 화면을 받습니다.")
print("직접 링크를 보내도 됩니다: https://<팀이름>.cloudflareaccess.com/AddMfaDevice")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""단말 프로필을 **적용 순서대로** 펼칩니다 — 그리고 분할 터널 모드까지 (운영 매뉴얼 M12).

🟢 읽기만 합니다. 아무것도 바꾸지 않습니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<읽기 전용 토큰>   # 권한: Zero Trust Read
  export CF_ACCOUNT_ID=<계정 ID>
  python profiles.py

왜 순서가 중요한가 — 프로필은 **위에서 아래로 첫 일치**입니다. 한 번 맞으면 아래는 보지
않고, 아무 조건에도 안 맞은 단말은 **맨 아래 Default** 가 받습니다.

🔴 그래서 「프로필을 고쳤는데 그 단말만 안 바뀐다」의 대부분은 **그 단말이 그 프로필을 안 받은
   것**입니다. 고치기 전에 순서와 조건(match)을 먼저 봅니다. 반영에는 최대 10분이 걸립니다.

🔴 **Include 와 Exclude 는 방향이 반대입니다.**
   Exclude(기본) = 적어 둔 것만 빠지고 나머지 전부가 Gateway 로 갑니다.
   Include        = 적어 둔 것만 Gateway 로 가고 나머지는 전부 지나칩니다.
   그래서 Include 프로필에서 「우회시켜 달라」는 요청은 **등록할 것이 없습니다** —
   그 주소를 목록에 넣으면 오히려 터널을 타게 됩니다.

공식 문서
  프로필 목록  https://developers.cloudflare.com/api/resources/zero_trust/subresources/devices/subresources/policies/methods/list/
  분할 터널    https://developers.cloudflare.com/cloudflare-one/team-and-resources/devices/cloudflare-one-client/configure/route-traffic/split-tunnels/
  프로필 문서  https://developers.cloudflare.com/cloudflare-one/team-and-resources/devices/cloudflare-one-client/configure/device-profiles/
"""
import json
import os
import sys
import urllib.error
import urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def call(path, quiet=False):
    url = API + "/accounts/" + ACCOUNT + path
    req = urllib.request.Request(url)
    req.add_header("Authorization", "Bearer " + TOKEN)
    try:
        with urllib.request.urlopen(req, timeout=30) as r:
            return json.loads(r.read().decode("utf-8"))
    except urllib.error.HTTPError as e:
        if quiet:
            return None
        raw = e.read().decode("utf-8", "replace")
        try:
            msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False)
        except ValueError:
            msg = raw[:200]
        sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg))


def split_tunnel(pid):
    """그 프로필의 분할 터널. 🔴 include 가 비어 있지 않으면 **Include 모드**입니다.

    Default 프로필은 policy_id 가 없는 경로(/devices/policy/include)로 물어봅니다.
    """
    base = "/devices/policy" + ("/" + pid if pid else "")
    inc = call(base + "/include", quiet=True) or {}
    exc = call(base + "/exclude", quiet=True) or {}
    inc_n = len(inc.get("result") or [])
    exc_n = len(exc.get("result") or [])
    mode = "Include" if inc_n else ("Exclude" if exc_n else "(못 읽었습니다)")
    return mode, inc_n, exc_n


profiles = (call("/devices/policies") or {}).get("result") or []
# precedence 가 작을수록 위입니다. Default 는 precedence 가 없고 항상 맨 아래입니다.
ordered = sorted(
    profiles,
    key=lambda p: (1 if p.get("default") else 0, p.get("precedence") if p.get("precedence") is not None else 10 ** 9),
)

print("단말 프로필 %d개 — 위에서 아래로 첫 일치, Default 는 맨 아래\n" % len(ordered))
print("%-4s %-26s %-7s %-10s %-22s %s" % ("순서", "이름", "켜짐", "모드", "분할터널", "조건(match)"))
print("-" * 108)

for i, p in enumerate(ordered, 1):
    pid = "" if p.get("default") else str(p.get("policy_id") or "")
    mode, inc_n, exc_n = split_tunnel(pid)
    st = "%s (포함 %d · 제외 %d)" % (mode, inc_n, exc_n)
    print("%-4s %-26s %-7s %-10s %-22s %s" % (
        "기본" if p.get("default") else str(p.get("precedence") if p.get("precedence") is not None else i),
        str(p.get("name") or ("Default" if p.get("default") else p.get("policy_id")))[:26],
        "예" if p.get("enabled", True) else "아니오",
        str(p.get("service_mode_v2", {}).get("mode") if isinstance(p.get("service_mode_v2"), dict) else "-")[:10],
        st,
        (str(p.get("match") or "-"))[:40]))

print("\n읽는 법")
print("  · 위에서부터 **첫 일치**입니다. 어떤 단말이 위쪽 프로필 조건에 맞으면 아래는 안 봅니다.")
print("  · 조건(match)이 비어 있고 Default 로 찍힌 줄이 **아무 조건에도 안 맞은 단말**을 받습니다.")
print("  · 「모드」는 클라이언트 동작 방식(service_mode_v2)입니다 — warp / posture_only 등.")
print("  · 분할 터널이 **Include** 인 프로필에서는 목록에 없는 것이 이미 전부 우회입니다.")
print("\n🔴 설정을 고쳐도 최대 10분 걸립니다. 그리고 MDM 으로 배포한 단말은 화면 설정이 아니라")
print("   MDM 파일이 이깁니다 — 그쪽도 함께 고쳐 재배포해야 합니다.")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""「클라이언트를 설치하지 않으면 못 들어오게」가 정말 그렇게 되어 있나 (운영 매뉴얼 M17).

🟢 읽기만 합니다. 아무것도 바꾸지 않습니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<읽기 전용 토큰>   # 권한: Access Read
  export CF_ACCOUNT_ID=<계정 ID>
  python require.py

무엇을 보나 — 앱마다 정책의 **require** 에 무엇이 걸려 있는지 모아, 두 가지를 가릅니다.

  warp    「Cloudflare One 클라이언트로 붙었나」    🔴 개인용 WARP 도 통과합니다
  gateway 「우리 조직의 Gateway 를 지나왔나」        조직 프로필이 걸린 단말만 통과합니다

🔴 **이것이 제일 비싼 오해입니다.** 「회사 PC 만 들어오게」가 목적이라면 require 는
   **gateway** 여야 합니다. warp 만 걸어 두면 집에서 개인용 WARP 를 켠 사설 노트북도
   통과합니다 — 공식 문서가 그렇게 적고 있습니다(including the consumer version).

같이 봐야 하는 것 — 기기 자세 검사(device_posture)를 require 에 걸어 두면 「회사가 관리하는
단말」에 훨씬 가까워집니다. 이 스크립트는 그 항목도 함께 세어 보여 줍니다.

공식 문서
  Require 규칙  https://developers.cloudflare.com/cloudflare-one/access-controls/policies/
  WARP 확인     https://developers.cloudflare.com/cloudflare-one/access-controls/policies/#require-cloudflare-one-client
  Gateway 확인  https://developers.cloudflare.com/cloudflare-one/access-controls/policies/#require-gateway
  정책 목록     https://developers.cloudflare.com/api/resources/zero_trust/subresources/access/subresources/policies/methods/list/
"""
import json
import os
import sys
import urllib.error
import urllib.parse
import urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def call(path, params=None, quiet=False):
    url = API + "/accounts/" + ACCOUNT + path
    if params:
        url += "?" + urllib.parse.urlencode(params)
    req = urllib.request.Request(url)
    req.add_header("Authorization", "Bearer " + TOKEN)
    try:
        with urllib.request.urlopen(req, timeout=30) as r:
            return json.loads(r.read().decode("utf-8"))
    except urllib.error.HTTPError as e:
        if quiet:
            return None
        raw = e.read().decode("utf-8", "replace")
        try:
            msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False)
        except ValueError:
            msg = raw[:200]
        sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg))


def get_all(path):
    out, cursor = [], ""
    for _ in range(50):
        q = {"per_page": "100"}
        if cursor:
            q["cursor"] = cursor
        j = call(path, q)
        batch = j.get("result") or []
        out.extend(batch)
        nxt = (j.get("result_info") or {}).get("cursor") or ""
        if not nxt or nxt == cursor or not batch:
            break
        cursor = nxt
    return out


def kinds(rules):
    """require/include 규칙 목록에서 종류만 뽑습니다(중첩된 any/all 도 펼칩니다)."""
    found = []
    stack = list(rules or [])
    while stack:
        r = stack.pop()
        if not isinstance(r, dict):
            continue
        for k, v in r.items():
            if k in ("any_valid_service_token", "certificate"):
                found.append(k)
            elif isinstance(v, dict):
                found.append(k)
                stack.extend([v])
            elif isinstance(v, list):
                stack.extend([x for x in v if isinstance(x, dict)])
            else:
                found.append(k)
    return found


apps = get_all("/access/apps")
rows, warp_only, gateway_apps, no_require = [], [], [], []

for a in apps:
    pols = a.get("policies") or []
    if not pols:
        pols = call("/access/apps/%s/policies" % a.get("id"), quiet=True)
        pols = (pols or {}).get("result") or []
    req = []
    for p in pols:
        req.extend(kinds(p.get("require")))
    name = str(a.get("name") or a.get("id"))[:32]
    has_warp = "warp" in req
    has_gw = "gateway" in req
    has_posture = "device_posture" in req
    rows.append((name, a.get("type") or "-", has_warp, has_gw, has_posture, len(pols)))
    if has_warp and not has_gw:
        warp_only.append(name)
    if has_gw:
        gateway_apps.append(name)
    if not (has_warp or has_gw or has_posture):
        no_require.append(name)

print("앱 %d개 — require 에 무엇이 걸려 있나\n" % len(rows))
print("%-32s %-14s %-8s %-9s %-9s %s" % ("앱", "종류", "warp", "gateway", "자세검사", "정책 수"))
print("-" * 92)
for name, typ, w, g, po, n in rows:
    print("%-32s %-14s %-8s %-9s %-9s %d" % (
        name, str(typ)[:14], "예" if w else "-", "예" if g else "-", "예" if po else "-", n))

print("\n판정")
if warp_only:
    print("🔴 warp 만 걸린 앱 %d개 — **개인용 WARP 로도 통과합니다**: %s"
          % (len(warp_only), ", ".join(warp_only[:8])))
    print("   「회사 PC 만」이 목적이라면 require 를 gateway 로 바꾸거나 함께 거십시오.")
else:
    print("🟢 warp 만 걸린 앱은 없습니다.")
if gateway_apps:
    print("🟢 gateway 가 걸린 앱 %d개: %s" % (len(gateway_apps), ", ".join(gateway_apps[:8])))
if no_require:
    print("⚠️ 단말 조건이 아예 없는 앱 %d개 — 신원만 맞으면 어떤 기기로도 들어옵니다: %s"
          % (len(no_require), ", ".join(no_require[:8])))
print("\n자세 검사(device_posture)를 함께 걸면 「회사가 관리하는 단말」에 더 가까워집니다.")

안에 공식 API 문서 주소도 함께 적어 두었습니다. 위 「복사」 단추로 전문을 한 번에 복사하실 수 있습니다.

#!/usr/bin/env python3
"""대시보드 관리자 명단을 한 표로 봅니다 — 멈춘 초대·1인 의존·2단계 인증 (운영 매뉴얼 M20).

🟢 **읽기만 합니다.** 이 도구에는 지우거나 초대하는 기능이 아예 없습니다.
표준 라이브러리만 씁니다 — 설치할 것이 없습니다.

  export CF_API_TOKEN=<토큰>      # 권한: Account Settings Read (계정 · 읽기)
  export CF_ACCOUNT_ID=<계정 ID>

  python members.py
  python members.py --json         다른 도구에 넘기실 때

무엇을 찾아 주나 — 화면에서는 한 사람씩 펼쳐야 보이는 것 셋입니다.

  1) **수락되지 않은 초대**. 초대 메일은 만료됩니다. 화면의 「Invite Pending」 은
     사람마다 줄을 펼쳐야 보이므로, 여러 명을 초대한 뒤에는 누가 안 들어왔는지
     한눈에 세기 어렵습니다.
  2) **Super Administrator 가 몇 명인가**. 관리자를 초대할 수 있는 사람은
     Super Administrator 뿐입니다. 한 명이면 그 한 사람이 2단계 인증에서 잠기는 날
     **초대도 권한 변경도 그날 안에 못 합니다.**
  3) **2단계 인증이 꺼진 관리자**. 계정 API 가 사람마다
     `two_factor_authentication_enabled` 를 알려 줍니다.

🔴 **이 도구가 답하지 못하는 것 — 초대가 언제 만료되는지.** 공식 문서는 「만료된다」와
   「다시 보낼 수 있다」만 적고 **기간을 적지 않습니다.** 그래서 남은 날짜를 계산해
   보여 주지 않습니다 — 지어낸 숫자를 운영 기준으로 쓰게 되기 때문입니다.
   판단은 「수락 안 됨」이 보이면 다시 보내는 것으로 충분합니다.

🔵 **초대 대신 바로 넣는 길이 있습니다(Enterprise).** 이미 Cloudflare 계정이 있는
   사람이면 메일 확인 단계를 건너뛰고 바로 추가할 수 있습니다(화면의 Direct Add).
   초대 메일이 계속 만료되는 상황이라면 이 길이 더 빠릅니다.

⚠️ **대시보드 관리자와 Zero Trust 사용자는 다른 명단입니다.** 여기 나오는 사람은
   설정을 바꾸는 관리자이고, 앱에 접속하는 직원은 좌석(seats) 쪽입니다.
   좌석은 remove.py · inactive.py 를 보십시오.

공식 문서
  멤버 관리     https://developers.cloudflare.com/fundamentals/manage-members/manage/
  멤버 목록 API https://developers.cloudflare.com/api/resources/accounts/subresources/members/methods/list/
  역할 목록 API https://developers.cloudflare.com/api/resources/accounts/subresources/roles/methods/list/
"""
import argparse
import json
import os
import sys
import urllib.error
import urllib.parse
import urllib.request

API = "https://api.cloudflare.com/client/v4"
TOKEN = os.environ.get("CF_API_TOKEN", "")
ACCOUNT = os.environ.get("CF_ACCOUNT_ID", "")
if not TOKEN or not ACCOUNT:
    sys.exit("CF_API_TOKEN 과 CF_ACCOUNT_ID 를 환경변수로 넣어 주세요.")


def call(path, params=None):
    url = API + "/accounts/" + ACCOUNT + path
    if params:
        url += "?" + urllib.parse.urlencode(params)
    req = urllib.request.Request(url, method="GET")
    req.add_header("Authorization", "Bearer " + TOKEN)
    try:
        with urllib.request.urlopen(req, timeout=30) as r:
            return json.loads(r.read().decode("utf-8"))
    except urllib.error.HTTPError as e:
        raw = e.read().decode("utf-8", "replace")
        try:
            msg = json.dumps(json.loads(raw).get("errors"), ensure_ascii=False)
        except ValueError:
            msg = raw[:200]
        sys.exit("GET %s → HTTP %d %s" % (path, e.code, msg))


def members():
    """멤버 전부. 🔴 첫 장만 읽으면 조용히 일부만 봅니다 — total_pages 까지 따라갑니다."""
    out, page = [], 1
    while True:
        d = call("/members", {"page": page, "per_page": 50})
        out.extend(d.get("result") or [])
        info = d.get("result_info") or {}
        total = info.get("total_pages") or 1
        if page >= total:
            return out
        page += 1


def role_names(m):
    """역할 이름. 예전 방식은 roles[], 범위를 지정한 방식은 policies[] 에 들어 있습니다.

    🔴 **두 곳에 같은 이름이 같이 들어 있습니다**(실제 계정에서 확인). 그대로 이으면
    같은 역할이 두 번 찍혀 「권한이 두 배로 있는 것처럼」 보입니다 — 그래서 중복을 걷어냅니다.
    """
    names = [r.get("name", "") for r in (m.get("roles") or []) if r.get("name")]
    for p in m.get("policies") or []:
        for g in p.get("permission_groups") or []:
            if g.get("name"):
                names.append(g["name"])
    seen, out = set(), []
    for n in names:
        if n not in seen:
            seen.add(n)
            out.append(n)
    return out


def role_summary(names):
    """역할이 100개를 넘는 멤버가 실제로 있습니다 — 줄을 잘라 버리면 정작 중요한
    Super Administrator 가 안 보입니다. 그래서 최고 권한을 앞으로 끌고 개수를 함께 냅니다."""
    if not names:
        return "(역할 없음)"
    first = [n for n in names if "super administrator" in n.lower()] or names[:1]
    rest = len(names) - 1
    return first[0][:44] + (" 외 %d개" % rest if rest > 0 else "")


def is_super(m):
    return any("super administrator" in n.lower() for n in role_names(m))


def main():
    ap = argparse.ArgumentParser(description="대시보드 관리자 명단 점검 (읽기만)")
    ap.add_argument("--json", action="store_true", help="사람이 읽는 표 대신 JSON")
    a = ap.parse_args()

    rows = []
    for m in members():
        user = m.get("user") or {}
        # 🔴 status 의 글자를 단정하지 않습니다. 「accepted 가 아니면 아직 안 들어온 것」
        #    으로만 봅니다 — 문자열이 바뀌어도 판정이 틀리지 않습니다.
        status = m.get("status") or "?"
        rows.append({
            "email": m.get("email") or user.get("email") or "?",
            "status": status,
            "accepted": status == "accepted",
            "super": is_super(m),
            "two_factor": bool(user.get("two_factor_authentication_enabled")),
            "api_access_enabled": bool(m.get("api_access_enabled")),
            "roles": role_names(m),
            "member_id": m.get("id"),
        })
    rows.sort(key=lambda r: (r["accepted"], not r["super"], r["email"]))

    pending = [r for r in rows if not r["accepted"]]
    supers = [r for r in rows if r["super"]]
    super_no_2fa = [r for r in supers if not r["two_factor"]]

    if a.json:
        print(json.dumps({
            "members": rows,
            "pending": [r["email"] for r in pending],
            "super_admins": [r["email"] for r in supers],
            "super_admins_without_2fa": [r["email"] for r in super_no_2fa],
        }, ensure_ascii=False, indent=2))
        return

    print("대시보드 멤버 %d명" % len(rows))
    print("%-38s %-12s %-5s %-5s %s" % ("이메일", "상태", "최고", "2단계", "역할"))
    for r in rows:
        print("%-38s %-12s %-5s %-5s %s" % (
            r["email"],
            "수락" if r["accepted"] else "수락 안 됨",
            "예" if r["super"] else "",
            "켜짐" if r["two_factor"] else "꺼짐",
            role_summary(r["roles"]),
        ))

    print("")
    if pending:
        print("🔴 수락되지 않은 초대 %d건 — 다시 보내 주십시오(화면: Members › 해당 줄 › Resend Invite)."
              % len(pending))
        for r in pending:
            print("   · " + r["email"])
    else:
        print("🟢 멈춰 있는 초대는 없습니다.")

    if len(supers) == 0:
        print("⚠️ Super Administrator 를 찾지 못했습니다 — 토큰 권한이 좁아 역할이 안 보일 수 있습니다.")
    elif len(supers) == 1:
        print("🔴 Super Administrator 가 1명(%s)뿐입니다. 그 한 분이 2단계 인증에서 잠기면"
              % supers[0]["email"])
        print("   초대·권한 변경이 그날 안에 안 됩니다. 2명 이상을 권합니다.")
    else:
        print("🟢 Super Administrator %d명 — 한 사람이 잠겨도 나머지가 풀 수 있습니다." % len(supers))

    if super_no_2fa:
        print("🟠 2단계 인증이 꺼진 Super Administrator %d명 — 켜는 것을 권합니다."
              % len(super_no_2fa))
        for r in super_no_2fa:
            print("   · " + r["email"])


if __name__ == "__main__":
    main()