Florian WildeandClaude Opus 5
49ce06f206
Legt die Grundlage, auf der alle weiteren Meilensteine nur noch Fachlichkeit ergänzen: Next 16 mit App Router und TypeScript strict, Tailwind 4, Prisma 7, Vitest 5, Playwright, ESLint, Prettier und die Hooks für Lint und Commits. Zwei Dinge sind bewusst so gebaut und durch Tests festgehalten: Die Datenbank ist im Betriebsstand von außen nicht erreichbar. Sie hat kein ports:-Mapping und hängt allein im Netz "intern", das ohne Gateway läuft; nur "web" kommt zusätzlich nach draußen. tests/betriebsstand.test.ts schlägt an, falls ein Port-Mapping zurückkehrt. Geprüft, nicht behauptet: docker compose up startet den Stack, 5432 ist vom Host aus zu, aus "web" offen. pnpm pruefe:doku hält Dokumentation und Code zusammen — Version im Changelog, Issue-Dateien gegen ihre Übersicht, keine Verweise auf fehlende Dateien, keine fehlenden Bilder. Das Skript wurde gegen vier eingebaute Fehler gegengeprüft. Drei Versions-Obergrenzen sind nötig und in CLAUDE.md begründet: eslint bleibt auf 9.x, weil eslint-plugin-react keinen Nachfolger für eslint 10 hat und das Regelwerk sonst beim Laden abbricht; typescript bleibt auf 6.0.x, weil typescript-eslint TypeScript 7 noch nicht unterstützt; prisma ist exakt auf 7.10.0 gepinnt, weil sein latest-Tag auf einen 8.0-RC zeigt, der von @prisma/client aber nicht. Auth.js entfällt entgegen der ursprünglichen Vorgabe: v5 steht dauerhaft auf Beta, das Projekt ist im Wartungsmodus und sein Prisma-Adapter deckt Prisma 7 nicht ab. Stattdessen openid-client und jose, wie in ProxLedger. Dieser erste Commit geht direkt auf main, weil es noch keinen Branch gibt, von dem abzuzweigen wäre. Ab #006 läuft jedes Issue über einen eigenen Branch. Closes #5 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
3.4 KiB
3.4 KiB
#016 M11 – Verzeichnis und LDAP-Abgleich
Status: offen Meilenstein: v0.1.0 Labels: phase-1, backend, frontend, security Geschätzt: 12 h Tatsächlich: –
Ziel
Die Mitarbeiter der eigenen Firma kommen aus dem Active Directory, damit beim Start eines Laufs nichts abgetippt werden muss. Gilt nur für die eigene Organisation; im Modus DIENSTLEISTUNG ist das Verzeichnis-Modul ausgeblendet.
Aufgaben
ldapts9.x:ldapsbevorzugt, StartTLS optional, eigenes CA-Zertifikat hinterlegbar (caCertPem),minVersion: TLSv1.2searchPaginatedmitpageSize: 1000— nichtsearchmitpaged, das puffert alles im SpeicherexplicitBufferAttributes: ['objectGUID']und korrekte Umsortierung der gemischt-endianen Bytes zur GUID-Zeichenkette alsexterneId- Standardfilter
(&(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2))) - Attribut-Mapping mit AD-Vorgaben:
givenName,sn,displayName,mail,userPrincipalName→upn,sAMAccountName→sam,department,title,manager→vorgesetzterExterneId,distinguishedName→dn - „Verbindung testen": zeigt die ersten 10 Treffer mit gemappten Feldern, ohne etwas zu schreiben
abgleichService: anlegen, aktualisieren, verschwundene oder deaktivierte Konten aufaktiv = false— nie löschen; Ergebnis (angelegt/aktualisiert/deaktiviert/Fehler) inletzterAbgleichStatus,letzterAbgleichFehler,letzterAbgleichAmund imProtokoll- Zeitplan mit
node-cronim selben Prozess, Intervall je Quelle (Standard 60 min), Sperre überAbgleichSperrein der Datenbank, damit nur eine Instanz läuft; zusätzlich „Jetzt abgleichen" - Bind-Passwort verschlüsselt über
src/lib/geheimnisse.ts, Serializer entferntbindPasswortVerschluesseltaus jeder Antwort - Admin → Verzeichnis: Quelle anlegen und bearbeiten, Verbindung testen, Abgleich-Status und -Log, „Jetzt abgleichen"
- Manuelle Mitarbeiter und CSV-Import (
givenName,sn,displayName,mail,upn,sam,department,title) - Abteilungsvorschläge aus den
department-Werten des Abgleichs, vom Admin inAbteilung-Einträge übernehmbar - Nur die gemappten Attribute speichern: keine Passwörter, keine Gruppenmitgliedschaften des Mitarbeiters
docker-compose.test.ymlum OpenLDAP erweitern, mit AD-ähnlichem Fixture-Schema (sAMAccountName,userPrincipalName, binäresobjectGUID) — aus #005 hierher verschoben, weil der Dienst erst hier benutzt wird- Screenshots Verzeichnis, Verbindungstest, Abgleich-Log, CSV-Import in
docs/screenshots/m11/
Akzeptanzkriterien
- Integrationstest gegen den Container: erster Lauf legt Mitarbeiter an, zweiter Lauf aktualisiert sie ohne Duplikate
- Integrationstest: ein aus dem Verzeichnis entferntes Konto wird
aktiv = falseund bleibt in der Datenbank - Integrationstest: ein per
userAccountControldeaktiviertes Konto wirdaktiv = false - Test:
{{ou}}wird korrekt aus demdnabgeleitet - Test:
objectGUIDals Buffer ergibt reproduzierbar dieselbe GUID-Zeichenkette (bekannter Byte-Vektor als Fixture) - Test: keine API-Antwort und kein Server-Log enthält das Bind-Passwort im Klartext
- Test: zwei gleichzeitig gestartete Abgleiche derselben Quelle — der zweite wird von der Sperre abgewiesen
- Im Modus
DIENSTLEISTUNGist Admin → Verzeichnis nicht erreichbar