Florian WildeandClaude Opus 5
abacad1cb7
Eine veroeffentlichte Vorlagen-Version ist fuer immer unveraenderlich — daran haengt, dass ein archivierter Lauf in zehn Jahren noch genau die Schritte zeigt, mit denen er gestartet wurde. Die Regel steht deshalb zweimal: im Service, der die verstaendliche Meldung gibt, und in der Datenbank, die die Garantie gibt. Vier Trigger fangen Schreibzugriffe ab, die nicht durch den Service kommen — Migrationen, psql, der Seed und ab Phase 4 die Connectoren — und versperren den Rueckweg nach ENTWURF, der alles andere ausgehebelt haette. - Service: anlegen, Kopfdaten bearbeiten, Entwurf als tiefe Kopie der letzten veroeffentlichten Version, speichern, veroeffentlichen, verwerfen, duplizieren, archivieren - Hoechstens ein Entwurf je Vorlage, durchgesetzt vom partiellen Index; zwei gleichzeitige Klicks auf „Bearbeiten“ bekommen denselben Entwurf statt eines Fehlers - Optimistisches Sperren ueber geaendertAm: wer auf einem ueberholten Stand speichert, wird abgewiesen statt die Arbeit des anderen spurlos zu ersetzen - JSON-Export und -Import samt Format-Dokumentation; der Export ist nachsichtig, der Import streng - src/lib/validierung.ts als einzige Zod-Quelle mit deutschen Meldungen, per ESLint-Regel erzwungen Der unabhaengige Review fand drei Blocker, alle an der Mandantengrenze: der Suchfilter brachte ein zweites OR mit und ueberschrieb die Kundenbedingung, Historie und Aufbau einer Version filterten gar nicht. Zu queries/vorlagen.ts gab es keinen Test — jetzt gibt es tests/vorlagen-sicht.test.ts. 428 Tests gruen (vorher 336). Schliesst #009 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
3.4 KiB
3.4 KiB
#016 M11 – Verzeichnis und LDAP-Abgleich
Status: offen Meilenstein: v0.1.0 Labels: phase-1, backend, frontend, security Geschätzt: 12 h Tatsächlich: –
Ziel
Die Mitarbeiter der eigenen Firma kommen aus dem Active Directory, damit beim Start eines Laufs nichts abgetippt werden muss. Gilt nur für die eigene Organisation; im Modus DIENSTLEISTUNG ist das Verzeichnis-Modul ausgeblendet.
Aufgaben
ldapts9.x:ldapsbevorzugt, StartTLS optional, eigenes CA-Zertifikat hinterlegbar (caCertPem),minVersion: TLSv1.2searchPaginatedmitpageSize: 1000— nichtsearchmitpaged, das puffert alles im SpeicherexplicitBufferAttributes: ['objectGUID']und korrekte Umsortierung der gemischt-endianen Bytes zur GUID-Zeichenkette alsexterneId- Standardfilter
(&(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2))) - Attribut-Mapping mit AD-Vorgaben:
givenName,sn,displayName,mail,userPrincipalName→upn,sAMAccountName→sam,department,title,manager→vorgesetzterExterneId,distinguishedName→dn - „Verbindung testen“: zeigt die ersten 10 Treffer mit gemappten Feldern, ohne etwas zu schreiben
abgleichService: anlegen, aktualisieren, verschwundene oder deaktivierte Konten aufaktiv = false— nie löschen; Ergebnis (angelegt/aktualisiert/deaktiviert/Fehler) inletzterAbgleichStatus,letzterAbgleichFehler,letzterAbgleichAmund imProtokoll- Zeitplan mit
node-cronim selben Prozess, Intervall je Quelle (Standard 60 min), Sperre überAbgleichSperrein der Datenbank, damit nur eine Instanz läuft; zusätzlich „Jetzt abgleichen“ - Bind-Passwort verschlüsselt über
src/lib/geheimnisse.ts, Serializer entferntbindPasswortVerschluesseltaus jeder Antwort - Admin → Verzeichnis: Quelle anlegen und bearbeiten, Verbindung testen, Abgleich-Status und -Log, „Jetzt abgleichen“
- Manuelle Mitarbeiter und CSV-Import (
givenName,sn,displayName,mail,upn,sam,department,title) - Abteilungsvorschläge aus den
department-Werten des Abgleichs, vom Admin inAbteilung-Einträge übernehmbar - Nur die gemappten Attribute speichern: keine Passwörter, keine Gruppenmitgliedschaften des Mitarbeiters
docker-compose.test.ymlum OpenLDAP erweitern, mit AD-ähnlichem Fixture-Schema (sAMAccountName,userPrincipalName, binäresobjectGUID) — aus #005 hierher verschoben, weil der Dienst erst hier benutzt wird- Screenshots Verzeichnis, Verbindungstest, Abgleich-Log, CSV-Import in
docs/screenshots/m11/
Akzeptanzkriterien
- Integrationstest gegen den Container: erster Lauf legt Mitarbeiter an, zweiter Lauf aktualisiert sie ohne Duplikate
- Integrationstest: ein aus dem Verzeichnis entferntes Konto wird
aktiv = falseund bleibt in der Datenbank - Integrationstest: ein per
userAccountControldeaktiviertes Konto wirdaktiv = false - Test:
{{ou}}wird korrekt aus demdnabgeleitet - Test:
objectGUIDals Buffer ergibt reproduzierbar dieselbe GUID-Zeichenkette (bekannter Byte-Vektor als Fixture) - Test: keine API-Antwort und kein Server-Log enthält das Bind-Passwort im Klartext
- Test: zwei gleichzeitig gestartete Abgleiche derselben Quelle — der zweite wird von der Sperre abgewiesen
- Im Modus
DIENSTLEISTUNGist Admin → Verzeichnis nicht erreichbar