Laufzettel/docs/issues/016-verzeichnis-ldap.md

#016 M11 – Verzeichnis und LDAP-Abgleich

Status: offen Meilenstein: v0.1.0 Labels: phase-1, backend, frontend, security Geschätzt: 12 h Tatsächlich: –

Ziel

Die Mitarbeiter der eigenen Firma kommen aus dem Active Directory, damit beim Start eines Laufs nichts abgetippt werden muss. Gilt nur für die eigene Organisation; im Modus DIENSTLEISTUNG ist das Verzeichnis-Modul ausgeblendet.

Aufgaben

• ldapts 9.x: ldaps bevorzugt, StartTLS optional, eigenes CA-Zertifikat hinterlegbar (caCertPem), minVersion: TLSv1.2
• searchPaginated mit pageSize: 1000 — nicht search mit paged, das puffert alles im Speicher
• explicitBufferAttributes: ['objectGUID'] und korrekte Umsortierung der gemischt-endianen Bytes zur GUID-Zeichenkette als externeId
• Standardfilter (&(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
• Attribut-Mapping mit AD-Vorgaben: givenName, sn, displayName, mail, userPrincipalName → upn, sAMAccountName → sam, department, title, manager → vorgesetzterExterneId, distinguishedName → dn
• „Verbindung testen“: zeigt die ersten 10 Treffer mit gemappten Feldern, ohne etwas zu schreiben
• abgleichService: anlegen, aktualisieren, verschwundene oder deaktivierte Konten auf aktiv = false — nie löschen; Ergebnis (angelegt/aktualisiert/deaktiviert/Fehler) in letzterAbgleichStatus, letzterAbgleichFehler, letzterAbgleichAm und im Protokoll
• Zeitplan mit node-cron im selben Prozess, Intervall je Quelle (Standard 60 min), Sperre über AbgleichSperre in der Datenbank, damit nur eine Instanz läuft; zusätzlich „Jetzt abgleichen“
• Bind-Passwort verschlüsselt über src/lib/geheimnisse.ts, Serializer entfernt bindPasswortVerschluesselt aus jeder Antwort
• Admin → Verzeichnis: Quelle anlegen und bearbeiten, Verbindung testen, Abgleich-Status und -Log, „Jetzt abgleichen“
• Manuelle Mitarbeiter und CSV-Import (givenName, sn, displayName, mail, upn, sam, department, title)
• Abteilungsvorschläge aus den department-Werten des Abgleichs, vom Admin in Abteilung-Einträge übernehmbar
• Nur die gemappten Attribute speichern: keine Passwörter, keine Gruppenmitgliedschaften des Mitarbeiters
• docker-compose.test.yml um OpenLDAP erweitern, mit AD-ähnlichem Fixture-Schema (sAMAccountName, userPrincipalName, binäres objectGUID) — aus #005 hierher verschoben, weil der Dienst erst hier benutzt wird
• Screenshots Verzeichnis, Verbindungstest, Abgleich-Log, CSV-Import in docs/screenshots/m11/

Akzeptanzkriterien

• Integrationstest gegen den Container: erster Lauf legt Mitarbeiter an, zweiter Lauf aktualisiert sie ohne Duplikate
• Integrationstest: ein aus dem Verzeichnis entferntes Konto wird aktiv = false und bleibt in der Datenbank
• Integrationstest: ein per userAccountControl deaktiviertes Konto wird aktiv = false
• Test: {{ou}} wird korrekt aus dem dn abgeleitet
• Test: objectGUID als Buffer ergibt reproduzierbar dieselbe GUID-Zeichenkette (bekannter Byte-Vektor als Fixture)
• Test: keine API-Antwort und kein Server-Log enthält das Bind-Passwort im Klartext
• Test: zwei gleichzeitig gestartete Abgleiche derselben Quelle — der zweite wird von der Sperre abgewiesen
• Im Modus DIENSTLEISTUNG ist Admin → Verzeichnis nicht erreichbar