АРХ - NODEDC PLATFORM: каркас платформенного репозитория
This commit is contained in:
Codex
commit
0f89c4d126
|
|
@ -0,0 +1,24 @@
|
||||||
|
.DS_Store
|
||||||
|
|
||||||
|
# local env and secrets
|
||||||
|
.env
|
||||||
|
.env.*
|
||||||
|
!.env.example
|
||||||
|
!.env.*.example
|
||||||
|
|
||||||
|
# dependencies and build output
|
||||||
|
node_modules/
|
||||||
|
dist/
|
||||||
|
build/
|
||||||
|
.turbo/
|
||||||
|
.next/
|
||||||
|
coverage/
|
||||||
|
|
||||||
|
# logs
|
||||||
|
*.log
|
||||||
|
logs/
|
||||||
|
|
||||||
|
# local runtime data
|
||||||
|
tmp/
|
||||||
|
data/
|
||||||
|
volumes/
|
||||||
|
|
@ -0,0 +1,37 @@
|
||||||
|
# NODE.DC Platform
|
||||||
|
|
||||||
|
Платформенный слой для multi-app authentication architecture NODE.DC.
|
||||||
|
|
||||||
|
Эта папка не является монорепозиторием всех приложений. Здесь живут общая архитектура, Authentik/reverse-proxy инфраструктура, правила локального разворачивания, auth model, migration plan для Plane и будущий общий auth-sdk.
|
||||||
|
|
||||||
|
Git repo:
|
||||||
|
|
||||||
|
- `origin`: `https://git.dcserve.ru/SILVER/NODEDC_PLATFORM.git`
|
||||||
|
- local branch: `main`
|
||||||
|
|
||||||
|
Текущие приложения остаются отдельными репозиториями:
|
||||||
|
|
||||||
|
- Launcher: `/Users/dcconstructions/Downloads/mnt/data/nodedc_launcher`
|
||||||
|
- Task Manager / Plane fork: `/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER`
|
||||||
|
- Plane runtime: `/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER/plane-app`
|
||||||
|
- Plane source fork: `/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER/plane-src`
|
||||||
|
|
||||||
|
## Нулевой этап
|
||||||
|
|
||||||
|
Нулевой этап фиксирует discovery и каркас платформы без изменения бизнес-логики Launcher и Plane.
|
||||||
|
|
||||||
|
Артефакты:
|
||||||
|
|
||||||
|
- `docs/DISCOVERY_REPORT.md`
|
||||||
|
- `docs/ARCHITECTURE.md`
|
||||||
|
- `docs/AUTH_MODEL.md`
|
||||||
|
- `docs/DEPLOYMENT_LOCAL.md`
|
||||||
|
- `docs/SECURITY_CHECKLIST.md`
|
||||||
|
- `docs/MIGRATION_PLANE_USER.md`
|
||||||
|
- `infra/README.md`
|
||||||
|
- `packages/auth-sdk/README.md`
|
||||||
|
- `tasks/CODEX_PLATFORM_AUTH_TASK.md`
|
||||||
|
|
||||||
|
## Базовое правило
|
||||||
|
|
||||||
|
Plane не переносится внутрь Launcher. Launcher не становится владельцем таблиц Plane. Authentik становится единым Identity Provider, а приложения сохраняют собственные доменные БД и роли.
|
||||||
|
|
@ -0,0 +1,109 @@
|
||||||
|
# Architecture: NODE.DC Multi-App Platform
|
||||||
|
|
||||||
|
## Цель
|
||||||
|
|
||||||
|
Собрать единую платформенную основу для Launcher, Task Manager / Plane и будущих приложений NODE.DC.
|
||||||
|
|
||||||
|
Целевой пользовательский сценарий:
|
||||||
|
|
||||||
|
1. Пользователь открывает Launcher.
|
||||||
|
2. Если сессии нет, его отправляет в Authentik.
|
||||||
|
3. После логина Launcher получает identity и app access.
|
||||||
|
4. Launcher показывает только доступные приложения.
|
||||||
|
5. Переход в Task Manager не требует повторного логина.
|
||||||
|
6. Прямой URL Task Manager тоже защищен.
|
||||||
|
|
||||||
|
## Роли компонентов
|
||||||
|
|
||||||
|
`Authentik` является единым Identity Provider:
|
||||||
|
|
||||||
|
- логин;
|
||||||
|
- пароль;
|
||||||
|
- активность пользователя;
|
||||||
|
- группы;
|
||||||
|
- app access;
|
||||||
|
- OIDC claims;
|
||||||
|
- будущие invite/enrollment/MFA flows.
|
||||||
|
|
||||||
|
`Launcher` является control plane:
|
||||||
|
|
||||||
|
- входная точка пользователя;
|
||||||
|
- список доступных приложений;
|
||||||
|
- admin UI управления пользователями и доступами;
|
||||||
|
- backend-интеграция с Authentik API;
|
||||||
|
- audit log админских действий.
|
||||||
|
|
||||||
|
`Task Manager / Plane` остается отдельным приложением:
|
||||||
|
|
||||||
|
- собственная БД;
|
||||||
|
- собственные workspace/project/task/comment модели;
|
||||||
|
- собственные роли workspace/project;
|
||||||
|
- OIDC login через Authentik;
|
||||||
|
- mapping внешней identity на существующего Plane user.
|
||||||
|
|
||||||
|
`Reverse proxy` является внешним защитным и маршрутизирующим слоем:
|
||||||
|
|
||||||
|
- единая точка входа;
|
||||||
|
- HTTPS в staging/production;
|
||||||
|
- routing по app domain;
|
||||||
|
- forward headers для Authentik;
|
||||||
|
- deny для пользователей без app access.
|
||||||
|
|
||||||
|
## Repository layout
|
||||||
|
|
||||||
|
Рабочая схема:
|
||||||
|
|
||||||
|
```text
|
||||||
|
NODEDC/
|
||||||
|
DOC/
|
||||||
|
platform/
|
||||||
|
docs/
|
||||||
|
infra/
|
||||||
|
packages/
|
||||||
|
tasks/
|
||||||
|
|
||||||
|
/Users/dcconstructions/Downloads/mnt/data/nodedc_launcher
|
||||||
|
/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER
|
||||||
|
```
|
||||||
|
|
||||||
|
`platform/` не забирает исходники Launcher и Plane внутрь себя. Он хранит только платформенный слой и договоренности между приложениями.
|
||||||
|
|
||||||
|
## Data ownership
|
||||||
|
|
||||||
|
Не создается единая общая таблица `users` для всех приложений.
|
||||||
|
|
||||||
|
Логическая схема:
|
||||||
|
|
||||||
|
```text
|
||||||
|
authentik_db -> identity, groups, app access
|
||||||
|
launcher_db -> app registry, local profiles, audit
|
||||||
|
plane_db -> workspace, projects, tasks, comments, app roles
|
||||||
|
future_app_db -> доменная логика будущих приложений
|
||||||
|
```
|
||||||
|
|
||||||
|
Связь между identity и локальными пользователями выполняется через explicit mapping, а не через прямое чтение чужих таблиц.
|
||||||
|
|
||||||
|
## Auth flow
|
||||||
|
|
||||||
|
Для приложений, которые контролируются кодом:
|
||||||
|
|
||||||
|
- OIDC Authorization Code Flow + PKCE;
|
||||||
|
- backend/session или BFF layer;
|
||||||
|
- JWT/JWKS validation server-side;
|
||||||
|
- проверка `issuer`, `audience`, `exp`, `sub`;
|
||||||
|
- проверка app access group;
|
||||||
|
- локальный user profile или external identity link.
|
||||||
|
|
||||||
|
Для legacy/временных приложений допускается reverse proxy forward-auth, но это временный внешний слой, а не единственная долгосрочная модель.
|
||||||
|
|
||||||
|
## Plane migration rule
|
||||||
|
|
||||||
|
Существующий Plane user нельзя пересоздавать.
|
||||||
|
|
||||||
|
Нужен mapping:
|
||||||
|
|
||||||
|
```text
|
||||||
|
authentik_user.sub -> existing plane_user.id
|
||||||
|
```
|
||||||
|
|
||||||
|
Plane должен логинить существующего пользователя по link, сохраняя все старые workspace, assignee, owner, created_by, comments и attachments.
|
||||||
|
|
@ -0,0 +1,108 @@
|
||||||
|
# Auth Model
|
||||||
|
|
||||||
|
## Identity source
|
||||||
|
|
||||||
|
Единственный источник identity: Authentik.
|
||||||
|
|
||||||
|
Launcher, Plane и будущие приложения не хранят пароли пользователей и не становятся главным источником truth по логину.
|
||||||
|
|
||||||
|
## Required claims
|
||||||
|
|
||||||
|
Минимальный normalized user object:
|
||||||
|
|
||||||
|
```ts
|
||||||
|
type AuthUser = {
|
||||||
|
sub: string;
|
||||||
|
email: string;
|
||||||
|
name?: string;
|
||||||
|
groups: string[];
|
||||||
|
entitlements?: string[];
|
||||||
|
};
|
||||||
|
```
|
||||||
|
|
||||||
|
Обязательные проверки:
|
||||||
|
|
||||||
|
- `iss` совпадает с настроенным issuer;
|
||||||
|
- `aud` совпадает с client/application audience;
|
||||||
|
- `exp` не истек;
|
||||||
|
- `sub` непустой и стабилен;
|
||||||
|
- `email` присутствует для user-facing приложений;
|
||||||
|
- `groups` или `entitlements` содержат требуемый app access.
|
||||||
|
|
||||||
|
## Groups
|
||||||
|
|
||||||
|
Минимальная группа верхнего уровня:
|
||||||
|
|
||||||
|
```text
|
||||||
|
nodedc:superadmin
|
||||||
|
```
|
||||||
|
|
||||||
|
Launcher:
|
||||||
|
|
||||||
|
```text
|
||||||
|
nodedc:launcher:access
|
||||||
|
nodedc:launcher:admin
|
||||||
|
nodedc:launcher:user-manager
|
||||||
|
```
|
||||||
|
|
||||||
|
Task Manager:
|
||||||
|
|
||||||
|
```text
|
||||||
|
nodedc:taskmanager:access
|
||||||
|
nodedc:taskmanager:admin
|
||||||
|
```
|
||||||
|
|
||||||
|
Future apps:
|
||||||
|
|
||||||
|
```text
|
||||||
|
nodedc:agents:access
|
||||||
|
nodedc:tender:access
|
||||||
|
nodedc:onec:access
|
||||||
|
nodedc:dm:access
|
||||||
|
```
|
||||||
|
|
||||||
|
## Access levels
|
||||||
|
|
||||||
|
Уровень 1: Authentik app access.
|
||||||
|
|
||||||
|
Отвечает на вопрос, можно ли открыть приложение.
|
||||||
|
|
||||||
|
Уровень 2: Launcher admin roles.
|
||||||
|
|
||||||
|
Отвечает на вопрос, можно ли управлять пользователями, группами, app registry и audit.
|
||||||
|
|
||||||
|
Уровень 3: Application roles.
|
||||||
|
|
||||||
|
Например, Plane workspace owner/admin/member/viewer. Эти роли остаются внутри Plane.
|
||||||
|
|
||||||
|
## Launcher backend requirements
|
||||||
|
|
||||||
|
Backend должен:
|
||||||
|
|
||||||
|
- хранить Authentik service token только server-side;
|
||||||
|
- выполнять admin calls к Authentik API;
|
||||||
|
- хранить audit log;
|
||||||
|
- возвращать frontend только нормализованные данные пользователя и разрешенные действия;
|
||||||
|
- не отдавать access/refresh/service tokens в browser bundle.
|
||||||
|
|
||||||
|
## Plane identity link
|
||||||
|
|
||||||
|
Минимальная таблица или эквивалентная модель в Plane:
|
||||||
|
|
||||||
|
```text
|
||||||
|
external_identity_link
|
||||||
|
provider = authentik
|
||||||
|
authentik_sub
|
||||||
|
email
|
||||||
|
plane_user_id
|
||||||
|
created_at
|
||||||
|
last_login_at
|
||||||
|
status
|
||||||
|
```
|
||||||
|
|
||||||
|
Правило миграции:
|
||||||
|
|
||||||
|
- сначала искать link по `authentik_sub`;
|
||||||
|
- если link найден, логинить связанный `plane_user_id`;
|
||||||
|
- если link не найден, но email совпадает и включен migration auto-link, создать link;
|
||||||
|
- если доступа нет, вернуть deny.
|
||||||
|
|
@ -0,0 +1,81 @@
|
||||||
|
# Local Deployment Plan
|
||||||
|
|
||||||
|
## Domains
|
||||||
|
|
||||||
|
Для локальной разработки целевая схема:
|
||||||
|
|
||||||
|
```text
|
||||||
|
127.0.0.1 auth.local.nodedc
|
||||||
|
127.0.0.1 launcher.local.nodedc
|
||||||
|
127.0.0.1 task.local.nodedc
|
||||||
|
127.0.0.1 agents.local.nodedc
|
||||||
|
127.0.0.1 tender.local.nodedc
|
||||||
|
127.0.0.1 onec.local.nodedc
|
||||||
|
127.0.0.1 dm.local.nodedc
|
||||||
|
```
|
||||||
|
|
||||||
|
## Current local apps
|
||||||
|
|
||||||
|
Launcher сейчас запускается как Vite app из:
|
||||||
|
|
||||||
|
```text
|
||||||
|
/Users/dcconstructions/Downloads/mnt/data/nodedc_launcher
|
||||||
|
```
|
||||||
|
|
||||||
|
Task Manager сейчас доступен как Plane self-host runtime:
|
||||||
|
|
||||||
|
```text
|
||||||
|
http://localhost:8090
|
||||||
|
```
|
||||||
|
|
||||||
|
Runtime:
|
||||||
|
|
||||||
|
```text
|
||||||
|
/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER/plane-app
|
||||||
|
```
|
||||||
|
|
||||||
|
Source fork:
|
||||||
|
|
||||||
|
```text
|
||||||
|
/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER/plane-src
|
||||||
|
```
|
||||||
|
|
||||||
|
## Target local flow
|
||||||
|
|
||||||
|
Первый local infra milestone:
|
||||||
|
|
||||||
|
```text
|
||||||
|
auth.local.nodedc -> Authentik
|
||||||
|
launcher.local.nodedc -> Launcher web/backend
|
||||||
|
task.local.nodedc -> Plane proxy/runtime
|
||||||
|
```
|
||||||
|
|
||||||
|
Все внешние запросы идут через reverse proxy.
|
||||||
|
|
||||||
|
## Environment
|
||||||
|
|
||||||
|
Базовые переменные должны жить в:
|
||||||
|
|
||||||
|
```text
|
||||||
|
platform/infra/.env
|
||||||
|
```
|
||||||
|
|
||||||
|
Пример значений хранится в:
|
||||||
|
|
||||||
|
```text
|
||||||
|
platform/infra/.env.example
|
||||||
|
```
|
||||||
|
|
||||||
|
## Implementation order
|
||||||
|
|
||||||
|
1. Согласовать локальные domain/port bindings.
|
||||||
|
2. Добавить reverse proxy config.
|
||||||
|
3. Поднять Authentik server, worker, Postgres и Redis.
|
||||||
|
4. Прокинуть Authentik за proxy с корректными headers.
|
||||||
|
5. Подключить текущий Launcher как внешний сервис или через compose service.
|
||||||
|
6. Подключить текущий Plane runtime как внешний service target.
|
||||||
|
7. После стабилизации собрать воспроизводимый compose.
|
||||||
|
|
||||||
|
## Notes
|
||||||
|
|
||||||
|
Текущий Plane runtime не переносится на нулевом этапе. Любое изменение `plane-app/plane.env`, volumes или startup scripts делается только после backup и отдельной задачи.
|
||||||
|
|
@ -0,0 +1,106 @@
|
||||||
|
# Discovery Report: NODE.DC Platform
|
||||||
|
|
||||||
|
Дата: 2026-05-04
|
||||||
|
|
||||||
|
## Источники
|
||||||
|
|
||||||
|
- Базовое ТЗ: `/Users/dcconstructions/Downloads/mnt/NODEDC/DOC/BASE/tz_codex_platform_authentik_launcher_plane.md`
|
||||||
|
- Краткое ТЗ: `/Users/dcconstructions/Downloads/mnt/NODEDC/DOC/BASE/nodedc_auth.md`
|
||||||
|
- Launcher repo: `/Users/dcconstructions/Downloads/mnt/data/nodedc_launcher`
|
||||||
|
- Task Manager repo: `/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER`
|
||||||
|
|
||||||
|
## Workspace
|
||||||
|
|
||||||
|
`/Users/dcconstructions/Downloads/mnt/NODEDC` используется как внешний workspace-корень для платформенной работы.
|
||||||
|
|
||||||
|
Текущая папка `NODEDC` до нулевого этапа содержала только базовые документы в `DOC/BASE`. Отдельного git-репозитория в этой папке нет.
|
||||||
|
|
||||||
|
## Launcher
|
||||||
|
|
||||||
|
Путь: `/Users/dcconstructions/Downloads/mnt/data/nodedc_launcher`
|
||||||
|
|
||||||
|
Факты discovery:
|
||||||
|
|
||||||
|
- отдельный git-репозиторий;
|
||||||
|
- Vite/React приложение;
|
||||||
|
- основной entrypoint: `src/main.tsx`;
|
||||||
|
- команды из `package.json`: `npm run dev`, `npm run build`, `npm run preview`, `npm run test`;
|
||||||
|
- backend слоя в текущем Launcher не найдено;
|
||||||
|
- значит OIDC/session handling, Authentik service token, app registry и audit log нельзя хранить только во frontend.
|
||||||
|
|
||||||
|
Минимальный вывод: для production-like auth нужен Launcher backend или BFF слой.
|
||||||
|
|
||||||
|
## Task Manager / Plane
|
||||||
|
|
||||||
|
Путь: `/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER`
|
||||||
|
|
||||||
|
Факты discovery:
|
||||||
|
|
||||||
|
- отдельный git-репозиторий;
|
||||||
|
- self-host runtime лежит в `plane-app`;
|
||||||
|
- локальный fork исходников лежит в `plane-src`;
|
||||||
|
- Plane CE self-host запущен через Docker;
|
||||||
|
- локальный URL стенда: `http://localhost:8090`;
|
||||||
|
- текущий compose/env: `plane-app/docker-compose.yaml` и `plane-app/plane.env`;
|
||||||
|
- текущий fork Plane: `plane-src`, версия `1.3.0`;
|
||||||
|
- основной runtime-контейнер API: `plane-app-api-1`;
|
||||||
|
- активные контейнеры Plane: web, proxy, api, worker, beat-worker, db, redis, minio, mq, admin, space, live.
|
||||||
|
|
||||||
|
Текущий workspace в Plane:
|
||||||
|
|
||||||
|
- slug: `nodedc`;
|
||||||
|
- name: `NODE DC`;
|
||||||
|
- owner: `dcctouch@gmail.com`;
|
||||||
|
- codex user: `codex@nodedc.local`.
|
||||||
|
|
||||||
|
Существующие проекты в workspace `nodedc` на момент discovery:
|
||||||
|
|
||||||
|
- `NODEDCLAUN` / `NODEDC LAUNCHER`
|
||||||
|
- `CODEX` / `DCTM-WT-CODEX`
|
||||||
|
- `NODEDCTASK` / `NODEDC TASKMANAGER`
|
||||||
|
- `MGR` / `Менеджмент`
|
||||||
|
- `BUH` / `Бухгалтерия`
|
||||||
|
|
||||||
|
## NDC details в карточках
|
||||||
|
|
||||||
|
Канон карточек описан в `/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER/AGENTS.md`.
|
||||||
|
|
||||||
|
Структурированные блоки карточки хранятся в `Issue.detail_layout` под ключом:
|
||||||
|
|
||||||
|
```text
|
||||||
|
nodedc_structured_blocks
|
||||||
|
```
|
||||||
|
|
||||||
|
Типы блоков:
|
||||||
|
|
||||||
|
- `text`: текстовый блок с `title` и `body`;
|
||||||
|
- `checker`: чекер с `title` и пунктами `items`.
|
||||||
|
|
||||||
|
Frontend отображает эти блоки через компоненты:
|
||||||
|
|
||||||
|
- `plane-src/apps/web/core/components/issues/issue-detail-widgets/structured-content.helpers.ts`
|
||||||
|
- `plane-src/apps/web/core/components/issues/issue-detail-widgets/structured-content-blocks.tsx`
|
||||||
|
|
||||||
|
## Решение по переносам
|
||||||
|
|
||||||
|
Физически переносить Launcher и Task Manager внутрь `NODEDC` на нулевом этапе не нужно.
|
||||||
|
|
||||||
|
Причины:
|
||||||
|
|
||||||
|
- оба приложения уже являются отдельными git-репозиториями;
|
||||||
|
- Plane runtime завязан на текущие `plane-app`, `plane.env`, volumes и backup;
|
||||||
|
- перенос может сломать локальный self-host стенд;
|
||||||
|
- платформенный слой должен управлять интеграцией, а не становиться монорепозиторием всех исходников.
|
||||||
|
|
||||||
|
Допустимый вариант позже: добавить symlink или workspace manifest из `NODEDC` на внешние репозитории, если это потребуется для удобства навигации.
|
||||||
|
|
||||||
|
## Риски
|
||||||
|
|
||||||
|
- Нельзя пересоздавать существующего Plane admin/user, иначе потеряются связи workspace, задач, комментариев и assignee.
|
||||||
|
- Нельзя делать Authentik admin token доступным frontend-коду Launcher.
|
||||||
|
- Нельзя полагаться только на reverse proxy как единственный долгосрочный auth layer для приложений, которые мы контролируем кодом.
|
||||||
|
- Нельзя публиковать наружу Postgres, Redis, MinIO и внутренние API в staging/production.
|
||||||
|
|
||||||
|
## Следующий технический шаг
|
||||||
|
|
||||||
|
Создать локальный `platform/infra` слой с Authentik и reverse proxy, но сначала согласовать конкретную схему доменов, ports и secrets.
|
||||||
|
|
@ -0,0 +1,108 @@
|
||||||
|
# Plane User Migration Plan
|
||||||
|
|
||||||
|
## Цель
|
||||||
|
|
||||||
|
Связать существующего пользователя Plane с Authentik identity без потери workspace, projects, tasks, comments, attachments и истории.
|
||||||
|
|
||||||
|
## Current baseline
|
||||||
|
|
||||||
|
Текущий рабочий Plane workspace:
|
||||||
|
|
||||||
|
```text
|
||||||
|
workspace slug: nodedc
|
||||||
|
workspace name: NODE DC
|
||||||
|
workspace owner: dcctouch@gmail.com
|
||||||
|
codex user: codex@nodedc.local
|
||||||
|
```
|
||||||
|
|
||||||
|
Перед реализацией OIDC нужно дополнительно снять точный snapshot:
|
||||||
|
|
||||||
|
- users;
|
||||||
|
- profiles;
|
||||||
|
- workspace memberships;
|
||||||
|
- project memberships;
|
||||||
|
- issue ownership;
|
||||||
|
- issue assignees;
|
||||||
|
- comments;
|
||||||
|
- attachments;
|
||||||
|
- uploaded files/storage.
|
||||||
|
|
||||||
|
## Backup before changes
|
||||||
|
|
||||||
|
Перед любыми изменениями Plane auth:
|
||||||
|
|
||||||
|
```text
|
||||||
|
plane_db dump
|
||||||
|
plane-app/plane.env
|
||||||
|
uploads / MinIO volumes
|
||||||
|
redis, если в нем есть важные очереди/сессии
|
||||||
|
rabbitmq, если есть невыполненные jobs
|
||||||
|
```
|
||||||
|
|
||||||
|
## Mapping model
|
||||||
|
|
||||||
|
Минимальная модель:
|
||||||
|
|
||||||
|
```text
|
||||||
|
external_identity_link
|
||||||
|
id
|
||||||
|
provider = authentik
|
||||||
|
authentik_sub
|
||||||
|
email
|
||||||
|
plane_user_id
|
||||||
|
created_at
|
||||||
|
last_login_at
|
||||||
|
status
|
||||||
|
```
|
||||||
|
|
||||||
|
Уникальность:
|
||||||
|
|
||||||
|
- `provider + authentik_sub`;
|
||||||
|
- `provider + plane_user_id`;
|
||||||
|
- желательно `provider + email`, если email используется для migration auto-link.
|
||||||
|
|
||||||
|
## Login flow
|
||||||
|
|
||||||
|
```text
|
||||||
|
Authentik login
|
||||||
|
-> Plane OIDC callback
|
||||||
|
-> validate state/nonce/token
|
||||||
|
-> validate issuer/audience/exp/sub
|
||||||
|
-> check nodedc:taskmanager:access
|
||||||
|
-> find external_identity_link by authentik_sub
|
||||||
|
-> login existing plane_user_id
|
||||||
|
```
|
||||||
|
|
||||||
|
Migration auto-link допускается только контролируемо:
|
||||||
|
|
||||||
|
```text
|
||||||
|
if no link and email matches existing Plane user and migration mode enabled:
|
||||||
|
create external_identity_link
|
||||||
|
else:
|
||||||
|
deny or provisioning flow
|
||||||
|
```
|
||||||
|
|
||||||
|
## Forbidden during migration
|
||||||
|
|
||||||
|
- Не пересоздавать существующего Plane user.
|
||||||
|
- Не менять `created_by`.
|
||||||
|
- Не менять `owner_id`.
|
||||||
|
- Не менять `assignee_id`.
|
||||||
|
- Не менять `member_id`.
|
||||||
|
- Не делать bulk update связей задач без отдельной проверки.
|
||||||
|
|
||||||
|
## Management command target
|
||||||
|
|
||||||
|
Целевая команда:
|
||||||
|
|
||||||
|
```bash
|
||||||
|
python manage.py link_authentik_user --email admin@example.ru --sub <authentik-sub>
|
||||||
|
```
|
||||||
|
|
||||||
|
Требования:
|
||||||
|
|
||||||
|
- idempotent;
|
||||||
|
- проверяет конфликтующий mapping;
|
||||||
|
- ничего не меняет в задачах/workspace;
|
||||||
|
- выводит summary;
|
||||||
|
- поддерживает dry-run.
|
||||||
|
|
@ -0,0 +1,54 @@
|
||||||
|
# Security Checklist
|
||||||
|
|
||||||
|
## Network
|
||||||
|
|
||||||
|
- [ ] Наружу опубликованы только reverse proxy ports.
|
||||||
|
- [ ] Postgres не опубликован наружу в staging/production.
|
||||||
|
- [ ] Redis не опубликован наружу в staging/production.
|
||||||
|
- [ ] MinIO/storage не опубликован наружу в staging/production.
|
||||||
|
- [ ] Внутренние API не доступны напрямую извне.
|
||||||
|
- [ ] Authentik получает корректные `X-Forwarded-Proto`, `X-Forwarded-For`, `Host`.
|
||||||
|
- [ ] WebSocket headers настроены для Authentik/Plane/live.
|
||||||
|
|
||||||
|
## Authentik
|
||||||
|
|
||||||
|
- [ ] Каждое приложение имеет отдельный Authentik Application.
|
||||||
|
- [ ] Каждое приложение имеет отдельный Provider.
|
||||||
|
- [ ] Для каждого приложения задана отдельная access policy.
|
||||||
|
- [ ] Группы app access заведены отдельно от app-local ролей.
|
||||||
|
- [ ] MFA/enrollment policy вынесены в отдельный этап.
|
||||||
|
|
||||||
|
## Launcher
|
||||||
|
|
||||||
|
- [ ] Authentik service token хранится только server-side.
|
||||||
|
- [ ] Frontend не получает service token.
|
||||||
|
- [ ] Admin endpoints требуют `nodedc:superadmin` или `nodedc:launcher:admin`.
|
||||||
|
- [ ] Все admin actions пишутся в audit log.
|
||||||
|
- [ ] Удаление пользователя реализовано как deactivate/disable, не hard delete.
|
||||||
|
|
||||||
|
## Plane
|
||||||
|
|
||||||
|
- [ ] Перед изменениями сделан backup DB/env/uploads/storage.
|
||||||
|
- [ ] Существующий Plane user не пересоздается.
|
||||||
|
- [ ] `owner_id`, `created_by`, `assignee_id`, `member_id` не меняются без отдельной миграции.
|
||||||
|
- [ ] Публичный signup отключен.
|
||||||
|
- [ ] Лишние обходные auth сценарии закрыты или явно оставлены как временные.
|
||||||
|
- [ ] OIDC login проверяет state/nonce/token.
|
||||||
|
- [ ] `authentik_sub` связан с существующим `plane_user_id`.
|
||||||
|
|
||||||
|
## Tokens and secrets
|
||||||
|
|
||||||
|
- [ ] Secrets не попадают в git.
|
||||||
|
- [ ] Access/refresh tokens не логируются.
|
||||||
|
- [ ] Session cookies имеют `secure=true` в staging/production.
|
||||||
|
- [ ] В production включены HTTPS и HSTS.
|
||||||
|
|
||||||
|
## Acceptance scenarios
|
||||||
|
|
||||||
|
- [ ] Без логина Launcher отправляет в Authentik.
|
||||||
|
- [ ] Пользователь без `nodedc:taskmanager:access` не видит Task Manager в Launcher.
|
||||||
|
- [ ] Пользователь без `nodedc:taskmanager:access` получает deny на прямой `task.local.nodedc`.
|
||||||
|
- [ ] Пользователь с доступом открывает Task Manager.
|
||||||
|
- [ ] Старый Plane admin после OIDC видит старые workspace/tasks/comments.
|
||||||
|
- [ ] Деактивированный пользователь теряет доступ.
|
||||||
|
- [ ] Admin action появляется в audit log.
|
||||||
|
|
@ -0,0 +1,30 @@
|
||||||
|
# domains
|
||||||
|
AUTH_DOMAIN=auth.local.nodedc
|
||||||
|
LAUNCHER_DOMAIN=launcher.local.nodedc
|
||||||
|
TASK_DOMAIN=task.local.nodedc
|
||||||
|
|
||||||
|
# authentik
|
||||||
|
AUTHENTIK_SECRET_KEY=
|
||||||
|
AUTHENTIK_POSTGRES_PASSWORD=
|
||||||
|
AUTHENTIK_REDIS_HOST=redis-authentik
|
||||||
|
|
||||||
|
# launcher oidc
|
||||||
|
LAUNCHER_OIDC_ISSUER=http://auth.local.nodedc/application/o/launcher/
|
||||||
|
LAUNCHER_OIDC_CLIENT_ID=
|
||||||
|
LAUNCHER_OIDC_CLIENT_SECRET=
|
||||||
|
LAUNCHER_OIDC_REDIRECT_URI=http://launcher.local.nodedc/auth/callback
|
||||||
|
|
||||||
|
# plane oidc
|
||||||
|
PLANE_OIDC_ISSUER=http://auth.local.nodedc/application/o/task-manager/
|
||||||
|
PLANE_OIDC_CLIENT_ID=
|
||||||
|
PLANE_OIDC_CLIENT_SECRET=
|
||||||
|
PLANE_OIDC_REDIRECT_URI=http://task.local.nodedc/auth/oidc/callback
|
||||||
|
|
||||||
|
# security
|
||||||
|
SESSION_SECRET=
|
||||||
|
COOKIE_DOMAIN=.local.nodedc
|
||||||
|
COOKIE_SECURE=false
|
||||||
|
|
||||||
|
# current external local apps
|
||||||
|
LOCAL_LAUNCHER_URL=http://localhost:5173
|
||||||
|
LOCAL_TASK_MANAGER_URL=http://localhost:8090
|
||||||
|
|
@ -0,0 +1,26 @@
|
||||||
|
# NODE.DC Platform Infra
|
||||||
|
|
||||||
|
Эта папка предназначена для локального и staging infra слоя:
|
||||||
|
|
||||||
|
- Authentik;
|
||||||
|
- reverse proxy;
|
||||||
|
- локальные домены;
|
||||||
|
- shared env examples;
|
||||||
|
- будущие docker compose файлы.
|
||||||
|
|
||||||
|
На нулевом этапе здесь фиксируется только каркас. Рабочий `docker-compose.dev.yml` создается отдельным этапом после согласования ports/domains и стратегии подключения текущих Launcher/Plane runtime.
|
||||||
|
|
||||||
|
## Expected files
|
||||||
|
|
||||||
|
```text
|
||||||
|
infra/
|
||||||
|
.env.example
|
||||||
|
docker-compose.dev.yml
|
||||||
|
docker-compose.staging.yml
|
||||||
|
reverse-proxy/
|
||||||
|
authentik/
|
||||||
|
```
|
||||||
|
|
||||||
|
## Current decision
|
||||||
|
|
||||||
|
Текущий Plane runtime не переносится в compose платформы до backup и отдельного шага миграции.
|
||||||
|
|
@ -0,0 +1,31 @@
|
||||||
|
# NODE.DC Auth SDK
|
||||||
|
|
||||||
|
Будущий общий пакет для приложений, которые контролируются кодом NODE.DC.
|
||||||
|
|
||||||
|
## Target responsibilities
|
||||||
|
|
||||||
|
- загрузка JWKS;
|
||||||
|
- валидация JWT;
|
||||||
|
- проверка issuer/audience/exp;
|
||||||
|
- нормализация claims;
|
||||||
|
- helper `requireAppAccess(groupName)`;
|
||||||
|
- helper `getCurrentUser()`;
|
||||||
|
- typed `AuthUser`.
|
||||||
|
|
||||||
|
## Type contract
|
||||||
|
|
||||||
|
```ts
|
||||||
|
export type AuthUser = {
|
||||||
|
sub: string;
|
||||||
|
email: string;
|
||||||
|
name?: string;
|
||||||
|
groups: string[];
|
||||||
|
entitlements?: string[];
|
||||||
|
};
|
||||||
|
```
|
||||||
|
|
||||||
|
## Scope
|
||||||
|
|
||||||
|
Первый SDK рассчитан на Launcher backend и будущие Node.js/Next.js сервисы.
|
||||||
|
|
||||||
|
Для Plane fork на Python/Django нужна отдельная реализация middleware по тем же правилам, а этот пакет остается спецификацией для TypeScript приложений.
|
||||||
|
|
@ -0,0 +1,41 @@
|
||||||
|
# CODEX Platform Auth Task
|
||||||
|
|
||||||
|
## Goal
|
||||||
|
|
||||||
|
Построить NODE.DC platform auth architecture:
|
||||||
|
|
||||||
|
- Authentik как единый Identity Provider;
|
||||||
|
- Launcher как access/admin control plane;
|
||||||
|
- Plane fork как отдельное приложение;
|
||||||
|
- reverse proxy как внешний защитный слой;
|
||||||
|
- сохранение существующего Plane user и всех связанных данных;
|
||||||
|
- поддержка будущих приложений.
|
||||||
|
|
||||||
|
## Hard constraints
|
||||||
|
|
||||||
|
- Не класть Plane внутрь Launcher.
|
||||||
|
- Не делать единую `users` таблицу для всех приложений.
|
||||||
|
- Не ломать существующего Plane user.
|
||||||
|
- Не менять `owner`, `assignee`, `created_by`, `member` связи Plane без отдельной миграции.
|
||||||
|
- Не хранить service tokens во frontend.
|
||||||
|
- Не использовать reverse-proxy forward-auth как единственный долгосрочный auth mechanism для собственных приложений.
|
||||||
|
|
||||||
|
## Phase 0 result
|
||||||
|
|
||||||
|
Выполнены:
|
||||||
|
|
||||||
|
- discovery текущих путей Launcher и Task Manager;
|
||||||
|
- фиксация решения не переносить репозитории физически;
|
||||||
|
- platform skeleton;
|
||||||
|
- базовые документы архитектуры, auth model, local deployment, security и migration plan.
|
||||||
|
|
||||||
|
## Next phases
|
||||||
|
|
||||||
|
1. Local domains + reverse proxy.
|
||||||
|
2. Authentik bootstrap.
|
||||||
|
3. Launcher backend/BFF.
|
||||||
|
4. Launcher OIDC login and app filtering.
|
||||||
|
5. Launcher admin API and audit.
|
||||||
|
6. Plane OIDC integration.
|
||||||
|
7. Plane user migration command.
|
||||||
|
8. Security acceptance and staging path.
|
||||||
Loading…
Reference in New Issue