IAM-06: sso-anmeldung-ueber-oidc

internal/oidc: JWKS-Parser (RSA-Schluessel, RFC 7517) + Verifier prueft
ID-Tokens gegen den geparsten Schluesselsatz (Signatur, Ablauf ueber die
jwt-Bibliothek, Aussteller) — Akzeptanzkriterium 3. VerifyWithNonce prueft
zusaetzlich, dass der nonce-Claim exakt dem beim Redirect ausgestellten
Nonce entspricht (Replay-Schutz).

StateStore ist der CSRF-/Replay-Schutz (Akzeptanzkriterium/Pruefung 3):
Generate stellt state+nonce aus, Consume loest den state ATOMAR und EINMALIG
ein (WHERE used_at IS NULL, analog IAM-03/IAM-09-Muster) — ein abgefangener
und wiederverwendeter Redirect-Callback schlaegt fehl.

CompleteOIDCLogin mappt Rollen aus OIDC-Rollen-Claims ueber DIESELBE
Erlaubnis-Matrix wie IAM-05/LDAP (ldapsync.RoleMappingStore.HighestRoleFor,
keine zweite parallele Implementierung — Akzeptanzkriterium 2) und stellt
bei Erfolg ein normales IAM-02-Sitzungs-Token aus. Lokaler Login (IAM-02
LoginService) bleibt vollstaendig unangetastet und damit als Fallback nutzbar.

WICHTIGER HINWEIS: kein registrierter externer OIDC-Provider (Google/Okta/
Azure AD) in dieser Umgebung verfuegbar fuer einen echten Authorization-
Code-Redirect (analog IAM-05/AUD-05). ANDERS als dort ist die eigentliche
Token-Validierung aber rein kryptographisch und ohne Netzwerkabhaengigkeit
zur Testzeit vollstaendig echt geprueft: Tests erzeugen ein eigenes
RSA-Schluesselpaar, signieren ID-Tokens selbst und verifizieren sie exakt
wie bei einem echten Provider. Nur der Live-Redirect zu einem realen
externen IdP bleibt ungeprueft.

Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. Rollen-Erlaubnis-Matrix fuer OIDC-Claims automatisiert getestet (keine
   Privilege-Escalation) — TestCompleteOIDCLogin_UnmappedRoleGrantsNothing:
   Claims mit "tenant_admin"/"superadmin" als Rollen-Strings, die NIE gemappt
   wurden, vergeben keine Rolle. PASS.
2. Token-Signatur- und Ablaufpruefung gegen JWKS automatisiert getestet —
   TestVerify_RejectsExpiredToken, TestVerify_RejectsWrongSigningKey,
   TestVerify_RejectsWrongIssuer, TestParseJWKS_RoundTrip. PASS.
3. State/Nonce-Handling gegen CSRF und Replay geprueft —
   TestStateStore_ConsumeIsSingleUse (State-Replay abgewiesen),
   TestVerifyWithNonce_RejectsMismatch (Nonce-Mismatch abgewiesen). PASS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

internal/ldapsync/client.go

@@ -0,0 +1,27 @@
+// Package ldapsync implementiert Core IAM-05: LDAP/Active-Directory-
+// Anbindung je Tenant fuer Benutzer-Synchronisation, Login-Delegation und
+// Rollenzuordnung aus Gruppen ueber eine explizite Erlaubnis-Matrix.
+//
+// WICHTIGER HINWEIS: In dieser Umgebung steht kein echter LDAP/AD-Server zur
+// Verfuegung (analog zur Archive-Engine bei AUD-05). Client ist deshalb eine
+// Schnittstelle — die Sync-/Rollenzuordnungs-Logik ist gegen einen Fake in
+// den Tests vollstaendig geprueft, eine echte Verbindungspruefung gegen
+// LDAP/AD steht noch aus.
+package ldapsync
+
+// Entry ist ein aus LDAP gelesener Benutzerdatensatz.
+type Entry struct {
+	Email    string
+	Name     string
+	Groups   []string
+	Disabled bool
+}
+
+// Client abstrahiert die eigentliche LDAP-Verbindung (Bind + Search).
+type Client interface {
+	// Search liefert alle Benutzer, die dem konfigurierten Filter
+	// entsprechen. Ein Fehler bedeutet "Quelle nicht erreichbar oder
+	// fehlerhaft" — Run() bricht dann komplett und folgenlos ab
+	// (Akzeptanzkriterium 2).
+	Search() ([]Entry, error)
+}

internal/ldapsync/ldapsync_test.go

@@ -0,0 +1,204 @@
+package ldapsync
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+type fakeClient struct {
+	entries []Entry
+	err     error
+}
+
+func (f *fakeClient) Search() ([]Entry, error) {
+	if f.err != nil {
+		return nil, f.err
+	}
+	return f.entries, nil
+}
+
+func setupTest(t *testing.T) (*user.TenantUserStore, *rbac.Store, *RoleMappingStore, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS users (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active', password_hash TEXT NOT NULL DEFAULT '',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS role_assignments (
+			user_id UUID PRIMARY KEY REFERENCES users(id), role TEXT NOT NULL CHECK (role IN ('user','tenant_admin')),
+			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS role_assignment_history (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), user_id UUID NOT NULL, role TEXT NOT NULL,
+			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS ldap_group_role_mapping (
+			ldap_group TEXT PRIMARY KEY, role TEXT NOT NULL CHECK (role IN ('user','tenant_admin'))
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() { pool.Close() }
+	return user.NewTenantUserStore(pool), rbac.NewStore(pool), NewRoleMappingStore(pool), cleanup
+}
+
+func uniqueEmail() string {
+	return fmt.Sprintf("ldap-test-%d@example.com", time.Now().UnixNano())
+}
+
+// Akzeptanzkriterium 3 + Pruefung 1: Rollen-Erlaubnis-Matrix mit Positiv- und
+// Negativfaellen — keine Privilege-Escalation ueber Gruppenmitgliedschaft.
+func TestRoleMapping_PositiveAndNegativeCases(t *testing.T) {
+	_, _, mappings, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := mappings.SetMapping(ctx, "cn=IT-Admins,ou=groups,dc=example,dc=com", rbac.RoleTenantAdmin); err != nil {
+		t.Fatalf("set mapping: %v", err)
+	}
+
+	// Positivfall: gemappte Gruppe liefert die konfigurierte Rolle.
+	role, ok, err := mappings.HighestRoleFor(ctx, []string{"cn=IT-Admins,ou=groups,dc=example,dc=com"})
+	if err != nil {
+		t.Fatalf("highest role: %v", err)
+	}
+	if !ok || role != rbac.RoleTenantAdmin {
+		t.Fatalf("erwartet tenant_admin, habe ok=%v role=%q", ok, role)
+	}
+
+	// Negativfall 1: unbekannte Gruppe vergibt keine Rolle.
+	_, ok, err = mappings.HighestRoleFor(ctx, []string{"cn=Praktikanten,ou=groups,dc=example,dc=com"})
+	if err != nil {
+		t.Fatalf("highest role (unbekannt): %v", err)
+	}
+	if ok {
+		t.Fatal("erwartet KEINE rolle fuer nicht gemappte gruppe")
+	}
+
+	// Negativfall 2 (Privilege-Escalation-Versuch): eine Gruppe, die zufaellig
+	// wie eine interne Rolle heisst, aber NIE explizit gemappt wurde, darf
+	// keine Rolle vergeben.
+	_, ok, err = mappings.HighestRoleFor(ctx, []string{"tenant_admin", "superadmin"})
+	if err != nil {
+		t.Fatalf("highest role (namens-trick): %v", err)
+	}
+	if ok {
+		t.Fatal("erwartet KEINE privilege-escalation ueber gruppennamen, die wie rollen aussehen")
+	}
+}
+
+// Akzeptanzkriterium 1: Synchronisationslauf legt Benutzer an.
+func TestSyncer_CreatesUsers(t *testing.T) {
+	users, roles, mappings, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	email := uniqueEmail()
+	client := &fakeClient{entries: []Entry{{Email: email, Name: "LDAP Nutzer"}}}
+	syncer := NewSyncer(client, users, roles, mappings)
+
+	result, err := syncer.Run(ctx)
+	if err != nil {
+		t.Fatalf("run: %v", err)
+	}
+	if result.Created != 1 {
+		t.Fatalf("erwartet 1 angelegten benutzer, habe %d", result.Created)
+	}
+
+	if _, err := users.GetByEmailForAuth(ctx, email); err != nil {
+		t.Fatalf("benutzer sollte existieren: %v", err)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2: fehlerhafte/nicht erreichbare LDAP-
+// Quelle bricht kontrolliert ab, ohne bestehende Konten zu beschaedigen.
+func TestSyncer_AbortsCleanlyOnSourceError(t *testing.T) {
+	users, roles, mappings, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	// Ein bereits bestehendes Konto, das UNBERUEHRT bleiben muss.
+	existingEmail := uniqueEmail()
+	existing, err := users.Create(ctx, existingEmail, "Bestehender Nutzer")
+	if err != nil {
+		t.Fatalf("create existing: %v", err)
+	}
+
+	client := &fakeClient{err: errors.New("ldap-server nicht erreichbar (simuliert)")}
+	syncer := NewSyncer(client, users, roles, mappings)
+
+	if _, err := syncer.Run(ctx); err == nil {
+		t.Fatal("erwartet fehler bei nicht erreichbarer ldap-quelle")
+	}
+
+	// Bestehendes Konto unveraendert (noch aktiv, keine geloeschten/neuen Zeilen).
+	got, err := users.Get(ctx, existing.ID)
+	if err != nil {
+		t.Fatalf("bestehendes konto sollte weiterhin existieren: %v", err)
+	}
+	if got.Status != user.StatusActive {
+		t.Fatalf("bestehendes konto sollte unveraendert aktiv sein, ist %q", got.Status)
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: Deaktivierung in LDAP wird bei
+// naechster Synchronisation korrekt uebernommen.
+func TestSyncer_AppliesDeactivationOnNextRun(t *testing.T) {
+	users, roles, mappings, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	email := uniqueEmail()
+	client := &fakeClient{entries: []Entry{{Email: email, Name: "Wird Deaktiviert"}}}
+	syncer := NewSyncer(client, users, roles, mappings)
+
+	if _, err := syncer.Run(ctx); err != nil {
+		t.Fatalf("erster lauf: %v", err)
+	}
+	u, err := users.GetByEmailForAuth(ctx, email)
+	if err != nil {
+		t.Fatalf("benutzer nach erstem lauf: %v", err)
+	}
+	if u.User.Status != user.StatusActive {
+		t.Fatalf("erwartet aktiv nach erstem lauf, habe %q", u.User.Status)
+	}
+
+	// Zweiter Lauf: derselbe Benutzer ist jetzt in LDAP deaktiviert.
+	client.entries[0].Disabled = true
+	result, err := syncer.Run(ctx)
+	if err != nil {
+		t.Fatalf("zweiter lauf: %v", err)
+	}
+	if result.Deactivated != 1 {
+		t.Fatalf("erwartet 1 deaktivierung, habe %d", result.Deactivated)
+	}
+
+	u, err = users.GetByEmailForAuth(ctx, email)
+	if err != nil {
+		t.Fatalf("benutzer nach zweitem lauf: %v", err)
+	}
+	if u.User.Status != user.StatusInactive {
+		t.Fatalf("erwartet inaktiv nach deaktivierung in ldap, habe %q", u.User.Status)
+	}
+}

internal/ldapsync/role_mapping.go

@@ -0,0 +1,79 @@
+package ldapsync
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
+)
+
+// RoleMappingStore verwaltet die Erlaubnis-Matrix LDAP-Gruppe -> Rolle
+// (Akzeptanzkriterium 3). Nur explizit gemappte Gruppen vergeben eine Rolle
+// — der Schutz gegen Privilege-Escalation ist strukturell: es gibt keinen
+// Code-Pfad, der eine unbekannte Gruppe irgendeiner Rolle zuordnet.
+type RoleMappingStore struct {
+	pool *pgxpool.Pool
+}
+
+func NewRoleMappingStore(pool *pgxpool.Pool) *RoleMappingStore {
+	return &RoleMappingStore{pool: pool}
+}
+
+// SetMapping ordnet eine LDAP-Gruppe genau einer NEXARCH-Rolle zu. Nur
+// 'user'/'tenant_admin' sind zuweisbar (dieselbe Matrix wie RBAC-01/03) —
+// 'superadmin' bleibt mandantenuebergreifend und nie ueber LDAP erreichbar.
+func (s *RoleMappingStore) SetMapping(ctx context.Context, ldapGroup string, role rbac.Role) error {
+	if role != rbac.RoleUser && role != rbac.RoleTenantAdmin {
+		return fmt.Errorf("ldapsync: rolle %q ist ueber ldap nicht zuweisbar", role)
+	}
+	_, err := s.pool.Exec(ctx, `
+		INSERT INTO ldap_group_role_mapping (ldap_group, role) VALUES ($1, $2)
+		ON CONFLICT (ldap_group) DO UPDATE SET role = $2
+	`, ldapGroup, string(role))
+	if err != nil {
+		return fmt.Errorf("gruppenzuordnung speichern: %w", err)
+	}
+	return nil
+}
+
+// roleFor liefert die einer LDAP-Gruppe zugeordnete Rolle, sofern konfiguriert.
+func (s *RoleMappingStore) roleFor(ctx context.Context, ldapGroup string) (rbac.Role, bool, error) {
+	var role string
+	err := s.pool.QueryRow(ctx, `SELECT role FROM ldap_group_role_mapping WHERE ldap_group = $1`, ldapGroup).Scan(&role)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return "", false, nil
+		}
+		return "", false, fmt.Errorf("gruppenzuordnung lesen: %w", err)
+	}
+	return rbac.Role(role), true, nil
+}
+
+// HighestRoleFor bestimmt aus einer Liste von LDAP-Gruppen die hoechste
+// zugeordnete Rolle (tenant_admin > user). Gruppen ohne Eintrag in der
+// Matrix tragen NICHTS bei — auch nicht, wenn ihr Name zufaellig wie eine
+// interne Rolle aussieht (Akzeptanzkriterium 3 / Pruefung 1: keine
+// Privilege-Escalation ueber Gruppenmitgliedschaft).
+func (s *RoleMappingStore) HighestRoleFor(ctx context.Context, ldapGroups []string) (rbac.Role, bool, error) {
+	var best rbac.Role
+	found := false
+
+	for _, g := range ldapGroups {
+		role, ok, err := s.roleFor(ctx, g)
+		if err != nil {
+			return "", false, err
+		}
+		if !ok {
+			continue
+		}
+		if !found || role == rbac.RoleTenantAdmin {
+			best = role
+			found = true
+		}
+	}
+	return best, found, nil
+}

internal/ldapsync/sync.go

@@ -0,0 +1,93 @@
+package ldapsync
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+// SyncResult fasst das Ergebnis eines Synchronisationslaufs zusammen.
+type SyncResult struct {
+	Created     int
+	Updated     int
+	Deactivated int
+	Failed      []string // Email-Adressen, bei denen die Verarbeitung fehlschlug
+}
+
+// Syncer fuehrt die Benutzer-/Rollen-Synchronisation aus LDAP aus.
+type Syncer struct {
+	client   Client
+	users    *user.TenantUserStore
+	roles    *rbac.Store
+	mappings *RoleMappingStore
+}
+
+func NewSyncer(client Client, users *user.TenantUserStore, roles *rbac.Store, mappings *RoleMappingStore) *Syncer {
+	return &Syncer{client: client, users: users, roles: roles, mappings: mappings}
+}
+
+// Run synchronisiert Benutzer aus LDAP (Akzeptanzkriterium 1). Ist die
+// LDAP-Quelle nicht erreichbar/fehlerhaft, wird SOFORT und OHNE jede
+// Aenderung an bestehenden Konten abgebrochen (Akzeptanzkriterium 2 /
+// Pruefung 2) — Search() wird als allererstes aufgerufen, bevor irgendein
+// Schreibzugriff stattfindet.
+func (s *Syncer) Run(ctx context.Context) (SyncResult, error) {
+	entries, err := s.client.Search()
+	if err != nil {
+		return SyncResult{}, fmt.Errorf("ldap-quelle nicht erreichbar, synchronisation abgebrochen: %w", err)
+	}
+
+	var result SyncResult
+	for _, entry := range entries {
+		if err := s.syncOne(ctx, entry, &result); err != nil {
+			// Ein fehlerhafter Einzeleintrag isoliert sich selbst — er
+			// beschaedigt weder bereits verarbeitete noch nachfolgende
+			// Konten (Akzeptanzkriterium 2).
+			result.Failed = append(result.Failed, entry.Email)
+		}
+	}
+	return result, nil
+}
+
+func (s *Syncer) syncOne(ctx context.Context, entry Entry, result *SyncResult) error {
+	existing, err := s.users.GetByEmailForAuth(ctx, entry.Email)
+	isNew := errors.Is(err, user.ErrNotFound)
+	if err != nil && !isNew {
+		return err
+	}
+
+	var userID string
+	if isNew {
+		created, err := s.users.Create(ctx, entry.Email, entry.Name)
+		if err != nil {
+			return err
+		}
+		userID = created.ID
+		result.Created++
+	} else {
+		userID = existing.User.ID
+		result.Updated++
+	}
+
+	// Deaktivierung in LDAP wird uebernommen (Akzeptanzkriterium 3 / Pruefung 3).
+	if entry.Disabled {
+		if _, err := s.users.Deactivate(ctx, userID); err != nil {
+			return err
+		}
+		result.Deactivated++
+	}
+
+	role, ok, err := s.mappings.HighestRoleFor(ctx, entry.Groups)
+	if err != nil {
+		return err
+	}
+	if ok {
+		if _, err := s.roles.Assign(ctx, userID, role, "ldap-sync"); err != nil {
+			return err
+		}
+	}
+	return nil
+}

internal/oidc/jwks.go

@@ -0,0 +1,78 @@
+// Package oidc implementiert Core IAM-06: SSO-Anmeldung ueber OpenID
+// Connect gegen externe Identity-Provider.
+//
+// WICHTIGER HINWEIS: In dieser Umgebung ist kein registrierter externer
+// OIDC-Provider (Client-ID/Secret bei Google/Okta/Azure AD o.ae.) verfuegbar,
+// gegen den ein echter Authorization-Code-Redirect-Flow end-to-end
+// durchgefuehrt werden koennte (analog AUD-05/Archive, IAM-05/LDAP). ANDERS
+// als bei LDAP/Archive ist die eigentliche Token-VALIDIERUNG (JWKS-
+// Signaturpruefung, Ablauf, Claims, Nonce/State) aber ein rein
+// kryptographischer Vorgang ohne Netzwerkabhaengigkeit zur Testzeit — die
+// Tests unten erzeugen ein eigenes RSA-Schluesselpaar, signieren ein
+// ID-Token selbst und pruefen es exakt so, wie es ein echter Provider
+// liefern wuerde. Nur der Redirect zu einem echten externen Provider bleibt
+// ungeprueft.
+package oidc
+
+import (
+	"crypto/rsa"
+	"encoding/base64"
+	"encoding/binary"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"math/big"
+)
+
+type jwk struct {
+	Kid string `json:"kid"`
+	Kty string `json:"kty"`
+	N   string `json:"n"`
+	E   string `json:"e"`
+}
+
+type jwkSet struct {
+	Keys []jwk `json:"keys"`
+}
+
+var ErrUnsupportedKeyType = errors.New("oidc: nicht unterstuetzter jwk-schluesseltyp")
+
+// ParseJWKS dekodiert eine JWKS-Antwort (RFC 7517) in kid -> RSA-Public-Key.
+// Nur RSA-Schluessel (kty=RSA, Standard bei allen gaengigen OIDC-Providern
+// fuer ID-Tokens) werden unterstuetzt.
+func ParseJWKS(data []byte) (map[string]*rsa.PublicKey, error) {
+	var set jwkSet
+	if err := json.Unmarshal(data, &set); err != nil {
+		return nil, fmt.Errorf("jwks parsen: %w", err)
+	}
+
+	out := make(map[string]*rsa.PublicKey, len(set.Keys))
+	for _, k := range set.Keys {
+		if k.Kty != "RSA" {
+			continue
+		}
+		pub, err := decodeRSAKey(k)
+		if err != nil {
+			return nil, fmt.Errorf("schluessel %q dekodieren: %w", k.Kid, err)
+		}
+		out[k.Kid] = pub
+	}
+	return out, nil
+}
+
+func decodeRSAKey(k jwk) (*rsa.PublicKey, error) {
+	nBytes, err := base64.RawURLEncoding.DecodeString(k.N)
+	if err != nil {
+		return nil, fmt.Errorf("modulus dekodieren: %w", err)
+	}
+	eBytes, err := base64.RawURLEncoding.DecodeString(k.E)
+	if err != nil {
+		return nil, fmt.Errorf("exponent dekodieren: %w", err)
+	}
+
+	eBuf := make([]byte, 8)
+	copy(eBuf[8-len(eBytes):], eBytes)
+	e := int(binary.BigEndian.Uint64(eBuf))
+
+	return &rsa.PublicKey{N: new(big.Int).SetBytes(nBytes), E: e}, nil
+}

internal/oidc/login.go

@@ -0,0 +1,69 @@
+package oidc
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+	"gitea.perlbach24.de/scripte/nexarch/internal/ldapsync"
+	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+// CompleteOIDCLogin verifiziert das ID-Token (Signatur, Ablauf, Aussteller,
+// Nonce — Akzeptanzkriterium 3), loest den State einmalig ein
+// (Akzeptanzkriterium/Pruefung 3), legt bei Bedarf einen lokalen Benutzer an
+// und mapped Rollen aus den OIDC-Claims ueber DIESELBE Erlaubnis-Matrix wie
+// IAM-05/LDAP (ldapsync.RoleMappingStore — kein zweiter, paralleler
+// Mapping-Mechanismus, Akzeptanzkriterium 2). Bei Erfolg wird ein normales
+// IAM-02-Sitzungs-Token ausgestellt.
+func CompleteOIDCLogin(
+	ctx context.Context,
+	verifier *Verifier,
+	states *StateStore,
+	users *user.TenantUserStore,
+	roles *rbac.Store,
+	roleMapping *ldapsync.RoleMappingStore,
+	issuer *auth.TokenIssuer,
+	tenantSlug, state, idToken string,
+) (token string, err error) {
+	nonce, err := states.Consume(ctx, state)
+	if err != nil {
+		return "", err
+	}
+
+	claims, err := verifier.VerifyWithNonce(idToken, nonce)
+	if err != nil {
+		return "", err
+	}
+	if claims.Email == "" {
+		return "", fmt.Errorf("%w: id-token ohne e-mail-claim", ErrInvalidToken)
+	}
+
+	u, err := findOrCreateUser(ctx, users, claims.Email)
+	if err != nil {
+		return "", err
+	}
+
+	if role, ok, err := roleMapping.HighestRoleFor(ctx, claims.Roles); err != nil {
+		return "", err
+	} else if ok {
+		if _, err := roles.Assign(ctx, u.ID, role, "oidc-sso"); err != nil {
+			return "", err
+		}
+	}
+
+	return issuer.Issue(u.ID, tenantSlug)
+}
+
+func findOrCreateUser(ctx context.Context, users *user.TenantUserStore, email string) (user.User, error) {
+	creds, err := users.GetByEmailForAuth(ctx, email)
+	if err == nil {
+		return creds.User, nil
+	}
+	if !errors.Is(err, user.ErrNotFound) {
+		return user.User{}, err
+	}
+	return users.Create(ctx, email, email)
+}

internal/oidc/login_test.go

@@ -0,0 +1,172 @@
+package oidc
+
+import (
+	"context"
+	"crypto/rsa"
+	"fmt"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+	"github.com/golang-jwt/jwt/v5"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+	"gitea.perlbach24.de/scripte/nexarch/internal/ldapsync"
+	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+func setupLoginTest(t *testing.T) (*pgxpool.Pool, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS users (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active', password_hash TEXT NOT NULL DEFAULT '',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS role_assignments (
+			user_id UUID PRIMARY KEY REFERENCES users(id), role TEXT NOT NULL CHECK (role IN ('user','tenant_admin')),
+			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS role_assignment_history (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), user_id UUID NOT NULL, role TEXT NOT NULL,
+			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS ldap_group_role_mapping (
+			ldap_group TEXT PRIMARY KEY, role TEXT NOT NULL CHECK (role IN ('user','tenant_admin'))
+		);
+		CREATE TABLE IF NOT EXISTS oidc_states (
+			state TEXT PRIMARY KEY, nonce TEXT NOT NULL, expires_at TIMESTAMPTZ NOT NULL,
+			used_at TIMESTAMPTZ, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() { pool.Close() }
+	return pool, cleanup
+}
+
+// Akzeptanzkriterium 1 + 3: End-to-End-Login gegen ein (selbst signiertes,
+// aber protokollkorrektes) ID-Token — Signatur, Nonce, State, Rollen-Mapping,
+// Sitzungs-Token-Ausstellung.
+func TestCompleteOIDCLogin_EndToEnd(t *testing.T) {
+	pool, cleanup := setupLoginTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	key := generateTestKey(t)
+	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
+	states := NewStateStore(pool)
+	users := user.NewTenantUserStore(pool)
+	roles := rbac.NewStore(pool)
+	roleMapping := ldapsync.NewRoleMappingStore(pool)
+	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
+
+	if err := roleMapping.SetMapping(ctx, "sso-admins", rbac.RoleTenantAdmin); err != nil {
+		t.Fatalf("set mapping: %v", err)
+	}
+
+	state, nonce, err := states.Generate(ctx)
+	if err != nil {
+		t.Fatalf("generate state: %v", err)
+	}
+
+	email := fmt.Sprintf("oidc-test-%d@example.com", time.Now().UnixNano())
+	claims := Claims{
+		Subject: "idp-subject-123",
+		Email:   email,
+		Nonce:   nonce,
+		Roles:   []string{"sso-admins"},
+		RegisteredClaims: jwt.RegisteredClaims{
+			Issuer:    "https://idp.example.com",
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
+		},
+	}
+	idToken := signTestToken(t, key, "kid-1", claims)
+
+	token, err := CompleteOIDCLogin(ctx, verifier, states, users, roles, roleMapping, issuer, "acme", state, idToken)
+	if err != nil {
+		t.Fatalf("complete oidc login: %v", err)
+	}
+	if token == "" {
+		t.Fatal("erwartet nicht-leeres sitzungs-token")
+	}
+
+	assignment, err := roles.Get(ctx, mustGetUserID(t, ctx, users, email))
+	if err != nil {
+		t.Fatalf("rollenzuweisung lesen: %v", err)
+	}
+	if assignment.Role != rbac.RoleTenantAdmin {
+		t.Fatalf("erwartet tenant_admin aus sso-admins-mapping, habe %q", assignment.Role)
+	}
+
+	// Replay desselben state schlaegt fehl.
+	if _, err := CompleteOIDCLogin(ctx, verifier, states, users, roles, roleMapping, issuer, "acme", state, idToken); err == nil {
+		t.Fatal("erwartet fehler bei wiederverwendetem state (replay)")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: keine Privilege-Escalation ueber
+// manipulierte/unbekannte Rollen-Claims.
+func TestCompleteOIDCLogin_UnmappedRoleGrantsNothing(t *testing.T) {
+	pool, cleanup := setupLoginTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	key := generateTestKey(t)
+	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
+	states := NewStateStore(pool)
+	users := user.NewTenantUserStore(pool)
+	roles := rbac.NewStore(pool)
+	roleMapping := ldapsync.NewRoleMappingStore(pool)
+	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
+
+	state, nonce, err := states.Generate(ctx)
+	if err != nil {
+		t.Fatalf("generate state: %v", err)
+	}
+
+	email := fmt.Sprintf("oidc-test-%d@example.com", time.Now().UnixNano())
+	claims := Claims{
+		Email: email,
+		Nonce: nonce,
+		// Versuch, sich ueber einen manipulierten Rollen-Claim
+		// hochzustufen — diese Gruppen wurden NIE gemappt.
+		Roles: []string{"tenant_admin", "superadmin"},
+		RegisteredClaims: jwt.RegisteredClaims{
+			Issuer:    "https://idp.example.com",
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
+		},
+	}
+	idToken := signTestToken(t, key, "kid-1", claims)
+
+	if _, err := CompleteOIDCLogin(ctx, verifier, states, users, roles, roleMapping, issuer, "acme", state, idToken); err != nil {
+		t.Fatalf("complete oidc login: %v", err)
+	}
+
+	userID := mustGetUserID(t, ctx, users, email)
+	if _, err := roles.Get(ctx, userID); err == nil {
+		t.Fatal("erwartet KEINE rollenzuweisung fuer nicht gemappte claims (privilege-escalation-versuch)")
+	}
+}
+
+func mustGetUserID(t *testing.T, ctx context.Context, users *user.TenantUserStore, email string) string {
+	t.Helper()
+	creds, err := users.GetByEmailForAuth(ctx, email)
+	if err != nil {
+		t.Fatalf("get user by email: %v", err)
+	}
+	return creds.User.ID
+}

internal/oidc/state.go

@@ -0,0 +1,76 @@
+package oidc
+
+import (
+	"context"
+	"crypto/rand"
+	"encoding/hex"
+	"errors"
+	"fmt"
+	"time"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+var ErrStateInvalid = errors.New("oidc: state ungueltig, bereits verwendet oder abgelaufen")
+
+// DefaultStateTTL begrenzt, wie lange ein ausgestellter State/Nonce fuer den
+// Redirect-Umweg zum Identity-Provider gueltig bleibt.
+const DefaultStateTTL = 10 * time.Minute
+
+type StateStore struct {
+	pool *pgxpool.Pool
+}
+
+func NewStateStore(pool *pgxpool.Pool) *StateStore {
+	return &StateStore{pool: pool}
+}
+
+// Generate stellt state+nonce fuer einen neuen Login-Redirect aus. state
+// wird als OAuth2-"state"-Parameter mitgeschickt (CSRF-Schutz), nonce
+// erscheint spaeter im ID-Token und muss exakt uebereinstimmen (Replay-Schutz).
+func (s *StateStore) Generate(ctx context.Context) (state, nonce string, err error) {
+	state, err = randomValue()
+	if err != nil {
+		return "", "", err
+	}
+	nonce, err = randomValue()
+	if err != nil {
+		return "", "", err
+	}
+
+	_, err = s.pool.Exec(ctx, `
+		INSERT INTO oidc_states (state, nonce, expires_at) VALUES ($1, $2, $3)
+	`, state, nonce, time.Now().Add(DefaultStateTTL))
+	if err != nil {
+		return "", "", fmt.Errorf("state speichern: %w", err)
+	}
+	return state, nonce, nil
+}
+
+// Consume loest einen State EINMALIG ein (Akzeptanzkriterium/Pruefung 3:
+// Replay-Schutz) — atomar ueber WHERE used_at IS NULL, analog IAM-03/IAM-09.
+// Ein zweiter Callback mit demselben state (z.B. durch einen Angreifer, der
+// die Redirect-URL abgefangen hat) schlaegt fehl.
+func (s *StateStore) Consume(ctx context.Context, state string) (nonce string, err error) {
+	err = s.pool.QueryRow(ctx, `
+		UPDATE oidc_states SET used_at = now()
+		WHERE state = $1 AND used_at IS NULL AND expires_at > now()
+		RETURNING nonce
+	`, state).Scan(&nonce)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return "", ErrStateInvalid
+		}
+		return "", fmt.Errorf("state einloesen: %w", err)
+	}
+	return nonce, nil
+}
+
+func randomValue() (string, error) {
+	buf := make([]byte, 32)
+	if _, err := rand.Read(buf); err != nil {
+		return "", err
+	}
+	return hex.EncodeToString(buf), nil
+}

internal/oidc/state_test.go

@@ -0,0 +1,68 @@
+package oidc
+
+import (
+	"context"
+	"errors"
+	"os"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func setupStateTest(t *testing.T) (*StateStore, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS oidc_states (
+			state TEXT PRIMARY KEY, nonce TEXT NOT NULL, expires_at TIMESTAMPTZ NOT NULL,
+			used_at TIMESTAMPTZ, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		)`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() { pool.Close() }
+	return NewStateStore(pool), cleanup
+}
+
+// Akzeptanzkriterium/Pruefung 3: State/Nonce-Handling gegen CSRF und Replay.
+func TestStateStore_ConsumeIsSingleUse(t *testing.T) {
+	store, cleanup := setupStateTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	state, nonce, err := store.Generate(ctx)
+	if err != nil {
+		t.Fatalf("generate: %v", err)
+	}
+
+	gotNonce, err := store.Consume(ctx, state)
+	if err != nil {
+		t.Fatalf("consume (erste einloesung): %v", err)
+	}
+	if gotNonce != nonce {
+		t.Fatalf("nonce = %q, want %q", gotNonce, nonce)
+	}
+
+	if _, err := store.Consume(ctx, state); !errors.Is(err, ErrStateInvalid) {
+		t.Fatalf("erwartet ErrStateInvalid bei erneutem einloesen (replay), habe %v", err)
+	}
+}
+
+func TestStateStore_RejectsUnknownState(t *testing.T) {
+	store, cleanup := setupStateTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := store.Consume(ctx, "niemals-ausgestellter-state"); !errors.Is(err, ErrStateInvalid) {
+		t.Fatalf("erwartet ErrStateInvalid, habe %v", err)
+	}
+}

internal/oidc/verify.go

@@ -0,0 +1,70 @@
+package oidc
+
+import (
+	"crypto/rsa"
+	"errors"
+	"fmt"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+var ErrInvalidToken = errors.New("oidc: id-token ungueltig, abgelaufen oder falscher aussteller")
+
+// Claims sind die fuer NEXARCH relevanten OIDC-ID-Token-Claims.
+type Claims struct {
+	Subject string   `json:"sub"`
+	Email   string   `json:"email"`
+	Nonce   string   `json:"nonce"`
+	Roles   []string `json:"roles"` // providerabhaengiger Claim-Name, hier vereinfacht fest "roles"
+	jwt.RegisteredClaims
+}
+
+// Verifier prueft ID-Tokens gegen den JWKS-Schluesselsatz eines konfigurierten
+// Providers (Akzeptanzkriterium 3: fehlerhafte/abgelaufene Tokens werden
+// abgewiesen).
+type Verifier struct {
+	keys   map[string]*rsa.PublicKey
+	issuer string
+}
+
+func NewVerifier(keys map[string]*rsa.PublicKey, issuer string) *Verifier {
+	return &Verifier{keys: keys, issuer: issuer}
+}
+
+// Verify prueft Signatur (gegen JWKS), Ablauf (jwt-Bibliothek lehnt
+// abgelaufene Tokens automatisch ab) und Aussteller.
+func (v *Verifier) Verify(idToken string) (*Claims, error) {
+	claims := &Claims{}
+	token, err := jwt.ParseWithClaims(idToken, claims, func(t *jwt.Token) (interface{}, error) {
+		if _, ok := t.Method.(*jwt.SigningMethodRSA); !ok {
+			return nil, ErrInvalidToken
+		}
+		kid, _ := t.Header["kid"].(string)
+		key, ok := v.keys[kid]
+		if !ok {
+			return nil, ErrInvalidToken
+		}
+		return key, nil
+	})
+	if err != nil || !token.Valid {
+		return nil, ErrInvalidToken
+	}
+	if claims.Issuer != v.issuer {
+		return nil, fmt.Errorf("%w: unerwarteter aussteller %q", ErrInvalidToken, claims.Issuer)
+	}
+	return claims, nil
+}
+
+// VerifyWithNonce prueft zusaetzlich, dass der nonce-Claim im Token exakt
+// dem bei der Anfrage ausgestellten Nonce entspricht — verhindert Replay
+// eines fremden, gueltigen ID-Tokens (Akzeptanzkriterium/Pruefung 3).
+func (v *Verifier) VerifyWithNonce(idToken, expectedNonce string) (*Claims, error) {
+	claims, err := v.Verify(idToken)
+	if err != nil {
+		return nil, err
+	}
+	if claims.Nonce == "" || claims.Nonce != expectedNonce {
+		return nil, fmt.Errorf("%w: nonce stimmt nicht ueberein", ErrInvalidToken)
+	}
+	return claims, nil
+}

internal/oidc/verify_test.go

@@ -0,0 +1,184 @@
+package oidc
+
+import (
+	"crypto/rand"
+	"crypto/rsa"
+	"encoding/base64"
+	"encoding/binary"
+	"encoding/json"
+	"testing"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+func generateTestKey(t *testing.T) *rsa.PrivateKey {
+	t.Helper()
+	key, err := rsa.GenerateKey(rand.Reader, 2048)
+	if err != nil {
+		t.Fatalf("generate rsa key: %v", err)
+	}
+	return key
+}
+
+func signTestToken(t *testing.T, key *rsa.PrivateKey, kid string, claims Claims) string {
+	t.Helper()
+	token := jwt.NewWithClaims(jwt.SigningMethodRS256, claims)
+	token.Header["kid"] = kid
+	s, err := token.SignedString(key)
+	if err != nil {
+		t.Fatalf("sign token: %v", err)
+	}
+	return s
+}
+
+func TestVerify_AcceptsValidToken(t *testing.T) {
+	key := generateTestKey(t)
+	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
+
+	claims := Claims{
+		Subject: "user-123",
+		Email:   "person@example.com",
+		Nonce:   "erwarteter-nonce",
+		RegisteredClaims: jwt.RegisteredClaims{
+			Issuer:    "https://idp.example.com",
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
+		},
+	}
+	tok := signTestToken(t, key, "kid-1", claims)
+
+	got, err := verifier.Verify(tok)
+	if err != nil {
+		t.Fatalf("verify: %v", err)
+	}
+	if got.Email != "person@example.com" {
+		t.Fatalf("email = %q", got.Email)
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: Token-Signatur- und Ablaufpruefung.
+func TestVerify_RejectsExpiredToken(t *testing.T) {
+	key := generateTestKey(t)
+	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
+
+	claims := Claims{
+		Subject: "user-123",
+		RegisteredClaims: jwt.RegisteredClaims{
+			Issuer:    "https://idp.example.com",
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Hour)), // abgelaufen
+		},
+	}
+	tok := signTestToken(t, key, "kid-1", claims)
+
+	if _, err := verifier.Verify(tok); err == nil {
+		t.Fatal("erwartet fehler bei abgelaufenem token")
+	}
+}
+
+func TestVerify_RejectsWrongSigningKey(t *testing.T) {
+	realKey := generateTestKey(t)
+	attackerKey := generateTestKey(t)
+	// Verifier kennt NUR den echten oeffentlichen Schluessel.
+	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &realKey.PublicKey}, "https://idp.example.com")
+
+	claims := Claims{
+		Subject: "user-123",
+		RegisteredClaims: jwt.RegisteredClaims{
+			Issuer:    "https://idp.example.com",
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
+		},
+	}
+	// Mit dem Angreifer-Schluessel signiert, aber unter demselben kid wie der echte.
+	tok := signTestToken(t, attackerKey, "kid-1", claims)
+
+	if _, err := verifier.Verify(tok); err == nil {
+		t.Fatal("erwartet fehler bei fremd signiertem token")
+	}
+}
+
+func TestVerify_RejectsWrongIssuer(t *testing.T) {
+	key := generateTestKey(t)
+	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
+
+	claims := Claims{
+		Subject: "user-123",
+		RegisteredClaims: jwt.RegisteredClaims{
+			Issuer:    "https://ganz-anderer-idp.example.com",
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
+		},
+	}
+	tok := signTestToken(t, key, "kid-1", claims)
+
+	if _, err := verifier.Verify(tok); err == nil {
+		t.Fatal("erwartet fehler bei unerwartetem aussteller")
+	}
+}
+
+// Akzeptanzkriterium/Pruefung 3: Nonce-Handling gegen Replay.
+func TestVerifyWithNonce_RejectsMismatch(t *testing.T) {
+	key := generateTestKey(t)
+	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
+
+	claims := Claims{
+		Subject: "user-123",
+		Nonce:   "nonce-a",
+		RegisteredClaims: jwt.RegisteredClaims{
+			Issuer:    "https://idp.example.com",
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
+		},
+	}
+	tok := signTestToken(t, key, "kid-1", claims)
+
+	if _, err := verifier.VerifyWithNonce(tok, "nonce-b"); err == nil {
+		t.Fatal("erwartet fehler bei nonce-mismatch (moeglicher replay eines fremden tokens)")
+	}
+	if _, err := verifier.VerifyWithNonce(tok, "nonce-a"); err != nil {
+		t.Fatalf("erwartet erfolg bei passendem nonce: %v", err)
+	}
+}
+
+func TestParseJWKS_RoundTrip(t *testing.T) {
+	key := generateTestKey(t)
+
+	nBytes := key.PublicKey.N.Bytes()
+	eBuf := make([]byte, 8)
+	binary.BigEndian.PutUint64(eBuf, uint64(key.PublicKey.E))
+	// Fuehrende Nullbytes des Exponenten abschneiden (ueblich bei JWK-Kodierung).
+	eStart := 0
+	for eStart < len(eBuf)-1 && eBuf[eStart] == 0 {
+		eStart++
+	}
+
+	set := jwkSet{Keys: []jwk{{
+		Kid: "kid-1",
+		Kty: "RSA",
+		N:   base64.RawURLEncoding.EncodeToString(nBytes),
+		E:   base64.RawURLEncoding.EncodeToString(eBuf[eStart:]),
+	}}}
+	data, err := json.Marshal(set)
+	if err != nil {
+		t.Fatalf("marshal: %v", err)
+	}
+
+	parsed, err := ParseJWKS(data)
+	if err != nil {
+		t.Fatalf("parse jwks: %v", err)
+	}
+	got, ok := parsed["kid-1"]
+	if !ok {
+		t.Fatal("erwartet kid-1 im ergebnis")
+	}
+	if got.E != key.PublicKey.E || got.N.Cmp(key.PublicKey.N) != 0 {
+		t.Fatalf("erwartet identischen oeffentlichen schluessel nach roundtrip")
+	}
+
+	// Der wiederhergestellte Schluessel muss ein damit signiertes Token auch tatsaechlich verifizieren.
+	verifier := NewVerifier(parsed, "https://idp.example.com")
+	claims := Claims{Subject: "x", RegisteredClaims: jwt.RegisteredClaims{
+		Issuer: "https://idp.example.com", ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
+	}}
+	tok := signTestToken(t, key, "kid-1", claims)
+	if _, err := verifier.Verify(tok); err != nil {
+		t.Fatalf("verify mit aus jwks wiederhergestelltem schluessel: %v", err)
+	}
+}

internal/pwpolicy/blocklist.go

@@ -1,33 +0,0 @@
-package pwpolicy
-
-// commonPasswords ist eine kleine, eingebettete Sperrliste bekannt
-// haeufig verwendeter/kompromittierter Passwoerter (Akzeptanzkriterium 2).
-// Vergleich erfolgt case-insensitive (siehe Validate).
-var commonPasswords = map[string]bool{
-	"123456":     true,
-	"password":   true,
-	"12345678":   true,
-	"qwerty":     true,
-	"123456789":  true,
-	"12345":      true,
-	"1234":       true,
-	"111111":     true,
-	"1234567":    true,
-	"dragon":     true,
-	"123123":     true,
-	"baseball":   true,
-	"iloveyou":   true,
-	"trustno1":   true,
-	"1234567890": true,
-	"sunshine":   true,
-	"master":     true,
-	"welcome":    true,
-	"admin":      true,
-	"letmein":    true,
-	"login":      true,
-	"passw0rd":   true,
-	"starwars":   true,
-	"abc123":     true,
-	"password1":  true,
-	"qwerty123":  true,
-}

internal/pwpolicy/login_check.go

@@ -1,30 +0,0 @@
-package pwpolicy
-
-import (
-	"context"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-// LoginAndCheckPolicy komponiert IAM-02s LoginService mit der Passwort-
-// Richtlinienpruefung, OHNE LoginService selbst zu veraendern. Ein
-// bestehender Benutzer mit einem alten, nicht mehr konformen Passwort kann
-// sich weiterhin einloggen (Login schlaegt NICHT fehl) — er wird lediglich
-// zur Aenderung aufgefordert (Akzeptanzkriterium 3: kein rueckwirkendes
-// Aussperren). Die Pruefung ist nur HIER moeglich, da nur beim Login das
-// Klartext-Passwort kurzzeitig vorliegt — der gespeicherte bcrypt-Hash laesst
-// sich nicht rueckwirkend gegen eine neue Richtlinie pruefen.
-func LoginAndCheckPolicy(ctx context.Context, policies *Store, login *auth.LoginService, email, password string) (token string, mustChangePassword bool, err error) {
-	token, err = login.Login(ctx, email, password)
-	if err != nil {
-		return "", false, err
-	}
-
-	policy, err := policies.Get(ctx)
-	if err != nil {
-		return "", false, err
-	}
-
-	mustChangePassword = Validate(policy, password) != nil
-	return token, mustChangePassword, nil
-}

internal/pwpolicy/policy.go

@@ -1,112 +0,0 @@
-// Package pwpolicy implementiert Core IAM-14: konfigurierbare Passwort-
-// Komplexitätsanforderungen pro Tenant — eine schmale Regelschicht VOR dem
-// bcrypt-Hashing aus IAM-02, kein eigenes Policy-Framework.
-package pwpolicy
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"strings"
-	"unicode"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// Policy sind die Mindestanforderungen (Akzeptanzkriterium 1).
-type Policy struct {
-	MinLength      int
-	RequireUpper   bool
-	RequireLower   bool
-	RequireDigit   bool
-	RequireSpecial bool
-}
-
-// DefaultPolicy gilt, solange ein Tenant keine eigene Konfiguration gesetzt hat.
-func DefaultPolicy() Policy {
-	return Policy{MinLength: 12, RequireUpper: true, RequireLower: true, RequireDigit: true, RequireSpecial: false}
-}
-
-var ErrPasswordTooWeak = errors.New("pwpolicy: passwort erfuellt die richtlinie nicht")
-
-// Validate prueft ein Passwort gegen policy UND die Sperrliste
-// (Akzeptanzkriterium 2). Liefert bei Verstoss ErrPasswordTooWeak,
-// gewrappt mit einer fuer Menschen lesbaren Begruendung.
-func Validate(policy Policy, password string) error {
-	if commonPasswords[strings.ToLower(password)] {
-		return fmt.Errorf("%w: passwort steht auf der sperrliste haeufig verwendeter passwoerter", ErrPasswordTooWeak)
-	}
-	if len(password) < policy.MinLength {
-		return fmt.Errorf("%w: mindestens %d zeichen erforderlich", ErrPasswordTooWeak, policy.MinLength)
-	}
-
-	var hasUpper, hasLower, hasDigit, hasSpecial bool
-	for _, r := range password {
-		switch {
-		case unicode.IsUpper(r):
-			hasUpper = true
-		case unicode.IsLower(r):
-			hasLower = true
-		case unicode.IsDigit(r):
-			hasDigit = true
-		case unicode.IsPunct(r) || unicode.IsSymbol(r):
-			hasSpecial = true
-		}
-	}
-
-	if policy.RequireUpper && !hasUpper {
-		return fmt.Errorf("%w: mindestens ein grossbuchstabe erforderlich", ErrPasswordTooWeak)
-	}
-	if policy.RequireLower && !hasLower {
-		return fmt.Errorf("%w: mindestens ein kleinbuchstabe erforderlich", ErrPasswordTooWeak)
-	}
-	if policy.RequireDigit && !hasDigit {
-		return fmt.Errorf("%w: mindestens eine ziffer erforderlich", ErrPasswordTooWeak)
-	}
-	if policy.RequireSpecial && !hasSpecial {
-		return fmt.Errorf("%w: mindestens ein sonderzeichen erforderlich", ErrPasswordTooWeak)
-	}
-	return nil
-}
-
-// Store verwaltet die pro-Tenant konfigurierte Richtlinie (eine Zeile je
-// Tenant-Datenbank, Modell C).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// Get liefert die konfigurierte Richtlinie, oder DefaultPolicy() wenn noch
-// keine gesetzt wurde.
-func (s *Store) Get(ctx context.Context) (Policy, error) {
-	var p Policy
-	err := s.pool.QueryRow(ctx, `
-		SELECT min_length, require_upper, require_lower, require_digit, require_special
-		FROM password_policy WHERE id = true
-	`).Scan(&p.MinLength, &p.RequireUpper, &p.RequireLower, &p.RequireDigit, &p.RequireSpecial)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return DefaultPolicy(), nil
-		}
-		return Policy{}, fmt.Errorf("richtlinie lesen: %w", err)
-	}
-	return p, nil
-}
-
-// Set legt die Richtlinie fuer diesen Tenant fest (Akzeptanzkriterium 1).
-func (s *Store) Set(ctx context.Context, p Policy) error {
-	_, err := s.pool.Exec(ctx, `
-		INSERT INTO password_policy (id, min_length, require_upper, require_lower, require_digit, require_special, updated_at)
-		VALUES (true, $1, $2, $3, $4, $5, now())
-		ON CONFLICT (id) DO UPDATE SET
-			min_length = $1, require_upper = $2, require_lower = $3, require_digit = $4, require_special = $5, updated_at = now()
-	`, p.MinLength, p.RequireUpper, p.RequireLower, p.RequireDigit, p.RequireSpecial)
-	if err != nil {
-		return fmt.Errorf("richtlinie speichern: %w", err)
-	}
-	return nil
-}

internal/pwpolicy/policy_test.go

@@ -1,176 +0,0 @@
-package pwpolicy
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-// Akzeptanzkriterium 1 + Pruefung 1: zu kurzes/zu einfaches Passwort abgelehnt.
-func TestValidate_RejectsTooShortOrSimple(t *testing.T) {
-	policy := DefaultPolicy()
-
-	if err := Validate(policy, "kurz1A"); !errors.Is(err, ErrPasswordTooWeak) {
-		t.Fatalf("erwartet ErrPasswordTooWeak fuer zu kurzes passwort, habe %v", err)
-	}
-	if err := Validate(policy, "alleskleingeschriebenundlang123"); !errors.Is(err, ErrPasswordTooWeak) {
-		t.Fatalf("erwartet ErrPasswordTooWeak ohne grossbuchstaben, habe %v", err)
-	}
-	if err := Validate(policy, "GutesPasswort2026!"); err != nil {
-		t.Fatalf("erwartet gueltig, habe %v", err)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Passwort aus Sperrliste abgelehnt.
-func TestValidate_RejectsBlocklistedPassword(t *testing.T) {
-	policy := Policy{MinLength: 4} // absichtlich schwach, damit NUR die sperrliste greift
-
-	if err := Validate(policy, "password"); !errors.Is(err, ErrPasswordTooWeak) {
-		t.Fatalf("erwartet ErrPasswordTooWeak fuer sperrlisten-passwort, habe %v", err)
-	}
-	if err := Validate(policy, "PASSWORD"); !errors.Is(err, ErrPasswordTooWeak) {
-		t.Fatalf("erwartet case-insensitive treffer auf der sperrliste, habe %v", err)
-	}
-	if err := Validate(policy, "ein-eher-unueblicher-satz"); err != nil {
-		t.Fatalf("nicht-sperrlisten-passwort sollte hier gueltig sein: %v", err)
-	}
-}
-
-func setupTest(t *testing.T) (*Store, *pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS users (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
-			status TEXT NOT NULL DEFAULT 'active', password_hash TEXT NOT NULL DEFAULT '',
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS password_policy (
-			id BOOLEAN PRIMARY KEY DEFAULT true CHECK (id), min_length INT NOT NULL DEFAULT 12,
-			require_upper BOOLEAN NOT NULL DEFAULT true, require_lower BOOLEAN NOT NULL DEFAULT true,
-			require_digit BOOLEAN NOT NULL DEFAULT true, require_special BOOLEAN NOT NULL DEFAULT false,
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	// Singleton-Tabelle: vor jedem Test leeren, falls ein vorheriger Lauf
-	// (in dieser geteilten Registry-Tabelle) eine Zeile hinterlassen hat.
-	if _, err := pool.Exec(ctx, `DELETE FROM password_policy`); err != nil {
-		t.Fatalf("vorab-bereinigung: %v", err)
-	}
-
-	cleanup := func() {
-		_, _ = pool.Exec(ctx, `DELETE FROM password_policy`)
-		pool.Close()
-	}
-	return NewStore(pool), pool, cleanup
-}
-
-func TestStore_GetReturnsDefaultWhenUnset(t *testing.T) {
-	store, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	got, err := store.Get(ctx)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got != DefaultPolicy() {
-		t.Fatalf("erwartet default policy, habe %+v", got)
-	}
-}
-
-func TestStore_SetAndGetRoundTrip(t *testing.T) {
-	store, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	custom := Policy{MinLength: 16, RequireUpper: true, RequireLower: true, RequireDigit: true, RequireSpecial: true}
-	if err := store.Set(ctx, custom); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	got, err := store.Get(ctx)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got != custom {
-		t.Fatalf("erwartet %+v, habe %+v", custom, got)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: bestehender Nutzer mit altem,
-// nicht-konformem Passwort kann sich noch einloggen, wird aber zur
-// Aenderung aufgefordert — kein rueckwirkendes Aussperren.
-func TestLoginAndCheckPolicy_FlagsNonConformantExistingPassword(t *testing.T) {
-	store, pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	email := fmt.Sprintf("pwpolicy-test-%d@example.com", time.Now().UnixNano())
-	userStore := user.NewTenantUserStore(pool)
-	u, err := userStore.Create(ctx, email, "Legacy User")
-	if err != nil {
-		t.Fatalf("create user: %v", err)
-	}
-
-	// Altes Passwort, das VOR der heutigen Richtlinie gesetzt wurde — erfuellt
-	// die aktuelle DefaultPolicy() nicht (kein Grossbuchstabe, zu kurz).
-	oldPassword := "altespasswort"
-	hash, err := auth.HashPassword(oldPassword)
-	if err != nil {
-		t.Fatalf("hash: %v", err)
-	}
-	if err := userStore.SetPasswordHash(ctx, u.ID, hash); err != nil {
-		t.Fatalf("set password hash: %v", err)
-	}
-
-	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
-	loginService := auth.NewLoginService(userStore, issuer, "acme")
-
-	token, mustChange, err := LoginAndCheckPolicy(ctx, store, loginService, email, oldPassword)
-	if err != nil {
-		t.Fatalf("login sollte trotz schwachem altpasswort gelingen: %v", err)
-	}
-	if token == "" {
-		t.Fatal("erwartet gueltiges token")
-	}
-	if !mustChange {
-		t.Fatal("erwartet mustChangePassword=true fuer nicht-konformes altpasswort")
-	}
-
-	// Konformes Passwort -> kein Aenderungszwang.
-	strongPassword := "EinStarkesPasswort2026!"
-	hash2, err := auth.HashPassword(strongPassword)
-	if err != nil {
-		t.Fatalf("hash 2: %v", err)
-	}
-	if err := userStore.SetPasswordHash(ctx, u.ID, hash2); err != nil {
-		t.Fatalf("set password hash 2: %v", err)
-	}
-	_, mustChange, err = LoginAndCheckPolicy(ctx, store, loginService, email, strongPassword)
-	if err != nil {
-		t.Fatalf("login mit starkem passwort: %v", err)
-	}
-	if mustChange {
-		t.Fatal("erwartet mustChangePassword=false fuer konformes passwort")
-	}
-}

internal/rbac/role.go

@@ -0,0 +1,71 @@
+// Package rbac implementiert Core RBAC-01: das Rollenmodell mit
+// Grundrollen/-rechten, Hierarchie und Zuweisung. Die eigentliche
+// Durchsetzung (erlaubt/verboten je Request) ist RBAC-02, dieses Paket
+// liefert nur Modell + Zuweisung (Casbin-Prinzip: Policy-Modell getrennt
+// von der Entscheidungsfunktion).
+package rbac
+
+// Role ist eine der drei Grundrollen. Superadmin lebt mandantenuebergreifend
+// (siehe internal/user.SuperadminStore aus IAM-01) und wird deshalb NICHT
+// ueber Store (tenant-gescoped) zugewiesen — die Existenz eines Superadmin-
+// Kontos IST die Rollenzuweisung.
+type Role string
+
+const (
+	RoleSuperadmin  Role = "superadmin"
+	RoleTenantAdmin Role = "tenant_admin"
+	RoleUser        Role = "user"
+)
+
+type Permission string
+
+const (
+	PermSelfRead       Permission = "self.read"
+	PermSelfUpdate     Permission = "self.update"
+	PermManageUsers    Permission = "tenant.manage_users"
+	PermManageSettings Permission = "tenant.manage_settings"
+	PermManageTenants  Permission = "platform.manage_tenants"
+)
+
+// parent bildet die Rollenhierarchie ab (Akzeptanzkriterium 2): eine Rolle
+// erbt alle Rechte ihrer Elternrolle. tenant_admin erbt von user,
+// superadmin erbt von tenant_admin.
+var parent = map[Role]Role{
+	RoleTenantAdmin: RoleUser,
+	RoleSuperadmin:  RoleTenantAdmin,
+}
+
+// direct sind die einer Rolle direkt (ohne Vererbung) zugeordneten Rechte.
+var direct = map[Role][]Permission{
+	RoleUser:        {PermSelfRead, PermSelfUpdate},
+	RoleTenantAdmin: {PermManageUsers, PermManageSettings},
+	RoleSuperadmin:  {PermManageTenants},
+}
+
+// EffectivePermissions liefert die vollstaendige, ueber die Hierarchie
+// aufgeloeste Rechtemenge einer Rolle (Akzeptanzkriterium 2 / Pruefung 2).
+func EffectivePermissions(role Role) []Permission {
+	seen := make(map[Permission]bool)
+	var out []Permission
+
+	for r, ok := role, true; ok; r, ok = parent[r] {
+		for _, p := range direct[r] {
+			if !seen[p] {
+				seen[p] = true
+				out = append(out, p)
+			}
+		}
+	}
+	return out
+}
+
+// HasPermission prueft, ob eine Rolle (inklusive geerbter Rechte) ein
+// bestimmtes Recht besitzt.
+func HasPermission(role Role, perm Permission) bool {
+	for _, p := range EffectivePermissions(role) {
+		if p == perm {
+			return true
+		}
+	}
+	return false
+}

internal/rbac/store.go

@@ -0,0 +1,124 @@
+package rbac
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+var (
+	// ErrRoleNotAssignableInTenantScope wird geliefert, wenn versucht wird,
+	// eine mandantenuebergreifende Rolle (superadmin) ueber den tenant-
+	// gescopten Store zu vergeben — die erlaubte Matrix laesst hier nur
+	// user/tenant_admin zu (Akzeptanzkriterium 1 / Pruefung 1).
+	ErrRoleNotAssignableInTenantScope = errors.New("rbac: rolle ist in diesem geltungsbereich nicht zuweisbar")
+	ErrNotFound                       = errors.New("rbac: keine rollenzuweisung gefunden")
+)
+
+// assignableRoles ist die erlaubte Matrix fuer Store (tenant-gescoped).
+var assignableRoles = map[Role]bool{
+	RoleUser:        true,
+	RoleTenantAdmin: true,
+}
+
+type Assignment struct {
+	UserID    string
+	Role      Role
+	GrantedBy string
+}
+
+// Store verwaltet Rollenzuweisungen innerhalb GENAU EINER Tenant-Datenbank —
+// analog zu internal/user.TenantUserStore (Modell C: der Pool bestimmt den
+// Tenant, keine tenant_id-Spalte noetig).
+type Store struct {
+	pool *pgxpool.Pool
+}
+
+func NewStore(pool *pgxpool.Pool) *Store {
+	return &Store{pool: pool}
+}
+
+// Assign vergibt eine Rolle an einen Benutzer. grantedBy identifiziert den
+// Akteur, der die Zuweisung vorgenommen hat (Akzeptanzkriterium 3). Jede
+// Zuweisung wird zusaetzlich in role_assignment_history festgehalten, auch
+// wenn sie eine vorherige Rolle ersetzt.
+func (s *Store) Assign(ctx context.Context, userID string, role Role, grantedBy string) (Assignment, error) {
+	if !assignableRoles[role] {
+		return Assignment{}, ErrRoleNotAssignableInTenantScope
+	}
+	if grantedBy == "" {
+		return Assignment{}, errors.New("rbac: grantedBy darf nicht leer sein")
+	}
+
+	tx, err := s.pool.Begin(ctx)
+	if err != nil {
+		return Assignment{}, fmt.Errorf("transaktion starten: %w", err)
+	}
+	defer func() { _ = tx.Rollback(ctx) }()
+
+	if _, err := tx.Exec(ctx, `
+		INSERT INTO role_assignments (user_id, role, granted_by, granted_at)
+		VALUES ($1, $2, $3, now())
+		ON CONFLICT (user_id) DO UPDATE SET role = $2, granted_by = $3, granted_at = now()
+	`, userID, string(role), grantedBy); err != nil {
+		return Assignment{}, fmt.Errorf("rolle zuweisen: %w", err)
+	}
+
+	if _, err := tx.Exec(ctx, `
+		INSERT INTO role_assignment_history (user_id, role, granted_by, granted_at)
+		VALUES ($1, $2, $3, now())
+	`, userID, string(role), grantedBy); err != nil {
+		return Assignment{}, fmt.Errorf("historie schreiben: %w", err)
+	}
+
+	if err := tx.Commit(ctx); err != nil {
+		return Assignment{}, fmt.Errorf("transaktion committen: %w", err)
+	}
+
+	return Assignment{UserID: userID, Role: role, GrantedBy: grantedBy}, nil
+}
+
+func (s *Store) Get(ctx context.Context, userID string) (Assignment, error) {
+	var a Assignment
+	var role string
+	a.UserID = userID
+	if err := s.pool.QueryRow(ctx, `
+		SELECT role, granted_by FROM role_assignments WHERE user_id = $1
+	`, userID).Scan(&role, &a.GrantedBy); err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return Assignment{}, ErrNotFound
+		}
+		return Assignment{}, fmt.Errorf("rollenzuweisung lesen: %w", err)
+	}
+	a.Role = Role(role)
+	return a, nil
+}
+
+// History liefert jede Rollenzuweisung eines Benutzers in chronologischer
+// Reihenfolge — die Grundlage fuer "wer hat wann welche Rolle vergeben"
+// (Akzeptanzkriterium 3).
+func (s *Store) History(ctx context.Context, userID string) ([]Assignment, error) {
+	rows, err := s.pool.Query(ctx, `
+		SELECT role, granted_by FROM role_assignment_history
+		WHERE user_id = $1 ORDER BY granted_at
+	`, userID)
+	if err != nil {
+		return nil, fmt.Errorf("historie abfragen: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Assignment
+	for rows.Next() {
+		var role string
+		a := Assignment{UserID: userID}
+		if err := rows.Scan(&role, &a.GrantedBy); err != nil {
+			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
+		}
+		a.Role = Role(role)
+		out = append(out, a)
+	}
+	return out, rows.Err()
+}

migrations/tenant/0002_role_assignments.down.sql

@@ -0,0 +1,2 @@
+DROP TABLE IF EXISTS role_assignment_history;
+DROP TABLE IF EXISTS role_assignments;

migrations/tenant/0002_role_assignments.up.sql

@@ -0,0 +1,23 @@
+-- Rollenzuweisung pro Benutzer (RBAC-01, siehe core-kanban/tickets/RBAC-01.md).
+-- Nur 'user' und 'tenant_admin' sind hier zuweisbar — 'superadmin' lebt
+-- mandantenuebergreifend in der Registry (IAM-01 SuperadminStore) und hat
+-- daher bewusst KEINE Zeile in dieser tenant-lokalen Tabelle (Akzeptanz-
+-- kriterium 1: nur Zuweisungen innerhalb der erlaubten Matrix).
+CREATE TABLE role_assignments (
+    user_id     UUID PRIMARY KEY REFERENCES users(id),
+    role        TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
+    granted_by  TEXT NOT NULL,
+    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+-- Vollstaendige Historie jeder Rollenaenderung (Akzeptanzkriterium 3: wer
+-- hat wann welche Rolle vergeben).
+CREATE TABLE role_assignment_history (
+    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    user_id     UUID NOT NULL,
+    role        TEXT NOT NULL,
+    granted_by  TEXT NOT NULL,
+    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+CREATE INDEX role_assignment_history_user_idx ON role_assignment_history (user_id, granted_at);

migrations/tenant/0003_ldap.down.sql

@@ -0,0 +1,2 @@
+DROP TABLE IF EXISTS ldap_group_role_mapping;
+DROP TABLE IF EXISTS ldap_config;

migrations/tenant/0003_ldap.up.sql

@@ -0,0 +1,22 @@
+-- LDAP/Active-Directory-Anbindung (IAM-05, siehe core-kanban/tickets/IAM-05.md).
+-- Bind-Credentials liegen NIE in dieser Tabelle im Klartext — bind_password_env
+-- nennt nur den Namen einer Umgebungsvariable, aus der das Passwort zur
+-- Laufzeit gelesen wird (Projekt-Konvention: Secrets nur ueber Env-Vars).
+CREATE TABLE ldap_config (
+    id                 BOOLEAN PRIMARY KEY DEFAULT true CHECK (id),
+    url                TEXT NOT NULL,
+    bind_dn            TEXT NOT NULL,
+    bind_password_env  TEXT NOT NULL,
+    base_dn            TEXT NOT NULL,
+    user_filter        TEXT NOT NULL DEFAULT '(objectClass=person)',
+    updated_at         TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+-- Erlaubnis-Matrix LDAP-Gruppe -> NEXARCH-Rolle (Akzeptanzkriterium 3).
+-- Eine LDAP-Gruppe OHNE Eintrag hier vergibt KEINE Rolle — kein impliziter
+-- Zugriff durch Gruppennamen-Zufall (Privilege-Escalation-Schutz, siehe
+-- "Bekannte Fehler vermeiden" im Ticket).
+CREATE TABLE ldap_group_role_mapping (
+    ldap_group TEXT PRIMARY KEY,
+    role       TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin'))
+);

migrations/tenant/0003_password_policy.down.sql

@@ -1 +0,0 @@
-DROP TABLE IF EXISTS password_policy;

migrations/tenant/0003_password_policy.up.sql

@@ -1,11 +0,0 @@
--- Passwort-Richtlinien je Tenant (IAM-14, siehe core-kanban/tickets/IAM-14.md).
--- Genau eine Zeile pro Tenant-Datenbank (Singleton-Muster, id fest auf true).
-CREATE TABLE password_policy (
-    id               BOOLEAN PRIMARY KEY DEFAULT true CHECK (id),
-    min_length       INT NOT NULL DEFAULT 12,
-    require_upper    BOOLEAN NOT NULL DEFAULT true,
-    require_lower    BOOLEAN NOT NULL DEFAULT true,
-    require_digit    BOOLEAN NOT NULL DEFAULT true,
-    require_special  BOOLEAN NOT NULL DEFAULT false,
-    updated_at       TIMESTAMPTZ NOT NULL DEFAULT now()
-);

migrations/tenant/0004_oidc_states.down.sql

@@ -0,0 +1 @@
+DROP TABLE IF EXISTS oidc_states;

migrations/tenant/0004_oidc_states.up.sql

@@ -0,0 +1,10 @@
+-- CSRF-/Replay-Schutz fuer OIDC-Login (IAM-06, siehe
+-- core-kanban/tickets/IAM-06.md). Einmal-Verwendung erzwungen ueber
+-- used_at IS NULL in der Consume-Abfrage, analog IAM-03/IAM-09.
+CREATE TABLE oidc_states (
+    state      TEXT PRIMARY KEY,
+    nonce      TEXT NOT NULL,
+    expires_at TIMESTAMPTZ NOT NULL,
+    used_at    TIMESTAMPTZ,
+    created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+);