sysopsandClaude Sonnet 5
1a82da211d
internal/ldapsync: Client ist eine Schnittstelle (Search() liefert Entry-
Liste) — in dieser Umgebung steht kein echter LDAP/AD-Server zur Verfuegung
(analog AUD-05/Archive), daher ist die Sync-/Rollenzuordnungs-Logik
vollstaendig gegen einen Fake getestet, eine echte Verbindungspruefung gegen
LDAP/AD steht noch aus.
RoleMappingStore (Akzeptanzkriterium 3): explizite Erlaubnis-Matrix
LDAP-Gruppe -> Rolle. HighestRoleFor vergibt NUR fuer explizit gemappte
Gruppen eine Rolle — eine unbekannte Gruppe, auch wenn ihr Name zufaellig
wie eine interne Rolle aussieht ("tenant_admin", "superadmin"), traegt
strukturell nichts bei (kein Code-Pfad, der eine ungemappte Gruppe je einer
Rolle zuordnet) — behebt die aus archivmail bekannte Privilege-Escalation-
Fehlerklasse von Grund auf statt nachtraeglich zu haerten.
Syncer.Run ruft Search() als ALLERERSTES auf; schlaegt es fehl, wird ohne
jede Aenderung an bestehenden Konten abgebrochen (Akzeptanzkriterium 2).
Pro Eintrag isolierte Fehler landen in SyncResult.Failed, ohne andere
Eintraege zu beeintraechtigen. Deaktivierung in LDAP wird als
users.Deactivate uebernommen (Akzeptanzkriterium 3). ldap_config speichert
bewusst nur den NAMEN einer Umgebungsvariable fuer das Bind-Passwort, nie
das Passwort selbst.
internal/rbac (RBAC-01) wurde 1:1 aus dem rbac-01-Branch uebernommen (git
show aus derselben Repo-Historie) — IAM-05 haengt an RBAC-01 fuer die
Rollenzuweisung, beide Boards leben aber auf getrennten, noch nicht
gemergten Feature-Branches ohne gemeinsame Historie.
Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. Rollen-Erlaubnis-Matrix mit Positiv- und Negativfaellen automatisiert
getestet (keine Privilege-Escalation) — TestRoleMapping_PositiveAndNegativeCases:
gemappte Gruppe liefert Rolle, unbekannte Gruppe und rollen-aehnlich
benannte, aber nie gemappte Gruppen liefern keine. PASS.
2. Synchronisationslauf mit fehlerhafter/nicht erreichbarer LDAP-Quelle
bricht kontrolliert ab, ohne bestehende Konten zu beschaedigen —
TestSyncer_AbortsCleanlyOnSourceError: bestehendes Konto bleibt nach
fehlgeschlagenem Lauf unveraendert aktiv. PASS.
3. Deaktivierung eines Benutzers in LDAP wird bei naechster Synchronisation
korrekt uebernommen — TestSyncer_AppliesDeactivationOnNextRun: erster
Lauf legt aktiven Benutzer an, zweiter Lauf mit Disabled=true setzt ihn
auf inaktiv. PASS.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
28 lines
1.0 KiB
Go
28 lines
1.0 KiB
Go
// Package ldapsync implementiert Core IAM-05: LDAP/Active-Directory-
|
|
// Anbindung je Tenant fuer Benutzer-Synchronisation, Login-Delegation und
|
|
// Rollenzuordnung aus Gruppen ueber eine explizite Erlaubnis-Matrix.
|
|
//
|
|
// WICHTIGER HINWEIS: In dieser Umgebung steht kein echter LDAP/AD-Server zur
|
|
// Verfuegung (analog zur Archive-Engine bei AUD-05). Client ist deshalb eine
|
|
// Schnittstelle — die Sync-/Rollenzuordnungs-Logik ist gegen einen Fake in
|
|
// den Tests vollstaendig geprueft, eine echte Verbindungspruefung gegen
|
|
// LDAP/AD steht noch aus.
|
|
package ldapsync
|
|
|
|
// Entry ist ein aus LDAP gelesener Benutzerdatensatz.
|
|
type Entry struct {
|
|
Email string
|
|
Name string
|
|
Groups []string
|
|
Disabled bool
|
|
}
|
|
|
|
// Client abstrahiert die eigentliche LDAP-Verbindung (Bind + Search).
|
|
type Client interface {
|
|
// Search liefert alle Benutzer, die dem konfigurierten Filter
|
|
// entsprechen. Ein Fehler bedeutet "Quelle nicht erreichbar oder
|
|
// fehlerhaft" — Run() bricht dann komplett und folgenlos ab
|
|
// (Akzeptanzkriterium 2).
|
|
Search() ([]Entry, error)
|
|
}
|