fix(mcp): подготовить доступ и отзыв разрешений для приёмки

2026-11-03 03:05:24 +07:00
commit ef7bb79d4e
@@ -0,0 +1,104 @@
+# Интеграция auth-portal ↔ EvoBGP
+
+Единый вход: пользователь логинится на auth-portal, получает JWT, переходит в EvoBGP с токеном в URL fragment. EvoBGP API проверяет JWT и права `bgp:*`. API-ключи EvoBGP (viewer/editor/operator/node) остаются для автоматизации и нод. Firewall-клиенты перенесены в **EvoFirewall** (`fw:*`).
+
+## Архитектура
+
+```
+Browser → EvoBGP UI (нет token)
+       → redirect AUTH_PORTAL_URL/?return_to=…/auth/callback
+       → login
+       → redirect return_to#access_token=…
+       → EvoBGP /auth/callback сохраняет token
+       → API Authorization: Bearer <JWT>
+```
+
+Общий секрет: `JWT_SECRET` / `AUTH_JWT_SECRET` (HS256). Issuer: `ISSUER` / `AUTH_ISSUER`.
+
+App id в портале: **`bgp`**.
+
+## Permissions ↔ UI
+
+| Permission | UI |
+|------------|-----|
+| `bgp:dashboard:read` | `/dashboard` |
+| `bgp:modules:read` / `write` | `/modules` |
+| `bgp:lookup:read` | `/lookup` |
+| `bgp:network:read` / `write` | `/network` (пиры и спикеры) |
+| `bgp:directories:read` / `write` | `/directories` |
+| `bgp:operations:read` / `write` / `admin` | `/operations` (admin = apply/rollback) |
+| `bgp:schedule:read` / `write` | `/schedule` |
+| `bgp:monitoring:read` | `/monitoring` |
+| `bgp:access:admin` | `/access` (API-ключи) |
+| `bgp:tenant_settings:admin` | `/tenant-settings` |
+| `bgp:settings:read` | `/settings` |
+
+Иерархия: `admin` ⊃ `write` ⊃ `read` в рамках одной секции.
+
+Пример обычного пользователя: app `bgp` + только `bgp:dashboard:read` и `bgp:lookup:read`.
+
+### Ownership
+
+Ресурсы modules / peers, созданные через JWT, имеют `created_by_user_id`. Видят и редактируют: создатель и portal `is_admin` (или API key `operator`). API keys без user id — tenant-wide scope. Firewall — см. EvoFirewall / `docs/integrate-evofirewall.md`.
+
+## Локальный запуск
+
+### 1. auth-portal
+
+```bash
+cd auth-portal
+pnpm install
+# JWT_SECRET=dev-secret-change-me
+# RETURN_TO_ALLOWLIST=.shnt.top,localhost,http://localhost:5173,…EvoBGP web origin
+pnpm --filter @authportal/api dev   # :8080
+pnpm --filter web dev               # :5175
+```
+
+```env
+# apps/web/.env.local
+VITE_BGP_APP_URL=http://localhost:5176
+```
+
+Bootstrap: выдайте app **bgp** и нужные `bgp:*` permissions.
+
+### 2. EvoBGP
+
+```env
+AUTH_REQUIRED=true
+AUTH_JWT_SECRET=dev-secret-change-me
+AUTH_ISSUER=https://auth.shnt.top
+AUTH_PORTAL_URL=http://localhost:5175
+# Опционально, если tenant не задан в portal /admin/apps для bgp:
+# EVOBGP_PORTAL_TENANT_ID=<uuid tenant>
+```
+
+```env
+# apps/web/.env.local
+VITE_AUTH_ENABLED=true
+VITE_AUTH_PORTAL_URL=http://localhost:5175
+```
+
+В portal **Админ → Приложения → BGP** укажите **EvoBGP tenant ID** (UUID из БД / лога `DemoIDs` / API-ключа). Он попадёт в JWT как `bgp_tenant_id`. Portal `is_admin` получает полный каталог `bgp:*` в JWT.
+
+## App Switcher
+
+Публичный конфиг: `GET {AUTH_PORTAL_URL}/api/v1/app-switcher` (без `tenantId`).  
+`CURRENT_APP_ID = bgp`. Редактор ссылок и tenant — portal `/admin/apps`.
+
+## Logout (SSO)
+
+Очистить локальный JWT → `AUTH_PORTAL_URL/logout` (не `/?return_to=`).
+
+## Audit ingest
+
+Dual-write локального журнала в portal: [`integrate-audit-ingest.md`](./integrate-audit-ingest.md) (`source_app: bgp`).
+
+## Troubleshooting
+
+| Симптом | Причина |
+|---------|---------|
+| 401 на API | Нет/битый Bearer; разные `JWT_SECRET` |
+| 403 нет доступа к приложению | В portal не выдан app `bgp` |
+| 403 на раздел | Нет `bgp:<section>:…` (у admin после обновления портала — полный каталог; перелогиньтесь) |
+| portal tenant not configured | Нет tenant в JWT и нет `EVOBGP_PORTAL_TENANT_ID` |
+| return_to rejected | origin EvoBGP не в `RETURN_TO_ALLOWLIST` |