@aiquants/auth-directory-drizzle 0.2.0

package/dist/index.d.mts

@@ -0,0 +1,1862 @@
+import { AuthzAdminStore } from '@aiquants/authz-core';
+import { AuthzTables, createAdminLockoutGuard } from '@aiquants/authz-drizzle';
+import * as drizzle_orm_mssql_core from 'drizzle-orm/mssql-core';
+import { AnyMsSqlColumn } from 'drizzle-orm/mssql-core';
+import { AuthGroupExternalLink, AuthDirectoryMembershipMode, AuthDirectoryStatus, AuthAllowlistEntry } from '@aiquants/auth-core';
+import { TenantMembershipPolicy, SyncAbort, AuthDirectoryMembershipMode as AuthDirectoryMembershipMode$1, LocalGroupSnapshot, DirectoryMember, ResolvedDirectoryMember, GroupSyncPlan, DirectoryGroup, DirectoryProvider, BlastRadiusPolicy } from '@aiquants/auth-directory-core';
+
+/**
+ * @module db
+ * @description Minimal query-builder shapes this adapter uses.
+ * 本アダプタが使う最小の問い合わせビルダー形状。
+ *
+ * drizzle の具体型ではなく構造的な型で受けるのは、ホストが用意した `NodeMsSqlDatabase` の型
+ * パラメータ (スキーマ・ロガー等) が配備ごとに違い、それを署名へ引き回すと利用側が
+ * `as any` を書く羽目になるためである。実体は実行時にこれらを満たす。
+ */
+type Rows<T> = PromiseLike<T[]>;
+interface SelectChain<T> extends Rows<T> {
+    from(t: unknown): SelectChain<T>;
+    innerJoin(t: unknown, on: unknown): SelectChain<T>;
+    leftJoin(t: unknown, on: unknown): SelectChain<T>;
+    where(cond: unknown): SelectChain<T>;
+    orderBy(...cols: unknown[]): SelectChain<T>;
+    groupBy(...cols: unknown[]): SelectChain<T>;
+}
+interface InsertChain {
+    values(v: unknown): PromiseLike<unknown>;
+    output(): InsertChain;
+}
+interface UpdateChain {
+    set(v: unknown): UpdateChain;
+    output(): UpdateChain;
+    where(cond: unknown): PromiseLike<unknown>;
+}
+interface DeleteChain {
+    where(cond: unknown): PromiseLike<unknown>;
+}
+/** The database surface the directory adapter needs. ディレクトリアダプタが必要とする DB 面。 */
+interface DirectoryDb {
+    select<T = Record<string, unknown>>(fields?: unknown): SelectChain<T>;
+    insert(t: unknown): InsertChain;
+    update(t: unknown): UpdateChain;
+    delete(t: unknown): DeleteChain;
+    transaction<T>(fn: (tx: DirectoryDb) => Promise<T>, config?: unknown): Promise<T>;
+}
+/** Ensures a connection exists before the first statement. 最初の文の前に接続を確立する処理。 */
+type EnsureConnection = () => Promise<void>;
+
+/**
+ * @module guards
+ * @description Keeps administrative roles off groups whose membership an upstream directory owns.
+ * 所属の所有者が上流ディレクトリにあるグループへ、管理ロールが付かないようにする。
+ *
+ * **不変条件は状態の性質であって、遷移の性質ではない。**
+ *
+ * 最初の実装は `assignGroupRole` だけを差し替えていた。しかしそれは「外部グループへ管理ロールを
+ * 割り当てる」という 1 つの遷移を塞いだにすぎず、**無害なロールを外部グループへ割り当ててから、
+ * そのロールを管理ロールへ昇格させる**という順序が開いたままだった。不変条件を守るには、それを
+ * 崩し得るすべての遷移を塞ぐ必要がある。
+ *
+ * 崩し得る遷移は 3 つある。
+ *
+ * | # | 遷移 | 塞ぐもの |
+ * | --- | --- | --- |
+ * | 1 | 外部グループが管理ロールを得る | `assignGroupRole` |
+ * | 2 | 外部グループが持つロールが管理ロールになる | `createGrant` |
+ * | 3 | 管理ロールを持つグループが外部連携される | `assertGroupMayBeLinked` |
+ *
+ * `updateGrant` は塞ぐ必要がない。`(role_id, resource_id, action)` が一意であるため、管理リソースの
+ * 4 アクションを揃えるには 4 行の付与が要り、既に 4 行あるロールは既に管理ロールである。既存行の
+ * アクションを差し替えても集合の要素数は増えないので、`updateGrant` は管理権を **作れない**。
+ *
+ * `setRoleActive` も塞ぐ必要がない。遷移 1 の判定はロールの有効・無効を見ないため、無効な管理
+ * ロールも外部グループへは割り当てられない。したがって「無効な管理ロールを外部グループが保持した
+ * まま有効化される」という状態には到達し得ない。
+ *
+ * **なぜ認可パッケージの中で判定しないのか。** 判定を `@aiquants/authz-drizzle` の管理ストアへ
+ * 埋め込むと、認可パッケージがグループの「出所」という identity 側の概念を知ることになる。依存の
+ * 向きは auth → authz の一方通行で保ちたいので、包む側 (identity 側) から課す。
+ *
+ * **なぜ禁止するのか。** 外部グループの所属は上流の管理者が変更できる。そこへ管理ロールを付けると、
+ * 上流側の 1 操作がこの配備の管理者を増やしたり、逆に最後の管理者を奪ったりする。ブレークグラス
+ * 経路は常にローカルに残しておく必要がある。
+ */
+
+/** The link lookup this guard needs. 本ガードが必要とするリンク参照。 */
+type ExternalLinkLookup = {
+    /**
+     * The upstream key of the group, or `null` when its membership is locally managed.
+     * そのグループの上流キー。ローカル管理なら `null`。
+     *
+     * 「外部かどうか」と「拒否メッセージに出す名前」を 1 回の照会で返す。判定のためだけに
+     * 引いて、名前のためにもう一度引く形にすると、拒否のたびに往復が 2 倍になる。
+     */
+    externalGroupKey(tenantId: string, groupId: number): Promise<string | null>;
+};
+/** Configuration of the guard. ガードの構成。 */
+type ExternalGroupGuardOptions = {
+    linkLookup: ExternalLinkLookup;
+    /** App key the administrative resource belongs to. 管理リソースが属するアプリキー。 */
+    adminAppKey: string;
+    /** Resource key that grants administration. 管理を与えるリソースキー。 */
+    adminResourceKey: string;
+    /**
+     * Refusal message. 拒否メッセージ。
+     *
+     * @param roleKey Role that would have conferred administration. 管理権を与えることになるロール。
+     * @param groupKey Group that would have held it. それを保持することになるグループ。
+     */
+    message: (roleKey: string, groupKey: string) => string;
+};
+/** Default refusal message (Japanese, matching the admin UI's locale). 既定の拒否メッセージ。 */
+declare const defaultExternalGroupGuardMessage: (roleKey: string, groupKey: string) => string;
+/**
+ * Wraps an authorization admin store so administrative power cannot reach an external group.
+ * 外部グループへ管理権が届かないよう認可管理ストアを包む処理。
+ *
+ * `assignGroupRole` と `createGrant` を差し替え、残りは透過的に委譲する。3 番目の方向
+ * (連携の開始) は {@link assertGroupMayBeLinked} が担い、リンクを作る側が必ず通す。
+ *
+ * @param store Store to wrap. 包む対象のストア。
+ * @param opts Link lookup and administrative resource identity. リンク参照と管理リソースの同定。
+ * @returns A store with the same surface. 同一表面のストア。
+ */
+declare function withExternalGroupGuards<R>(store: AuthzAdminStore<R>, opts: ExternalGroupGuardOptions): AuthzAdminStore<R>;
+/**
+ * Refuses to link a group that already holds an administrative role.
+ * 既に管理ロールを保持しているグループの外部連携を拒否する処理。
+ *
+ * 3 つ目の方向。これを通さずにリンクを作ると、ローカルで管理ロールを付けてから連携させる経路が
+ * 残る。{@link withExternalGroupGuards} と違って呼び出し側が忘れ得るため、リンクを作る側の
+ * 構成に必須ポートとして組み込むこと。
+ *
+ * @param store Authorization admin store used to read the grants. 付与を読む認可管理ストア。
+ * @param tenantId Tenant the group belongs to. グループが属するテナント。
+ * @param groupId Group about to be linked. 連携しようとしているグループ。
+ * @param opts Administrative resource identity and refusal message. 管理リソースの同定と文言。
+ * @returns Nothing; returns normally only when linking is allowed. 許可される場合のみ正常復帰。
+ * @throws {Error} When the group holds the administrative role. 管理ロールを保持している場合。
+ */
+declare function assertGroupMayBeLinked(store: AuthzAdminStore, tenantId: string, groupId: number, opts: Pick<ExternalGroupGuardOptions, "adminAppKey" | "adminResourceKey" | "message">): Promise<void>;
+
+/** Minimal shape of a table this schema points a foreign key at. 外部キーの参照先に要る最小形。 */
+type ReferencedTable = {
+    id: AnyMsSqlColumn;
+};
+/**
+ * Physical name of the provenance discriminator carried by an external link row.
+ * 外部リンク行が持つ供給元識別子の物理名。
+ */
+declare const AUTH_DIRECTORY_PROVIDER_COLUMN = "provider";
+/**
+ * Table names that carry {@link AUTHZ_TENANT_COLUMN}.
+ * テナント列を持つ表の名前一覧。
+ *
+ * `TDGroupMemberEmail` が含まれないのは、親グループからテナントを継承するためである。
+ */
+declare const AUTH_DIRECTORY_TENANT_SCOPED_TABLES: readonly ["TDGroupExternalLink", "TDTenantMembershipGroup", "TDAllowlistGroup", "TDDirectorySyncRequest", "TMAllowlist"];
+/**
+ * Builds the identity-side tables under an arbitrary schema name.
+ * 任意のスキーマ名の下に identity 側テーブル群を構築する処理。
+ *
+ * @param schemaName Schema the tables live in. テーブルを配置するスキーマ名。
+ * @param opts Injected tables the foreign keys point at. 外部キーの参照先として注入する表。
+ * @returns Every identity-side table, keyed by table name. 表名をキーにしたテーブル群。
+ */
+declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts: {
+    groupTable: ReferencedTable;
+    userTable: ReferencedTable;
+}): {
+    TDGroupExternalLink: drizzle_orm_mssql_core.MsSqlTableWithColumns<{
+        name: "TDGroupExternalLink";
+        schema: S;
+        columns: {
+            createdAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            createdBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            updatedAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            updatedBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            id: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: true;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: {};
+            }, {}>;
+            groupId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            tenantId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            provider: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            externalId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            externalKey: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            membershipMode: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            isSyncEnabled: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "boolean";
+                data: boolean;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            syncedAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            syncError: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            vanishedObservations: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupExternalLink";
+                dataType: "number int32";
+                data: number;
+                driverParam: number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+        };
+        dialect: "mssql";
+    }>;
+    TDGroupMemberEmail: drizzle_orm_mssql_core.MsSqlTableWithColumns<{
+        name: "TDGroupMemberEmail";
+        schema: S;
+        columns: {
+            createdAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            createdBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            updatedAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            updatedBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            id: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: true;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: {};
+            }, {}>;
+            groupId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            email: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            externalUserId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            resolvedUserId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            observedAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDGroupMemberEmail";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+        };
+        dialect: "mssql";
+    }>;
+    TDTenantMembershipGroup: drizzle_orm_mssql_core.MsSqlTableWithColumns<{
+        name: "TDTenantMembershipGroup";
+        schema: S;
+        columns: {
+            createdAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDTenantMembershipGroup";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            createdBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDTenantMembershipGroup";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            tenantId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDTenantMembershipGroup";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            groupId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDTenantMembershipGroup";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            isBreakGlass: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDTenantMembershipGroup";
+                dataType: "boolean";
+                data: boolean;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+        };
+        dialect: "mssql";
+    }>;
+    TDAllowlistGroup: drizzle_orm_mssql_core.MsSqlTableWithColumns<{
+        name: "TDAllowlistGroup";
+        schema: S;
+        columns: {
+            createdAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDAllowlistGroup";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            createdBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDAllowlistGroup";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            id: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDAllowlistGroup";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: true;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: {};
+            }, {}>;
+            tenantId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDAllowlistGroup";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            groupId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDAllowlistGroup";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            description: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDAllowlistGroup";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+        };
+        dialect: "mssql";
+    }>;
+    TDDirectorySyncRequest: drizzle_orm_mssql_core.MsSqlTableWithColumns<{
+        name: "TDDirectorySyncRequest";
+        schema: S;
+        columns: {
+            createdAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            createdBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            id: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: true;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: {};
+            }, {}>;
+            tenantId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            groupId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            requestedBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            requestedAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            pickedAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            finishedAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            result: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            error: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TDDirectorySyncRequest";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+        };
+        dialect: "mssql";
+    }>;
+    TMAllowlist: drizzle_orm_mssql_core.MsSqlTableWithColumns<{
+        name: "TMAllowlist";
+        schema: S;
+        columns: {
+            createdAt: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TMAllowlist";
+                dataType: "object date";
+                data: Date;
+                driverParam: string | Date;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            createdBy: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TMAllowlist";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            id: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TMAllowlist";
+                dataType: "number int53";
+                data: number;
+                driverParam: string;
+                notNull: true;
+                hasDefault: true;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: undefined;
+                baseColumn: never;
+                identity: undefined;
+                generated: {};
+            }, {}>;
+            tenantId: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TMAllowlist";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            pattern: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TMAllowlist";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            type: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TMAllowlist";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: true;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+            description: drizzle_orm_mssql_core.MsSqlColumn<{
+                name: string;
+                tableName: "TMAllowlist";
+                dataType: "string";
+                data: string;
+                driverParam: string | number;
+                notNull: false;
+                hasDefault: false;
+                isPrimaryKey: false;
+                isAutoincrement: false;
+                hasRuntimeDefault: false;
+                enumValues: [string, ...string[]];
+                baseColumn: never;
+                identity: undefined;
+                generated: undefined;
+            }, {}>;
+        };
+        dialect: "mssql";
+    }>;
+};
+/** Explicit alias for the tables `defineAuthDirectorySchema` returns (avoids TS2742). 明示型。 */
+type AuthDirectoryTables = {
+    TDGroupExternalLink: ReturnType<typeof defineAuthDirectorySchema>["TDGroupExternalLink"];
+    TDGroupMemberEmail: ReturnType<typeof defineAuthDirectorySchema>["TDGroupMemberEmail"];
+    TDTenantMembershipGroup: ReturnType<typeof defineAuthDirectorySchema>["TDTenantMembershipGroup"];
+    TDAllowlistGroup: ReturnType<typeof defineAuthDirectorySchema>["TDAllowlistGroup"];
+    TDDirectorySyncRequest: ReturnType<typeof defineAuthDirectorySchema>["TDDirectorySyncRequest"];
+    TMAllowlist: ReturnType<typeof defineAuthDirectorySchema>["TMAllowlist"];
+};
+
+/**
+ * Resolves which member-ledger rows belong to one identity.
+ * 台帳のどの行が 1 人の identity のものかを解決するモジュール。
+ *
+ * 台帳 (`TDGroupMemberEmail`) は「上流に居る人」を、ローカルユーザーへ解決できているかに
+ * 関わらず保持する。ここはその台帳から本人の行だけを取り出す唯一の場所であり、帰属証明
+ * (`listLedgerGroupIds`) と初回ログイン時の昇格 (`promoteLedgerForUser`) は同じ答えを見る。
+ * 突合規則が 2 箇所にあると、片方だけが「本人」と認めた瞬間に権限が食い違う。
+ */
+
+/** One ledger row attributed to an identity. identity に帰属した台帳 1 行。 */
+type LedgerIdentityRow = {
+    ledgerId: number;
+    groupId: number;
+    /** Inherited from the parent group — the ledger has no tenant column. 親グループ由来。 */
+    tenantId: string;
+};
+/** The two tables this resolution spans. この解決が跨る 2 表。 */
+type LedgerIdentityTables = {
+    /** `TDGroupMemberEmail`. */
+    ledger: AuthDirectoryTables["TDGroupMemberEmail"];
+    /** `TMGroup` — owns the tenant and the active flag. テナントと有効フラグの所有者。 */
+    group: AuthzTables["TMGroup"];
+};
+/**
+ * Finds every ledger row that belongs to the identity, within one tenant.
+ * 1 テナント内で、その identity に属する台帳行をすべて探す処理。
+ *
+ * 突合順は上流 ID が第一キー、アドレスが第二キー。両方を `OR` で混ぜると優先順位が消え、
+ * 退職者のアドレスを再利用した新入社員が前任者の所属をそのまま継承する。
+ *
+ * @param db - Connected database surface. 接続済みの DB 面。
+ * @param tables - The ledger and its parent group table. 台帳と親グループ表。
+ * @param args - Tenant scope and the identity to match. テナント範囲と突合対象の identity。
+ * @returns Matching rows, deduplicated and ordered by ledger id. 重複排除・台帳 ID 昇順の一致行。
+ */
+declare function findLedgerRowsForIdentity(db: DirectoryDb, tables: LedgerIdentityTables, args: {
+    tenantId: string;
+    externalUserId: string | null;
+    email: string;
+}): Promise<LedgerIdentityRow[]>;
+
+/**
+ * @module link-store
+ * @description Reads and writes the identity-side tables: external group links, the upstream member
+ * ledger, tenant membership proof, group-based login allowlist, and the sync request queue.
+ * identity 側テーブルの読み書き。外部グループリンク・上流メンバー台帳・テナント帰属証明・
+ * グループ単位のログイン許可・同期要求キュー。
+ *
+ * **テナントの扱いは 2 種類ある。混同すると事故になる。**
+ *
+ * - **絞り込み条件**: リンク・帰属証明グループ。読み書きの双方で SQL 述語になる。
+ * - **所有者**: グループ許可。管理 UI の編集スコープを決めるだけで、**ログイン判定では
+ *   述語にしない** — 認証はテナントの確定より前に起きるため、判定の時点でテナントは存在しない。
+ *   このモジュールでは {@link createDirectoryLinkStore} の `isEmailAllowedByGroup` だけが
+ *   その例外であり、意図的に全テナントを対象とする。
+ */
+
+/**
+ * Proves a group may become externally sourced. グループを外部供給にしてよいことの証明。
+ *
+ * `assertGroupMayBeLinked` を呼ぶだけのポートである。自由関数のままだと呼び出し側が忘れられ、
+ * 「ローカルで管理ロールを付けてから連携させる」経路が残る。必須の構成項目にすることで、
+ * 忘れることを構造的に不可能にする。
+ */
+type LinkableAssertion = {
+    /** @throws When the group holds an administrative role. 管理ロールを保持している場合。 */
+    assertLinkable(tenantId: string, groupId: number): Promise<void>;
+};
+/** Options for the link store. リンクストアの構成。 */
+type DirectoryLinkStoreOptions = {
+    /** Required — see {@link LinkableAssertion}. 必須 (忘れられる経路を作らないため)。 */
+    linkable: LinkableAssertion;
+    /** Establishes the connection before the first statement. 最初の文の前に接続を確立する処理。 */
+    ensureConnection?: EnsureConnection;
+    /**
+     * Seconds after which a successful sync counts as overdue. 同期が期限超過とみなされる秒数。
+     *
+     * 同期間隔の数倍を指定する。短すぎると常時警告が出て誰も読まなくなり、長すぎると停止に
+     * 気付けない。
+     */
+    stalenessThresholdSec: number;
+    /** False when directory integration is not wired for this deployment. 未結線なら false。 */
+    isEnabled: boolean;
+};
+/** One external link row as the admin surface sees it. 管理面が見る外部リンク行。 */
+type DirectoryLinkRow = AuthGroupExternalLink & {
+    linkId: number;
+    groupId: number;
+    tenantId: string;
+};
+/** Input for creating a link. リンク作成の入力。 */
+type LinkGroupInput = {
+    provider: string;
+    externalId: string;
+    externalKey: string;
+    membershipMode: AuthDirectoryMembershipMode;
+};
+/**
+ * Creates the identity-side data store.
+ * identity 側のデータストアを生成する処理。
+ *
+ * @param dbUnknown Drizzle database instance. drizzle のデータベースインスタンス。
+ * @param tables Identity-side tables. identity 側テーブル群。
+ * @param authzTables Authorization tables (for the group master and the real membership).
+ *   認可テーブル群 (グループマスタと実所属表のため)。
+ * @param opts Store options. ストアの構成。
+ * @returns The store. ストア。
+ */
+declare function createDirectoryLinkStore(dbUnknown: unknown, tables: AuthDirectoryTables, authzTables: AuthzTables, opts: DirectoryLinkStoreOptions): {
+    /**
+     * Lists every external link of the tenant. 当該テナントの外部リンクを列挙する処理。
+     *
+     * @param tenantId Tenant to narrow on. 絞り込むテナント。
+     */
+    listLinks(tenantId: string): Promise<DirectoryLinkRow[]>;
+    /**
+     * Returns the upstream key of the group, or `null` when it is locally managed.
+     * そのグループの上流キーを返す処理。ローカル管理なら `null`。
+     *
+     * `withExternalGroupGuards` の判定材料であり、同時に拒否メッセージの表示名でもある。
+     * 判定と名前を 1 回の照会で返すことで、拒否のたびの往復を 1 本に保つ。
+     */
+    externalGroupKey(tenantId: string, groupId: number): Promise<string | null>;
+    /**
+     * Links a local group to an upstream group. ローカルグループを上流グループへ結び付ける処理。
+     *
+     * 既に管理ロールを持つグループは {@link LinkableAssertion} が拒否する。
+     *
+     * @throws {Error} When the group belongs to another tenant. 他テナントのグループの場合。
+     */
+    linkGroup(tenantId: string, groupId: number, input: LinkGroupInput, actor: string): Promise<void>;
+    /**
+     * Removes the link, leaving the projected membership in place.
+     * リンクを解除する処理。射影済みの所属はそのまま残す。
+     *
+     * 所属まで消すと、連携を切っただけで全員がグループから外れる (= 大量剥奪) 。解除は
+     * 「上流の言うことを聞くのをやめる」であって「今の所属を捨てる」ではない。台帳と、
+     * 台帳を通してしか効かないグループ許可は、残しても意味を持たないため削除する。
+     */
+    unlinkGroup(tenantId: string, groupId: number): Promise<void>;
+    /** Pauses or resumes synchronization for one group. 1 グループの同期を停止・再開する処理。 */
+    setSyncEnabled(tenantId: string, groupId: number, isSyncEnabled: boolean, actor: string): Promise<void>;
+    /**
+     * Queues a synchronization request. 同期要求をキューへ積む処理。
+     *
+     * web プロセスは上流へ到達できないため、要求を行として残し同期ジョブに拾わせる。
+     * 誰がいつ何を要求し、結果がどうだったかがそのまま監査記録になる。
+     *
+     * @param groupId `null` requests every group of the tenant. `null` はテナント全件。
+     */
+    requestSync(tenantId: string, groupId: number | null, requestedBy: string): Promise<void>;
+    /**
+     * Summarizes synchronization health for the admin header.
+     * 管理ヘッダー向けに同期の健全性を要約する処理。
+     *
+     * 一度も成功していない場合も陳腐化として報告する。「不明」を健全側へ倒さない —
+     * 判定できないことは、健全であることの証明ではない。
+     */
+    getStatus(tenantId: string): Promise<AuthDirectoryStatus>;
+    /**
+     * Builds the tenant's membership policy, proving every break-glass group is local.
+     * テナントの帰属方針を組み立てる処理。break-glass がローカル管理であることも証明する。
+     *
+     * 「証明を要求するか」を行数から推測しない。宣言が 1 行も無ければ `no-proof-required`
+     * という **方針** を返し、宣言があれば `require-proof` を返す。区別を型の上に残すことで、
+     * 「宣言し忘れ」や「障害で 0 件が返った」が「証明不要」に化ける経路を塞ぐ。
+     *
+     * @throws {Error} When a break-glass group is externally sourced. 上流所有だった場合。
+     * @throws {TypeError} When the resulting policy is unsatisfiable. 成立しない方針の場合。
+     */
+    loadTenantMembershipPolicy(tenantId: string): Promise<TenantMembershipPolicy>;
+    /**
+     * Declares a group as proof of tenant membership. グループをテナント帰属の証明に指定する処理。
+     *
+     * この表に 1 行でも入った瞬間、そのテナントの帰属証明は「証明必須」へ切り替わる。行が
+     * 無い状態は「証明不要」であり、書き込み手段が無ければ機能そのものが到達不能になる。
+     *
+     * `isBreakGlass` は「同期が決して触れない復帰経路」を意味する。上流の事故はすべての
+     * 連携グループを同時に壊すため、そこにこそ外部供給でない経路が要る。
+     *
+     * @param tenantId - Owning tenant. 所有テナント。
+     * @param groupId - Group to declare. 指定するグループ。
+     * @param isBreakGlass - True for the locally-managed recovery path. 復帰経路なら true。
+     * @param actor - Who performed it. 実行者。
+     * @returns Nothing. 戻り値なし。
+     * @throws {Error} When the group is not in the tenant, or a break-glass group is linked.
+     *   自テナントに無い場合、または break-glass に連携済みグループを指定した場合。
+     */
+    setTenantMembershipGroup(tenantId: string, groupId: number, isBreakGlass: boolean, actor: string): Promise<void>;
+    /**
+     * Withdraws a group from the tenant membership proof.
+     * グループをテナント帰属の証明から外す処理。
+     *
+     * 最後の break-glass 行を外すと、以降の証明は上流だけに依存する。上流の事故で全員が
+     * 締め出される状態になるため、読み取り側の検証 (`assertTenantMembershipPolicy`) が
+     * 成立しない方針を拒否する — ここで先に断る。
+     *
+     * @param tenantId - Owning tenant. 所有テナント。
+     * @param groupId - Group to withdraw. 外すグループ。
+     * @returns Nothing. 戻り値なし。
+     * @throws {Error} When it is the last break-glass group of a non-empty policy.
+     *   証明が残るのに最後の break-glass を外そうとした場合。
+     */
+    removeTenantMembershipGroup(tenantId: string, groupId: number): Promise<void>;
+    /**
+     * Reactivates a group that was deactivated after vanishing upstream.
+     * 上流消滅で無効化されたグループを再有効化する処理。
+     *
+     * 同期は成功時に自動で再有効化するが、運用者が先に直したい場合の入口も要る。無効化を
+     * 一方通行の扉にしないための、もう 1 本の出口である。
+     */
+    setGroupActive(tenantId: string, groupId: number, isActive: boolean, actor: string): Promise<void>;
+    /**
+     * Reports the groups the identity matches in the upstream ledger.
+     * 上流台帳で identity が一致するグループを報告する処理。
+     *
+     * ⚠️ 実所属表ではなく **台帳** を見ること。初回ログインでユーザー行が生まれた直後、
+     * まだ射影されていない瞬間に、正規の利用者が「非メンバー」として全拒否されるのを防ぐ。
+     */
+    listLedgerGroupIds(tenantId: string, identity: {
+        externalUserId: string | null;
+        email: string | null | undefined;
+    }): Promise<number[]>;
+    /**
+     * Reports whether an address may sign in through a group allowlist entry.
+     * グループ許可によってそのアドレスがサインインできるかを判定する処理。
+     *
+     * ⚠️ **テナント述語を持たない。意図的である。** 認証はテナントの確定より前に起きるため、
+     * 判定の時点でテナントは存在しない。この配備が受け持つ全テナントの和集合で判定する。
+     * ここに述語を足すと初回ログインが全滅する。
+     *
+     * 判定は実所属ではなく **台帳** を見る。初回ログインの時点では、そもそもユーザー行が
+     * まだ存在しない。
+     */
+    isEmailAllowedByGroup(email: string | null | undefined): Promise<boolean>;
+    /**
+     * Lists group-based allowlist entries of the tenant. テナントのグループ許可を列挙する処理。
+     *
+     * `auth-core` の判別共用体をそのまま返す。別形で返すと、`type` と `readOnly` を消費側が
+     * 付け直すことになり、「未設定 = 編集可」という暗黙の既定が呼び出し地点ごとに復活する。
+     */
+    listAllowlistGroups(tenantId: string): Promise<AuthAllowlistEntry[]>;
+    /** Adds a group-based allowlist entry. グループ許可を追加する処理。 */
+    addAllowlistGroup(tenantId: string, groupId: number, description: string | undefined, actor: string): Promise<void>;
+    /** Removes a group-based allowlist entry. グループ許可を削除する処理。 */
+    removeAllowlistGroup(tenantId: string, id: number): Promise<void>;
+    /**
+     * Reports the number of real membership rows the tenant's linked groups hold.
+     * テナントの連携グループが持つ実所属行の件数を報告する処理。
+     *
+     * 連携を切る前に「何人分の所属が残るのか」を運用者へ示すために使う。
+     */
+    countProjectedMembers(tenantId: string, groupId: number): Promise<number>;
+};
+
+/**
+ * @module membership-mode
+ * @description The single reader of the `membership_mode` column.
+ * `membership_mode` 列を読む唯一の入口。
+ *
+ * 以前は読み手が 2 つあり、片方は未知の値を `TypeError` で拒否し、もう片方は黙って `"direct"` へ
+ * 倒していた。同じ列に相反する 2 つの方針が同居し、しかも倒すほうが削除を決める側だった。
+ * 入れ子展開のつもりのリンクが直接所属だけを返せば、入れ子側の全員が削除候補になる。
+ */
+
+/** The two modes, in one place. 2 つのモードの唯一の定義位置。 */
+declare const MEMBERSHIP_MODES: readonly AuthDirectoryMembershipMode[];
+/**
+ * Rejects a membership mode that is not one of the two known values.
+ * 既知の 2 値でない所属展開モードを拒否する処理。
+ *
+ * 既定へ倒さないのは、入れ子展開が黙って有効になると権限が静かに広がり、逆に黙って無効になると
+ * 入れ子側の全員が削除候補になるためである。どちらの向きにも倒さない。
+ *
+ * @param value Raw column value. 列の生値。
+ * @returns The validated mode. 検証済みのモード。
+ * @throws {TypeError} When the value is unknown. 未知の値の場合。
+ */
+declare function assertMembershipMode(value: string): AuthDirectoryMembershipMode;
+
+/** Storage operations promotion performs. 昇格が行う記憶域操作。 */
+type PromotionRepository = {
+    /**
+     * Finds ledger rows matching the identity, across every linked group of the tenant.
+     * テナントの全連携グループを対象に、identity と一致する台帳行を探す処理。
+     *
+     * 突合順は上流 ID が第一キー、アドレスが第二キー。
+     *
+     * ⚠️ 各行が属するテナントも返すこと。`TDGroupMemberEmail` はテナント列を持たず親から継承する
+     * ため、台帳だけで絞った実装は静かにテナントを跨ぐ。呼び出し側はこの値で再検証する。
+     */
+    findLedgerMatches(args: {
+        tenantId: string;
+        externalUserId: string | null;
+        email: string;
+    }): Promise<Array<{
+        ledgerId: number;
+        groupId: number;
+        tenantId: string;
+    }>>;
+    /**
+     * Records the resolution and inserts the missing membership rows, atomically.
+     * 解決結果の記録と不足している所属行の挿入を、原子的に行う処理。
+     *
+     * @returns Group ids the user was actually added to. 実際に追加されたグループ ID。
+     */
+    attachUserToGroups(args: {
+        tenantId: string;
+        userId: number;
+        ledgerIds: number[];
+        groupIds: number[];
+    }): Promise<number[]>;
+};
+/** What the promotion did. 昇格が行ったこと。 */
+type PromotionResult = {
+    /** Groups the user gained membership of. 所属を得たグループ。 */
+    addedGroupIds: number[];
+    /** Ledger rows the user was matched against. 突合した台帳行。 */
+    matchedLedgerIds: number[];
+};
+/**
+ * Promotes ledger rows to real memberships for one just-provisioned user.
+ * プロビジョニング直後の 1 ユーザーについて、台帳の行を実所属へ昇格させる処理。
+ *
+ * 追加しか行わないため、最後の管理者ロックアウト判定は不要である (所属が増えて管理者が
+ * 減ることはない)。それでも記憶域側では 1 トランザクションで書くこと — 台帳の解決記録だけが
+ * 残って所属が入らないと、次回の同期まで「解決済みなのに権限が無い」状態が続く。
+ *
+ * @param repository Storage operations. 記憶域操作。
+ * @param args Tenant, the resolved user, and the identity to match on. テナント・ユーザー・identity。
+ * @returns What was promoted. 昇格した内容。
+ * @throws {AuthzTenantError} When the tenant id is blank, or a matched row belongs to another
+ *   tenant. テナント ID が空、または一致行が別テナントに属する場合。
+ * @throws {TypeError} When the user id is not a positive integer. ユーザー ID が正整数でない場合。
+ */
+declare function promoteLedgerForUser(repository: PromotionRepository, args: {
+    tenantId: string;
+    userId: number;
+    externalUserId: string | null;
+    email: string | null | undefined;
+}): Promise<PromotionResult>;
+
+/** Options for {@link createPromotionRepository}. 昇格リポジトリの生成オプション。 */
+type PromotionRepositoryOptions = {
+    /** Establishes the connection before the first statement. 最初の文の前に接続を確立する処理。 */
+    ensureConnection?: EnsureConnection;
+    /** Written to the audit columns of inserted membership rows. 挿入行の監査列に書く実行者。 */
+    actor: string;
+    /** Injected clock — tests must not depend on wall time. 注入時計 (実時刻に依存させない)。 */
+    now?: () => Date;
+};
+declare function createPromotionRepository(dbUnknown: unknown, tables: AuthDirectoryTables, authzTables: AuthzTables, opts: PromotionRepositoryOptions): PromotionRepository;
+
+/**
+ * SQL Server parameter-limit helpers shared by every batched statement.
+ * 一括文が共有する SQL Server のパラメータ上限まわりのヘルパー。
+ *
+ * ⚠️ 上限は **行数ではなくパラメータ数** である。1 行あたり何個の値を束ねるかは文ごとに違うので、
+ * 行数だけで分割すると、列の多い `VALUES` が静かに上限を越える。しかも越えるのは件数が閾値を
+ * 跨いだ日だけで、それまでは同じコードが問題なく動いて見える。
+ */
+/**
+ * Hard limit of parameters per statement. 1 文あたりのパラメータ数の上限。
+ *
+ * SQL Server の RPC 1 回あたりのパラメータ上限は 2100。数個は文自身の値 (`SET` 句・スカラー
+ * 述語) が使うため、分割の基準にはここから余裕を引いた値を用いる。
+ */
+declare const MAX_PARAMETERS = 2100;
+/**
+ * Maximum ids per `IN` list of single-column predicates. 単列述語の `IN` 句 1 回あたりの最大 ID 数。
+ *
+ * 1 行 1 パラメータの用途 (`inArray(col, ids)`) 専用の既定値である。複数列を束ねる `VALUES` や、
+ * 1 文に `IN` を 2 つ描画する `UPDATE` にそのまま使ってはならない — {@link chunkByParameters} を使う。
+ */
+declare const MAX_IN_LIST = 500;
+/**
+ * Splits a list into chunks that fit one statement.
+ * 1 文に収まる大きさへリストを分割する処理。
+ *
+ * @param items - Items to split. 分割対象。
+ * @param size - Maximum chunk size. 1 チャンクの最大数。
+ * @returns Chunks in the original order. 元の順序を保ったチャンク列。
+ * @throws {TypeError} When the size is not a positive integer. 正の整数でない場合。
+ */
+declare function chunk<T>(items: readonly T[], size?: number): T[][];
+/**
+ * Splits a list so each chunk fits the parameter budget of one statement.
+ * 各チャンクが 1 文のパラメータ枠に収まるようリストを分割する処理。
+ *
+ * `VALUES` は 1 行につき列数ぶんのパラメータを束ねる。7 列の台帳行なら 500 行で 3500 個になり、
+ * 上限 2100 を越えて **実行される前に** 拒否される。しかもその失敗は再試行しても同じ場所で起き、
+ * そのグループは永久に台帳を持てない。
+ *
+ * @param items - Items to split. 分割対象。
+ * @param parametersPerItem - Parameters each item binds. 1 件が束ねるパラメータ数。
+ * @param reservedParameters - Parameters the statement itself binds. 文自身が束ねる数。
+ * @returns Chunks in the original order. 元の順序を保ったチャンク列。
+ * @throws {TypeError} When a single item cannot fit the budget. 1 件すら収まらない場合。
+ */
+declare function chunkByParameters<T>(items: readonly T[], parametersPerItem: number, reservedParameters?: number): T[][];
+
+/**
+ * @module sync-messages
+ * @description Operator-facing text the synchronization records against a link.
+ * 同期がリンクへ記録する、運用者向けの文言。
+ *
+ * 文言を注入可能にしてあるのは、`sync_error` が管理 UI にそのまま出るためである。ホスト非依存を
+ * 求められるパッケージへ日本語を焼き込むと、日本語以外の配備がデータベースに日本語を持つことになる。
+ * 既定は日本語 (このリポジトリの管理 UI に合わせる)。
+ */
+
+/** The messages one synchronization can produce. 同期が生成し得る文言。 */
+type SyncMessages = {
+    /** The upstream could not be read at all. 上流をまったく読めなかった。 */
+    upstreamUnreadable: (reason: string) => string;
+    /** The local write failed. ローカルへの書込が失敗した。 */
+    localWriteFailed: (reason: string) => string;
+    /** The resolver returned fewer members than the upstream listed. 突合が件数を減らした。 */
+    resolverIncomplete: (upstream: number, resolved: number) => string;
+    /** The group is missing upstream but not yet deactivated. 消滅の観測 (未確定)。 */
+    groupMissing: (externalKey: string, observations: number, threshold: number) => string;
+    /** The group has been deactivated after repeated absence. 消滅確定・無効化。 */
+    groupVanished: (externalKey: string, observations: number) => string;
+    /** The reconciler refused the plan. 突合が plan を拒否した。 */
+    planRefused: (abort: SyncAbort) => string;
+    /** The lockout guard refused some removals. ロックアウトガードが一部の削除を拒否した。 */
+    removalsRefused: (refusals: readonly {
+        userId: number;
+        refusal?: string;
+    }[]) => string;
+    /** The link belongs to a different provider. 他 provider のリンクだった。 */
+    foreignProvider: (linkProvider: string, runnerProvider: string) => string;
+};
+/** Default Japanese messages. 既定の日本語文言。 */
+declare const defaultSyncMessages: SyncMessages;
+
+/**
+ * @module sync-ports
+ * @description The narrow storage surface the synchronization orchestration depends on.
+ * 同期オーケストレーションが依存する、狭い記憶域の面。
+ *
+ * オーケストレーションを drizzle から切り離すために置いている。同期の手順そのもの
+ * (何を順に行い、どこで打ち切るか) は、データベースを起動せずに全分岐を検証できるべきである —
+ * 検証しにくい手順は検証されず、検証されない手順は「読めなかったら消さない」を静かに破る。
+ */
+
+/**
+ * One external group link, as the synchronization needs to see it.
+ * 同期が見る必要のある外部グループリンク 1 件。
+ */
+type SyncLink = {
+    linkId: number;
+    groupId: number;
+    groupKey: string;
+    tenantId: string;
+    /** Which upstream owns this group. どの上流がこのグループを所有するか。 */
+    provider: string;
+    externalId: string;
+    externalKey: string;
+    membershipMode: AuthDirectoryMembershipMode$1;
+    /** False when the group has been deactivated. グループが無効化されている場合 false。 */
+    isGroupActive: boolean;
+    /**
+     * How many consecutive runs have found the group missing upstream.
+     * 上流でグループが見つからない状態が何回連続したか。
+     *
+     * 1 度の 404 で無効化すると、伝播待ちや権限変更の一瞬で生きているグループが落ちる。
+     */
+    vanishedObservations: number;
+};
+/** Why one group's synchronization ended the way it did. 1 グループの同期がどう終わったか。 */
+type SyncOutcome = {
+    kind: "applied";
+    link: SyncLink;
+    plan: GroupSyncPlan;
+}
+/** Nothing changed. Not a failure — an idempotent run. 変化なし。失敗ではなく冪等な実行。 */
+ | {
+    kind: "unchanged";
+    link: SyncLink;
+}
+/** The plan was refused by the reconciler's own guards. 突合自身のガードが plan を拒否した。 */
+ | {
+    kind: "aborted";
+    link: SyncLink;
+    plan: GroupSyncPlan;
+}
+/** The group is missing upstream, but not yet often enough to act on. 消滅の観測 (未確定)。 */
+ | {
+    kind: "missing";
+    link: SyncLink;
+    observations: number;
+}
+/** The group has been missing long enough that it was deactivated. 消滅確定・無効化した。 */
+ | {
+    kind: "vanished";
+    link: SyncLink;
+}
+/** Reading upstream failed. 上流の読み取りが失敗した。 */
+ | {
+    kind: "upstream-failed";
+    link: SyncLink;
+    error: Error;
+}
+/** Writing locally failed. ローカルへの書込が失敗した。 */
+ | {
+    kind: "local-failed";
+    link: SyncLink;
+    error: Error;
+}
+/** The link belongs to another provider than the one running. 他 provider のリンクだった。 */
+ | {
+    kind: "foreign-provider";
+    link: SyncLink;
+};
+/** Outcomes that mean the group is not in a healthy, converged state. 健全でない結末。 */
+declare const UNHEALTHY_SYNC_OUTCOMES: readonly SyncOutcome["kind"][];
+/** What happened to one guarded removal. ガード付き削除 1 件の結末。 */
+type RemovalOutcome = {
+    userId: number;
+    applied: boolean;
+    refusal?: string;
+};
+/** What `applyPlan` actually managed to do. `applyPlan` が実際に行えたこと。 */
+type ApplyReport = {
+    /** Removals the administrator lockout guard refused. ロックアウトガードが拒否した削除。 */
+    refusals: RemovalOutcome[];
+};
+/**
+ * Storage operations the synchronization performs.
+ * 同期が行う記憶域操作。
+ */
+type DirectorySyncRepository = {
+    /**
+     * Lists links that are eligible to run. 実行対象のリンクを列挙する処理。
+     *
+     * ⚠️ 無効化されたグループのリンクも返すこと。返さないと、上流が復旧しても二度と同期されず、
+     * 再有効化の機会が永久に失われる。
+     *
+     * @param scope Restrict to one tenant, or one group within it. テナント、または特定グループへ限定。
+     */
+    listSyncableLinks(scope: {
+        tenantId?: string;
+        groupId?: number;
+    }): Promise<SyncLink[]>;
+    /** Reads the local ledger and the real membership for one group. 台帳と実所属を読む処理。 */
+    loadGroupSnapshot(link: SyncLink): Promise<LocalGroupSnapshot>;
+    /**
+     * Resolves upstream members against the local user table.
+     * 上流メンバーをローカルユーザー表へ突合する処理。
+     *
+     * 突合順は上流 ID が第一キー、アドレスが第二キー。再利用されたアドレスが他人の所属を
+     * 継承する事故を防ぐため、この順序は実装側の裁量ではなく契約である。
+     *
+     * ⚠️ **入力と同じ件数を返すこと。** 解決できないメンバーは省略せず `resolvedUserId: null` で
+     * 返す。省略すると、その人物は「上流から消えた」と解釈されて削除対象になる。
+     */
+    resolveMembers(members: readonly DirectoryMember[]): Promise<ResolvedDirectoryMember[]>;
+    /**
+     * Applies one group's plan, taking every membership removal through the lockout guard.
+     * 1 グループ分の plan を適用する処理。実所属の削除は必ず最後の管理者ガードを通す。
+     *
+     * ⚠️ ロックアウトガードが 1 件の削除を拒否しても、**残りの削除を続けること**。1 件で打ち切ると、
+     * 拒否された行がグループ全体の収束を永久に止める (次回以降も同じ行で止まる)。拒否は
+     * {@link ApplyReport.refusals} で報告する。
+     *
+     * @returns What was refused. 拒否された内容。
+     * @throws When the write itself failed. 書込そのものが失敗した場合。
+     */
+    applyPlan(link: SyncLink, plan: GroupSyncPlan, observedAt: Date): Promise<ApplyReport>;
+    /** Records a successful run and reactivates the group if it was deactivated. 成功の記録。 */
+    recordSuccess(link: SyncLink, group: DirectoryGroup, syncedAt: Date): Promise<void>;
+    /** Records a failure reason against the link, leaving membership untouched. 失敗を記録する処理。 */
+    recordFailure(link: SyncLink, reason: string): Promise<void>;
+    /**
+     * Records one observation that the group is missing upstream. 上流での消滅を 1 回観測した記録。
+     *
+     * @returns How many consecutive observations there now are. 連続観測回数。
+     */
+    recordVanishedObservation(link: SyncLink, reason: string): Promise<number>;
+    /** Marks a group inactive after it has been missing long enough. 消滅確定後の無効化。 */
+    markGroupInactive(link: SyncLink): Promise<void>;
+};
+/** Minimal logging surface. 最小のログ面。 */
+type SyncLoggerPort = {
+    info(message: string, ...args: unknown[]): void;
+    warn(message: string, ...args: unknown[]): void;
+    error(message: string, ...args: unknown[]): void;
+};
+
+/**
+ * @module sync
+ * @description Orchestration of one synchronization run: read upstream, reconcile, apply — and
+ * stop at the first sign that "upstream said nothing" might mean "we could not read upstream".
+ * 1 回の同期実行のオーケストレーション。上流を読み、突合し、適用する。そして「上流が何も
+ * 言わなかった」が「上流を読めなかった」かもしれない兆候が出た時点で止める。
+ *
+ * 記憶域は {@link DirectorySyncRepository} 越しにしか触らないため、手順そのものは
+ * データベースを起動せずに全分岐を検証できる。
+ */
+
+/** Configuration of a synchronization runner. 同期ランナーの構成。 */
+type DirectorySyncConfig = {
+    /**
+     * Which upstream this runner speaks for. このランナーが担当する上流。
+     *
+     * リンク行の `provider` と照合する。照合しないと、別 provider のリンクを受け取った
+     * ランナーがそれを「上流に存在しない」と判定し、他 provider のグループを無効化してしまう。
+     */
+    provider: string;
+    directory: DirectoryProvider;
+    repository: DirectorySyncRepository;
+    /** Per-axis removal limits. See `auth-directory-core`. 軸ごとの削除上限。 */
+    policy: BlastRadiusPolicy;
+    /**
+     * Consecutive absences required before a group is deactivated. 無効化に要する連続不在回数。
+     *
+     * 1 度の 404 で無効化すると、伝播待ちや権限変更の一瞬で生きているグループが落ちる。
+     */
+    vanishedThreshold: number;
+    /**
+     * Supplies the current time. 現在時刻を供給する処理。
+     *
+     * 注入するのは決定性のためだけではない。1 回の実行の中で「観測時刻」と「同期時刻」が
+     * 別々に進むと、どの行がどの実行で書かれたのかを後から辿れなくなる。
+     */
+    now: () => Date;
+    logger: SyncLoggerPort;
+    /** Operator-facing text. 運用者向けの文言。 */
+    messages?: SyncMessages;
+};
+/** Result of one run over a set of links. リンク集合 1 巡分の結果。 */
+type DirectorySyncRunResult = {
+    outcomes: SyncOutcome[];
+    /**
+     * Links that did not end in a healthy, converged state. 健全に収束しなかったリンク数。
+     *
+     * 消滅の観測と無効化も含める。グループが恒久的に同期対象から外れることは、実行の中で
+     * 最も重い結末であり、それを「0 unhealthy」と報告しては監視の意味がない。
+     */
+    unhealthyCount: number;
+};
+/**
+ * Creates a synchronization runner. 同期ランナーを生成する処理。
+ *
+ * @param config Injected provider, repository, limits, clock and logger. 注入する構成。
+ * @returns The runner. ランナー。
+ * @throws {TypeError} When the policy or the threshold is invalid. 方針・しきい値が不正な場合。
+ */
+declare function createDirectorySync(config: DirectorySyncConfig): {
+    syncOne: (link: SyncLink) => Promise<SyncOutcome>;
+    /**
+     * Synchronizes every eligible link in scope. 対象範囲の全リンクを同期する処理。
+     *
+     * リンクは **逐次** 処理する。並列化すると上流のレート制限を一気に消費し、最初に
+     * 弾かれたグループだけが失敗して部分的に古い状態が残る。1 グループの失敗は他へ
+     * 波及させず、実行自体は最後まで続ける。
+     *
+     * @param scope Restrict to one tenant, or one group within it. 対象範囲。
+     * @returns Every outcome, and how many ended unhealthy. 全結果と不健全件数。
+     */
+    run(scope?: {
+        tenantId?: string;
+        groupId?: number;
+    }): Promise<DirectorySyncRunResult>;
+};
+
+/** One claimed request. 取得済みの要求 1 件。 */
+type ClaimedSyncRequest = {
+    id: number;
+    tenantId: string;
+    /** `null` means every group of the tenant. `null` はテナント全件を意味する。 */
+    groupId: number | null;
+    requestedBy: string;
+};
+/** How a claimed request ended. 取得した要求の終わり方。 */
+type SyncRequestResult = {
+    result: "succeeded" | "failed";
+    error?: string | null;
+};
+/** Options for {@link createSyncRequestQueue}. キュー消費側の生成オプション。 */
+type SyncRequestQueueOptions = {
+    ensureConnection?: EnsureConnection;
+    /** Injected clock — the run's timestamps must all come from one source. 注入時計。 */
+    now: () => Date;
+    /**
+     * Longest an error message may be, matching the column. 列に合わせたエラー文の上限長。
+     *
+     * 超過分は切り捨てる。切り捨てないと、記録そのものが失敗して「何が起きたか分からない
+     * まま要求が取得済みで固まる」という最悪の状態になる。
+     */
+    maxErrorLength?: number;
+};
+/**
+ * Creates the consumer for the synchronization request queue.
+ * 同期要求キューの消費側を生成する処理。
+ *
+ * @param dbUnknown - Drizzle database instance. drizzle のデータベースインスタンス。
+ * @param tables - Directory tables (owns the queue). ディレクトリ表 (キューの所有者)。
+ * @param opts - Connection, clock and truncation bound. 接続・時計・切り詰め上限。
+ * @returns The claim / finish pair. 取得と完了記録の 2 操作。
+ */
+declare function createSyncRequestQueue(dbUnknown: unknown, tables: AuthDirectoryTables, opts: SyncRequestQueueOptions): {
+    /**
+     * Claims the oldest unpicked request, marking it picked in the same statement.
+     * 最も古い未取得の要求を、同じ文で取得済みにしながら取り出す処理。
+     *
+     * 取得と印付けを分けると、2 つのジョブが同じ要求を拾って同じグループを二重に同期する。
+     * `UPDATE ... OUTPUT` は 1 文なので、行を掴んだのが誰かは常に 1 つに決まる。
+     *
+     * @returns The claimed request, or `null` when the queue is empty. 取得結果 (空なら `null`)。
+     */
+    claim(): Promise<ClaimedSyncRequest | null>;
+    /**
+     * Records how a claimed request ended. 取得済みの要求がどう終わったかを記録する処理。
+     *
+     * @param id - The claimed request id. 取得した要求の ID。
+     * @param outcome - Result and optional error text. 結果と (あれば) エラー文。
+     * @returns Nothing. 戻り値なし。
+     */
+    finish(id: number, outcome: SyncRequestResult): Promise<void>;
+    /**
+     * Lists requests claimed long ago but never finished. 取得後に完了しなかった要求の一覧。
+     *
+     * ジョブが落ちると、行は取得済みのまま完了しない。放置すると要求した人はいつまでも
+     * 結果を見られないので、運用が拾えるよう明示的に数えられる形にしておく。
+     *
+     * @param olderThan - Cutoff for `picked_at`. `picked_at` の締切時刻。
+     * @returns The stranded request ids. 取り残された要求の ID。
+     */
+    listStranded(olderThan: Date): Promise<number[]>;
+};
+
+/**
+ * Resolves upstream members against the host's identity tables.
+ * 上流メンバーをホストの identity 表へ突合するポート。
+ *
+ * ホストごとに identity の持ち方が違う (このリポジトリでは `TDOpenid` → `TDUsers`) ため、
+ * パッケージ側では表を名指しできない。突合順が **上流 ID 第一・アドレス第二** であることは
+ * 実装側の裁量ではなく契約である — 再利用されたアドレスが他人の所属を継承する事故を防ぐ。
+ *
+ * ⚠️ 入力と同じ件数を返すこと。解決できないメンバーを省略すると、その人物は削除対象になる。
+ */
+type MemberResolverPort = {
+    resolve(members: readonly DirectoryMember[]): Promise<ResolvedDirectoryMember[]>;
+};
+/** Options for the synchronization repository. 同期リポジトリの構成。 */
+type SyncRepositoryOptions = {
+    ensureConnection?: EnsureConnection;
+    memberResolver: MemberResolverPort;
+    /** Lockout guard from `@aiquants/authz-drizzle`. 認可側のロックアウトガード。 */
+    lockoutGuard: ReturnType<typeof createAdminLockoutGuard>;
+    /**
+     * Actor recorded on rows the synchronization writes. 同期が書く行に記録する実行者。
+     *
+     * 空にすると、同期が作った行と手作業で入った行を監査上区別できなくなる。しかも更新系では
+     * 最後に触れた人間の名前が残ったまま更新時刻だけ進み、監査が同期の変更を人間の仕業として
+     * 記録することになる。
+     */
+    actor: string;
+};
+/**
+ * Creates the drizzle-backed synchronization repository.
+ * drizzle を用いた同期リポジトリを生成する処理。
+ *
+ * @param dbUnknown Drizzle database instance. drizzle のデータベースインスタンス。
+ * @param tables Identity-side tables. identity 側テーブル群。
+ * @param authzTables Authorization tables (group master and real membership). 認可テーブル群。
+ * @param opts Injected resolver, lockout guard and audit actor. 注入する構成。
+ * @returns The repository. リポジトリ。
+ */
+declare function createDirectorySyncRepository(dbUnknown: unknown, tables: AuthDirectoryTables, authzTables: AuthzTables, opts: SyncRepositoryOptions): DirectorySyncRepository;
+
+export { AUTH_DIRECTORY_PROVIDER_COLUMN, AUTH_DIRECTORY_TENANT_SCOPED_TABLES, type ApplyReport, type AuthDirectoryTables, type ClaimedSyncRequest, type DeleteChain, type DirectoryDb, type DirectoryLinkRow, type DirectoryLinkStoreOptions, type DirectorySyncConfig, type DirectorySyncRepository, type DirectorySyncRunResult, type EnsureConnection, type ExternalGroupGuardOptions, type ExternalLinkLookup, type InsertChain, type LedgerIdentityRow, type LedgerIdentityTables, type LinkGroupInput, type LinkableAssertion, MAX_IN_LIST, MAX_PARAMETERS, MEMBERSHIP_MODES, type MemberResolverPort, type PromotionRepository, type PromotionRepositoryOptions, type PromotionResult, type ReferencedTable, type RemovalOutcome, type SelectChain, type SyncLink, type SyncLoggerPort, type SyncMessages, type SyncOutcome, type SyncRepositoryOptions, type SyncRequestQueueOptions, type SyncRequestResult, UNHEALTHY_SYNC_OUTCOMES, type UpdateChain, assertGroupMayBeLinked, assertMembershipMode, chunk, chunkByParameters, createDirectoryLinkStore, createDirectorySync, createDirectorySyncRepository, createPromotionRepository, createSyncRequestQueue, defaultExternalGroupGuardMessage, defaultSyncMessages, defineAuthDirectorySchema, findLedgerRowsForIdentity, promoteLedgerForUser, withExternalGroupGuards };