@aiquants/auth-directory-drizzle 0.7.1 → 0.8.1

package/dist/index.d.ts

@@ -1,19 +1,10 @@
-import { AuthDirectoryCatalogGroup, AuthDirectoryCatalogSnapshot, AuthGroupExternalLink, AuthDirectoryMembershipMode, AuthDirectoryStatus, AuthAllowlistEntry } from '@aiquants/auth-core';
-import * as drizzle_orm_mssql_core from 'drizzle-orm/mssql-core';
-import { AnyMsSqlColumn } from 'drizzle-orm/mssql-core';
-import { AuthzAdminStore } from '@aiquants/authz-core';
-import { AuthzTables, createAdminLockoutGuard } from '@aiquants/authz-drizzle';
-import { TenantMembershipPolicy, SyncAbort, AuthDirectoryMembershipMode as AuthDirectoryMembershipMode$1, LocalGroupSnapshot, DirectoryMember, ResolvedDirectoryMember, GroupSyncPlan, DirectoryGroup, DirectoryProvider, BlastRadiusPolicy } from '@aiquants/auth-directory-core';
-
-/**
- * @module db
- * @description Minimal query-builder shapes this adapter uses.
- * 本アダプタが使う最小の問い合わせビルダー形状。
- *
- * drizzle の具体型ではなく構造的な型で受けるのは、ホストが用意した `NodeMsSqlDatabase` の型
- * パラメータ (スキーマ・ロガー等) が配備ごとに違い、それを署名へ引き回すと利用側が
- * `as any` を書く羽目になるためである。実体は実行時にこれらを満たす。
- */
+import { AuthDirectoryCatalogGroup, AuthDirectoryCatalogSnapshot, AuthGroupExternalLink, AuthDirectoryMembershipMode, AuthDirectoryStatus, AuthAllowlistEntry } from "@aiquants/auth-core";
+import { TransactionRetryOptions } from "@aiquants/mssql";
+import * as drizzle_orm_mssql_core from "drizzle-orm/mssql-core";
+import { AnyMsSqlColumn } from "drizzle-orm/mssql-core";
+import { AuthzAdminStore } from "@aiquants/authz-core";
+import { AuthzTables, createAdminLockoutGuard } from "@aiquants/authz-drizzle";
+import { TenantMembershipPolicy, SyncAbort, AuthDirectoryMembershipMode as AuthDirectoryMembershipMode$1, LocalGroupSnapshot, DirectoryMember, ResolvedDirectoryMember, GroupSyncPlan, DirectoryGroup, DirectoryProvider, BlastRadiusPolicy } from "@aiquants/auth-directory-core";
 type Rows<T> = PromiseLike<T[]>;
 interface SelectChain<T> extends Rows<T> {
     from(t: unknown): SelectChain<T>;
@@ -35,7 +26,6 @@ interface UpdateChain {
 interface DeleteChain {
     where(cond: unknown): PromiseLike<unknown>;
 }
-/** The database surface the directory adapter needs. ディレクトリアダプタが必要とする DB 面。 */
 interface DirectoryDb {
     select<T = Record<string, unknown>>(fields?: unknown): SelectChain<T>;
     insert(t: unknown): InsertChain;
@@ -43,46 +33,24 @@ interface DirectoryDb {
     delete(t: unknown): DeleteChain;
     transaction<T>(fn: (tx: DirectoryDb) => Promise<T>, config?: unknown): Promise<T>;
 }
-/** Ensures a connection exists before the first statement. 最初の文の前に接続を確立する処理。 */
 type EnsureConnection = () => Promise<void>;
-/**
- * Reads a driver timestamp as an instant, treating an offset-less string as UTC.
- * ドライバの時刻を瞬間として読む処理 (オフセットの無い文字列は UTC として解釈)。
- *
- * ⚠️ オフセットを持たない ISO 文字列 (`2026-09-09 03:04:05.000`) は仕様上 **実行環境の時間帯**
- * で解釈される。ドライバは通常 `Date` を返すのでこの経路は普段通らないが、通った日に JST なら
- * 9 時間ずれる — 鮮度は「常に古い」と報告され、締切の比較は 9 時間ぶん甘くなる。読む場所ごとに
- * 対処すると必ずどこかが漏れるので、1 つの関数に閉じる。
- *
- * @param value - What the driver returned. ドライバが返した値。
- * @returns The instant. その瞬間。
- */
-declare function toInstant(value: string | Date): Date;
-
-/** Minimal shape of a table this schema points a foreign key at. 外部キーの参照先に要る最小形。 */
+type TransactionalOptions = {
+    transactionRetry?: TransactionRetryOptions;
+};
+declare function transactionRunner(db: DirectoryDb, opts: TransactionalOptions): <T>(fn: (tx: DirectoryDb) => Promise<T>) => Promise<T>;
 type ReferencedTable = {
     id: AnyMsSqlColumn;
 };
-/**
- * Physical name of the provenance discriminator carried by an external link row.
- * 外部リンク行が持つ供給元識別子の物理名。
- */
 declare const AUTH_DIRECTORY_PROVIDER_COLUMN = "provider";
-/**
- * Table names that carry {@link AUTHZ_TENANT_COLUMN}.
- * テナント列を持つ表の名前一覧。
- *
- * `TDGroupMemberEmail` が含まれないのは、親グループからテナントを継承するためである。
- */
-declare const AUTH_DIRECTORY_TENANT_SCOPED_TABLES: readonly ["TDGroupExternalLink", "TDTenantMembershipGroup", "TDAllowlistGroup", "TDDirectorySyncRequest", "TDDirectoryCatalog", "TMDirectoryCatalogObservation", "TMAllowlist"];
-/**
- * Builds the identity-side tables under an arbitrary schema name.
- * 任意のスキーマ名の下に identity 側テーブル群を構築する処理。
- *
- * @param schemaName Schema the tables live in. テーブルを配置するスキーマ名。
- * @param opts Injected tables the foreign keys point at. 外部キーの参照先として注入する表。
- * @returns Every identity-side table, keyed by table name. 表名をキーにしたテーブル群。
- */
+declare const AUTH_DIRECTORY_TENANT_SCOPED_TABLES: readonly [
+    "TDGroupExternalLink",
+    "TDTenantMembershipGroup",
+    "TDAllowlistGroup",
+    "TDDirectorySyncRequest",
+    "TDDirectoryCatalog",
+    "TMDirectoryCatalogObservation",
+    "TMAllowlist"
+];
 declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts: {
     groupTable: ReferencedTable;
     userTable: ReferencedTable;
@@ -118,7 +86,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -150,7 +121,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -198,7 +172,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -214,7 +191,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -230,7 +210,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -246,7 +229,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -262,7 +248,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -310,7 +299,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -365,7 +357,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -397,7 +392,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -445,7 +443,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -461,7 +462,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -532,7 +536,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -548,7 +555,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -619,7 +629,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -651,7 +664,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -683,7 +699,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -722,7 +741,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -754,7 +776,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -786,7 +811,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -850,7 +878,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -866,7 +897,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -905,7 +939,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -937,7 +974,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -953,7 +993,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -969,7 +1012,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -985,7 +1031,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1001,7 +1050,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1017,7 +1069,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1088,7 +1143,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1120,7 +1178,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1152,7 +1213,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1168,7 +1232,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1239,7 +1306,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1271,7 +1341,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1287,7 +1360,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1303,7 +1379,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1319,7 +1398,10 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
                 isPrimaryKey: false;
                 isAutoincrement: false;
                 hasRuntimeDefault: false;
-                enumValues: [string, ...string[]];
+                enumValues: [
+                    string,
+                    ...string[]
+                ];
                 baseColumn: never;
                 identity: undefined;
                 generated: undefined;
@@ -1328,7 +1410,6 @@ declare function defineAuthDirectorySchema<S extends string>(schemaName: S, opts
         dialect: "mssql";
     }>;
 };
-/** Explicit alias for the tables `defineAuthDirectorySchema` returns (avoids TS2742). 明示型。 */
 type AuthDirectoryTables = {
     TDGroupExternalLink: ReturnType<typeof defineAuthDirectorySchema>["TDGroupExternalLink"];
     TDGroupMemberEmail: ReturnType<typeof defineAuthDirectorySchema>["TDGroupMemberEmail"];
@@ -1339,544 +1420,95 @@ type AuthDirectoryTables = {
     TMDirectoryCatalogObservation: ReturnType<typeof defineAuthDirectorySchema>["TMDirectoryCatalogObservation"];
     TMAllowlist: ReturnType<typeof defineAuthDirectorySchema>["TMAllowlist"];
 };
-
-/**
- * @module catalog-store
- * @description The upstream group list, written by the sync job and read by the web.
- * 同期ジョブが書き、web が読む、上流のグループ一覧。
- *
- * ⚠️ **この表と、このモジュールが在る理由は境界である。** ドメイン全体委任の資格情報は組織の
- * ディレクトリを丸ごと読めるため、外部からの要求を終端する web プロセスには置かない。上流へ
- * 届くのは同期ジョブだけとし、web は「ジョブが書いた行」を読む。管理面の選択欄は利便のための
- * 読み取りであり、その利便のために資格情報の置き場所を動かしてよい理由にはならない。
- *
- * ここには生産側 (`replace`) と消費側 (`read`) の両方が居る。プロセスを分ける仕掛けは
- * import の可否ではなく **資格情報を持つかどうか** であり、`replace` を呼べても上流を
- * 読めないプロセスは書くべき内容を持てない。
- */
-
-/**
- * One upstream group, as observed. 観測した上流グループ 1 件。
- *
- * ⚠️ 別名ではなく `@aiquants/auth-core` の型そのものである。層ごとに「同じ意味の別の型」を宣言すると、
- * 構造的部分型のせいでどの境界も通ってしまい、上流へ足した欄が途中で黙って捨てられる。
- */
 type DirectoryCatalogEntry = AuthDirectoryCatalogGroup;
-/** What the web reads. web が読む内容 ({@link AuthDirectoryCatalogSnapshot} の項目名違いではなく同一契約)。 */
 type DirectoryCatalogSnapshot = AuthDirectoryCatalogSnapshot;
-/** Options a reader needs. 読み手が必要とするオプション。 */
 type DirectoryCatalogReaderOptions = {
     ensureConnection?: EnsureConnection;
 };
-/**
- * Options a writer needs. 書き手が必要とするオプション。
- *
- * ⚠️ 読み手にこれを要求してはならない。読むだけの呼び出し側に時計と監査主体を持たせると、
- * その場で `replace` を呼ぶ経路が「既に手元にあるもの」になり、上流を読めないプロセスが
- * 観測時刻を詐称できてしまう。だから生成関数を 2 つに分けている。
- */
-type DirectoryCatalogWriterOptions = DirectoryCatalogReaderOptions & {
-    /** Injected clock — one observation must carry one timestamp. 注入時計。 */
+type DirectoryCatalogWriterOptions = DirectoryCatalogReaderOptions & TransactionalOptions & {
     now: () => Date;
-    /** Who the audit columns record. 監査列に残す主体。 */
     actor: string;
 };
-/**
- * Creates the write side of the catalog. 候補一覧の **書き手** を生成する処理。
- *
- * ⚠️ これを呼べるのは上流の資格情報を持つプロセスだけであるべきである。読むだけの側は
- * {@link createDirectoryCatalogReader} を使う — 分けているのは整理のためではなく、「読むだけの
- * 呼び出し側の手元に `replace` が在る」状態そのものを作らないためである。
- *
- * @param dbUnknown - Drizzle database instance. drizzle のデータベースインスタンス。
- * @param tables - Directory tables (owns the catalog). ディレクトリ表 (候補一覧の所有者)。
- * @param opts - Connection, clock and actor. 接続・時計・監査主体。
- * @returns The `replace` operation. 置き換え操作。
- */
 declare function createDirectoryCatalogWriter(dbUnknown: unknown, tables: AuthDirectoryTables, opts: DirectoryCatalogWriterOptions): {
-    /**
-     * Replaces this tenant's catalog with what the upstream currently answers.
-     * このテナントの候補一覧を、上流の現在の答えで置き換える処理。
-     *
-     * ⚠️ 差分更新ではなく **全置換** である。消えたグループを残すと、管理面はそれを選ばせ続け、
-     * 選んだ運用者は 10 分後に「上流に無い」と言われる。1 つのトランザクションで消してから
-     * 書くことで、途中の状態を web に読ませない。
-     *
-     * @param tenantId - Owner tenant. 所有テナント。
-     * @param provider - Upstream provider key. 上流プロバイダのキー。
-     * @param entries - The upstream's current answer. 上流の現在の答え。
-     * @returns How many rows were written. 書き込んだ行数。
-     */
     replace(tenantId: string, provider: string, entries: readonly DirectoryCatalogEntry[]): Promise<number>;
 };
-/**
- * Creates the read side of the catalog. 候補一覧の **読み手** を生成する処理。
- *
- * 時計も監査主体も要らない。要らないものを求めないことが、この関数がここに在る理由である。
- *
- * @param dbUnknown - Drizzle database instance. drizzle のデータベースインスタンス。
- * @param tables - Directory tables (owns the catalog). ディレクトリ表 (候補一覧の所有者)。
- * @param opts - Connection handling. 接続の扱い。
- * @returns The `read` operation. 読み取り操作。
- */
 declare function createDirectoryCatalogReader(dbUnknown: unknown, tables: AuthDirectoryTables, opts?: DirectoryCatalogReaderOptions): {
-    /**
-     * Reads this tenant's catalog. このテナントの候補一覧を読む処理。
-     *
-     * ⚠️ **観測の有無は行数から導かない。** 上流を正しく読めて答えが 0 件だった配備 (借用先の
-     * 権限が狭い、対象 OU が空) と、同期が一度も走っていない配備は、候補一覧の行数ではどちらも
-     * 0 である。前者を「同期が動いていない」と診断すると、運用は健全な部品を調べに行く。
-     * `observedAt` は観測記録そのものから取り、`null` は **一度も観測していない** だけを意味する。
-     *
-     * @param tenantId - Owner tenant. 所有テナント。
-     * @param provider - Upstream provider key. 上流プロバイダのキー。
-     * @returns The groups and the observation time. グループと観測時刻。
-     */
     read(tenantId: string, provider: string): Promise<DirectoryCatalogSnapshot>;
 };
-
-/**
- * @module guards
- * @description Keeps administrative roles off groups whose membership an upstream directory owns.
- * 所属の所有者が上流ディレクトリにあるグループへ、管理ロールが付かないようにする。
- *
- * **不変条件は状態の性質であって、遷移の性質ではない。**
- *
- * 最初の実装は `assignGroupRole` だけを差し替えていた。しかしそれは「外部グループへ管理ロールを
- * 割り当てる」という 1 つの遷移を塞いだにすぎず、**無害なロールを外部グループへ割り当ててから、
- * そのロールを管理ロールへ昇格させる**という順序が開いたままだった。不変条件を守るには、それを
- * 崩し得るすべての遷移を塞ぐ必要がある。
- *
- * 崩し得る遷移は 3 つある。
- *
- * | # | 遷移 | 塞ぐもの |
- * | --- | --- | --- |
- * | 1 | 外部グループが管理ロールを得る | `assignGroupRole` |
- * | 2 | 外部グループが持つロールが管理ロールになる | `createGrant` |
- * | 3 | 管理ロールを持つグループが外部連携される | `assertGroupMayBeLinked` |
- * | 4 | 外部グループが持つロールの付与が差し替わって管理ロールになる | `updateGrant` |
- *
- * ⚠️ `updateGrant` を「塞ぐ必要がない」と読んではならない。行数だけを見る論法 —
- * 「`(role_id, resource_id, action)` は一意だから、アクションを差し替えても集合は増えない」 —
- * は **ロール 1 つの中でしか成り立たない**。判定はこのファイルのどの遷移でも
- * **グループの全ロールの合併** で行う。ロール 1 が `{read, create}`、ロール 2 が
- * `{read, update}` を持つ外部グループでは合併は 3 アクションで、どちらの割当も正当に通る。
- * そこでロール 2 の `read` を `delete` へ差し替えると、ロール 2 の行数は 2 のままなのに
- * 合併は 4 アクションに達し、上流のディレクトリ管理者がこの配備の管理者を決められるようになる。
- *
- * `setRoleActive` も塞ぐ必要がない。遷移 1 の判定はロールの有効・無効を見ないため、無効な管理
- * ロールも外部グループへは割り当てられない。したがって「無効な管理ロールを外部グループが保持した
- * まま有効化される」という状態には到達し得ない。
- *
- * **なぜ認可パッケージの中で判定しないのか。** 判定を `@aiquants/authz-drizzle` の管理ストアへ
- * 埋め込むと、認可パッケージがグループの「出所」という identity 側の概念を知ることになる。依存の
- * 向きは auth → authz の一方通行で保ちたいので、包む側 (identity 側) から課す。
- *
- * **なぜ禁止するのか。** 外部グループの所属は上流の管理者が変更できる。そこへ管理ロールを付けると、
- * 上流側の 1 操作がこの配備の管理者を増やしたり、逆に最後の管理者を奪ったりする。ブレークグラス
- * 経路は常にローカルに残しておく必要がある。
- */
-
-/** The link lookup this guard needs. 本ガードが必要とするリンク参照。 */
 type ExternalLinkLookup = {
-    /**
-     * The upstream key of the group, or `null` when its membership is locally managed.
-     * そのグループの上流キー。ローカル管理なら `null`。
-     *
-     * 「外部かどうか」と「拒否メッセージに出す名前」を 1 回の照会で返す。判定のためだけに
-     * 引いて、名前のためにもう一度引く形にすると、拒否のたびに往復が 2 倍になる。
-     *
-     * ⚠️ `runner` を渡された実装は、**必ずその上で** 引くこと。別接続で引くと、この読み取りの
-     * 結果を前提に書き込む呼び出し側にとって前提が保たれない (読んだ後・書く前に連携が作られる)。
-     */
     externalGroupKey(tenantId: string, groupId: number, runner?: unknown): Promise<string | null>;
 };
-/** Configuration of the guard. ガードの構成。 */
 type ExternalGroupGuardOptions = {
     linkLookup: ExternalLinkLookup;
-    /** App key the administrative resource belongs to. 管理リソースが属するアプリキー。 */
     adminAppKey: string;
-    /** Resource key that grants administration. 管理を与えるリソースキー。 */
     adminResourceKey: string;
-    /**
-     * Refusal message. 拒否メッセージ。
-     *
-     * @param roleKey Role that would have conferred administration. 管理権を与えることになるロール。
-     * @param groupKey Group that would have held it. それを保持することになるグループ。
-     */
     message: (roleKey: string, groupKey: string) => string;
 };
-/** Default refusal message (Japanese, matching the admin UI's locale). 既定の拒否メッセージ。 */
 declare const defaultExternalGroupGuardMessage: (roleKey: string, groupKey: string) => string;
-/**
- * Wraps an authorization admin store so administrative power cannot reach an external group.
- * 外部グループへ管理権が届かないよう認可管理ストアを包む処理。
- *
- * `assignGroupRole` と `createGrant` を差し替え、残りは透過的に委譲する。3 番目の方向
- * (連携の開始) は {@link assertGroupMayBeLinked} が担い、リンクを作る側が必ず通す。
- *
- * @param store Store to wrap. 包む対象のストア。
- * @param opts Link lookup and administrative resource identity. リンク参照と管理リソースの同定。
- * @returns A store with the same surface. 同一表面のストア。
- */
 declare function withExternalGroupGuards<R>(store: AuthzAdminStore<R>, opts: ExternalGroupGuardOptions): AuthzAdminStore<R>;
-/**
- * Refuses to link a group that already holds an administrative role.
- * 既に管理ロールを保持しているグループの外部連携を拒否する処理。
- *
- * 3 つ目の方向。これを通さずにリンクを作ると、ローカルで管理ロールを付けてから連携させる経路が
- * 残る。{@link withExternalGroupGuards} と違って呼び出し側が忘れ得るため、リンクを作る側の
- * 構成に必須ポートとして組み込むこと。
- *
- * @param store Authorization admin store used to read the grants. 付与を読む認可管理ストア。
- * @param tenantId Tenant the group belongs to. グループが属するテナント。
- * @param groupId Group about to be linked. 連携しようとしているグループ。
- * @param opts Administrative resource identity and refusal message. 管理リソースの同定と文言。
- * @returns Nothing; returns normally only when linking is allowed. 許可される場合のみ正常復帰。
- * @throws {Error} When the group holds the administrative role. 管理ロールを保持している場合。
- */
 declare function assertGroupMayBeLinked(store: AuthzAdminStore, tenantId: string, groupId: number, opts: Pick<ExternalGroupGuardOptions, "adminAppKey" | "adminResourceKey" | "message">): Promise<void>;
-
-/**
- * Resolves which member-ledger rows belong to one identity.
- * 台帳のどの行が 1 人の identity のものかを解決するモジュール。
- *
- * 台帳 (`TDGroupMemberEmail`) は「上流に居る人」を、ローカルユーザーへ解決できているかに
- * 関わらず保持する。ここはその台帳から本人の行だけを取り出す唯一の場所であり、帰属証明
- * (`listLedgerGroupIds`) と初回ログイン時の昇格 (`promoteLedgerForUser`) は同じ答えを見る。
- * 突合規則が 2 箇所にあると、片方だけが「本人」と認めた瞬間に権限が食い違う。
- */
-
-/** One ledger row attributed to an identity. identity に帰属した台帳 1 行。 */
 type LedgerIdentityRow = {
     ledgerId: number;
     groupId: number;
-    /** Inherited from the parent group — the ledger has no tenant column. 親グループ由来。 */
     tenantId: string;
 };
-/** The two tables this resolution spans. この解決が跨る 2 表。 */
 type LedgerIdentityTables = {
-    /** `TDGroupMemberEmail`. */
     ledger: AuthDirectoryTables["TDGroupMemberEmail"];
-    /** `TMGroup` — owns the tenant and the active flag. テナントと有効フラグの所有者。 */
     group: AuthzTables["TMGroup"];
 };
-/**
- * Finds every ledger row that belongs to the identity, within one tenant.
- * 1 テナント内で、その identity に属する台帳行をすべて探す処理。
- *
- * 上流 ID の一致は無条件に本人。アドレスの一致は、その行が **別の** 上流 ID に紐付いていない
- * ときだけ本人である。単純な `OR` にすると後者の条件が消え、退職者のアドレスを再利用した
- * 新入社員が前任者の所属をそのまま継承する。
- *
- * ⚠️ この優先順位は **行ごと** に適用する。「ID で当たったらアドレスは見ない」という打ち切りは
- * 誤りで、同じ人物の行が ID 付きと ID 無しに混在すると ID 無しの行が丸ごと落ちる。
- *
- * @param db - Connected database surface. 接続済みの DB 面。
- * @param tables - The ledger and its parent group table. 台帳と親グループ表。
- * @param args - Tenant scope and the identity to match. テナント範囲と突合対象の identity。
- * @returns Matching rows, deduplicated and ordered by ledger id. 重複排除・台帳 ID 昇順の一致行。
- */
 declare function findLedgerRowsForIdentity(db: DirectoryDb, tables: LedgerIdentityTables, args: {
     tenantId: string;
     externalUserId: string | null;
     email: string;
 }): Promise<LedgerIdentityRow[]>;
-
-/**
- * @module link-store
- * @description Reads and writes the identity-side tables: external group links, the upstream member
- * ledger, tenant membership proof, group-based login allowlist, and the sync request queue.
- * identity 側テーブルの読み書き。外部グループリンク・上流メンバー台帳・テナント帰属証明・
- * グループ単位のログイン許可・同期要求キュー。
- *
- * **テナントの扱いは 2 種類ある。混同すると事故になる。**
- *
- * - **絞り込み条件**: リンク・帰属証明グループ。読み書きの双方で SQL 述語になる。
- * - **所有者**: グループ許可。管理 UI の編集スコープを決めるだけで、**ログイン判定では
- *   述語にしない** — 認証はテナントの確定より前に起きるため、判定の時点でテナントは存在しない。
- *   このモジュールでは {@link createDirectoryLinkStore} の `isEmailAllowedByGroup` だけが
- *   その例外であり、意図的に全テナントを対象とする。
- */
-
-/**
- * Proves a group may become externally sourced. グループを外部供給にしてよいことの証明。
- *
- * `assertGroupMayBeLinked` を呼ぶだけのポートである。自由関数のままだと呼び出し側が忘れられ、
- * 「ローカルで管理ロールを付けてから連携させる」経路が残る。必須の構成項目にすることで、
- * 忘れることを構造的に不可能にする。
- */
 type LinkableAssertion = {
-    /**
-     * Owns a transaction, proves the group may be linked on it, then runs `write` on the same runner.
-     * トランザクションを所有し、その上で連携可能であることを証明してから、同じランナーで `write` を実行する処理。
-     *
-     * ⚠️ **証明だけを返す形にしてはならない。** 証明と連携の作成が別のトランザクションだと、
-     * 証明を通った直後・リンクを作る前に、そのグループへ管理ロールを割り当てる操作が
-     * 割り込める。割り当て側の検査は「まだリンクが無い」と見て通り、連携側の検査は
-     * 「まだ管理ロールが無い」と見て通る — **どちらも単独では正しく、結果だけが不変条件を破る**。
-     *
-     * @param tenantId - Tenant that owns the group. グループを所有するテナント。
-     * @param groupId - Group about to become externally sourced. 外部供給にしようとしているグループ。
-     * @param write - The link creation, run on the proving transaction. 証明したトランザクション上で行う連携作成。
-     * @returns Nothing. 戻り値なし。
-     * @throws When the group holds an administrative role. 管理ロールを保持している場合。
-     */
     assertLinkableAndWrite(tenantId: string, groupId: number, write: (runner: unknown) => Promise<void>): Promise<void>;
 };
-/** Options for the link store. リンクストアの構成。 */
-type DirectoryLinkStoreOptions = {
-    /** Required — see {@link LinkableAssertion}. 必須 (忘れられる経路を作らないため)。 */
+type DirectoryLinkStoreOptions = TransactionalOptions & {
     linkable: LinkableAssertion;
-    /** Establishes the connection before the first statement. 最初の文の前に接続を確立する処理。 */
     ensureConnection?: EnsureConnection;
-    /**
-     * Seconds after which a successful sync counts as overdue. 同期が期限超過とみなされる秒数。
-     *
-     * 同期間隔の数倍を指定する。短すぎると常時警告が出て誰も読まなくなり、長すぎると停止に
-     * 気付けない。
-     */
     stalenessThresholdSec: number;
-    /** False when directory integration is not wired for this deployment. 未結線なら false。 */
     isEnabled: boolean;
-    /**
-     * Upstream system this deployment synchronizes against, e.g. `"google"`. 同期先の上流システム。
-     *
-     * 新しい連携を作る面へそのまま渡る。UI に供給元を焼き込ませないための注入点であり、
-     * 同期ランナーに設定する値と同一でなければならない — 食い違うと、作られたリンクは
-     * 同期側で「別プロバイダ」として恒久的に拒否される。
-     */
     provider: string;
-    /**
-     * Milliseconds to reuse a loaded tenant-membership policy. 帰属方針を再利用するミリ秒。
-     *
-     * 既定は 0 (毎回引き直す)。帰属証明は **権限を 1 件も読む前に毎リクエスト走る** ため、
-     * 証明グループを 1 つも宣言していない配備でも 3 表の結合が 1 往復増える。
-     *
-     * ⚠️ 既定を非 0 にしない。認可の判断材料を、頼まれてもいないのに黙って古くするライブラリは
-     * 信用できない。有効化は配備側が「どれだけ古くてよいか」を決めて明示する。
-     * 本ストア自身の書き込み (証明グループの増減・連携の作成解除) は自動で破棄するため、
-     * 遅れが出るのは **記憶域を直接編集した場合だけ** である。
-     */
     policyCacheTtlMs?: number;
 };
-/** One external link row as the admin surface sees it. 管理面が見る外部リンク行。 */
 type DirectoryLinkRow = AuthGroupExternalLink & {
     linkId: number;
     groupId: number;
     tenantId: string;
 };
-/** Input for creating a link. リンク作成の入力。 */
 type LinkGroupInput = {
     provider: string;
     externalId: string;
     externalKey: string;
     membershipMode: AuthDirectoryMembershipMode;
 };
-/**
- * What `requestSync` did. `requestSync` が行ったこと。
- *
- * ⚠️ `void` にしてはならない。同じ範囲の要求が既に待っているとき、積み増さないのは正しいが、
- * それを成功と区別せずに返すと、押しても反応しない画面ができる — しかも詰まった 1 行が以後の
- * 押下すべてを飲み込む。呼び出し側が運用者へ言えるだけの情報を返す。
- */
 type SyncRequestOutcome = "queued" | "already-pending";
-/**
- * Creates the identity-side data store.
- * identity 側のデータストアを生成する処理。
- *
- * @param dbUnknown Drizzle database instance. drizzle のデータベースインスタンス。
- * @param tables Identity-side tables. identity 側テーブル群。
- * @param authzTables Authorization tables (for the group master and the real membership).
- *   認可テーブル群 (グループマスタと実所属表のため)。
- * @param opts Store options. ストアの構成。
- * @returns The store. ストア。
- */
 declare function createDirectoryLinkStore(dbUnknown: unknown, tables: AuthDirectoryTables, authzTables: AuthzTables, opts: DirectoryLinkStoreOptions): {
-    /**
-     * Lists every external link of the tenant. 当該テナントの外部リンクを列挙する処理。
-     *
-     * @param tenantId Tenant to narrow on. 絞り込むテナント。
-     */
     listLinks(tenantId: string): Promise<DirectoryLinkRow[]>;
-    /**
-     * Returns the upstream key of the group, or `null` when it is locally managed.
-     * そのグループの上流キーを返す処理。ローカル管理なら `null`。
-     *
-     * `withExternalGroupGuards` の判定材料であり、同時に拒否メッセージの表示名でもある。
-     * 判定と名前を 1 回の照会で返すことで、拒否のたびの往復を 1 本に保つ。
-     */
     externalGroupKey(tenantId: string, groupId: number, runner?: unknown): Promise<string | null>;
-    /**
-     * Links a local group to an upstream group. ローカルグループを上流グループへ結び付ける処理。
-     *
-     * 既に管理ロールを持つグループは {@link LinkableAssertion} が拒否する。
-     *
-     * @throws {Error} When the group belongs to another tenant. 他テナントのグループの場合。
-     */
     linkGroup(tenantId: string, groupId: number, input: LinkGroupInput, actor: string): Promise<void>;
-    /**
-     * Removes the link, leaving the projected membership in place.
-     * リンクを解除する処理。射影済みの所属はそのまま残す。
-     *
-     * 所属まで消すと、連携を切っただけで全員がグループから外れる (= 大量剥奪) 。解除は
-     * 「上流の言うことを聞くのをやめる」であって「今の所属を捨てる」ではない。台帳と、
-     * 台帳を通してしか効かないグループ許可は、残しても意味を持たないため削除する。
-     */
     unlinkGroup(tenantId: string, groupId: number): Promise<void>;
-    /** Pauses or resumes synchronization for one group. 1 グループの同期を停止・再開する処理。 */
     setSyncEnabled(tenantId: string, groupId: number, isSyncEnabled: boolean, actor: string): Promise<void>;
-    /**
-     * Queues a synchronization request. 同期要求をキューへ積む処理。
-     *
-     * web プロセスは上流へ到達できないため、要求を行として残し同期ジョブに拾わせる。
-     * 誰がいつ何を要求し、結果がどうだったかがそのまま監査記録になる。
-     *
-     * @param groupId `null` requests every group of the tenant. `null` はテナント全件。
-     */
     requestSync(tenantId: string, groupId: number | null, requestedBy: string): Promise<SyncRequestOutcome>;
-    /**
-     * Summarizes synchronization health for the admin header.
-     * 管理ヘッダー向けに同期の健全性を要約する処理。
-     *
-     * 一度も成功していない場合も陳腐化として報告する。「不明」を健全側へ倒さない —
-     * 判定できないことは、健全であることの証明ではない。
-     */
     getStatus(tenantId: string): Promise<AuthDirectoryStatus>;
-    /**
-     * Builds the tenant's membership policy, proving every break-glass group is local.
-     * テナントの帰属方針を組み立てる処理。break-glass がローカル管理であることも証明する。
-     *
-     * 「証明を要求するか」を行数から推測しない。宣言が 1 行も無ければ `no-proof-required`
-     * という **方針** を返し、宣言があれば `require-proof` を返す。区別を型の上に残すことで、
-     * 「宣言し忘れ」や「障害で 0 件が返った」が「証明不要」に化ける経路を塞ぐ。
-     *
-     * @throws {Error} When a break-glass group is externally sourced. 上流所有だった場合。
-     * @throws {TypeError} When the resulting policy is unsatisfiable. 成立しない方針の場合。
-     */
     loadTenantMembershipPolicy(tenantId: string): Promise<TenantMembershipPolicy>;
-    /**
-     * Declares a group as proof of tenant membership. グループをテナント帰属の証明に指定する処理。
-     *
-     * この表に 1 行でも入った瞬間、そのテナントの帰属証明は「証明必須」へ切り替わる。行が
-     * 無い状態は「証明不要」であり、書き込み手段が無ければ機能そのものが到達不能になる。
-     *
-     * `isBreakGlass` は「同期が決して触れない復帰経路」を意味する。上流の事故はすべての
-     * 連携グループを同時に壊すため、そこにこそ外部供給でない経路が要る。
-     *
-     * @param tenantId - Owning tenant. 所有テナント。
-     * @param groupId - Group to declare. 指定するグループ。
-     * @param isBreakGlass - True for the locally-managed recovery path. 復帰経路なら true。
-     * @param actor - Who performed it. 実行者。
-     * @returns Nothing. 戻り値なし。
-     * @throws {Error} When the group is not in the tenant, when a break-glass group is linked,
-     *   or when the result would be a proof with no break-glass path.
-     *   自テナントに無い場合、break-glass に連携済みグループを指定した場合、または結果が
-     *   「証明はあるが復帰経路が無い」方針になる場合。
-     */
     setTenantMembershipGroup(tenantId: string, groupId: number, isBreakGlass: boolean, actor: string): Promise<void>;
-    /**
-     * Withdraws a group from the tenant membership proof.
-     * グループをテナント帰属の証明から外す処理。
-     *
-     * 最後の break-glass 行を外すと、以降の証明は上流だけに依存する。上流の事故で全員が
-     * 締め出される状態になるため、読み取り側の検証 (`assertTenantMembershipPolicy`) が
-     * 成立しない方針を拒否する — ここで先に断る。
-     *
-     * @param tenantId - Owning tenant. 所有テナント。
-     * @param groupId - Group to withdraw. 外すグループ。
-     * @returns Nothing. 戻り値なし。
-     * @throws {Error} When it is the last break-glass group of a non-empty policy.
-     *   証明が残るのに最後の break-glass を外そうとした場合。
-     */
     removeTenantMembershipGroup(tenantId: string, groupId: number): Promise<void>;
-    /**
-     * Reactivates a group that was deactivated after vanishing upstream.
-     * 上流消滅で無効化されたグループを再有効化する処理。
-     *
-     * 同期は成功時に自動で再有効化するが、運用者が先に直したい場合の入口も要る。無効化を
-     * 一方通行の扉にしないための、もう 1 本の出口である。
-     */
     setGroupActive(tenantId: string, groupId: number, isActive: boolean, actor: string): Promise<void>;
-    /**
-     * Reports the groups the identity matches in the upstream ledger.
-     * 上流台帳で identity が一致するグループを報告する処理。
-     *
-     * ⚠️ 実所属表ではなく **台帳** を見ること。初回ログインでユーザー行が生まれた直後、
-     * まだ射影されていない瞬間に、正規の利用者が「非メンバー」として全拒否されるのを防ぐ。
-     */
     listLedgerGroupIds(tenantId: string, identity: {
         externalUserId: string | null;
         email: string | null | undefined;
     }): Promise<number[]>;
-    /**
-     * Reports whether an address may sign in through a group allowlist entry.
-     * グループ許可によってそのアドレスがサインインできるかを判定する処理。
-     *
-     * ⚠️ **テナント述語を持たない。意図的である。** 認証はテナントの確定より前に起きるため、
-     * 判定の時点でテナントは存在しない。この配備が受け持つ全テナントの和集合で判定する。
-     * ここに述語を足すと初回ログインが全滅する。
-     *
-     * 判定は実所属ではなく **台帳** を見る。初回ログインの時点では、そもそもユーザー行が
-     * まだ存在しない。
-     */
     isEmailAllowedByGroup(email: string | null | undefined): Promise<boolean>;
-    /**
-     * Lists group-based allowlist entries of the tenant. テナントのグループ許可を列挙する処理。
-     *
-     * `auth-core` の判別共用体をそのまま返す。別形で返すと、`type` と `readOnly` を消費側が
-     * 付け直すことになり、「未設定 = 編集可」という暗黙の既定が呼び出し地点ごとに復活する。
-     */
     listAllowlistGroups(tenantId: string): Promise<AuthAllowlistEntry[]>;
-    /** Adds a group-based allowlist entry. グループ許可を追加する処理。 */
     addAllowlistGroup(tenantId: string, groupId: number, description: string | undefined, actor: string): Promise<void>;
-    /** Removes a group-based allowlist entry. グループ許可を削除する処理。 */
     removeAllowlistGroup(tenantId: string, id: number): Promise<void>;
-    /**
-     * Reports the number of real membership rows the tenant's linked groups hold.
-     * テナントの連携グループが持つ実所属行の件数を報告する処理。
-     *
-     * 連携を切る前に「何人分の所属が残るのか」を運用者へ示すために使う。
-     */
     countProjectedMembers(tenantId: string, groupId: number): Promise<number>;
 };
-
-/**
- * @module membership-mode
- * @description The single reader of the `membership_mode` column.
- * `membership_mode` 列を読む唯一の入口。
- *
- * 以前は読み手が 2 つあり、片方は未知の値を `TypeError` で拒否し、もう片方は黙って `"direct"` へ
- * 倒していた。同じ列に相反する 2 つの方針が同居し、しかも倒すほうが削除を決める側だった。
- * 入れ子展開のつもりのリンクが直接所属だけを返せば、入れ子側の全員が削除候補になる。
- */
-
-/** The two modes, in one place. 2 つのモードの唯一の定義位置。 */
 declare const MEMBERSHIP_MODES: readonly AuthDirectoryMembershipMode[];
-/**
- * Rejects a membership mode that is not one of the two known values.
- * 既知の 2 値でない所属展開モードを拒否する処理。
- *
- * 既定へ倒さないのは、入れ子展開が黙って有効になると権限が静かに広がり、逆に黙って無効になると
- * 入れ子側の全員が削除候補になるためである。どちらの向きにも倒さない。
- *
- * @param value Raw column value. 列の生値。
- * @returns The validated mode. 検証済みのモード。
- * @throws {TypeError} When the value is unknown. 未知の値の場合。
- */
 declare function assertMembershipMode(value: string): AuthDirectoryMembershipMode;
-
-/** Storage operations promotion performs. 昇格が行う記憶域操作。 */
 type PromotionRepository = {
-    /**
-     * Finds ledger rows matching the identity, across every linked group of the tenant.
-     * テナントの全連携グループを対象に、identity と一致する台帳行を探す処理。
-     *
-     * 突合順は上流 ID が第一キー、アドレスが第二キー。
-     *
-     * ⚠️ 各行が属するテナントも返すこと。`TDGroupMemberEmail` はテナント列を持たず親から継承する
-     * ため、台帳だけで絞った実装は静かにテナントを跨ぐ。呼び出し側はこの値で再検証する。
-     */
     findLedgerMatches(args: {
         tenantId: string;
         externalUserId: string | null;
@@ -1886,12 +1518,6 @@ type PromotionRepository = {
         groupId: number;
         tenantId: string;
     }>>;
-    /**
-     * Records the resolution and inserts the missing membership rows, atomically.
-     * 解決結果の記録と不足している所属行の挿入を、原子的に行う処理。
-     *
-     * @returns Group ids the user was actually added to. 実際に追加されたグループ ID。
-     */
     attachUserToGroups(args: {
         tenantId: string;
         userId: number;
@@ -1899,661 +1525,184 @@ type PromotionRepository = {
         groupIds: number[];
     }): Promise<number[]>;
 };
-/** What the promotion did. 昇格が行ったこと。 */
 type PromotionResult = {
-    /** Groups the user gained membership of. 所属を得たグループ。 */
     addedGroupIds: number[];
-    /** Ledger rows the user was matched against. 突合した台帳行。 */
     matchedLedgerIds: number[];
 };
-/**
- * Promotes ledger rows to real memberships for one just-provisioned user.
- * プロビジョニング直後の 1 ユーザーについて、台帳の行を実所属へ昇格させる処理。
- *
- * 追加しか行わないため、最後の管理者ロックアウト判定は不要である (所属が増えて管理者が
- * 減ることはない)。それでも記憶域側では 1 トランザクションで書くこと — 台帳の解決記録だけが
- * 残って所属が入らないと、次回の同期まで「解決済みなのに権限が無い」状態が続く。
- *
- * @param repository Storage operations. 記憶域操作。
- * @param args Tenant, the resolved user, and the identity to match on. テナント・ユーザー・identity。
- * @returns What was promoted. 昇格した内容。
- * @throws {AuthzTenantError} When the tenant id is blank, or a matched row belongs to another
- *   tenant. テナント ID が空、または一致行が別テナントに属する場合。
- * @throws {TypeError} When the user id is not a positive integer. ユーザー ID が正整数でない場合。
- */
 declare function promoteLedgerForUser(repository: PromotionRepository, args: {
     tenantId: string;
     userId: number;
     externalUserId: string | null;
     email: string | null | undefined;
 }): Promise<PromotionResult>;
-
-/** Options for {@link createPromotionRepository}. 昇格リポジトリの生成オプション。 */
-type PromotionRepositoryOptions = {
-    /** Establishes the connection before the first statement. 最初の文の前に接続を確立する処理。 */
+type PromotionRepositoryOptions = TransactionalOptions & {
     ensureConnection?: EnsureConnection;
-    /** Written to the audit columns of inserted membership rows. 挿入行の監査列に書く実行者。 */
     actor: string;
-    /** Injected clock — tests must not depend on wall time. 注入時計 (実時刻に依存させない)。 */
     now?: () => Date;
 };
-/**
- * Builds the promotion repository over the directory ledger and the authz membership table.
- * ディレクトリ台帳と認可の所属表に対して、昇格リポジトリを構築する処理。
- *
- * @param dbUnknown - Drizzle database instance. drizzle のデータベースインスタンス。
- * @param tables - Directory tables (owns the ledger). ディレクトリ表 (台帳の所有者)。
- * @param authzTables - Authorization tables (owns groups and membership). 認可表 (グループと所属の所有者)。
- * @param opts - Connection, actor and clock. 接続・実行者・時計。
- * @returns A repository consumable by `promoteLedgerForUser`. `promoteLedgerForUser` が使うリポジトリ。
- */
 declare function createPromotionRepository(dbUnknown: unknown, tables: AuthDirectoryTables, authzTables: AuthzTables, opts: PromotionRepositoryOptions): PromotionRepository;
-
-/**
- * SQL Server parameter-limit helpers shared by every batched statement.
- * 一括文が共有する SQL Server のパラメータ上限まわりのヘルパー。
- *
- * ⚠️ 上限は **行数ではなくパラメータ数** である。1 行あたり何個の値を束ねるかは文ごとに違うので、
- * 行数だけで分割すると、列の多い `VALUES` が静かに上限を越える。しかも越えるのは件数が閾値を
- * 跨いだ日だけで、それまでは同じコードが問題なく動いて見える。
- */
-/**
- * Hard limit of parameters per statement. 1 文あたりのパラメータ数の上限。
- *
- * SQL Server の RPC 1 回あたりのパラメータ上限は 2100。数個は文自身の値 (`SET` 句・スカラー
- * 述語) が使うため、分割の基準にはここから余裕を引いた値を用いる。
- */
-declare const MAX_PARAMETERS = 2100;
-/** Parameters reserved for the statement's own scalar values. 文自身のスカラー値のための予約枠。 */
-declare const RESERVED_PARAMETERS = 100;
-/**
- * Maximum ids per `IN` list of single-column predicates. 単列述語の `IN` 句 1 回あたりの最大 ID 数。
- *
- * 1 行 1 パラメータの用途 (`inArray(col, ids)`) 専用の既定値である。複数列を束ねる `VALUES` や、
- * 1 文に `IN` を 2 つ描画する `UPDATE` にそのまま使ってはならない — {@link chunkByParameters} を使う。
- */
-declare const MAX_IN_LIST = 500;
-/**
- * Splits a list into chunks that fit one statement.
- * 1 文に収まる大きさへリストを分割する処理。
- *
- * @param items - Items to split. 分割対象。
- * @param size - Maximum chunk size. 1 チャンクの最大数。
- * @returns Chunks in the original order. 元の順序を保ったチャンク列。
- * @throws {TypeError} When the size is not a positive integer. 正の整数でない場合。
- */
-declare function chunk<T>(items: readonly T[], size?: number): T[][];
-/**
- * Splits a list so each chunk fits the parameter budget of one statement.
- * 各チャンクが 1 文のパラメータ枠に収まるようリストを分割する処理。
- *
- * `VALUES` は 1 行につき列数ぶんのパラメータを束ねる。7 列の台帳行なら 500 行で 3500 個になり、
- * 上限 2100 を越えて **実行される前に** 拒否される。しかもその失敗は再試行しても同じ場所で起き、
- * そのグループは永久に台帳を持てない。
- *
- * @param items - Items to split. 分割対象。
- * @param parametersPerItem - Parameters each item binds. 1 件が束ねるパラメータ数。
- * @param reservedParameters - Parameters the statement itself binds. 文自身が束ねる数。
- * @returns Chunks in the original order. 元の順序を保ったチャンク列。
- * @throws {TypeError} When a single item cannot fit the budget. 1 件すら収まらない場合。
- */
-declare function chunkByParameters<T>(items: readonly T[], parametersPerItem: number, reservedParameters?: number): T[][];
-
-/**
- * @module sync-messages
- * @description Operator-facing text the synchronization records against a link.
- * 同期がリンクへ記録する、運用者向けの文言。
- *
- * 文言を注入可能にしてあるのは、`sync_error` が管理 UI にそのまま出るためである。ホスト非依存を
- * 求められるパッケージへ日本語を焼き込むと、日本語以外の配備がデータベースに日本語を持つことになる。
- * 既定は日本語 (このリポジトリの管理 UI に合わせる)。
- */
-
-/**
- * Why a read or a write failed, classified for display. 読み書きが失敗した理由 (表示用の分類)。
- *
- * ⚠️ **例外文をそのまま `sync_error` へ入れてはならない。** この列は管理 UI のバナーとして
- * **全タブに** 出るため、閲覧権限しか持たない主体が上流の生の応答本文 (サービスアカウントの
- * アドレス、内部 URL、資格情報の断片) や DB の接続文字列・スキーマ名を読めてしまう。しかも
- * それは、候補一覧の **グループ名すら** 見せないと決めた相手である。原文はログへ、画面へは分類を。
- */
 type SyncFailureCause = "denied" | "rateLimited" | "upstreamError" | "timeout" | "localWriteError" | "unknown";
-/**
- * Classifies a thrown value without quoting it. 投げられた値を、引用せずに分類する処理。
- *
- * 上流アダプタの型に依存しないよう、`status` という数値プロパティの有無だけで判定する。
- * 判別できないものは `unknown` へ倒す (推測した分類を出すより、判らないと言う方が正しい)。
- *
- * @param error - The thrown value. 投げられた値。
- * @returns The display classification. 表示用の分類。
- */
 declare function classifySyncFailure(error: unknown): SyncFailureCause;
-/** The messages one synchronization can produce. 同期が生成し得る文言。 */
 type SyncMessages = {
-    /** The upstream could not be read at all. 上流をまったく読めなかった。 */
     upstreamUnreadable: (cause: SyncFailureCause) => string;
-    /** The local write failed. ローカルへの書込が失敗した。 */
     localWriteFailed: (cause: SyncFailureCause) => string;
-    /** The resolver returned fewer members than the upstream listed. 突合が件数を減らした。 */
     resolverIncomplete: (upstream: number, resolved: number) => string;
-    /** The group is missing upstream but not yet deactivated. 消滅の観測 (未確定)。 */
     groupMissing: (externalKey: string, observations: number, threshold: number) => string;
-    /** The group has been deactivated after repeated absence. 消滅確定・無効化。 */
     groupVanished: (externalKey: string, observations: number) => string;
-    /**
-     * Removals whose write failed for a transient reason. 一時的な理由で書けなかった削除。
-     *
-     * ⚠️ 拒否とは別の文言にする。「最後の管理者ガードが止めた」は人手を呼ぶ答えであり、
-     * デッドロックや接続断に対して同じ文言を出すと、待てば直る事象に人を動かすことになる。
-     */
     removalWritesFailed: (failures: readonly {
         userId: number;
         cause: SyncFailureCause;
     }[]) => string;
-    /** The reconciler refused the plan. 突合が plan を拒否した。 */
     planRefused: (abort: SyncAbort) => string;
-    /** The lockout guard refused some removals. ロックアウトガードが一部の削除を拒否した。 */
     removalsRefused: (refusals: readonly {
         userId: number;
         refusal?: string;
     }[]) => string;
-    /** The link belongs to a different provider. 他 provider のリンクだった。 */
     foreignProvider: (linkProvider: string, runnerProvider: string) => string;
 };
 declare const defaultSyncMessages: SyncMessages;
-
-/**
- * @module sync-ports
- * @description The narrow storage surface the synchronization orchestration depends on.
- * 同期オーケストレーションが依存する、狭い記憶域の面。
- *
- * オーケストレーションを drizzle から切り離すために置いている。同期の手順そのもの
- * (何を順に行い、どこで打ち切るか) は、データベースを起動せずに全分岐を検証できるべきである —
- * 検証しにくい手順は検証されず、検証されない手順は「読めなかったら消さない」を静かに破る。
- */
-
-/**
- * One external group link, as the synchronization needs to see it.
- * 同期が見る必要のある外部グループリンク 1 件。
- */
 type SyncLink = {
     linkId: number;
     groupId: number;
     groupKey: string;
     tenantId: string;
-    /** Which upstream owns this group. どの上流がこのグループを所有するか。 */
     provider: string;
     externalId: string;
     externalKey: string;
     membershipMode: AuthDirectoryMembershipMode$1;
-    /** False when the group has been deactivated. グループが無効化されている場合 false。 */
     isGroupActive: boolean;
-    /**
-     * How many consecutive runs have found the group missing upstream.
-     * 上流でグループが見つからない状態が何回連続したか。
-     *
-     * 1 度の 404 で無効化すると、伝播待ちや権限変更の一瞬で生きているグループが落ちる。
-     */
     vanishedObservations: number;
 };
-/**
- * Which links a run covers. 1 回の実行が対象にするリンクの範囲。
- *
- * ⚠️ `tenantId` は **必須** である。1 つのジョブが持つ上流の資格情報は 1 つのテナントに対応する。
- * 範囲を絞らないと、別テナントのリンクを読んだうえで **自分の資格情報で得た結果をその別テナントへ
- * 書き込む**。上流が 404 を返せば (借用先の外にあるグループでは通常そうなる) 消滅と判定して
- * 相手のグループを無効化し、外部 ID が偶然一致すれば相手のグループへ自分の所属を射影する。
- * 要求した側の権限は一切関係しないため、既定値 1 つで越境が成立する形にしてはならない。
- * 同じ理由で `createSyncRequestQueue` も構築時にテナントを固定する。
- */
 type SyncScope = {
     tenantId: string;
-    /** Restrict further to one group within the tenant. テナント内の 1 グループへさらに絞る。 */
     groupId?: number;
 };
-/** Why one group's synchronization ended the way it did. 1 グループの同期がどう終わったか。 */
 type SyncOutcome = {
     kind: "applied";
     link: SyncLink;
     plan: GroupSyncPlan;
-}
-/** Nothing changed. Not a failure — an idempotent run. 変化なし。失敗ではなく冪等な実行。 */
- | {
+} | {
     kind: "unchanged";
     link: SyncLink;
-}
-/** The plan was refused by the reconciler's own guards. 突合自身のガードが plan を拒否した。 */
- | {
+} | {
     kind: "aborted";
     link: SyncLink;
     plan: GroupSyncPlan;
-}
-/** The group is missing upstream, but not yet often enough to act on. 消滅の観測 (未確定)。 */
- | {
+} | {
     kind: "missing";
     link: SyncLink;
     observations: number;
-}
-/** The group has been missing long enough that it was deactivated. 消滅確定・無効化した。 */
- | {
+} | {
     kind: "vanished";
     link: SyncLink;
-}
-/**
- * Still missing, and already deactivated on an earlier run. 消滅済みで、以前の実行で無効化済み。
- *
- * ⚠️ `vanished` と分ける理由は、**運用通知が状態ではなく変化に反応するべき** だからである。
- * 同じ 1 件の消滅を掃引のたびに通知すると、本当に新しい消滅がその中に埋もれる。この結末は
- * 「今回の掃引では何も変わっていない」ことの表明であり、健全ではないが新規でもない。
- */
- | {
+} | {
     kind: "already-vanished";
     link: SyncLink;
-}
-/** Reading upstream failed. 上流の読み取りが失敗した。 */
- | {
+} | {
     kind: "upstream-failed";
     link: SyncLink;
     error: Error;
-}
-/** Writing locally failed. ローカルへの書込が失敗した。 */
- | {
+} | {
     kind: "local-failed";
     link: SyncLink;
     error: Error;
-}
-/** The link belongs to another provider than the one running. 他 provider のリンクだった。 */
- | {
+} | {
     kind: "foreign-provider";
     link: SyncLink;
-}
-/**
- * The plan was applied only in part. plan の一部しか適用できなかった。
- *
- * ⚠️ `applied` と分ける。拒否や書込失敗が残ったまま「適用済み」と答えると、上流が外した人物が
- * グループに残っているのに、鮮度は健全・通知は無音・要求キューの結果は成功になる — 収束して
- * いないことを示す信号がどこにも出ない。
- */
- | {
+} | {
     kind: "not-converged";
     link: SyncLink;
     plan: GroupSyncPlan;
     refusals: RemovalOutcome[];
     failures: RemovalFailure[];
 };
-/**
- * Outcomes that mean something changed for the worse on this run. この実行で新たに悪化した結末。
- *
- * ⚠️ **状態ではなく変化を数える。** `already-vanished` は不健全な状態ではあるが、以前の実行で
- * 既に記録・通知済みであり、今回の掃引では何も変わっていない。ここに入れると同じ 1 件が周期ぶん
- * 通知され、本当に新しい消滅が埋もれる。「今どれだけ壊れているか」を数えたい呼び出し側は
- * {@link UNHEALTHY_SYNC_OUTCOMES} を使う。
- */
 declare const NEWLY_UNHEALTHY_SYNC_OUTCOMES: readonly SyncOutcome["kind"][];
-/** Outcomes that mean the group is not in a healthy, converged state. 健全でない結末。 */
 declare const UNHEALTHY_SYNC_OUTCOMES: readonly SyncOutcome["kind"][];
-/** What happened to one guarded removal. ガード付き削除 1 件の結末。 */
 type RemovalOutcome = {
     userId: number;
     applied: boolean;
     refusal?: string;
 };
-/**
- * One removal the write itself could not complete. 書き込み自体が完了しなかった削除 1 件。
- *
- * ⚠️ **拒否とは別に数える。** 「最後の管理者を失う」はガードの判断であり、運用者への答えは
- * 「別の管理者を立てよ」である。一方でデッドロックの犠牲や接続断は待てば直るものであり、
- * 答えは「再試行せよ」である。両方を同じ袋に入れると、待てば直る事象に対して人手を呼び、
- * 人手が要る事象を放置することになる。
- */
 type RemovalFailure = {
     userId: number;
     cause: SyncFailureCause;
 };
-/** What `applyPlan` actually managed to do. `applyPlan` が実際に行えたこと。 */
 type ApplyReport = {
-    /** Removals the administrator lockout guard refused. ロックアウトガードが拒否した削除。 */
     refusals: RemovalOutcome[];
-    /** Removals whose write failed for a transient reason. 一時的な理由で書けなかった削除。 */
     failures: RemovalFailure[];
 };
-/**
- * Storage operations the synchronization performs.
- * 同期が行う記憶域操作。
- */
 type DirectorySyncRepository = {
-    /**
-     * Lists links that are eligible to run. 実行対象のリンクを列挙する処理。
-     *
-     * ⚠️ 無効化されたグループのリンクも返すこと。返さないと、上流が復旧しても二度と同期されず、
-     * 再有効化の機会が永久に失われる。
-     *
-     * @param scope Restrict to one tenant, or one group within it. テナント、または特定グループへ限定。
-     */
     listSyncableLinks(scope: SyncScope): Promise<SyncLink[]>;
-    /** Reads the local ledger and the real membership for one group. 台帳と実所属を読む処理。 */
     loadGroupSnapshot(link: SyncLink): Promise<LocalGroupSnapshot>;
-    /**
-     * Resolves upstream members against the local user table.
-     * 上流メンバーをローカルユーザー表へ突合する処理。
-     *
-     * 突合順は上流 ID が第一キー、アドレスが第二キー。再利用されたアドレスが他人の所属を
-     * 継承する事故を防ぐため、この順序は実装側の裁量ではなく契約である。
-     *
-     * ⚠️ **入力と同じ件数を返すこと。** 解決できないメンバーは省略せず `resolvedUserId: null` で
-     * 返す。省略すると、その人物は「上流から消えた」と解釈されて削除対象になる。
-     */
     resolveMembers(members: readonly DirectoryMember[]): Promise<ResolvedDirectoryMember[]>;
-    /**
-     * Applies one group's plan, taking every membership removal through the lockout guard.
-     * 1 グループ分の plan を適用する処理。実所属の削除は必ず最後の管理者ガードを通す。
-     *
-     * ⚠️ ロックアウトガードが 1 件の削除を拒否しても、**残りの削除を続けること**。1 件で打ち切ると、
-     * 拒否された行がグループ全体の収束を永久に止める (次回以降も同じ行で止まる)。拒否は
-     * {@link ApplyReport.refusals} で報告する。
-     *
-     * @returns What was refused. 拒否された内容。
-     * @throws When the write itself failed. 書込そのものが失敗した場合。
-     */
     applyPlan(link: SyncLink, plan: GroupSyncPlan, observedAt: Date): Promise<ApplyReport>;
-    /** Records a successful run and reactivates the group if it was deactivated. 成功の記録。 */
-    /**
-     * Persists the upstream's stable identity before any membership is applied.
-     * 所属を適用する **前** に、上流の安定 ID を確定させる処理。
-     *
-     * ⚠️ **順序がこの操作の意味である。** 管理面は、候補一覧が引けない配備ではアドレスを暫定の
-     * 安定 ID として保存する。同じ上流グループを別の綴り (アドレスと別名、あるいは本当の ID) で
-     * 2 回リンクできてしまい、`UNIQUE (tenant, provider, external_id)` も文字列が違うので通る。
-     * 確定を所属の適用より前に置くことで、重複したリンクは **何も投影しないまま** 一意制約に
-     * 当たって落ちる。後に置くと、二重の所属が先に commit され、両方のロールが配られてから
-     * 書き戻しだけが失敗し続ける。
-     *
-     * @param link - The link being synchronized. 同期中のリンク。
-     * @param upstreamGroup - What the upstream answered. 上流が答えた内容。
-     * @returns Nothing. 戻り値なし。
-     * @throws When another link already owns this upstream group. 同じ上流を別のリンクが持つ場合。
-     */
     resolveExternalIdentity(link: SyncLink, upstreamGroup: DirectoryGroup): Promise<void>;
     recordSuccess(link: SyncLink, group: DirectoryGroup, syncedAt: Date): Promise<void>;
-    /** Records a failure reason against the link, leaving membership untouched. 失敗を記録する処理。 */
     recordFailure(link: SyncLink, reason: string): Promise<void>;
-    /**
-     * Records one observation that the group is missing upstream. 上流での消滅を 1 回観測した記録。
-     *
-     * @returns How many consecutive observations there now are. 連続観測回数。
-     */
     recordVanishedObservation(link: SyncLink, reason: string): Promise<number>;
-    /** Marks a group inactive after it has been missing long enough. 消滅確定後の無効化。 */
     markGroupInactive(link: SyncLink): Promise<void>;
 };
-/** Minimal logging surface. 最小のログ面。 */
 type SyncLoggerPort = {
     info(message: string, ...args: unknown[]): void;
     warn(message: string, ...args: unknown[]): void;
     error(message: string, ...args: unknown[]): void;
 };
-
-/**
- * @module sync
- * @description Orchestration of one synchronization run: read upstream, reconcile, apply — and
- * stop at the first sign that "upstream said nothing" might mean "we could not read upstream".
- * 1 回の同期実行のオーケストレーション。上流を読み、突合し、適用する。そして「上流が何も
- * 言わなかった」が「上流を読めなかった」かもしれない兆候が出た時点で止める。
- *
- * 記憶域は {@link DirectorySyncRepository} 越しにしか触らないため、手順そのものは
- * データベースを起動せずに全分岐を検証できる。
- */
-
-/** Configuration of a synchronization runner. 同期ランナーの構成。 */
 type DirectorySyncConfig = {
-    /**
-     * Which upstream this runner speaks for. このランナーが担当する上流。
-     *
-     * リンク行の `provider` と照合する。照合しないと、別 provider のリンクを受け取った
-     * ランナーがそれを「上流に存在しない」と判定し、他 provider のグループを無効化してしまう。
-     */
     provider: string;
     directory: DirectoryProvider;
     repository: DirectorySyncRepository;
-    /** Per-axis removal limits. See `auth-directory-core`. 軸ごとの削除上限。 */
     policy: BlastRadiusPolicy;
-    /**
-     * Consecutive absences required before a group is deactivated. 無効化に要する連続不在回数。
-     *
-     * 1 度の 404 で無効化すると、伝播待ちや権限変更の一瞬で生きているグループが落ちる。
-     */
     vanishedThreshold: number;
-    /**
-     * Supplies the current time. 現在時刻を供給する処理。
-     *
-     * 注入するのは決定性のためだけではない。1 回の実行の中で「観測時刻」と「同期時刻」が
-     * 別々に進むと、どの行がどの実行で書かれたのかを後から辿れなくなる。
-     */
     now: () => Date;
     logger: SyncLoggerPort;
-    /** Operator-facing text. 運用者向けの文言。 */
     messages?: SyncMessages;
 };
-/** Result of one run over a set of links. リンク集合 1 巡分の結果。 */
 type DirectorySyncRunResult = {
     outcomes: SyncOutcome[];
-    /**
-     * Links that did not end in a healthy, converged state. 健全に収束しなかったリンク数。
-     *
-     * 消滅の観測と無効化も含める。グループが恒久的に同期対象から外れることは、実行の中で
-     * 最も重い結末であり、それを「0 unhealthy」と報告しては監視の意味がない。
-     */
     unhealthyCount: number;
-    /**
-     * Links that became unhealthy on this run. この実行で新たに不健全になったリンク数。
-     *
-     * ⚠️ 通知はこちらで判断する。`unhealthyCount` は状態の量なので、消滅済みのグループが 1 つ
-     * 残っているだけで毎周期 1 以上になり、同じ 1 件を周期ぶん通知し続ける — 本当に新しい
-     * 消滅がその中に埋もれる。数えるのは状態、知らせるのは変化である。
-     */
     newlyUnhealthyCount: number;
 };
-/**
- * Creates a synchronization runner. 同期ランナーを生成する処理。
- *
- * @param config Injected provider, repository, limits, clock and logger. 注入する構成。
- * @returns The runner. ランナー。
- * @throws {TypeError} When the policy or the threshold is invalid. 方針・しきい値が不正な場合。
- */
 declare function createDirectorySync(config: DirectorySyncConfig): {
     syncOne: (link: SyncLink) => Promise<SyncOutcome>;
-    /**
-     * Synchronizes every eligible link in scope. 対象範囲の全リンクを同期する処理。
-     *
-     * リンクは **逐次** 処理する。並列化すると上流のレート制限を一気に消費し、最初に
-     * 弾かれたグループだけが失敗して部分的に古い状態が残る。1 グループの失敗は他へ
-     * 波及させず、実行自体は最後まで続ける。
-     *
-     * @param scope Which tenant (and optionally which group) to cover. 対象テナントと範囲。
-     * @returns Every outcome, and how many ended unhealthy. 全結果と不健全件数。
-     */
     run(scope: SyncScope): Promise<DirectorySyncRunResult>;
 };
-
-/** One claimed request. 取得済みの要求 1 件。 */
 type ClaimedSyncRequest = {
     id: number;
     tenantId: string;
-    /** `null` means every group of the tenant. `null` はテナント全件を意味する。 */
     groupId: number | null;
     requestedBy: string;
 };
-/**
- * Requests that are not progressing. 進んでいない要求。
- *
- * ⚠️ 2 つを分けて数える。`stranded` は「掴まれたが終わっていない」— ジョブが落ちた跡である。
- * `unclaimed` は「誰にも掴まれていない」— **そのテナントを担当するジョブが居ない** 跡であり、
- * 掴まれた行だけを見ていると丸ごと見落とす。重複抑止が在るため、後者は 1 行で以後の要求すべてを
- * 黙って捨てる。
- */
 type StrandedRequests = {
     stranded: number[];
     unclaimed: number[];
 };
-/**
- * Recorded when a request is closed because the process that claimed it never finished it.
- * 掴んだプロセスが終わりを書かなかったために閉じた要求へ記録される理由。
- */
 declare const STRANDED_REASON = "The job that claimed this request ended without recording an outcome; whether the synchronization ran is unknown.";
-/** How a claimed request ended. 取得した要求の終わり方。 */
 type SyncRequestResult = {
     result: "succeeded" | "failed";
     error?: string | null;
 };
-/** Options for {@link createSyncRequestQueue}. キュー消費側の生成オプション。 */
 type SyncRequestQueueOptions = {
     ensureConnection?: EnsureConnection;
-    /**
-     * The only tenant this consumer may claim for. この消費側が取得してよい唯一のテナント。
-     *
-     * ⚠️ **必須である。** 1 つのジョブが持つ上流の資格情報は 1 つのテナントに対応する。範囲を
-     * 絞らないと、別テナントの要求を掴んだジョブが **自分の資格情報で読んだ結果を、その別テナントへ
-     * 書き込む**。要求を出した側の権限は一切関係しないため、これは要求 1 つで越境が起きる形になる。
-     *
-     * ⚠️ その代償として、**担当ジョブの居ないテナントの要求は誰にも観測されない**。`listStranded`
-     * もこのテナントに絞られる以上、消費側が存在しないテナントを数える主体はどこにも居ない。
-     * 見えるのは web 側だけである — `getStatus().pendingRequestCount` が管理面のバナーに出て、
-     * `requestSync` は 2 度目以降を `already-pending` として返す。配備時は、リンクを持つ
-     * すべてのテナントにジョブを 1 つずつ立てること。
-     */
     tenantId: string;
-    /** Injected clock — the run's timestamps must all come from one source. 注入時計。 */
     now: () => Date;
-    /**
-     * Reports a request that could not be closed. 閉じられなかった要求を報告する処理。
-     *
-     * ⚠️ {@link createSyncRequestQueue.abandonStranded} は 1 件の失敗で残りを諦めない。
-     * 諦めない以上、失敗そのものが黙って消える経路になってはならない — 記録の宛先は
-     * 呼び出し側が持っているので、ここから渡す。省略時は何もしない。
-     */
     onCloseFailed?: (id: number, error: unknown) => void;
-    /**
-     * Longest an error message may be, matching the column. 列に合わせたエラー文の上限長。
-     *
-     * 超過分は切り捨てる。切り捨てないと、記録そのものが失敗して「何が起きたか分からない
-     * まま要求が取得済みで固まる」という最悪の状態になる。
-     */
     maxErrorLength?: number;
 };
-/**
- * Creates the consumer for the synchronization request queue.
- * 同期要求キューの消費側を生成する処理。
- *
- * @param dbUnknown - Drizzle database instance. drizzle のデータベースインスタンス。
- * @param tables - Directory tables (owns the queue). ディレクトリ表 (キューの所有者)。
- * @param opts - Connection, clock and truncation bound. 接続・時計・切り詰め上限。
- * @returns The claim / finish pair. 取得と完了記録の 2 操作。
- */
 declare function createSyncRequestQueue(dbUnknown: unknown, tables: AuthDirectoryTables, opts: SyncRequestQueueOptions): {
-    /**
-     * Claims the oldest unpicked request, marking it picked in the same statement.
-     * 最も古い未取得の要求を、同じ文で取得済みにしながら取り出す処理。
-     *
-     * 取得と印付けを分けると、2 つのジョブが同じ要求を拾って同じグループを二重に同期する。
-     * `UPDATE ... OUTPUT` は 1 文なので、行を掴んだのが誰かは常に 1 つに決まる。
-     *
-     * @returns The claimed request, or `null` when the queue is empty. 取得結果 (空なら `null`)。
-     */
     claim(): Promise<ClaimedSyncRequest | null>;
-    /**
-     * Records how a claimed request ended. 取得済みの要求がどう終わったかを記録する処理。
-     *
-     * ⚠️ 未完了の行にしか書かない。既に結末が記録されている行は **0 行更新** になるので、
-     * 「書けたかどうか」を返す。返さないと、呼び出し側は閉じていない行を閉じたと報告する。
-     *
-     * @param id - The claimed request id. 取得した要求の ID。
-     * @param outcome - Result and optional error text. 結果と (あれば) エラー文。
-     * @returns True when this call recorded the outcome. この呼び出しが結末を記録した場合に true。
-     */
     finish(id: number, outcome: SyncRequestResult): Promise<boolean>;
-    /**
-     * Lists requests that are not progressing. 進んでいない要求の一覧。
-     *
-     * ジョブが落ちると、行は取得済みのまま完了しない。放置すると要求した人はいつまでも
-     * 結果を見られないので、運用が拾えるよう明示的に数えられる形にしておく。
-     *
-     * ⚠️ **掴まれていない古い行も数える。** 取得済みだけを見ると、そのテナントを担当する
-     * ジョブが居ない場合が丸ごと盲点になる — その行は永久に処理されないのに、重複抑止の
-     * せいで以後の「今すぐ同期」まで黙って捨てられる。
-     *
-     * @param olderThan - Cutoff for both timestamps. 両方の時刻に対する締切時刻。
-     * @returns Stranded and unclaimed request ids. 取り残された要求と、掴まれていない要求の ID。
-     */
     listStranded(olderThan: Date): Promise<StrandedRequests>;
-    /**
-     * Closes stranded requests as failed, so the queue can move again.
-     * 取り残された要求を失敗として閉じ、キューを再び動かす処理。
-     *
-     * ⚠️ **掴んだ行を未処理へ戻さない。** 戻すと `UQ_..._pending` (未処理行の一意制約) に
-     * 衝突し得る — 同じ範囲の新しい要求が既に並んでいれば、戻す操作そのものが失敗する。
-     * 失敗として閉じれば、監査記録は残り、要求した人は結果 (失敗) を見られ、次の「今すぐ
-     * 同期」は重複抑止に掛からない。
-     *
-     * ⚠️ **走ったかどうかは分からない。** 記録する理由も、成否ではなく「掴んだプロセスが
-     * 終わりを書かなかった」という観測事実だけにする。推測を記録に混ぜない。
-     *
-     * ⚠️ 掴まれていない行 (`unclaimed`) には触れない。あれはジョブが落ちた跡ではなく
-     * **担当ジョブが居ない** 跡であり、閉じると原因が消えて再発し続ける。
-     *
-     * @param olderThan - Requests picked before this are considered abandoned.
-     *   これより前に掴まれた要求を放棄と見なす締切時刻。
-     * @returns The ids this call actually closed. この呼び出しが実際に閉じた要求の ID。
-     */
     abandonStranded(olderThan: Date): Promise<number[]>;
 };
-
-/**
- * Resolves upstream members against the host's identity tables.
- * 上流メンバーをホストの identity 表へ突合するポート。
- *
- * ホストごとに identity の持ち方が違う (このリポジトリでは `TDOpenid` → `TDUsers`) ため、
- * パッケージ側では表を名指しできない。突合順が **上流 ID 第一・アドレス第二** であることは
- * 実装側の裁量ではなく契約である — 再利用されたアドレスが他人の所属を継承する事故を防ぐ。
- *
- * ⚠️ 入力と同じ件数を返すこと。解決できないメンバーを省略すると、その人物は削除対象になる。
- */
 type MemberResolverPort = {
     resolve(members: readonly DirectoryMember[]): Promise<ResolvedDirectoryMember[]>;
 };
-/** Options for the synchronization repository. 同期リポジトリの構成。 */
-type SyncRepositoryOptions = {
+type SyncRepositoryOptions = TransactionalOptions & {
     ensureConnection?: EnsureConnection;
-    /**
-     * Wall-clock supplier. 実行の時刻を供給する処理。
-     *
-     * ⚠️ 走査側 (`createDirectorySync`) は時計を注入されており、「1 回の実行の中で観測時刻と
-     * 同期時刻が別々に進むと、どの行がどの実行で書かれたのか後から辿れなくなる」という理由が
-     * 書いてある。記憶域側だけが `new Date()` を直に読むと、**同じ実行の中で 2 つの時計が進む** —
-     * 失敗の記録と成功の記録が別の時刻を持ち、その理由は誰にも判らない。省略時は実時計。
-     */
     now?: () => Date;
     memberResolver: MemberResolverPort;
-    /** Lockout guard from `@aiquants/authz-drizzle`. 認可側のロックアウトガード。 */
     lockoutGuard: ReturnType<typeof createAdminLockoutGuard>;
-    /**
-     * Actor recorded on rows the synchronization writes. 同期が書く行に記録する実行者。
-     *
-     * 空にすると、同期が作った行と手作業で入った行を監査上区別できなくなる。しかも更新系では
-     * 最後に触れた人間の名前が残ったまま更新時刻だけ進み、監査が同期の変更を人間の仕業として
-     * 記録することになる。
-     */
     actor: string;
 };
-/**
- * Creates the drizzle-backed synchronization repository.
- * drizzle を用いた同期リポジトリを生成する処理。
- *
- * @param dbUnknown Drizzle database instance. drizzle のデータベースインスタンス。
- * @param tables Identity-side tables. identity 側テーブル群。
- * @param authzTables Authorization tables (group master and real membership). 認可テーブル群。
- * @param opts Injected resolver, lockout guard and audit actor. 注入する構成。
- * @returns The repository. リポジトリ。
- */
 declare function createDirectorySyncRepository(dbUnknown: unknown, tables: AuthDirectoryTables, authzTables: AuthzTables, opts: SyncRepositoryOptions): DirectorySyncRepository;
-
-export { AUTH_DIRECTORY_PROVIDER_COLUMN, AUTH_DIRECTORY_TENANT_SCOPED_TABLES, type ApplyReport, type AuthDirectoryTables, type ClaimedSyncRequest, type DeleteChain, type DirectoryCatalogEntry, type DirectoryCatalogReaderOptions, type DirectoryCatalogSnapshot, type DirectoryCatalogWriterOptions, type DirectoryDb, type DirectoryLinkRow, type DirectoryLinkStoreOptions, type DirectorySyncConfig, type DirectorySyncRepository, type DirectorySyncRunResult, type EnsureConnection, type ExternalGroupGuardOptions, type ExternalLinkLookup, type InsertChain, type LedgerIdentityRow, type LedgerIdentityTables, type LinkGroupInput, type LinkableAssertion, MAX_IN_LIST, MAX_PARAMETERS, MEMBERSHIP_MODES, type MemberResolverPort, NEWLY_UNHEALTHY_SYNC_OUTCOMES, type PromotionRepository, type PromotionRepositoryOptions, type PromotionResult, RESERVED_PARAMETERS, type ReferencedTable, type RemovalFailure, type RemovalOutcome, STRANDED_REASON, type SelectChain, type StrandedRequests, type SyncFailureCause, type SyncLink, type SyncLoggerPort, type SyncMessages, type SyncOutcome, type SyncRepositoryOptions, type SyncRequestOutcome, type SyncRequestQueueOptions, type SyncRequestResult, type SyncScope, UNHEALTHY_SYNC_OUTCOMES, type UpdateChain, assertGroupMayBeLinked, assertMembershipMode, chunk, chunkByParameters, classifySyncFailure, createDirectoryCatalogReader, createDirectoryCatalogWriter, createDirectoryLinkStore, createDirectorySync, createDirectorySyncRepository, createPromotionRepository, createSyncRequestQueue, defaultExternalGroupGuardMessage, defaultSyncMessages, defineAuthDirectorySchema, findLedgerRowsForIdentity, promoteLedgerForUser, toInstant, withExternalGroupGuards };
+export { AUTH_DIRECTORY_PROVIDER_COLUMN, AUTH_DIRECTORY_TENANT_SCOPED_TABLES, type ApplyReport, type AuthDirectoryTables, type ClaimedSyncRequest, type DeleteChain, type DirectoryCatalogEntry, type DirectoryCatalogReaderOptions, type DirectoryCatalogSnapshot, type DirectoryCatalogWriterOptions, type DirectoryDb, type DirectoryLinkRow, type DirectoryLinkStoreOptions, type DirectorySyncConfig, type DirectorySyncRepository, type DirectorySyncRunResult, type EnsureConnection, type ExternalGroupGuardOptions, type ExternalLinkLookup, type InsertChain, type LedgerIdentityRow, type LedgerIdentityTables, type LinkGroupInput, type LinkableAssertion, MEMBERSHIP_MODES, type MemberResolverPort, NEWLY_UNHEALTHY_SYNC_OUTCOMES, type PromotionRepository, type PromotionRepositoryOptions, type PromotionResult, type ReferencedTable, type RemovalFailure, type RemovalOutcome, STRANDED_REASON, type SelectChain, type StrandedRequests, type SyncFailureCause, type SyncLink, type SyncLoggerPort, type SyncMessages, type SyncOutcome, type SyncRepositoryOptions, type SyncRequestOutcome, type SyncRequestQueueOptions, type SyncRequestResult, type SyncScope, type TransactionalOptions, UNHEALTHY_SYNC_OUTCOMES, type UpdateChain, assertGroupMayBeLinked, assertMembershipMode, classifySyncFailure, createDirectoryCatalogReader, createDirectoryCatalogWriter, createDirectoryLinkStore, createDirectorySync, createDirectorySyncRepository, createPromotionRepository, createSyncRequestQueue, defaultExternalGroupGuardMessage, defaultSyncMessages, defineAuthDirectorySchema, findLedgerRowsForIdentity, promoteLedgerForUser, transactionRunner, withExternalGroupGuards };