@exabugs/dynamodb-client 1.22.0 → 1.23.0

package/dist/tools/dynamodb-admins/cli.js

@@ -0,0 +1,174 @@
+/**
+ * `dynamodb-admins add <email> --app <app> --env <env> --name <name>`: 管理者を admins に登録する（ADR 0007 §7）。
+ * 最初の 1 人（管理画面にまだ誰もログインできないとき）の登録に使う。2 人目以降は管理画面の「管理者」から。
+ *
+ * 経路: Records の IAM 版 Function URL を、利用者の AWS の認証情報（SigV4。`AWS_PROFILE` など）で呼ぶ。
+ * URL は SSM の `/<app>/<env>/infra/dynamodb-client-api-iam-url`（ライブラリの parameter-store が作る）から読む。
+ * 作成の前に `id` で存在を確かめ、既にあれば何も書かずに終了コード 3 で終わる（上書きしない）。
+ * 誤操作の防止: `--env prd` で書き込むときは `--confirm prd` が要る（astro の `make … CONFIRM=prd` と同じ流儀。
+ * `--dry-run` は書き込まないので要らない）。無ければ何も読まず・書かずに終了コード 2。
+ */
+import { GetParameterCommand, SSMClient } from '@aws-sdk/client-ssm';
+import { addAdmin, adminWriterOf } from '../../admins/add.js';
+import { withCollection } from '../../client/recordsClient.js';
+export const EXIT_OK = 0;
+export const EXIT_ERROR = 1;
+export const EXIT_USAGE = 2;
+/** 既に登録されている（何も書いていない） */
+export const EXIT_EXISTS = 3;
+export const USAGE = `使い方:
+  dynamodb-admins add <email> --app <app> --env <env> --name <name> [オプション]
+      → admins に管理者を登録する（id と email は小文字のメール）。既にあれば何も書かない
+
+  <email>              管理者のメールアドレス（前後の空白を除き、小文字にする）
+  --app <app>          アプリ名（SSM のパラメータ名に使う）
+  --env <env>          環境（dev / prd など）
+  --name <name>        表示名（必須）
+オプション:
+  --region <region>    既定: AWS_REGION、無ければ ap-northeast-1
+  --url <url>          Records の IAM 版 Function URL（指定すると SSM を読まない）
+  --collection <name>  既定: admins
+  --dry-run            存在確認だけして書き込まない（登録する内容を出す）
+  --confirm <env>      書き込む環境の名前の確認。--env prd で書き込むときは --confirm prd が要る
+
+認証: AWS の認証情報（AWS_PROFILE など）。SSM の読み取りと、Records の Function URL の呼び出しの権限が要る
+終了コード: 0 = 登録した（--dry-run では登録できる）、3 = 既に登録されている、2 = 引数の誤り・確認の不足、1 = そのほかの失敗`;
+/** 書き込みに `--confirm <env>` が要る環境 */
+export const CONFIRM_REQUIRED_ENVS = Object.freeze(['prd']);
+const SINGLE = {
+    '--app': 'app',
+    '--env': 'env',
+    '--name': 'name',
+    '--region': 'region',
+    '--url': 'url',
+    '--collection': 'collection',
+    '--confirm': 'confirm',
+};
+/** `add` の引数を解釈する（誤りは Error） */
+export function parseAddArgs(argv) {
+    const v = {};
+    const positional = [];
+    let dryRun = false;
+    for (let i = 0; i < argv.length; i++) {
+        const a = argv[i];
+        if (a in SINGLE) {
+            const value = argv[++i];
+            if (value === undefined || value.trim() === '' || value.startsWith('--')) {
+                throw new Error(`${a} に値が要る`);
+            }
+            v[SINGLE[a]] = value;
+        }
+        else if (a === '--dry-run') {
+            dryRun = true;
+        }
+        else if (a.startsWith('--')) {
+            throw new Error(`未知の引数: ${a}`);
+        }
+        else {
+            positional.push(a);
+        }
+    }
+    if (positional.length !== 1)
+        throw new Error('メールアドレスを 1 つ指定する');
+    for (const k of ['app', 'env', 'name']) {
+        if (!v[k])
+            throw new Error(`--${k} が要る`);
+    }
+    return {
+        email: positional[0],
+        app: v.app,
+        env: v.env,
+        name: v.name,
+        region: v.region,
+        url: v.url,
+        collection: v.collection ?? 'admins',
+        dryRun,
+        confirm: v.confirm,
+    };
+}
+/** Records の IAM 版 Function URL の SSM のパラメータ名（terraform/modules/parameter-store と同じ） */
+export const recordsIamUrlParameterName = (app, env) => `/${app}/${env}/infra/dynamodb-client-api-iam-url`;
+/** SSM のパラメータを読む（復号つき） */
+export async function ssmGetParameter(name, region) {
+    const ssm = new SSMClient({ region });
+    try {
+        const r = await ssm.send(new GetParameterCommand({ Name: name, WithDecryption: true }));
+        const value = r.Parameter?.Value;
+        if (!value)
+            throw new Error(`SSM のパラメータが空です: ${name}`);
+        return value;
+    }
+    finally {
+        ssm.destroy();
+    }
+}
+const describe = (r) => `${r.id}（${r.name}）`;
+/** 確認が要るのに無い・違うなら、その理由（要らない・合っていれば null） */
+export function missingConfirmation(args) {
+    if (args.dryRun || !CONFIRM_REQUIRED_ENVS.includes(args.env))
+        return null;
+    if (args.confirm === args.env)
+        return null;
+    return `${args.env} の ${args.collection} に書き込みます。よければ --confirm ${args.env} を付けて実行してください（--dry-run なら不要）`;
+}
+/** 出力に出す宛先（URL のホスト。--url の指定と --app/--env の食い違いに気づけるように） */
+const hostOf = (url) => {
+    try {
+        return new URL(url).host;
+    }
+    catch {
+        return url;
+    }
+};
+async function runAdd(argv, io, deps) {
+    let args;
+    try {
+        args = parseAddArgs(argv);
+    }
+    catch (e) {
+        io.err(`引数の誤り: ${e.message}\n\n${USAGE}\n`);
+        return EXIT_USAGE;
+    }
+    const unconfirmed = missingConfirmation(args);
+    if (unconfirmed) {
+        io.err(`確認が要ります（何も書いていません）: ${unconfirmed}\n`);
+        return EXIT_USAGE;
+    }
+    const env = deps.env ?? process.env;
+    const region = args.region || env.AWS_REGION || 'ap-northeast-1';
+    try {
+        const url = args.url ??
+            (await (deps.getParameter ?? ssmGetParameter)(recordsIamUrlParameterName(args.app, args.env), region));
+        const where = `${args.app}/${args.env} の ${args.collection}、${hostOf(url)}`;
+        const r = await withCollection(args.collection, (collection) => addAdmin({ email: args.email, name: args.name }, adminWriterOf(collection), {
+            dryRun: args.dryRun,
+        }), { url, region });
+        if (r.status === 'exists') {
+            io.err(`既に登録されています（何も書いていません）: ${r.record.id}（${where}）\n`);
+            return EXIT_EXISTS;
+        }
+        if (r.status === 'dry-run') {
+            io.out(`[dry-run] 登録します: ${describe(r.record)}（${where}）\n`);
+            return EXIT_OK;
+        }
+        io.out(`管理者を登録しました: ${describe(r.record)}（${where}）\n`);
+        return EXIT_OK;
+    }
+    catch (e) {
+        io.err(`登録に失敗しました: ${e.message}\n`);
+        return EXIT_ERROR;
+    }
+}
+/** CLI 本体。終了コードを返す（process.exitCode は run.ts が設定する） */
+export async function main(argv, io, deps = {}) {
+    const [sub, ...rest] = argv;
+    if (sub === '--help' || sub === '-h') {
+        io.out(`${USAGE}\n`);
+        return EXIT_OK;
+    }
+    if (sub === 'add')
+        return runAdd(rest, io, deps);
+    io.err(`サブコマンドは add（got: ${sub ?? 'なし'}）\n\n${USAGE}\n`);
+    return EXIT_USAGE;
+}
+//# sourceMappingURL=cli.js.map

package/dist/tools/dynamodb-admins/cli.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"cli.js","sourceRoot":"","sources":["../../../src/tools/dynamodb-admins/cli.ts"],"names":[],"mappings":"AAAA;;;;;;;;;GASG;AACH,OAAO,EAAE,mBAAmB,EAAE,SAAS,EAAE,MAAM,qBAAqB,CAAC;AAErE,OAAO,EAAuB,QAAQ,EAAE,aAAa,EAAE,MAAM,qBAAqB,CAAC;AAEnF,OAAO,EAAE,cAAc,EAAE,MAAM,+BAA+B,CAAC;AAa/D,MAAM,CAAC,MAAM,OAAO,GAAG,CAAC,CAAC;AACzB,MAAM,CAAC,MAAM,UAAU,GAAG,CAAC,CAAC;AAC5B,MAAM,CAAC,MAAM,UAAU,GAAG,CAAC,CAAC;AAC5B,0BAA0B;AAC1B,MAAM,CAAC,MAAM,WAAW,GAAG,CAAC,CAAC;AAE7B,MAAM,CAAC,MAAM,KAAK,GAAG;;;;;;;;;;;;;;;;6EAgBwD,CAAC;AAc9E,oCAAoC;AACpC,MAAM,CAAC,MAAM,qBAAqB,GAAsB,MAAM,CAAC,MAAM,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC;AAE/E,MAAM,MAAM,GAAG;IACb,OAAO,EAAE,KAAK;IACd,OAAO,EAAE,KAAK;IACd,QAAQ,EAAE,MAAM;IAChB,UAAU,EAAE,QAAQ;IACpB,OAAO,EAAE,KAAK;IACd,cAAc,EAAE,YAAY;IAC5B,WAAW,EAAE,SAAS;CACd,CAAC;AAGX,gCAAgC;AAChC,MAAM,UAAU,YAAY,CAAC,IAAc;IACzC,MAAM,CAAC,GAAuC,EAAE,CAAC;IACjD,MAAM,UAAU,GAAa,EAAE,CAAC;IAChC,IAAI,MAAM,GAAG,KAAK,CAAC;IACnB,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,IAAI,CAAC,MAAM,EAAE,CAAC,EAAE,EAAE,CAAC;QACrC,MAAM,CAAC,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC;QAClB,IAAI,CAAC,IAAI,MAAM,EAAE,CAAC;YAChB,MAAM,KAAK,GAAG,IAAI,CAAC,EAAE,CAAC,CAAC,CAAC;YACxB,IAAI,KAAK,KAAK,SAAS,IAAI,KAAK,CAAC,IAAI,EAAE,KAAK,EAAE,IAAI,KAAK,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;gBACzE,MAAM,IAAI,KAAK,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC;YAChC,CAAC;YACD,CAAC,CAAC,MAAM,CAAC,CAAwB,CAAC,CAAC,GAAG,KAAK,CAAC;QAC9C,CAAC;aAAM,IAAI,CAAC,KAAK,WAAW,EAAE,CAAC;YAC7B,MAAM,GAAG,IAAI,CAAC;QAChB,CAAC;aAAM,IAAI,CAAC,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;YAC9B,MAAM,IAAI,KAAK,CAAC,UAAU,CAAC,EAAE,CAAC,CAAC;QACjC,CAAC;aAAM,CAAC;YACN,UAAU,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;QACrB,CAAC;IACH,CAAC;IACD,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC;QAAE,MAAM,IAAI,KAAK,CAAC,kBAAkB,CAAC,CAAC;IACjE,KAAK,MAAM,CAAC,IAAI,CAAC,KAAK,EAAE,KAAK,EAAE,MAAM,CAAU,EAAE,CAAC;QAChD,IAAI,CAAC,CAAC,CAAC,CAAC,CAAC;YAAE,MAAM,IAAI,KAAK,CAAC,KAAK,CAAC,MAAM,CAAC,CAAC;IAC3C,CAAC;IACD,OAAO;QACL,KAAK,EAAE,UAAU,CAAC,CAAC,CAAC;QACpB,GAAG,EAAE,CAAC,CAAC,GAAa;QACpB,GAAG,EAAE,CAAC,CAAC,GAAa;QACpB,IAAI,EAAE,CAAC,CAAC,IAAc;QACtB,MAAM,EAAE,CAAC,CAAC,MAAM;QAChB,GAAG,EAAE,CAAC,CAAC,GAAG;QACV,UAAU,EAAE,CAAC,CAAC,UAAU,IAAI,QAAQ;QACpC,MAAM;QACN,OAAO,EAAE,CAAC,CAAC,OAAO;KACnB,CAAC;AACJ,CAAC;AAED,wFAAwF;AACxF,MAAM,CAAC,MAAM,0BAA0B,GAAG,CAAC,GAAW,EAAE,GAAW,EAAU,EAAE,CAC7E,IAAI,GAAG,IAAI,GAAG,oCAAoC,CAAC;AAErD,0BAA0B;AAC1B,MAAM,CAAC,KAAK,UAAU,eAAe,CAAC,IAAY,EAAE,MAAc;IAChE,MAAM,GAAG,GAAG,IAAI,SAAS,CAAC,EAAE,MAAM,EAAE,CAAC,CAAC;IACtC,IAAI,CAAC;QACH,MAAM,CAAC,GAAG,MAAM,GAAG,CAAC,IAAI,CAAC,IAAI,mBAAmB,CAAC,EAAE,IAAI,EAAE,IAAI,EAAE,cAAc,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC;QACxF,MAAM,KAAK,GAAG,CAAC,CAAC,SAAS,EAAE,KAAK,CAAC;QACjC,IAAI,CAAC,KAAK;YAAE,MAAM,IAAI,KAAK,CAAC,mBAAmB,IAAI,EAAE,CAAC,CAAC;QACvD,OAAO,KAAK,CAAC;IACf,CAAC;YAAS,CAAC;QACT,GAAG,CAAC,OAAO,EAAE,CAAC;IAChB,CAAC;AACH,CAAC;AAED,MAAM,QAAQ,GAAG,CAAC,CAAc,EAAU,EAAE,CAAC,GAAG,CAAC,CAAC,EAAE,IAAI,CAAC,CAAC,IAAI,GAAG,CAAC;AAElE,4CAA4C;AAC5C,MAAM,UAAU,mBAAmB,CAAC,IAAa;IAC/C,IAAI,IAAI,CAAC,MAAM,IAAI,CAAC,qBAAqB,CAAC,QAAQ,CAAC,IAAI,CAAC,GAAG,CAAC;QAAE,OAAO,IAAI,CAAC;IAC1E,IAAI,IAAI,CAAC,OAAO,KAAK,IAAI,CAAC,GAAG;QAAE,OAAO,IAAI,CAAC;IAC3C,OAAO,GAAG,IAAI,CAAC,GAAG,MAAM,IAAI,CAAC,UAAU,2BAA2B,IAAI,CAAC,GAAG,+BAA+B,CAAC;AAC5G,CAAC;AAED,6DAA6D;AAC7D,MAAM,MAAM,GAAG,CAAC,GAAW,EAAU,EAAE;IACrC,IAAI,CAAC;QACH,OAAO,IAAI,GAAG,CAAC,GAAG,CAAC,CAAC,IAAI,CAAC;IAC3B,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,GAAG,CAAC;IACb,CAAC;AACH,CAAC,CAAC;AAEF,KAAK,UAAU,MAAM,CAAC,IAAc,EAAE,EAAS,EAAE,IAAa;IAC5D,IAAI,IAAa,CAAC;IAClB,IAAI,CAAC;QACH,IAAI,GAAG,YAAY,CAAC,IAAI,CAAC,CAAC;IAC5B,CAAC;IAAC,OAAO,CAAC,EAAE,CAAC;QACX,EAAE,CAAC,GAAG,CAAC,UAAW,CAAW,CAAC,OAAO,OAAO,KAAK,IAAI,CAAC,CAAC;QACvD,OAAO,UAAU,CAAC;IACpB,CAAC;IACD,MAAM,WAAW,GAAG,mBAAmB,CAAC,IAAI,CAAC,CAAC;IAC9C,IAAI,WAAW,EAAE,CAAC;QAChB,EAAE,CAAC,GAAG,CAAC,uBAAuB,WAAW,IAAI,CAAC,CAAC;QAC/C,OAAO,UAAU,CAAC;IACpB,CAAC;IACD,MAAM,GAAG,GAAG,IAAI,CAAC,GAAG,IAAI,OAAO,CAAC,GAAG,CAAC;IACpC,MAAM,MAAM,GAAG,IAAI,CAAC,MAAM,IAAI,GAAG,CAAC,UAAU,IAAI,gBAAgB,CAAC;IACjE,IAAI,CAAC;QACH,MAAM,GAAG,GACP,IAAI,CAAC,GAAG;YACR,CAAC,MAAM,CAAC,IAAI,CAAC,YAAY,IAAI,eAAe,CAAC,CAC3C,0BAA0B,CAAC,IAAI,CAAC,GAAG,EAAE,IAAI,CAAC,GAAG,CAAC,EAC9C,MAAM,CACP,CAAC,CAAC;QACL,MAAM,KAAK,GAAG,GAAG,IAAI,CAAC,GAAG,IAAI,IAAI,CAAC,GAAG,MAAM,IAAI,CAAC,UAAU,IAAI,MAAM,CAAC,GAAG,CAAC,EAAE,CAAC;QAC5E,MAAM,CAAC,GAAG,MAAM,cAAc,CAC5B,IAAI,CAAC,UAAU,EACf,CAAC,UAAU,EAAE,EAAE,CACb,QAAQ,CAAC,EAAE,KAAK,EAAE,IAAI,CAAC,KAAK,EAAE,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE,EAAE,aAAa,CAAC,UAAU,CAAC,EAAE;YAC1E,MAAM,EAAE,IAAI,CAAC,MAAM;SACpB,CAAC,EACJ,EAAE,GAAG,EAAE,MAAM,EAAE,CAChB,CAAC;QACF,IAAI,CAAC,CAAC,MAAM,KAAK,QAAQ,EAAE,CAAC;YAC1B,EAAE,CAAC,GAAG,CAAC,0BAA0B,CAAC,CAAC,MAAM,CAAC,EAAE,IAAI,KAAK,KAAK,CAAC,CAAC;YAC5D,OAAO,WAAW,CAAC;QACrB,CAAC;QACD,IAAI,CAAC,CAAC,MAAM,KAAK,SAAS,EAAE,CAAC;YAC3B,EAAE,CAAC,GAAG,CAAC,oBAAoB,QAAQ,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,KAAK,KAAK,CAAC,CAAC;YAC7D,OAAO,OAAO,CAAC;QACjB,CAAC;QACD,EAAE,CAAC,GAAG,CAAC,eAAe,QAAQ,CAAC,CAAC,CAAC,MAAM,CAAC,IAAI,KAAK,KAAK,CAAC,CAAC;QACxD,OAAO,OAAO,CAAC;IACjB,CAAC;IAAC,OAAO,CAAC,EAAE,CAAC;QACX,EAAE,CAAC,GAAG,CAAC,cAAe,CAAW,CAAC,OAAO,IAAI,CAAC,CAAC;QAC/C,OAAO,UAAU,CAAC;IACpB,CAAC;AACH,CAAC;AAED,uDAAuD;AACvD,MAAM,CAAC,KAAK,UAAU,IAAI,CAAC,IAAc,EAAE,EAAS,EAAE,OAAgB,EAAE;IACtE,MAAM,CAAC,GAAG,EAAE,GAAG,IAAI,CAAC,GAAG,IAAI,CAAC;IAC5B,IAAI,GAAG,KAAK,QAAQ,IAAI,GAAG,KAAK,IAAI,EAAE,CAAC;QACrC,EAAE,CAAC,GAAG,CAAC,GAAG,KAAK,IAAI,CAAC,CAAC;QACrB,OAAO,OAAO,CAAC;IACjB,CAAC;IACD,IAAI,GAAG,KAAK,KAAK;QAAE,OAAO,MAAM,CAAC,IAAI,EAAE,EAAE,EAAE,IAAI,CAAC,CAAC;IACjD,EAAE,CAAC,GAAG,CAAC,oBAAoB,GAAG,IAAI,IAAI,QAAQ,KAAK,IAAI,CAAC,CAAC;IACzD,OAAO,UAAU,CAAC;AACpB,CAAC"}

package/dist/tools/dynamodb-admins/index.d.ts

@@ -0,0 +1,6 @@
+/**
+ * `dynamodb-admins`（管理者の登録の CLI。ADR 0007 §7）の部品。使い方は docs/ADMINS.md の「最初の管理者の登録」
+ */
+export { CONFIRM_REQUIRED_ENVS, EXIT_ERROR, EXIT_EXISTS, EXIT_OK, EXIT_USAGE, USAGE, main, missingConfirmation, parseAddArgs, recordsIamUrlParameterName, ssmGetParameter, } from './cli.js';
+export type { AddArgs, CliDeps, CliIo } from './cli.js';
+//# sourceMappingURL=index.d.ts.map

package/dist/tools/dynamodb-admins/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../../src/tools/dynamodb-admins/index.ts"],"names":[],"mappings":"AAAA;;GAEG;AACH,OAAO,EACL,qBAAqB,EACrB,UAAU,EACV,WAAW,EACX,OAAO,EACP,UAAU,EACV,KAAK,EACL,IAAI,EACJ,mBAAmB,EACnB,YAAY,EACZ,0BAA0B,EAC1B,eAAe,GAChB,MAAM,UAAU,CAAC;AAClB,YAAY,EAAE,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,UAAU,CAAC"}

package/dist/tools/dynamodb-admins/index.js

@@ -0,0 +1,5 @@
+/**
+ * `dynamodb-admins`（管理者の登録の CLI。ADR 0007 §7）の部品。使い方は docs/ADMINS.md の「最初の管理者の登録」
+ */
+export { CONFIRM_REQUIRED_ENVS, EXIT_ERROR, EXIT_EXISTS, EXIT_OK, EXIT_USAGE, USAGE, main, missingConfirmation, parseAddArgs, recordsIamUrlParameterName, ssmGetParameter, } from './cli.js';
+//# sourceMappingURL=index.js.map

package/dist/tools/dynamodb-admins/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../../../src/tools/dynamodb-admins/index.ts"],"names":[],"mappings":"AAAA;;GAEG;AACH,OAAO,EACL,qBAAqB,EACrB,UAAU,EACV,WAAW,EACX,OAAO,EACP,UAAU,EACV,KAAK,EACL,IAAI,EACJ,mBAAmB,EACnB,YAAY,EACZ,0BAA0B,EAC1B,eAAe,GAChB,MAAM,UAAU,CAAC"}

package/dist/tools/dynamodb-admins/run.d.ts

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=run.d.ts.map

package/dist/tools/dynamodb-admins/run.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"run.d.ts","sourceRoot":"","sources":["../../../src/tools/dynamodb-admins/run.ts"],"names":[],"mappings":""}

package/dist/tools/dynamodb-admins/run.js

@@ -0,0 +1,11 @@
+import { main } from './cli.js';
+main(process.argv.slice(2), {
+    out: (s) => process.stdout.write(s),
+    err: (s) => process.stderr.write(s),
+}).then((code) => {
+    process.exitCode = code;
+}, (e) => {
+    process.stderr.write(`${e instanceof Error ? e.message : String(e)}\n`);
+    process.exitCode = 1;
+});
+//# sourceMappingURL=run.js.map

package/dist/tools/dynamodb-admins/run.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"run.js","sourceRoot":"","sources":["../../../src/tools/dynamodb-admins/run.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,IAAI,EAAE,MAAM,UAAU,CAAC;AAEhC,IAAI,CAAC,OAAO,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,EAAE;IAC1B,GAAG,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC;IACnC,GAAG,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC,CAAC;CACpC,CAAC,CAAC,IAAI,CACL,CAAC,IAAI,EAAE,EAAE;IACP,OAAO,CAAC,QAAQ,GAAG,IAAI,CAAC;AAC1B,CAAC,EACD,CAAC,CAAU,EAAE,EAAE;IACb,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,GAAG,CAAC,YAAY,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,IAAI,CAAC,CAAC;IACxE,OAAO,CAAC,QAAQ,GAAG,CAAC,CAAC;AACvB,CAAC,CACF,CAAC"}

package/docs/ADMINS.md

@@ -0,0 +1,57 @@
+# 管理者（admins）
+
+管理画面にログインできる人の正本は、Records の `admins` コレクションのレコードである（[ADR 0007](adr/0007-app-basic-features.md) §7）。このライブラリは、レコードの形・メールの正規化・存在確認つきの作成（`@exabugs/dynamodb-client/admins`）、管理画面（`adminsResource`。[react-admin-integration.md](react-admin-integration.md) の「管理者の画面」）、最初の 1 人の登録の CLI（`dynamodb-admins`）を持つ。通知の宛先（`createAdminDirectory`。[NOTIFY.md](NOTIFY.md)）も同じレコードを読む。
+
+## レコードの形
+
+```ts
+import type { AdminRecord } from '@exabugs/dynamodb-client/admins';
+
+interface AdminRecord {
+  id: string; // 不変。作成時の小文字のメール
+  name: string; // 表示名（必須）
+  email: string; // 不変。常に id と同じ値
+  createdAt?: string;
+  updatedAt?: string;
+}
+```
+
+- `id` が主キーなので、同じメールで 2 件はできない。ログインの判定（Pre Token Generation）は、正規化したメールで `id` を直接引く
+- `email` を持たない既存のレコード（asanowa の `{ id, name }`）は、`id` を `email` として扱う（`adminEmailOf(record)`）。補完の書き込みは任意
+- `name` は必須。ただし `name` を持たない既存のレコード（astro）も、画面は表示できる（「—」）
+- メールアドレスは変えられない。新しい管理者を作り、古い管理者を削除する
+
+## 関数
+
+| 関数                                   | 内容                                                                                                             |
+| -------------------------------------- | ---------------------------------------------------------------------------------------------------------------- |
+| `normalizeAdminEmail(raw)`             | 前後の空白を除き小文字にする（形式は検査しない）。画面・CLI・`createAdminDirectory` が共有する                   |
+| `isAdminEmail(normalized)`             | メールの形式か                                                                                                   |
+| `adminEmailOf(record)`                 | `email`（無ければ `id`）                                                                                         |
+| `buildAdminRecord({ email, name })`    | 作るレコード `{ id, email, name }`。形式の誤り・空の名前は `AdminInputError`（`field` は `'email'` か `'name'`） |
+| `addAdmin(input, writer, { dryRun? })` | 存在確認つきの作成。`{ status: 'created' \| 'exists' \| 'dry-run', record }`。既にあれば書き込まない             |
+| `adminWriterOf(collection)`            | Records のコレクションでの存在確認（`findAdmin`）と `insertOne`                                                  |
+| `findAdmin(collection, id)`            | `find({ id })` + id の昇順 + 1 件（無ければ null）                                                               |
+
+**作成の前に、必ず `id` で存在を確かめる。** 同じ `id` で `insertOne` すると、Records は存在確認をせずに黙って上書きする（条件付き書き込みが無い既知の制約）。`findOne` は、無い `id` で 404 と `ITEM_NOT_FOUND` の警告を出すので、存在確認には使わない。
+
+## 最初の管理者の登録（CLI）
+
+管理画面には admins にいる人しかログインできないので、最初の 1 人は CLI で登録する（2 人目以降は管理画面の「管理者」から）。
+
+```bash
+AWS_PROFILE=<profile> npx dynamodb-admins add you@example.com --app <app> --env dev --name 山田 --dry-run
+AWS_PROFILE=<profile> npx dynamodb-admins add you@example.com --app <app> --env dev --name 山田
+```
+
+- 経路: Records の IAM 版 Function URL を、利用者の AWS の認証情報（SigV4）で呼ぶ。URL は SSM の `/<app>/<env>/infra/dynamodb-client-api-iam-url`（`terraform/modules/parameter-store` が作る）から読む（`--url` で直接も渡せる）。要る権限は、SSM の `GetParameter` と、Function URL の呼び出し
+- オプション: `--region`（既定 `AWS_REGION`、無ければ `ap-northeast-1`）、`--collection`（既定 `admins`）、`--dry-run`（存在確認だけして書き込まない）、`--confirm <env>`
+- **prd の確認**: `--env prd` で書き込むときは `--confirm prd` が要る（例: `… --env prd --name 山田 --confirm prd`。astro の `make … CONFIRM=prd` と同じ流儀）。無い・違う値なら、SSM も Records も呼ばずに終了コード 2。`--dry-run` は書き込まないので要らない
+- 出力には、宛先の `app/env`・コレクションと、Records の URL のホストを出す（`--url` を渡したときの食い違いに気づけるように）
+- 終了コード: 0 = 登録した（`--dry-run` では登録できる）、**3 = 既に登録されている（何も書いていない）**、2 = 引数の誤り・prd の確認の不足、1 = そのほかの失敗（メールの形式の誤りを含む）
+
+## アプリに残るもの
+
+- 管理画面: `<Resource {...adminsResource({ icon })} />`（アイコンはアプリが選ぶ）
+- 最初の管理者のメール（CLI の引数）
+- 誰を admins に入れるか（データ）

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@exabugs/dynamodb-client",
-  "version": "1.22.0",
+  "version": "1.23.0",
   "description": "DynamoDB Single-Table Client SDK with MongoDB-like API, Shadow Records, and Lambda implementation for serverless applications",
   "author": "exabugs",
   "license": "MIT",
@@ -9,6 +9,7 @@
   "types": "./dist/index.d.ts",
   "bin": {
     "dynamodb-access-check": "./bin/dynamodb-access-check.js",
+    "dynamodb-admins": "./bin/dynamodb-admins.js",
     "dynamodb-system-change": "./bin/dynamodb-system-change.js"
   },
   "keywords": [
@@ -46,7 +47,8 @@
     "docs/NOTIFY.md",
     "docs/DYNAMODB_ACCESS.md",
     "docs/RECORDS_CLIENT.md",
-    "docs/SYSTEM_CHANGES.md"
+    "docs/SYSTEM_CHANGES.md",
+    "docs/ADMINS.md"
   ],
   "exports": {
     ".": {
@@ -89,6 +91,10 @@
       "import": "./dist/integrations/react-admin/index.js",
       "types": "./dist/integrations/react-admin/index.d.ts"
     },
+    "./integrations/react-admin/i18n": {
+      "import": "./dist/integrations/react-admin/i18n/index.js",
+      "types": "./dist/integrations/react-admin/i18n/index.d.ts"
+    },
     "./server/media/presign": {
       "import": "./dist/server/media/presign.js",
       "types": "./dist/server/media/presign.d.ts"
@@ -138,11 +144,17 @@
     "./system-changes/cli": {
       "import": "./dist/tools/dynamodb-system-change/index.js",
       "types": "./dist/tools/dynamodb-system-change/index.d.ts"
+    },
+    "./admins": {
+      "import": "./dist/admins/index.js",
+      "types": "./dist/admins/index.d.ts"
     }
   },
   "peerDependencies": {
     "@mui/material": "^5.16.12 || ^6.0.0 || ^7.0.0",
-    "react-admin": "^5.0.0"
+    "react-admin": "^5.0.0",
+    "ra-i18n-polyglot": "^5.0.0",
+    "ra-language-english": "^5.0.0"
   },
   "peerDependenciesMeta": {
     "@mui/material": {
@@ -150,6 +162,12 @@
     },
     "react-admin": {
       "optional": true
+    },
+    "ra-i18n-polyglot": {
+      "optional": true
+    },
+    "ra-language-english": {
+      "optional": true
     }
   },
   "scripts": {
@@ -210,6 +228,8 @@
     "jsdom": "^26.1.0",
     "orval": "^8.2.0",
     "prettier": "^3.0.0",
+    "ra-i18n-polyglot": "^5.0.0",
+    "ra-language-english": "^5.0.0",
     "react-admin": "^5.0.0",
     "sharp": "^0.35.5",
     "tsx": "^4.21.0",