@fiado/api-invoker 5.86.0 → 5.87.0

package/bin/platformRbac/api/PlatformRbacBusinessApi.d.ts

@@ -1,6 +1,6 @@
 import type { IHttpRequest } from "@fiado/http-client";
-import { ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
-import { DefineNextChallengeRequest, DefineNextChallengeResponse, PrepareChallengeRequest, PrepareChallengeResponse, VerifyChallengeRequest, VerifyChallengeResponse, AuthorizeRequest, AuthorizeResponse, EffectivePermissionsResponse, InjectableUserAttributesResponse, PermissionScope, CreateLevelEntityRequest, CreateLevelEntityResponse, CreateTenantUserRequest, CreateTenantUserResponse, UserProfileResponse } from "@fiado/type-kit/bin/platformRbac/index.js";
+import { APIGatewayProxyResultBody, ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
+import { DefineNextChallengeRequest, DefineNextChallengeResponse, PrepareChallengeRequest, PrepareChallengeResponse, VerifyChallengeRequest, VerifyChallengeResponse, AuthorizeRequest, AuthorizeResponse, EffectivePermissionsResponse, InjectableUserAttributesResponse, PermissionScope, CreateLevelEntityRequest, CreateLevelEntityResponse, CreateTenantUserRequest, CreateTenantUserResponse, UserProfileResponse, ListLevelEntitiesResponse, LevelEntityResponse, UpdateLevelEntityRequest, DeleteLevelEntityRequest, DeleteLevelEntityResponse, ListTenantUsersResponse, GetTenantUserResponse, TenantUserResponse, TenantUserAckResponse, UpdateTenantUserRequest, DeleteTenantUserRequest, DisableTenantUserRequest, EnableTenantUserRequest, ResetTenantUserPasswordRequest, ResetTenantUserPasswordResponse, ResetTenantUserMfaRequest, ListTenantRolesResponse, AssignTenantRoleRequest, AssignTenantRoleResponse, RevokeTenantRoleRequest, RevokeTenantRoleResponse } from "@fiado/type-kit/bin/platformRbac/index.js";
 import { IPlatformRbacBusinessApi } from "./interfaces/IPlatformRbacBusinessApi.js";
 /**
  * Publisher HTTP del lambda `platform-rbac-business` (componente 06 SureKeep Fase 0)
@@ -29,4 +29,51 @@ export default class PlatformRbacBusinessApi implements IPlatformRbacBusinessApi
     createLevelEntity(tenantId: string, level: PermissionScope, input: CreateLevelEntityRequest): Promise<ApiGatewayResponse<CreateLevelEntityResponse>>;
     createTenantUser(tenantId: string, input: CreateTenantUserRequest): Promise<ApiGatewayResponse<CreateTenantUserResponse>>;
     getUserProfile(cognitoSub: string, tenantId: string): Promise<ApiGatewayResponse<UserProfileResponse>>;
+    /** Ruta base de los grupos (entidades de nivel) de un tenant. */
+    private _levelEntitiesUrl;
+    /** Ruta base de los usuarios de un tenant. */
+    private _tenantUsersUrl;
+    private _deleteWithBody;
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities — lista los grupos de un nivel; `parentId` filtra por los hijos de un grupo. */
+    listLevelEntities(tenantId: string, level: PermissionScope, parentId?: string): Promise<APIGatewayProxyResultBody<ListLevelEntitiesResponse>>;
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities/{id} — detalle de un grupo. */
+    getLevelEntity(tenantId: string, level: PermissionScope, id: string): Promise<APIGatewayProxyResultBody<LevelEntityResponse>>;
+    /** PUT /internal/tenants/{tenantId}/levels/{level}/entities/{id} — renombra un grupo. */
+    updateLevelEntity(tenantId: string, level: PermissionScope, id: string, input: UpdateLevelEntityRequest): Promise<APIGatewayProxyResultBody<LevelEntityResponse>>;
+    /** DELETE /internal/tenants/{tenantId}/levels/{level}/entities/{id} — borra un grupo. El `actedBy` viaja en el cuerpo. */
+    deleteLevelEntity(tenantId: string, level: PermissionScope, id: string, input: DeleteLevelEntityRequest): Promise<APIGatewayProxyResultBody<DeleteLevelEntityResponse>>;
+    /**
+     * GET /internal/tenants/{tenantId}/users — lista los usuarios del tenant.
+     * El filtro `email` es lo que permite adoptar una cuenta que ya existía.
+     */
+    listTenantUsers(tenantId: string, email?: string): Promise<APIGatewayProxyResultBody<ListTenantUsersResponse>>;
+    /**
+     * GET /internal/tenants/{tenantId}/users/{cognitoSub} — detalle de un usuario.
+     * De aquí sale el `assignmentId` que hace falta para revocar un rol.
+     */
+    getTenantUser(tenantId: string, cognitoSub: string): Promise<APIGatewayProxyResultBody<GetTenantUserResponse>>;
+    /** PUT /internal/tenants/{tenantId}/users/{cognitoSub} — renombra a un usuario. */
+    updateTenantUser(tenantId: string, cognitoSub: string, input: UpdateTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserResponse>>;
+    /** DELETE /internal/tenants/{tenantId}/users/{cognitoSub} — borra a un usuario. El `actedBy` viaja en el cuerpo. */
+    deleteTenantUser(tenantId: string, cognitoSub: string, input: DeleteTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/disable — suspende a un usuario. */
+    disableTenantUser(tenantId: string, cognitoSub: string, input: DisableTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/enable — reactiva a un usuario suspendido. */
+    enableTenantUser(tenantId: string, cognitoSub: string, input: EnableTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /**
+     * POST /internal/tenants/{tenantId}/users/{cognitoSub}/password-reset — resetea la contraseña.
+     * Devuelve la contraseña temporal en claro; no se manda correo.
+     */
+    resetTenantUserPassword(tenantId: string, cognitoSub: string, input: ResetTenantUserPasswordRequest): Promise<APIGatewayProxyResultBody<ResetTenantUserPasswordResponse>>;
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/mfa-reset — resetea el MFA de un usuario. */
+    resetTenantUserMfa(tenantId: string, cognitoSub: string, input: ResetTenantUserMfaRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /** GET /internal/tenants/{tenantId}/roles — catálogo de roles del tenant, para armar el selector de asignación. */
+    listTenantRoles(tenantId: string): Promise<APIGatewayProxyResultBody<ListTenantRolesResponse>>;
+    /** POST /internal/tenants/{tenantId}/role-assignments — asigna un rol a un usuario en un scope. */
+    assignTenantRole(tenantId: string, input: AssignTenantRoleRequest): Promise<APIGatewayProxyResultBody<AssignTenantRoleResponse>>;
+    /**
+     * POST /internal/tenants/{tenantId}/role-assignments/{assignmentId}/revoke — revoca una asignación.
+     * El `cognitoSub` va en el cuerpo porque es parte de la llave de la tabla de asignaciones.
+     */
+    revokeTenantRole(tenantId: string, assignmentId: string, input: RevokeTenantRoleRequest): Promise<APIGatewayProxyResultBody<RevokeTenantRoleResponse>>;
 }

package/bin/platformRbac/api/PlatformRbacBusinessApi.js

@@ -80,6 +80,111 @@ let PlatformRbacBusinessApi = class PlatformRbacBusinessApi {
         const url = `${this.baseUrl}/internal/users/${encodeURIComponent(cognitoSub)}/profile?tenantId=${encodeURIComponent(tenantId)}`;
         return await this.httpRequest.get(url);
     }
+    // ── Administración de RBAC para el hub de agentes (grupos, usuarios y roles) ──
+    // Tipados `APIGatewayProxyResultBody<T>`, el shape REAL que devuelve @fiado/http-client:
+    // el body HTTP crudo `{ code, date, msg, data }`, con el payload en `.data` (TD-AI-003).
+    /** Ruta base de los grupos (entidades de nivel) de un tenant. */
+    _levelEntitiesUrl(tenantId, level) {
+        return `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/levels/${encodeURIComponent(level)}/entities`;
+    }
+    /** Ruta base de los usuarios de un tenant. */
+    _tenantUsersUrl(tenantId) {
+        return `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/users`;
+    }
+    // `IHttpRequest.delete` manda su segundo argumento como QUERY STRING, no como cuerpo: el cuerpo
+    // solo llega por `extraConfig` ({ data }). `actedBy` va ahí para no quedar en los logs de API Gateway.
+    async _deleteWithBody(url, body) {
+        return await this.httpRequest.delete(url, undefined, undefined, undefined, undefined, { data: body });
+    }
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities — lista los grupos de un nivel; `parentId` filtra por los hijos de un grupo. */
+    async listLevelEntities(tenantId, level, parentId) {
+        const base = this._levelEntitiesUrl(tenantId, level);
+        const url = parentId ? `${base}?parentId=${encodeURIComponent(parentId)}` : base;
+        return await this.httpRequest.get(url);
+    }
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities/{id} — detalle de un grupo. */
+    async getLevelEntity(tenantId, level, id) {
+        const url = `${this._levelEntitiesUrl(tenantId, level)}/${encodeURIComponent(id)}`;
+        return await this.httpRequest.get(url);
+    }
+    /** PUT /internal/tenants/{tenantId}/levels/{level}/entities/{id} — renombra un grupo. */
+    async updateLevelEntity(tenantId, level, id, input) {
+        const url = `${this._levelEntitiesUrl(tenantId, level)}/${encodeURIComponent(id)}`;
+        return await this.httpRequest.put(url, input);
+    }
+    /** DELETE /internal/tenants/{tenantId}/levels/{level}/entities/{id} — borra un grupo. El `actedBy` viaja en el cuerpo. */
+    async deleteLevelEntity(tenantId, level, id, input) {
+        const url = `${this._levelEntitiesUrl(tenantId, level)}/${encodeURIComponent(id)}`;
+        return await this._deleteWithBody(url, input);
+    }
+    /**
+     * GET /internal/tenants/{tenantId}/users — lista los usuarios del tenant.
+     * El filtro `email` es lo que permite adoptar una cuenta que ya existía.
+     */
+    async listTenantUsers(tenantId, email) {
+        const base = this._tenantUsersUrl(tenantId);
+        const url = email ? `${base}?email=${encodeURIComponent(email)}` : base;
+        return await this.httpRequest.get(url);
+    }
+    /**
+     * GET /internal/tenants/{tenantId}/users/{cognitoSub} — detalle de un usuario.
+     * De aquí sale el `assignmentId` que hace falta para revocar un rol.
+     */
+    async getTenantUser(tenantId, cognitoSub) {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}`;
+        return await this.httpRequest.get(url);
+    }
+    /** PUT /internal/tenants/{tenantId}/users/{cognitoSub} — renombra a un usuario. */
+    async updateTenantUser(tenantId, cognitoSub, input) {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}`;
+        return await this.httpRequest.put(url, input);
+    }
+    /** DELETE /internal/tenants/{tenantId}/users/{cognitoSub} — borra a un usuario. El `actedBy` viaja en el cuerpo. */
+    async deleteTenantUser(tenantId, cognitoSub, input) {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}`;
+        return await this._deleteWithBody(url, input);
+    }
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/disable — suspende a un usuario. */
+    async disableTenantUser(tenantId, cognitoSub, input) {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/disable`;
+        return await this.httpRequest.post(url, input);
+    }
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/enable — reactiva a un usuario suspendido. */
+    async enableTenantUser(tenantId, cognitoSub, input) {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/enable`;
+        return await this.httpRequest.post(url, input);
+    }
+    /**
+     * POST /internal/tenants/{tenantId}/users/{cognitoSub}/password-reset — resetea la contraseña.
+     * Devuelve la contraseña temporal en claro; no se manda correo.
+     */
+    async resetTenantUserPassword(tenantId, cognitoSub, input) {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/password-reset`;
+        return await this.httpRequest.post(url, input);
+    }
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/mfa-reset — resetea el MFA de un usuario. */
+    async resetTenantUserMfa(tenantId, cognitoSub, input) {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/mfa-reset`;
+        return await this.httpRequest.post(url, input);
+    }
+    /** GET /internal/tenants/{tenantId}/roles — catálogo de roles del tenant, para armar el selector de asignación. */
+    async listTenantRoles(tenantId) {
+        const url = `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/roles`;
+        return await this.httpRequest.get(url);
+    }
+    /** POST /internal/tenants/{tenantId}/role-assignments — asigna un rol a un usuario en un scope. */
+    async assignTenantRole(tenantId, input) {
+        const url = `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/role-assignments`;
+        return await this.httpRequest.post(url, input);
+    }
+    /**
+     * POST /internal/tenants/{tenantId}/role-assignments/{assignmentId}/revoke — revoca una asignación.
+     * El `cognitoSub` va en el cuerpo porque es parte de la llave de la tabla de asignaciones.
+     */
+    async revokeTenantRole(tenantId, assignmentId, input) {
+        const url = `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/role-assignments/${encodeURIComponent(assignmentId)}/revoke`;
+        return await this.httpRequest.post(url, input);
+    }
 };
 PlatformRbacBusinessApi = __decorate([
     injectable(),

package/bin/platformRbac/api/interfaces/IPlatformRbacBusinessApi.d.ts

@@ -1,5 +1,5 @@
-import { ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
-import { DefineNextChallengeRequest, DefineNextChallengeResponse, PrepareChallengeRequest, PrepareChallengeResponse, VerifyChallengeRequest, VerifyChallengeResponse, AuthorizeRequest, AuthorizeResponse, EffectivePermissionsResponse, InjectableUserAttributesResponse, PermissionScope, CreateLevelEntityRequest, CreateLevelEntityResponse, CreateTenantUserRequest, CreateTenantUserResponse, UserProfileResponse } from "@fiado/type-kit/bin/platformRbac/index.js";
+import { APIGatewayProxyResultBody, ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
+import { DefineNextChallengeRequest, DefineNextChallengeResponse, PrepareChallengeRequest, PrepareChallengeResponse, VerifyChallengeRequest, VerifyChallengeResponse, AuthorizeRequest, AuthorizeResponse, EffectivePermissionsResponse, InjectableUserAttributesResponse, PermissionScope, CreateLevelEntityRequest, CreateLevelEntityResponse, CreateTenantUserRequest, CreateTenantUserResponse, UserProfileResponse, ListLevelEntitiesResponse, LevelEntityResponse, UpdateLevelEntityRequest, DeleteLevelEntityRequest, DeleteLevelEntityResponse, ListTenantUsersResponse, GetTenantUserResponse, TenantUserResponse, TenantUserAckResponse, UpdateTenantUserRequest, DeleteTenantUserRequest, DisableTenantUserRequest, EnableTenantUserRequest, ResetTenantUserPasswordRequest, ResetTenantUserPasswordResponse, ResetTenantUserMfaRequest, ListTenantRolesResponse, AssignTenantRoleRequest, AssignTenantRoleResponse, RevokeTenantRoleRequest, RevokeTenantRoleResponse } from "@fiado/type-kit/bin/platformRbac/index.js";
 /**
  * Contrato del publisher HTTP del lambda `platform-rbac-business` (componente 06 SureKeep Fase 0)
  * para los 3 endpoints internos del Custom Auth Challenge flow (MFA).
@@ -8,8 +8,8 @@ import { DefineNextChallengeRequest, DefineNextChallengeResponse, PrepareChallen
  * `defineAuthChallenge`, `createAuthChallenge` y `verifyAuthChallengeResponse`
  * configurados en cada User Pool aprovisionado por la saga `TenantOnboardingManager`.
  *
- * Patrón de retorno: `Promise<ApiGatewayResponse<T>>` sin unwrap (v4 canonical Fiado).
- * El consumer accede `result.body.data` para llegar al payload tipado.
+ * Devuelve el body HTTP crudo `{ code, date, msg, data }`, con el payload en `.data`: el tipo honesto es
+ * el de los métodos de administración. Los `ApiGatewayResponse<T>` mienten y quedan por TD-AI-003.
  *
  * Env var requerida en el consumer: `PLATFORM_RBAC_BUSINESS_URL`.
  * El template.yml del consumer la setea con:
@@ -77,4 +77,47 @@ export interface IPlatformRbacBusinessApi {
     createTenantUser(tenantId: string, input: CreateTenantUserRequest): Promise<ApiGatewayResponse<CreateTenantUserResponse>>;
     /** GET /internal/users/{cognitoSub}/profile?tenantId= — perfil básico del SharedUser (displayName, email, phone, status). */
     getUserProfile(cognitoSub: string, tenantId: string): Promise<ApiGatewayResponse<UserProfileResponse>>;
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities — lista los grupos de un nivel; `parentId` filtra por los hijos de un grupo. */
+    listLevelEntities(tenantId: string, level: PermissionScope, parentId?: string): Promise<APIGatewayProxyResultBody<ListLevelEntitiesResponse>>;
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities/{id} — detalle de un grupo. */
+    getLevelEntity(tenantId: string, level: PermissionScope, id: string): Promise<APIGatewayProxyResultBody<LevelEntityResponse>>;
+    /** PUT /internal/tenants/{tenantId}/levels/{level}/entities/{id} — renombra un grupo. */
+    updateLevelEntity(tenantId: string, level: PermissionScope, id: string, input: UpdateLevelEntityRequest): Promise<APIGatewayProxyResultBody<LevelEntityResponse>>;
+    /** DELETE /internal/tenants/{tenantId}/levels/{level}/entities/{id} — borra un grupo. El `actedBy` viaja en el cuerpo. */
+    deleteLevelEntity(tenantId: string, level: PermissionScope, id: string, input: DeleteLevelEntityRequest): Promise<APIGatewayProxyResultBody<DeleteLevelEntityResponse>>;
+    /**
+     * GET /internal/tenants/{tenantId}/users — lista los usuarios del tenant.
+     * El filtro `email` es lo que permite adoptar una cuenta que ya existía: antes de crear un
+     * usuario se pregunta si ese correo ya tiene uno.
+     */
+    listTenantUsers(tenantId: string, email?: string): Promise<APIGatewayProxyResultBody<ListTenantUsersResponse>>;
+    /**
+     * GET /internal/tenants/{tenantId}/users/{cognitoSub} — detalle de un usuario.
+     * De aquí sale el `assignmentId` que hace falta para revocar un rol.
+     */
+    getTenantUser(tenantId: string, cognitoSub: string): Promise<APIGatewayProxyResultBody<GetTenantUserResponse>>;
+    /** PUT /internal/tenants/{tenantId}/users/{cognitoSub} — renombra a un usuario. */
+    updateTenantUser(tenantId: string, cognitoSub: string, input: UpdateTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserResponse>>;
+    /** DELETE /internal/tenants/{tenantId}/users/{cognitoSub} — borra a un usuario. El `actedBy` viaja en el cuerpo. */
+    deleteTenantUser(tenantId: string, cognitoSub: string, input: DeleteTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/disable — suspende a un usuario. */
+    disableTenantUser(tenantId: string, cognitoSub: string, input: DisableTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/enable — reactiva a un usuario suspendido. */
+    enableTenantUser(tenantId: string, cognitoSub: string, input: EnableTenantUserRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /**
+     * POST /internal/tenants/{tenantId}/users/{cognitoSub}/password-reset — resetea la contraseña.
+     * Devuelve la contraseña temporal en claro; no se manda correo.
+     */
+    resetTenantUserPassword(tenantId: string, cognitoSub: string, input: ResetTenantUserPasswordRequest): Promise<APIGatewayProxyResultBody<ResetTenantUserPasswordResponse>>;
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/mfa-reset — resetea el MFA de un usuario. */
+    resetTenantUserMfa(tenantId: string, cognitoSub: string, input: ResetTenantUserMfaRequest): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+    /** GET /internal/tenants/{tenantId}/roles — catálogo de roles del tenant, para armar el selector de asignación. */
+    listTenantRoles(tenantId: string): Promise<APIGatewayProxyResultBody<ListTenantRolesResponse>>;
+    /** POST /internal/tenants/{tenantId}/role-assignments — asigna un rol a un usuario en un scope. */
+    assignTenantRole(tenantId: string, input: AssignTenantRoleRequest): Promise<APIGatewayProxyResultBody<AssignTenantRoleResponse>>;
+    /**
+     * POST /internal/tenants/{tenantId}/role-assignments/{assignmentId}/revoke — revoca una asignación.
+     * El `cognitoSub` va en el cuerpo porque es parte de la llave de la tabla de asignaciones.
+     */
+    revokeTenantRole(tenantId: string, assignmentId: string, input: RevokeTenantRoleRequest): Promise<APIGatewayProxyResultBody<RevokeTenantRoleResponse>>;
 }

package/docs/TECH_DEBT.md

@@ -2,7 +2,9 @@
 
 Registro vivo de deudas conscientes del repo. Cada entrada con ID estable `TD-AI-NNN` y los 4 campos canónicos (contexto / asunción / condición para cerrar / bloqueante).
 
-## TD-AI-001 — 2026-05-29 — npm link @fiado/type-kit activo
+## TD-AI-001 — 2026-05-29 — CERRADA 2026-09-21 — npm link @fiado/type-kit activo
+
+- **Cierre:** el symlink se quitó y se reinstaló `@fiado/type-kit@3.455.0` desde el registry. `tsc --noEmit` en cero y 331 tests en verde, así que el módulo `platformRbac` ya resuelve sin link. El detalle de abajo es histórico.
 
 - **Contexto:** `node_modules/@fiado/type-kit` es symlink local a `C:/Users/Fiado/Documents/Repos/fiado-type-kit/` (v3.43.1) — el publicado en CodeArtifact es v3.42.0 sin el módulo `platformRbac` que el Publisher `PlatformRbacBusinessApi` nuevo (`src/platformRbac/`) importa. El link se activó para iterar localmente sin publish prematuro del type-kit (decisión del user en el plan `2026-05-29-custom-auth-challenge-mfa.md`).
 - **Asunción / pendiente:** el `npm run build` y `tsc --noEmit` funcionan con el link, pero CI y cualquier `npm install` fresh van a resolver desde CodeArtifact (3.42.0) y fallar con `TS2307: Cannot find module '@fiado/type-kit/bin/platformRbac'` en los 2 archivos nuevos del Publisher.
@@ -21,3 +23,17 @@ Registro vivo de deudas conscientes del repo. Cada entrada con ID estable `TD-AI
 - **Asunción / pendiente:** se tiparon inline a propósito para no bloquear el cableado del wizard F2 en un bump de type-kit (regla de la sesión: NO tocar type-kit sin OK). Los shapes espejan fielmente el contrato del destino verificado en código.
 - **Condición para cerrar:** cuando `retail-catalog-business`/`retail-cards-business` publiquen esos DTOs en `@fiado/type-kit` (dominios `retailCatalog`/`retailCards`), reemplazar los inline por el import del type-kit y bumpear.
 - **Bloqueante:** NO — el contrato de red es correcto; es unificación de tipos con downstream.
+
+## TD-AI-003 — 2026-09-21 — el tipo de retorno de los publishers miente sobre el shape real
+
+- **Contexto:** `@fiado/http-client` hace `return response.data` de axios, así que lo que llega en runtime es el body HTTP crudo del `ApiResponse` del lambda destino: `{ code, date, msg, data }`, con el payload en `.data`. Los 43 archivos de `src/` que declaran `Promise<ApiGatewayResponse<T>>` (`{ statusCode, body }`) declaran un shape que nunca existe. Ya costó un crash: leer `.body` en `ApiInvokerPermissionResolver` daba `undefined` y reventaba `enforceRbac`, y `retail-org-business` compensa con `response as unknown as Record<string, unknown>` + `(raw?.data ?? raw)` al consumir `createLevelEntity`.
+- **Asunción / pendiente:** los 15 métodos de administración de RBAC (`listLevelEntities`..`revokeTenantRole`) ya se tipan `APIGatewayProxyResultBody<T>` de `@fiado/gateway-adapter`, que es el shape honesto — mismo precedente que `CollectorApi.getCollectorTransactionByIds`. Los métodos viejos NO se tocaron: corregirlos por abajo rompe la compensación de los consumidores vivos que ya leen `?? raw`.
+- **Condición para cerrar:** migrar los 43 archivos a `APIGatewayProxyResultBody<T>` en un bump coordinado, quitando en el mismo movimiento los casts de compensación de cada consumer (arrancando por `retail-org-business`). No es de este ciclo.
+- **Bloqueante:** NO — el contrato de red es correcto y el shape honesto ya es el de los métodos nuevos; es unificación de tipos.
+
+## TD-AI-004 — 2026-09-21 — CERRADA — npm link @fiado/type-kit (DTOs de administración de RBAC)
+
+- **Contexto:** durante el desarrollo, `node_modules/@fiado/type-kit` fue symlink al repo local porque los 15 métodos de administración de RBAC importaban DTOs que la versión publicada todavía no tenía.
+- **Cómo se cerró:** publicada `@fiado/type-kit@3.455.0`, se quitó el symlink y se reinstaló desde el registry. `tsc --noEmit` en cero y 331 tests en verde contra el árbol del registry.
+- **Lo que el link tapaba, y conviene recordar:** `tsc` no limpia `bin/`, así que artefactos compilados de DTOs ya borrados seguían resolviendo a través del symlink. Un `npm link` puede hacer compilar contra tipos que ya no existen.
+- **Trampa del teardown:** `npm unlink <pkg>` en npm 7+ es alias de `uninstall` y BORRA la dependencia de `package.json`. Hay que restaurarla antes del `npm install`, o el paquete se resuelve como transitiva en una versión vieja.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/api-invoker",
-  "version": "5.86.0",
+  "version": "5.87.0",
   "description": "Sirve como un puente entre diferentes funciones lambda, facilitando la comunicación entre ellas a través de invocaciones http",
   "type": "module",
   "main": "bin/index.js",

package/src/platformRbac/api/PlatformRbacBusinessApi.ts

@@ -1,7 +1,12 @@
 import { inject, injectable } from "inversify";
 import type { IHttpRequest } from "@fiado/http-client";
-import { ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
-// TD-AI-001: import de @fiado/type-kit/bin/platformRbac requiere npm link a type-kit 3.43.1 hasta publish final. Ver docs/TECH_DEBT.md.
+import {
+    APIGatewayProxyResultBody,
+    ApiGatewayResponse,
+    ResolvedPermissions,
+    ResolveInput,
+} from "@fiado/gateway-adapter";
+// TD-AI-003: el tipo de retorno de los métodos viejos no refleja el runtime. Ver docs/TECH_DEBT.md.
 import {
     DefineNextChallengeRequest,
     DefineNextChallengeResponse,
@@ -19,6 +24,27 @@ import {
     CreateTenantUserRequest,
     CreateTenantUserResponse,
     UserProfileResponse,
+    ListLevelEntitiesResponse,
+    LevelEntityResponse,
+    UpdateLevelEntityRequest,
+    DeleteLevelEntityRequest,
+    DeleteLevelEntityResponse,
+    ListTenantUsersResponse,
+    GetTenantUserResponse,
+    TenantUserResponse,
+    TenantUserAckResponse,
+    UpdateTenantUserRequest,
+    DeleteTenantUserRequest,
+    DisableTenantUserRequest,
+    EnableTenantUserRequest,
+    ResetTenantUserPasswordRequest,
+    ResetTenantUserPasswordResponse,
+    ResetTenantUserMfaRequest,
+    ListTenantRolesResponse,
+    AssignTenantRoleRequest,
+    AssignTenantRoleResponse,
+    RevokeTenantRoleRequest,
+    RevokeTenantRoleResponse,
 } from "@fiado/type-kit/bin/platformRbac/index.js";
 import { IPlatformRbacBusinessApi } from "./interfaces/IPlatformRbacBusinessApi.js";
 
@@ -126,4 +152,185 @@ export default class PlatformRbacBusinessApi implements IPlatformRbacBusinessApi
         const url = `${this.baseUrl}/internal/users/${encodeURIComponent(cognitoSub)}/profile?tenantId=${encodeURIComponent(tenantId)}`;
         return await this.httpRequest.get(url);
     }
+
+    // ── Administración de RBAC para el hub de agentes (grupos, usuarios y roles) ──
+    // Tipados `APIGatewayProxyResultBody<T>`, el shape REAL que devuelve @fiado/http-client:
+    // el body HTTP crudo `{ code, date, msg, data }`, con el payload en `.data` (TD-AI-003).
+
+    /** Ruta base de los grupos (entidades de nivel) de un tenant. */
+    private _levelEntitiesUrl(tenantId: string, level: PermissionScope): string {
+        return `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/levels/${encodeURIComponent(level)}/entities`;
+    }
+
+    /** Ruta base de los usuarios de un tenant. */
+    private _tenantUsersUrl(tenantId: string): string {
+        return `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/users`;
+    }
+
+    // `IHttpRequest.delete` manda su segundo argumento como QUERY STRING, no como cuerpo: el cuerpo
+    // solo llega por `extraConfig` ({ data }). `actedBy` va ahí para no quedar en los logs de API Gateway.
+    private async _deleteWithBody<T>(url: string, body: unknown): Promise<T> {
+        return await this.httpRequest.delete<T>(url, undefined, undefined, undefined, undefined, { data: body });
+    }
+
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities — lista los grupos de un nivel; `parentId` filtra por los hijos de un grupo. */
+    async listLevelEntities(
+        tenantId: string,
+        level: PermissionScope,
+        parentId?: string,
+    ): Promise<APIGatewayProxyResultBody<ListLevelEntitiesResponse>> {
+        const base = this._levelEntitiesUrl(tenantId, level);
+        const url = parentId ? `${base}?parentId=${encodeURIComponent(parentId)}` : base;
+        return await this.httpRequest.get(url);
+    }
+
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities/{id} — detalle de un grupo. */
+    async getLevelEntity(
+        tenantId: string,
+        level: PermissionScope,
+        id: string,
+    ): Promise<APIGatewayProxyResultBody<LevelEntityResponse>> {
+        const url = `${this._levelEntitiesUrl(tenantId, level)}/${encodeURIComponent(id)}`;
+        return await this.httpRequest.get(url);
+    }
+
+    /** PUT /internal/tenants/{tenantId}/levels/{level}/entities/{id} — renombra un grupo. */
+    async updateLevelEntity(
+        tenantId: string,
+        level: PermissionScope,
+        id: string,
+        input: UpdateLevelEntityRequest,
+    ): Promise<APIGatewayProxyResultBody<LevelEntityResponse>> {
+        const url = `${this._levelEntitiesUrl(tenantId, level)}/${encodeURIComponent(id)}`;
+        return await this.httpRequest.put(url, input);
+    }
+
+    /** DELETE /internal/tenants/{tenantId}/levels/{level}/entities/{id} — borra un grupo. El `actedBy` viaja en el cuerpo. */
+    async deleteLevelEntity(
+        tenantId: string,
+        level: PermissionScope,
+        id: string,
+        input: DeleteLevelEntityRequest,
+    ): Promise<APIGatewayProxyResultBody<DeleteLevelEntityResponse>> {
+        const url = `${this._levelEntitiesUrl(tenantId, level)}/${encodeURIComponent(id)}`;
+        return await this._deleteWithBody(url, input);
+    }
+
+    /**
+     * GET /internal/tenants/{tenantId}/users — lista los usuarios del tenant.
+     * El filtro `email` es lo que permite adoptar una cuenta que ya existía.
+     */
+    async listTenantUsers(
+        tenantId: string,
+        email?: string,
+    ): Promise<APIGatewayProxyResultBody<ListTenantUsersResponse>> {
+        const base = this._tenantUsersUrl(tenantId);
+        const url = email ? `${base}?email=${encodeURIComponent(email)}` : base;
+        return await this.httpRequest.get(url);
+    }
+
+    /**
+     * GET /internal/tenants/{tenantId}/users/{cognitoSub} — detalle de un usuario.
+     * De aquí sale el `assignmentId` que hace falta para revocar un rol.
+     */
+    async getTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+    ): Promise<APIGatewayProxyResultBody<GetTenantUserResponse>> {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}`;
+        return await this.httpRequest.get(url);
+    }
+
+    /** PUT /internal/tenants/{tenantId}/users/{cognitoSub} — renombra a un usuario. */
+    async updateTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: UpdateTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserResponse>> {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}`;
+        return await this.httpRequest.put(url, input);
+    }
+
+    /** DELETE /internal/tenants/{tenantId}/users/{cognitoSub} — borra a un usuario. El `actedBy` viaja en el cuerpo. */
+    async deleteTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: DeleteTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>> {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}`;
+        return await this._deleteWithBody(url, input);
+    }
+
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/disable — suspende a un usuario. */
+    async disableTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: DisableTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>> {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/disable`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/enable — reactiva a un usuario suspendido. */
+    async enableTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: EnableTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>> {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/enable`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    /**
+     * POST /internal/tenants/{tenantId}/users/{cognitoSub}/password-reset — resetea la contraseña.
+     * Devuelve la contraseña temporal en claro; no se manda correo.
+     */
+    async resetTenantUserPassword(
+        tenantId: string,
+        cognitoSub: string,
+        input: ResetTenantUserPasswordRequest,
+    ): Promise<APIGatewayProxyResultBody<ResetTenantUserPasswordResponse>> {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/password-reset`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/mfa-reset — resetea el MFA de un usuario. */
+    async resetTenantUserMfa(
+        tenantId: string,
+        cognitoSub: string,
+        input: ResetTenantUserMfaRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>> {
+        const url = `${this._tenantUsersUrl(tenantId)}/${encodeURIComponent(cognitoSub)}/mfa-reset`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    /** GET /internal/tenants/{tenantId}/roles — catálogo de roles del tenant, para armar el selector de asignación. */
+    async listTenantRoles(
+        tenantId: string,
+    ): Promise<APIGatewayProxyResultBody<ListTenantRolesResponse>> {
+        const url = `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/roles`;
+        return await this.httpRequest.get(url);
+    }
+
+    /** POST /internal/tenants/{tenantId}/role-assignments — asigna un rol a un usuario en un scope. */
+    async assignTenantRole(
+        tenantId: string,
+        input: AssignTenantRoleRequest,
+    ): Promise<APIGatewayProxyResultBody<AssignTenantRoleResponse>> {
+        const url = `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/role-assignments`;
+        return await this.httpRequest.post(url, input);
+    }
+
+    /**
+     * POST /internal/tenants/{tenantId}/role-assignments/{assignmentId}/revoke — revoca una asignación.
+     * El `cognitoSub` va en el cuerpo porque es parte de la llave de la tabla de asignaciones.
+     */
+    async revokeTenantRole(
+        tenantId: string,
+        assignmentId: string,
+        input: RevokeTenantRoleRequest,
+    ): Promise<APIGatewayProxyResultBody<RevokeTenantRoleResponse>> {
+        const url = `${this.baseUrl}/internal/tenants/${encodeURIComponent(tenantId)}/role-assignments/${encodeURIComponent(assignmentId)}/revoke`;
+        return await this.httpRequest.post(url, input);
+    }
 }

package/src/platformRbac/api/interfaces/IPlatformRbacBusinessApi.ts

@@ -1,4 +1,9 @@
-import { ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
+import {
+    APIGatewayProxyResultBody,
+    ApiGatewayResponse,
+    ResolvedPermissions,
+    ResolveInput,
+} from "@fiado/gateway-adapter";
 import {
     DefineNextChallengeRequest,
     DefineNextChallengeResponse,
@@ -16,6 +21,27 @@ import {
     CreateTenantUserRequest,
     CreateTenantUserResponse,
     UserProfileResponse,
+    ListLevelEntitiesResponse,
+    LevelEntityResponse,
+    UpdateLevelEntityRequest,
+    DeleteLevelEntityRequest,
+    DeleteLevelEntityResponse,
+    ListTenantUsersResponse,
+    GetTenantUserResponse,
+    TenantUserResponse,
+    TenantUserAckResponse,
+    UpdateTenantUserRequest,
+    DeleteTenantUserRequest,
+    DisableTenantUserRequest,
+    EnableTenantUserRequest,
+    ResetTenantUserPasswordRequest,
+    ResetTenantUserPasswordResponse,
+    ResetTenantUserMfaRequest,
+    ListTenantRolesResponse,
+    AssignTenantRoleRequest,
+    AssignTenantRoleResponse,
+    RevokeTenantRoleRequest,
+    RevokeTenantRoleResponse,
 } from "@fiado/type-kit/bin/platformRbac/index.js";
 
 /**
@@ -26,8 +52,8 @@ import {
  * `defineAuthChallenge`, `createAuthChallenge` y `verifyAuthChallengeResponse`
  * configurados en cada User Pool aprovisionado por la saga `TenantOnboardingManager`.
  *
- * Patrón de retorno: `Promise<ApiGatewayResponse<T>>` sin unwrap (v4 canonical Fiado).
- * El consumer accede `result.body.data` para llegar al payload tipado.
+ * Devuelve el body HTTP crudo `{ code, date, msg, data }`, con el payload en `.data`: el tipo honesto es
+ * el de los métodos de administración. Los `ApiGatewayResponse<T>` mienten y quedan por TD-AI-003.
  *
  * Env var requerida en el consumer: `PLATFORM_RBAC_BUSINESS_URL`.
  * El template.yml del consumer la setea con:
@@ -128,4 +154,123 @@ export interface IPlatformRbacBusinessApi {
         cognitoSub: string,
         tenantId: string,
     ): Promise<ApiGatewayResponse<UserProfileResponse>>;
+
+    // ── Administración de RBAC para el hub de agentes (grupos, usuarios y roles) ──
+    // Estos métodos declaran el shape REAL de retorno: `APIGatewayProxyResultBody<T>` = el body
+    // HTTP crudo del ApiResponse de rbac, con el payload en `.data` (TD-AI-003).
+
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities — lista los grupos de un nivel; `parentId` filtra por los hijos de un grupo. */
+    listLevelEntities(
+        tenantId: string,
+        level: PermissionScope,
+        parentId?: string,
+    ): Promise<APIGatewayProxyResultBody<ListLevelEntitiesResponse>>;
+
+    /** GET /internal/tenants/{tenantId}/levels/{level}/entities/{id} — detalle de un grupo. */
+    getLevelEntity(
+        tenantId: string,
+        level: PermissionScope,
+        id: string,
+    ): Promise<APIGatewayProxyResultBody<LevelEntityResponse>>;
+
+    /** PUT /internal/tenants/{tenantId}/levels/{level}/entities/{id} — renombra un grupo. */
+    updateLevelEntity(
+        tenantId: string,
+        level: PermissionScope,
+        id: string,
+        input: UpdateLevelEntityRequest,
+    ): Promise<APIGatewayProxyResultBody<LevelEntityResponse>>;
+
+    /** DELETE /internal/tenants/{tenantId}/levels/{level}/entities/{id} — borra un grupo. El `actedBy` viaja en el cuerpo. */
+    deleteLevelEntity(
+        tenantId: string,
+        level: PermissionScope,
+        id: string,
+        input: DeleteLevelEntityRequest,
+    ): Promise<APIGatewayProxyResultBody<DeleteLevelEntityResponse>>;
+
+    /**
+     * GET /internal/tenants/{tenantId}/users — lista los usuarios del tenant.
+     * El filtro `email` es lo que permite adoptar una cuenta que ya existía: antes de crear un
+     * usuario se pregunta si ese correo ya tiene uno.
+     */
+    listTenantUsers(
+        tenantId: string,
+        email?: string,
+    ): Promise<APIGatewayProxyResultBody<ListTenantUsersResponse>>;
+
+    /**
+     * GET /internal/tenants/{tenantId}/users/{cognitoSub} — detalle de un usuario.
+     * De aquí sale el `assignmentId` que hace falta para revocar un rol.
+     */
+    getTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+    ): Promise<APIGatewayProxyResultBody<GetTenantUserResponse>>;
+
+    /** PUT /internal/tenants/{tenantId}/users/{cognitoSub} — renombra a un usuario. */
+    updateTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: UpdateTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserResponse>>;
+
+    /** DELETE /internal/tenants/{tenantId}/users/{cognitoSub} — borra a un usuario. El `actedBy` viaja en el cuerpo. */
+    deleteTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: DeleteTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/disable — suspende a un usuario. */
+    disableTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: DisableTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/enable — reactiva a un usuario suspendido. */
+    enableTenantUser(
+        tenantId: string,
+        cognitoSub: string,
+        input: EnableTenantUserRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+
+    /**
+     * POST /internal/tenants/{tenantId}/users/{cognitoSub}/password-reset — resetea la contraseña.
+     * Devuelve la contraseña temporal en claro; no se manda correo.
+     */
+    resetTenantUserPassword(
+        tenantId: string,
+        cognitoSub: string,
+        input: ResetTenantUserPasswordRequest,
+    ): Promise<APIGatewayProxyResultBody<ResetTenantUserPasswordResponse>>;
+
+    /** POST /internal/tenants/{tenantId}/users/{cognitoSub}/mfa-reset — resetea el MFA de un usuario. */
+    resetTenantUserMfa(
+        tenantId: string,
+        cognitoSub: string,
+        input: ResetTenantUserMfaRequest,
+    ): Promise<APIGatewayProxyResultBody<TenantUserAckResponse>>;
+
+    /** GET /internal/tenants/{tenantId}/roles — catálogo de roles del tenant, para armar el selector de asignación. */
+    listTenantRoles(
+        tenantId: string,
+    ): Promise<APIGatewayProxyResultBody<ListTenantRolesResponse>>;
+
+    /** POST /internal/tenants/{tenantId}/role-assignments — asigna un rol a un usuario en un scope. */
+    assignTenantRole(
+        tenantId: string,
+        input: AssignTenantRoleRequest,
+    ): Promise<APIGatewayProxyResultBody<AssignTenantRoleResponse>>;
+
+    /**
+     * POST /internal/tenants/{tenantId}/role-assignments/{assignmentId}/revoke — revoca una asignación.
+     * El `cognitoSub` va en el cuerpo porque es parte de la llave de la tabla de asignaciones.
+     */
+    revokeTenantRole(
+        tenantId: string,
+        assignmentId: string,
+        input: RevokeTenantRoleRequest,
+    ): Promise<APIGatewayProxyResultBody<RevokeTenantRoleResponse>>;
 }