@fiado/type-kit 3.118.0 → 3.120.0

package/src/platformRbac/dtos/CreateTenantRequest.ts

@@ -1,5 +1,5 @@
 import { Expose } from 'class-transformer';
-import { IsBoolean, IsEmail, IsEnum, IsInt, IsOptional, IsString, Matches, Min } from 'class-validator';
+import { IsEmail, IsEnum, IsOptional, IsString, Matches } from 'class-validator';
 import { TokenValidationMode } from '../enums/TokenValidationMode';
 import { TenantType } from '../tenantTypes';
 
@@ -17,8 +17,9 @@ export class CreateTenantRequest {
     @Expose() @IsEmail() adminEmail!: string;
     @Expose() @IsString() adminName!: string;
     @Expose() @IsString() region!: string;
-    @Expose() @IsOptional() @IsBoolean() mfaRequired?: boolean;
-    @Expose() @IsOptional() @IsInt() @Min(8) passwordMinLength?: number;
+    // DEC-RBAC-051: mfaRequired purgado de TODO el repo (write-only sin enforcement).
+    // DEC-RBAC-052: passwordMinLength purgado — la política de password es global (env vars) y la
+    // enforce Cognito (política nativa del pool), ya no es per-tenant en el create.
     @Expose() @IsOptional() @IsEnum(TokenValidationMode) tokenValidationMode?: TokenValidationMode;
     /** Tipo de tenant a crear. Si se omite, el onboarding aplica su default (hoy: retail). */
     @Expose() @IsOptional() @IsEnum(TenantType) tenantType?: TenantType;

package/src/platformRbac/dtos/UpdateTenantAutoregisterRequest.ts

@@ -0,0 +1,46 @@
+import { Expose, Type } from 'class-transformer';
+import {
+    IsArray,
+    IsBoolean,
+    IsEnum,
+    IsInt,
+    IsNotEmpty,
+    IsOptional,
+    IsString,
+    Min,
+    ValidateNested,
+} from 'class-validator';
+import { PermissionScope } from '../enums/PermissionScope';
+
+/**
+ * Un rol auto-asignable de la allowlist anti-escalación (DEC-RBAC-038). Espejo validado de
+ * `AutoregisterAllowedRole` (interface plain de application/Application), usado como body de un
+ * endpoint backoffice → se hidrata con plainToInstance y se valida con class-validator.
+ */
+export class UpdateTenantAutoregisterAllowedRole {
+    @Expose() @IsString() @IsNotEmpty() roleId!: string;
+    @Expose() @IsEnum(PermissionScope) scope!: PermissionScope;
+    @Expose() @IsOptional() @IsArray() @IsString({ each: true }) allowedScopeRefs?: string[];
+}
+
+/**
+ * Body del PUT /tenants/{tenantId}/autoregister (backoffice, operación solo-platform — DEC-RBAC-050).
+ * Edita la config de autoregistro self-service del tenant (DEC-RBAC-038): master switch `enabled`,
+ * la allowlist anti-escalación `allowedRoles` (cada rol ⊆ roles del tenant — validado server-side) y
+ * el TTL del OTP. El permiso requerido es `platform.tenant.autoregister.manage` (scope PLATFORM): la
+ * allowlist es un catálogo centralizado/platform, no una config cosmética per-tenant.
+ *
+ * Se separa de `AutoregisterConfig` (interface plain, sin validators) porque éste es un boundary de
+ * entrada del lambda y debe validarse con class-validator (regla entradas tipadas + validadas).
+ */
+export class UpdateTenantAutoregisterRequest {
+    @Expose() @IsBoolean() enabled!: boolean;
+
+    @Expose()
+    @IsArray()
+    @ValidateNested({ each: true })
+    @Type(() => UpdateTenantAutoregisterAllowedRole)
+    allowedRoles!: UpdateTenantAutoregisterAllowedRole[];
+
+    @Expose() @IsOptional() @IsInt() @Min(1) otpTtlSeconds?: number;
+}

package/src/platformRbac/enums/Permission.ts

@@ -63,6 +63,9 @@ export enum Permission {
     PLATFORM_ROLE_DELETE = 'platform.role.delete',
     PLATFORM_AUDIT_VIEW = 'platform.audit.view',
     PLATFORM_TENANT_USERFIELDS_MANAGE = 'platform.tenant.userfields.manage',
+    // DEC-RBAC-050: edición del autoregistro self-service del tenant (allowlist anti-escalación
+    // centralizada/platform). Espejo EXACTO de PLATFORM_TENANT_USERFIELDS_MANAGE (scope PLATFORM).
+    PLATFORM_TENANT_AUTOREGISTER_MANAGE = 'platform.tenant.autoregister.manage',
     // DEC-RBAC-036: gestión de aplicaciones (plantillas) — reemplaza el reuso de rbac.catalog.manage en /applications.
     PLATFORM_APPLICATION_MANAGE = 'platform.application.manage',
 
@@ -351,6 +354,9 @@ export const PERMISSION_BIT_ORDER: readonly Permission[] = [
     // Append-only 2026-06-24 (DEC-RBAC-038): gestión de scope-entities de nivel genérico (scope-bound).
     // Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
     Permission.TENANT_LEVEL_MANAGE,
+    // Append-only 2026-06-25 (DEC-RBAC-050): edición del autoregistro self-service del tenant (allowlist
+    // anti-escalación). Al FINAL para no correr bits existentes (PERMS_VERSION cambia, índices previos se conservan).
+    Permission.PLATFORM_TENANT_AUTOREGISTER_MANAGE,
 ] as const;
 
 function djb2(input: string): number {

package/src/platformRbac/index.ts

@@ -58,6 +58,11 @@ export type { CreateTenantResponse } from './dtos/CreateTenantResponse';
 export * from './dtos/UpdateTenantSecurityPolicyRequest';
 export type { TenantSecurityPolicyResponse } from './dtos/TenantSecurityPolicyResponse';
 
+// Autoregistro editable por tenant (DEC-RBAC-050) — body del PUT backoffice /tenants/{id}/autoregister.
+// UpdateTenantAutoregisterRequest + su nested AutoregisterAllowedRole llevan decoradores class-validator
+// → export de valor (se hidratan con plainToInstance en runtime).
+export * from './dtos/UpdateTenantAutoregisterRequest';
+
 // A1 — registro data-driven de tenant-types (niveles debajo de TENANT, por tipo).
 // Consumido por ScopeValidationService._rank vía scopeRankOrder() y por los seeds.
 // Accesible bajo el namespace PlatformRbac (el index raíz hace export * as PlatformRbac).