@fiado/type-kit 3.454.0 → 3.456.0

package/src/platformRbac/dtos/RevokeTenantRoleRequest.ts

@@ -0,0 +1,10 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsString } from 'class-validator';
+
+/** Body del POST que revoca una asignación de rol. El `assignmentId` viaja en el path. */
+// Sin `cognitoSub` el endpoint no revoca nada: la clave de la tabla de asignaciones es
+// cognitoSub + assignmentId.
+export class RevokeTenantRoleRequest {
+    @Expose() @IsString() @IsNotEmpty() cognitoSub!: string;
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/RevokeTenantRoleResponse.ts

@@ -0,0 +1,4 @@
+/** Respuesta de la revocación de una asignación. */
+export interface RevokeTenantRoleResponse {
+    status: string;
+}

package/src/platformRbac/dtos/TenantRoleResponse.ts

@@ -0,0 +1,21 @@
+import type { Permission } from '../enums/Permission';
+import type { PermissionScope } from '../enums/PermissionScope';
+
+/**
+ * Proyección pública de un rol del tenant (SharedRole del RBAC), con su catálogo de permisos y el
+ * scope al que se puede asignar.
+ */
+export interface TenantRoleResponse {
+    roleId: string;
+    displayName: string;
+    description?: string;
+    permissions: Permission[];
+    isSystem: boolean;
+    scope: PermissionScope;
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+    deletedAt?: number;
+    deletedBy?: string;
+}

package/src/platformRbac/dtos/TenantUserAckResponse.ts

@@ -0,0 +1,7 @@
+/**
+ * Acuse simple que comparten suspender, reactivar, resetear el MFA y borrar un usuario — es
+ * exactamente lo que devuelven hoy sus gemelos con sesión.
+ */
+export interface TenantUserAckResponse {
+    ok: boolean;
+}

package/src/platformRbac/dtos/TenantUserAssignmentResponse.ts

@@ -0,0 +1,17 @@
+import type { PermissionScope } from '../enums/PermissionScope';
+
+/**
+ * Una asignación de rol vigente de un usuario, enriquecida con los nombres legibles del rol y del
+ * grupo al que apunta.
+ */
+// `assignmentId` es lo que necesitas para revocar: el endpoint de revoke lo recibe en el path,
+// junto con el `cognitoSub` en el cuerpo.
+export interface TenantUserAssignmentResponse {
+    assignmentId: string;
+    roleId: string;
+    roleName: string;
+    scope: PermissionScope;
+    scopeRef: string;
+    scopeRefName: string;
+    scopeRefParentName?: string;
+}

package/src/platformRbac/dtos/TenantUserListItemResponse.ts

@@ -0,0 +1,10 @@
+import type { PermissionScope } from '../enums/PermissionScope';
+import type { TenantUserResponse } from './TenantUserResponse';
+
+/** Un usuario en el listado, con los nombres de sus roles y el scope más alto que alcanza. */
+export interface TenantUserListItemResponse extends TenantUserResponse {
+    /** Nombres legibles del rol, no sus ids. */
+    roles: string[];
+    topScope?: PermissionScope;
+    topScopeRef?: string;
+}

package/src/platformRbac/dtos/TenantUserResponse.ts

@@ -0,0 +1,30 @@
+/** Estados posibles de un usuario del tenant en el RBAC. */
+export type TenantUserStatusValue = 'INVITED' | 'ACTIVE' | 'SUSPENDED' | 'LOCKED' | 'OFFBOARDED' | 'DELETED';
+
+/** Origen del alta del usuario en el RBAC. */
+export type TenantUserSourceValue = 'cognito_trigger' | 'admin_create' | 'self_register';
+
+/**
+ * Proyección pública de un usuario del tenant (SharedUser del RBAC), con sus campos personalizados
+ * y las marcas de su última sesión y su último sync desde Cognito.
+ */
+export interface TenantUserResponse {
+    cognitoSub: string;
+    // DEC-RBAC-079: ausente en un tenant phone-primary sin identificador secundario.
+    email?: string;
+    displayName: string;
+    phone?: string;
+    tenantId: string;
+    status: TenantUserStatusValue;
+    userPoolId?: string;
+    retailerId?: string;
+    storeIds?: string[];
+    source?: TenantUserSourceValue;
+    createdAt: number;
+    updatedAt: number;
+    createdBy?: string;
+    updatedBy?: string;
+    lastLoginAt?: number;
+    lastSyncedFromCognito?: number;
+    customFields?: { [key: string]: string };
+}

package/src/platformRbac/dtos/UpdateLevelEntityRequest.ts

@@ -0,0 +1,11 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsOptional, IsString, MaxLength } from 'class-validator';
+
+/**
+ * Body del PUT que renombra un grupo. `tenantId`, `level` y el id del grupo viajan en el path.
+ * `actedBy` es el cognitoSub de quien accionó en el backoffice — es lo único que queda en la auditoría.
+ */
+export class UpdateLevelEntityRequest {
+    @Expose() @IsOptional() @IsString() @IsNotEmpty() @MaxLength(120) displayName?: string;
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/dtos/UpdateTenantUserRequest.ts

@@ -0,0 +1,11 @@
+import { Expose } from 'class-transformer';
+import { IsNotEmpty, IsOptional, IsString, MaxLength } from 'class-validator';
+
+/**
+ * Body del PUT que renombra a un usuario. El correo es inmutable en el rbac y el grupo se mueve
+ * reasignando el rol, así que aquí no viaja ninguno de los dos.
+ */
+export class UpdateTenantUserRequest {
+    @Expose() @IsOptional() @IsString() @IsNotEmpty() @MaxLength(120) displayName?: string;
+    @Expose() @IsString() @IsNotEmpty() actedBy!: string;
+}

package/src/platformRbac/index.ts

@@ -5,7 +5,7 @@
 // (Permission, PermissionScope, AuthContext, RoleAssignmentInfo) de aquí a `rbac/`.
 //
 // Los DTOs propios del rbac-business se van agregando a medida que los flujos los necesitan.
-// EffectivePermissionsResponse ya vive acá (lo consume jwt-inyector vía /internal/effective-permissions).
+// EffectivePermissionsResponse ya vive aquí (lo consume jwt-inyector vía /internal/effective-permissions).
 // Otros DTOs aún pendientes se sumarán cuando los managers que los consumen se implementen.
 
 export {
@@ -137,7 +137,7 @@ export * from './dtos/SelfRegisterCompleteRequest';
 export * from './dtos/CreateLevelEntityRequest';
 export type { CreateLevelEntityResponse } from './dtos/CreateLevelEntityResponse';
 export * from './dtos/CreateTenantUserRequest';
-export type { CreateTenantUserResponse } from './dtos/CreateTenantUserResponse';
+export type { CreateTenantUserResponse, TenantUserOutcomeValue } from './dtos/CreateTenantUserResponse';
 
 // DEC-RBAC-120/121/126: integraciones M2M con socios externos (API keys como principal del RBAC).
 // Los requests van como clase (class-validator); las responses como tipo.
@@ -150,3 +150,31 @@ export type {
     IssueIntegrationKeyResponse,
 } from './dtos/IntegrationKeyResponse';
 export type { IntegrationWhoamiResponse } from './dtos/IntegrationWhoamiResponse';
+
+// Endpoints privados de administración de RBAC para el hub de agentes — grupos, usuarios y roles.
+// `tenantId` viaja siempre en el path, nunca en el cuerpo.
+// Usan `actedBy`; CreateLevelEntityRequest/CreateTenantUserRequest conservan `createdBy` (contrato publicado que consume retail-org-business).
+export type { LevelEntityResponse } from './dtos/LevelEntityResponse';
+export type { TenantUserResponse, TenantUserStatusValue, TenantUserSourceValue } from './dtos/TenantUserResponse';
+export type { TenantUserAssignmentResponse } from './dtos/TenantUserAssignmentResponse';
+export type { TenantRoleResponse } from './dtos/TenantRoleResponse';
+export type { ListLevelEntitiesResponse } from './dtos/ListLevelEntitiesResponse';
+export * from './dtos/UpdateLevelEntityRequest';
+export * from './dtos/DeleteLevelEntityRequest';
+export type { DeleteLevelEntityResponse } from './dtos/DeleteLevelEntityResponse';
+export type { ListTenantUsersResponse } from './dtos/ListTenantUsersResponse';
+export type { TenantUserListItemResponse } from './dtos/TenantUserListItemResponse';
+export type { GetTenantUserResponse } from './dtos/GetTenantUserResponse';
+export * from './dtos/UpdateTenantUserRequest';
+export * from './dtos/DeleteTenantUserRequest';
+export * from './dtos/DisableTenantUserRequest';
+export * from './dtos/EnableTenantUserRequest';
+export * from './dtos/ResetTenantUserPasswordRequest';
+export type { ResetTenantUserPasswordResponse } from './dtos/ResetTenantUserPasswordResponse';
+export * from './dtos/ResetTenantUserMfaRequest';
+export type { TenantUserAckResponse } from './dtos/TenantUserAckResponse';
+export type { ListTenantRolesResponse } from './dtos/ListTenantRolesResponse';
+export * from './dtos/AssignTenantRoleRequest';
+export type { AssignTenantRoleResponse } from './dtos/AssignTenantRoleResponse';
+export * from './dtos/RevokeTenantRoleRequest';
+export type { RevokeTenantRoleResponse } from './dtos/RevokeTenantRoleResponse';