@team-semicolon/semicolony-cli 4.18.102 → 4.18.104

package/migrations/197_ops_dashboard_asset_credential.sql

@@ -0,0 +1,140 @@
+-- 197_ops_dashboard_asset_credential.sql
+--
+-- SEMO Ops 대시보드가 팀 자산 게이트웨이를 호출하기 위한 디바이스 비의존 자격증명 발급기.
+--
+-- 배경: 게이트웨이의 `authorizeRead`(packages/kb-gateway/src/lib/workspace-assets.ts)는
+--   `ctx.kind === 'worker'` + `workspace:assets-read` scope + 프로젝트별 grant 행을 요구한다.
+--   대시보드는 워커 디바이스가 아니고, 기존 내부 HMAC 경로는 `kind:'internal'` 이라 자산
+--   라우트에서 전부 403 이다. 그래서 대시보드 전용 principal 이 필요하다.
+--
+-- 왜 기존 발급기를 못 쓰나: `issue_worker_gateway_credential` 은 활성 `worker_devices` 행
+--   (doctor pass + 24h 내 last_seen)을 `FOR UPDATE` 로 잡고, 없으면 P0002 로 실패한다.
+--   대시보드는 디바이스 등록·doctor 보고를 하는 주체가 아니므로 그 전제를 만족할 수 없다.
+--
+-- 왜 이게 안전한가: 자격증명 해석기(kb-gateway `tenant-credentials.ts`)는 `worker_devices` 를
+--   조회하지 않는다. `metadata.credential_kind='worker'` 와 grant 행만 본다. 즉 디바이스 요구는
+--   발급 측 정책이지 검증 측 불변식이 아니다. 이 함수는 그 정책만 다르게 두고 나머지 검증
+--   (scope 화이트리스트, 토큰 형식, 만료 상한, grant 모양)은 기존 발급기와 동일하게 유지한다.
+--
+-- 경계: 실제 워커 디바이스와 절대 충돌하지 않도록, 같은 worker/device 이름의 `worker_devices`
+--   행이 존재하면 발급을 거부한다. 그리고 이 발급기는 `workspace:assets-read` 외의 scope 를
+--   허용하지 않는다 — 쓰기 승격은 기존 `grant_worker_asset_write()` 로만 한다(감사 amendment 경유).
+--
+-- Safety: additive only. Runner가 BEGIN/COMMIT으로 감싸므로 트랜잭션 구문을 넣지 않는다.
+--   `semicolony.` 접두는 러너의 retargetSchemaSql 이 활성 스키마로 바꾼다(중앙 DB 에서는 semo_ops).
+
+CREATE OR REPLACE FUNCTION semicolony.issue_ops_dashboard_gateway_credential(
+  p_team_tenant_id uuid,
+  p_token_hash text,
+  p_token_prefix text,
+  p_project_id text,
+  p_issued_by text,
+  p_expires_days integer
+)
+RETURNS uuid
+LANGUAGE plpgsql
+SECURITY DEFINER
+SET search_path = pg_catalog
+AS $function$
+DECLARE
+  v_principal constant text := 'semo-ops-dashboard';
+  v_credential_id uuid;
+  v_previous_credential_id uuid;
+BEGIN
+  IF p_token_hash IS NULL OR p_token_hash !~ '^[0-9a-f]{64}$' THEN
+    RAISE EXCEPTION 'invalid ops dashboard credential token hash' USING ERRCODE = '22023';
+  END IF;
+  IF p_token_prefix IS NULL
+     OR p_token_prefix !~ ('^wck_' || v_principal || '_[A-Za-z0-9_-]{6}$') THEN
+    RAISE EXCEPTION 'invalid ops dashboard credential token prefix' USING ERRCODE = '22023';
+  END IF;
+  IF p_project_id IS NULL OR p_project_id !~ '^[a-z][a-z0-9-]{0,99}$' THEN
+    RAISE EXCEPTION 'invalid project id' USING ERRCODE = '22023';
+  END IF;
+  IF p_issued_by IS NULL OR p_issued_by <> btrim(p_issued_by)
+     OR btrim(p_issued_by) = '' OR char_length(p_issued_by) > 128
+     OR p_issued_by ~ '[[:cntrl:]]' THEN
+    RAISE EXCEPTION 'invalid credential issuer' USING ERRCODE = '22023';
+  END IF;
+  IF p_expires_days IS NULL OR p_expires_days < 1 OR p_expires_days > 90 THEN
+    RAISE EXCEPTION 'credential expiry must be between 1 and 90 days' USING ERRCODE = '22023';
+  END IF;
+
+  -- 실제 워커 디바이스와의 이름 충돌을 구조적으로 차단한다. 충돌하면 이 함수가 발급한
+  -- 자격증명이 워커 회전 로직에 휩쓸리거나 그 반대가 될 수 있다.
+  IF EXISTS (
+    SELECT 1 FROM semicolony.worker_devices AS wd
+     WHERE wd.worker_id = v_principal OR wd.device_id = v_principal
+  ) THEN
+    RAISE EXCEPTION 'a worker device already claims the ops dashboard principal'
+      USING ERRCODE = '23505';
+  END IF;
+
+  PERFORM t.id
+    FROM public.tenants AS t
+   WHERE t.id = p_team_tenant_id
+     AND t.slug = 'team-semicolon'
+     AND t.tenant_type = 'team'
+     AND coalesce(t.metadata ->> 'status', 'active') = 'active';
+  IF NOT FOUND THEN
+    RAISE EXCEPTION 'active team-semicolon tenant not found' USING ERRCODE = 'P0002';
+  END IF;
+
+  -- 회전: 이전 활성 대시보드 자격증명을 폐기한다. 워커 디바이스 행을 건드리지 않는다.
+  SELECT gc.id
+    INTO v_previous_credential_id
+    FROM semicolony.gateway_credentials AS gc
+   WHERE gc.status = 'active'
+     AND gc.metadata ->> 'principal_class' = 'ops-dashboard'
+     AND gc.metadata ->> 'worker_id' = v_principal
+   ORDER BY gc.issued_at DESC
+   LIMIT 1
+     FOR UPDATE;
+
+  INSERT INTO semicolony.gateway_credentials (
+    tenant_id, tenant_slug, token_hash, token_prefix, scopes, issued_by, expires_at, metadata
+  ) VALUES (
+    p_team_tenant_id,
+    'team-semicolon',
+    p_token_hash,
+    p_token_prefix,
+    ARRAY['workspace:assets-read']::text[],
+    p_issued_by,
+    clock_timestamp() + make_interval(days => p_expires_days),
+    jsonb_build_object(
+      'credential_kind', 'worker',
+      'principal_class', 'ops-dashboard',
+      'worker_id', v_principal,
+      'device_id', v_principal,
+      'tenant_anchor', 'team-semicolon',
+      'lineage_status', 'active'
+    )
+  )
+  RETURNING id INTO v_credential_id;
+
+  -- assets-read grant 는 환경 바인딩이 없어야 한다(192 의 environment 계약).
+  INSERT INTO semicolony.workspace_projection_grants (
+    gateway_credential_id, project_id, capability, environments
+  ) VALUES (
+    v_credential_id, p_project_id, 'assets-read', ARRAY[]::text[]
+  );
+
+  IF v_previous_credential_id IS NOT NULL THEN
+    UPDATE semicolony.gateway_credentials
+       SET status = 'revoked',
+           revoked_at = clock_timestamp(),
+           revoked_reason = 'ops dashboard credential rotated'
+     WHERE id = v_previous_credential_id
+       AND status = 'active';
+  END IF;
+
+  RETURN v_credential_id;
+END;
+$function$;
+
+REVOKE ALL ON FUNCTION semicolony.issue_ops_dashboard_gateway_credential(
+  uuid, text, text, text, text, integer
+) FROM PUBLIC, sc_app, sc_provider;
+GRANT EXECUTE ON FUNCTION semicolony.issue_ops_dashboard_gateway_credential(
+  uuid, text, text, text, text, integer
+) TO sc_app;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@team-semicolon/semicolony-cli",
-  "version": "4.18.102",
+  "version": "4.18.104",
   "description": "SemiColony CLI - AI operations and agent orchestration installer",
   "main": "dist/bundle.js",
   "bin": {