@things-factory/auth-base 10.1.4 → 10.1.6

package/tests/token-issuance.test.ts

@@ -0,0 +1,240 @@
+/**
+ * 토큰 발급 시험 — **우리 토큰이 무엇을 말하는가.**
+ *
+ * 사람·애플리케이션·어플라이언스 세 종류의 주체가 모두 JWT 로 들어온다. 저장소의 시험 316개
+ * 중 발급을 부르는 것이 없었다. 여기서 고정하는 것은 「무엇이 실려 있나」와 「무엇이 실려
+ * 있지 않나」다. **없는 것 쪽이 더 중요하다** (`docs/design/auth-rebuild.md` §4):
+ *
+ *  · `jti` 가 없다  → 발급한 토큰을 **가리킬 수 없다** = 폐기 수단이 없다.
+ *                     로그아웃은 쿠키만 지우고, 복사된 토큰은 만료까지 살아 있다.
+ *  · `kid` 가 없다  → 두 키를 동시에 신뢰할 수 없다 = 서명 키를 **교체할 수 없다**.
+ *  · 사람 토큰에 도메인이 없다 → 도메인은 `x-things-factory-domain` 헤더가 정한다.
+ *
+ * 폐기·회전을 넣을 때 이 시험들이 먼저 깨져야 한다. 「`jti` 가 없다」가 깨지는 것이 곧
+ * 대장이 생겼다는 증거다.
+ */
+
+import jwt from 'jsonwebtoken'
+
+import { loadCompiled } from './compiled'
+
+const { User } = loadCompiled('service/user/user')
+const { Appliance } = loadCompiled('service/appliance/appliance')
+const { Application } = loadCompiled('service/application/application')
+const { SECRET } = loadCompiled('utils/get-secret')
+
+const DAY = 24 * 60 * 60
+const YEAR = 365.25 * DAY /* jsonwebtoken 의 `ms` 는 '1y' 를 365.25일로 읽는다 */
+
+const DOMAIN = { id: 'domain-1', subdomain: 'plant-a' }
+const APPLIANCE = { id: 'appliance-1', name: 'gate-scanner' }
+
+function decode(token: string) {
+  return jwt.decode(token, { complete: true }) as any
+}
+
+function lifetime(payload: any) {
+  return payload.exp - payload.iat
+}
+
+function personToken(overrides: any = {}) {
+  const user = new User()
+  Object.assign(user, { id: 'user-1', username: 'kim', email: 'kim@example.com', ...overrides })
+  return user.sign()
+}
+
+describe('사람 토큰 (User.sign)', () => {
+  it('실려 있는 것은 username · email 과 표준 클레임뿐이다', async () => {
+    const { payload } = decode(await personToken())
+
+    expect(Object.keys(payload).sort()).toEqual(['email', 'exp', 'iat', 'iss', 'sub', 'username'])
+    expect(payload).toMatchObject({
+      username: 'kim',
+      email: 'kim@example.com',
+      iss: 'hatiolab.com',
+      sub: 'user'
+    })
+  })
+
+  it('username 이 없으면 email 을 username 자리에 넣는다', async () => {
+    const { payload } = decode(await personToken({ username: undefined }))
+
+    expect(payload.username).toBe('kim@example.com')
+  })
+
+  it('사용자 id 를 싣지 않는다 — 토큰은 username 으로 사람을 가리킨다', async () => {
+    const { payload } = decode(await personToken())
+
+    expect(payload.id).toBeUndefined()
+  })
+
+  it('기본 수명은 7일이다', async () => {
+    const { payload } = decode(await personToken())
+
+    expect(lifetime(payload)).toBe(7 * DAY)
+  })
+
+  it('넘긴 도메인은 버려진다 — 토큰에 도메인이 없다', async () => {
+    /* `signin` 은 `user.sign({ subdomain: domain?.subdomain })` 로 부르는데(signin.ts:95)
+       `sign` 은 `expiresIn` 만 꺼내 쓴다(user.ts:186). 넘긴 값이 조용히 사라진다. */
+    const user = new User()
+    Object.assign(user, { id: 'user-1', username: 'kim', email: 'kim@example.com' })
+
+    const { payload } = decode(await user.sign({ subdomain: 'plant-a' }))
+
+    expect(payload.subdomain).toBeUndefined()
+    expect(payload.domain).toBeUndefined()
+  })
+})
+
+describe('어플라이언스 토큰 (Appliance.generateAccessToken)', () => {
+  it('주체 종류와 어플라이언스 id, 도메인을 싣는다', () => {
+    const { payload } = decode(Appliance.generateAccessToken(DOMAIN, { id: 'appuser-1' }, APPLIANCE))
+
+    expect(payload).toMatchObject({
+      id: 'appuser-1',
+      userType: 'appliance',
+      appliance: { id: 'appliance-1' },
+      status: 'activated',
+      domain: { subdomain: 'plant-a' },
+      sub: 'access-token'
+    })
+  })
+
+  it('기본 수명이 1년이다', () => {
+    /* 설정 `applianceJwtExpiresIn` 이 없을 때의 값(appliance.ts:131).
+       이 토큰은 DB 에 평문으로도 남는다(appliance-mutation.ts:64,70). */
+    const { payload } = decode(Appliance.generateAccessToken(DOMAIN, { id: 'appuser-1' }, APPLIANCE))
+
+    expect(lifetime(payload)).toBe(YEAR)
+  })
+})
+
+describe('애플리케이션 토큰 (Application)', () => {
+  const SCOPES = ['reader', 'approver']
+
+  it('access token 은 30일, refresh token 은 1년이다', () => {
+    const access = decode(Application.generateAccessToken(DOMAIN, { id: 'appuser-1' }, 'APPKEY', SCOPES))
+    const refresh = decode(Application.generateRefreshToken(DOMAIN, { id: 'appuser-1' }, 'APPKEY', SCOPES))
+
+    expect(lifetime(access.payload)).toBe(30 * DAY)
+    expect(lifetime(refresh.payload)).toBe(YEAR)
+    expect(access.payload.sub).toBe('access-token')
+    expect(refresh.payload.sub).toBe('refresh-token')
+  })
+
+  it('appKey 와 scope 를 싣는다 — scope 는 그 도메인의 역할 이름이다', () => {
+    /* `oauth2-server.ts:131` 이 `roles: scopes` 로 저장하고 `:240` 이 `name: In(scopes)` 로
+       역할을 찾는다. 즉 scope 어휘가 따로 없고 역할 이름이 곧 scope 다 — 역할 이름을 바꾸면
+       이미 발급된 토큰의 scope 가 조용히 뜻을 잃는다. */
+    const { payload } = decode(Application.generateAccessToken(DOMAIN, { id: 'appuser-1' }, 'APPKEY', SCOPES))
+
+    expect(payload).toMatchObject({
+      userType: 'application',
+      application: { appKey: 'APPKEY' },
+      scope: SCOPES
+    })
+  })
+
+  it('auth code 는 1분 살고 왕복한다', () => {
+    const code = Application.generateAuthCode('kim@example.com', 'APPKEY', 'plant-a', ['reader'], 'state-1')
+    const { payload } = decode(code)
+
+    expect(lifetime(payload)).toBe(60)
+    expect(Application.verifyAuthCode(code)).toMatchObject({
+      email: 'kim@example.com',
+      appKey: 'APPKEY',
+      subdomain: 'plant-a',
+      scopes: ['reader'],
+      state: 'state-1'
+    })
+  })
+
+  it('appKey 와 appSecret 은 16바이트 hex 다', () => {
+    expect(Application.generateAppKey()).toMatch(/^[0-9a-f]{32}$/)
+    expect(Application.generateAppSecret()).toMatch(/^[0-9a-f]{32}$/)
+    expect(Application.generateAppKey()).not.toBe(Application.generateAppKey())
+  })
+})
+
+describe('`iat` 은 초로 절삭된다 — 밀리초 시각과 견주면 새 토큰이 옛것으로 보인다', () => {
+  /*
+   * 폐기를 「무효 목록 없이」 하려는 설계가 반드시 밟는 자리다. 사람 행에는
+   * `passwordUpdatedAt`(밀리초를 가진 `Date`)이 있고, 토큰에는 `iat`(초)이 있다. 그래서
+   * `decoded.iat * 1000 < user.passwordUpdatedAt` 로 「그 시각 앞에 발급된 토큰을 끊는다」를
+   * 만들면, **비밀번호를 바꾼 그 사람의 새 토큰까지 끊긴다** — `change-pwd.ts` 가 같은 초에
+   * 칸을 쓰고(:81) 토큰을 발급하기(:99) 때문이다.
+   *
+   * 대장(발급 기록)을 두면 안 생기는 문제이므로, 이 시험은 고칠 대상이 아니라
+   * **설계가 이 사실을 알고 있어야 한다는 표시**다.
+   */
+  /*
+   * ⚠ 이 시험은 **시계에 기대고 있었고 6번에 1번쯤 빨갛게 났다** (2026-09-10).
+   *
+   * 30번을 7ms 간격으로 돌면서 「전부 옛것으로 보인다」를 단정했는데, 그 단정이 틀리는 순간이
+   * 둘 있었다. 둘 다 결함이 아니라 **관측이 성립하지 않은 회차**다.
+   *
+   *   밀리초가 정확히 000     절삭이 아무것도 안 깎는다 — 그 한 순간만 비교가 우연히 안전하다
+   *   두 줄 사이에 초가 넘어감   `passwordUpdatedAt` 과 토큰이 **다른 초**다 — 전제가 「같은 초」다
+   *
+   * 그래서 회차를 세는 대신 **관측이 성립한 회차만** 보고, 그런 회차가 하나도 없으면 조용히
+   * 초록이 되지 않게 따로 단정한다. 시계를 목으로 바꾸지 않는 이유는 재는 대상이 **발급기가
+   * 실제로 넣는 `iat`** 이기 때문이다.
+   */
+  it('같은 초에 찍은 밀리초 시각보다 새 토큰의 `iat` 이 앞선다', async () => {
+    const ROUNDS = 30
+    let observed = 0
+    let looksOlder = 0
+
+    for (let round = 0; round < ROUNDS; round++) {
+      /* change-pwd.ts 의 순서: 먼저 `passwordUpdatedAt` 을 쓰고, 그 다음 발급한다. */
+      const passwordUpdatedAt = new Date()
+      const { payload } = decode(await personToken())
+
+      const sameSecond = Math.floor(passwordUpdatedAt.getTime() / 1000) === payload.iat
+      const truncates = passwordUpdatedAt.getMilliseconds() !== 0
+
+      if (sameSecond && truncates) {
+        observed++
+        if (payload.iat * 1000 < passwordUpdatedAt.getTime()) looksOlder++
+      }
+
+      await new Promise(resolve => setTimeout(resolve, 7))
+    }
+
+    /* 성립한 회차가 없으면 위 단정이 「0 === 0」으로 통과한다 — 그것은 초록이 아니다. */
+    expect(observed).toBeGreaterThan(0)
+    expect(looksOlder).toBe(observed)
+  })
+})
+
+describe('세 종류의 토큰이 공유하는 것 — 그리고 없는 것', () => {
+  /** 사람·어플라이언스·애플리케이션·auth code 를 한 자리에 모아 같은 질문을 던진다. */
+  async function everyToken(): Promise<[string, string][]> {
+    return [
+      ['사람', await personToken()],
+      ['어플라이언스', Appliance.generateAccessToken(DOMAIN, { id: 'appuser-1' }, APPLIANCE)],
+      ['애플리케이션', Application.generateAccessToken(DOMAIN, { id: 'appuser-1' }, 'APPKEY', ['reader'])],
+      ['auth code', Application.generateAuthCode('kim@example.com', 'APPKEY', 'plant-a', ['reader'], 's')]
+    ]
+  }
+
+  it('어느 토큰에도 `jti` 가 없다 — 발급한 것을 가리킬 수 없으니 폐기할 수 없다', async () => {
+    for (const [kind, token] of await everyToken()) {
+      expect({ kind, jti: decode(token).payload.jti }).toEqual({ kind, jti: undefined })
+    }
+  })
+
+  it('어느 토큰에도 `kid` 가 없다 — 서명 키를 교체할 수 없다', async () => {
+    for (const [kind, token] of await everyToken()) {
+      expect({ kind, kid: decode(token).header.kid }).toEqual({ kind, kid: undefined })
+    }
+  })
+
+  it('모든 토큰이 같은 대칭키로 HS256 서명된다 — 검증하는 곳은 서명도 할 수 있다', async () => {
+    for (const [kind, token] of await everyToken()) {
+      expect({ kind, alg: decode(token).header.alg }).toEqual({ kind, alg: 'HS256' })
+      expect(() => jwt.verify(token, SECRET)).not.toThrow()
+    }
+  })
+})

package/translations/en.json

@@ -39,8 +39,168 @@
   "field.user_account": "user account",
   "field.user_type": "user type",
   "label.partner": "partner",
+  "privilege.allows.accounting.mutation": "post, correct and close vouchers",
+  "privilege.allows.accounting.query": "see vouchers and account balances",
+  "privilege.allows.activity-instance.mutation": "start, hand over, and finish or abort work",
+  "privilege.allows.activity-instance.query": "see running and finished work",
+  "privilege.allows.activity.mutation": "define and change activity types and their steps",
+  "privilege.allows.ai-assistant.mutation": "ask the assistant to do work",
+  "privilege.allows.ai-assistant.query": "see conversations with the assistant",
+  "privilege.allows.ai-inference.query": "see inference results from trained models",
+  "privilege.allows.attachment.mutation": "upload and delete files",
+  "privilege.allows.attachment.query": "open uploaded files",
+  "privilege.allows.bizplace.mutation": "register and change business places",
+  "privilege.allows.bizplace.query": "see business places and their addresses",
+  "privilege.allows.board-ai.mutation": "have ai build boards",
+  "privilege.allows.board-ai.query": "see boards drafted by ai",
+  "privilege.allows.board-import.mutation": "import boards from outside files",
+  "privilege.allows.board-import.query": "see the board import history",
+  "privilege.allows.board-template.mutation": "create and change board templates",
+  "privilege.allows.board-template.query": "see board templates",
+  "privilege.allows.board.mutation": "create, edit and delete boards",
+  "privilege.allows.board.query": "open boards",
+  "privilege.allows.company.mutation": "change company information",
+  "privilege.allows.company.query": "see company information",
+  "privilege.allows.connection.mutation": "create, change and drop connections — credentials live here",
+  "privilege.allows.connection.query": "see connections to other systems and their status",
+  "privilege.allows.contact_point.mutation": "register and change contact details",
+  "privilege.allows.contact_point.query": "see partner contact details",
+  "privilege.allows.data-archive.mutation": "move data to the archive and bring it back",
+  "privilege.allows.data-archive.query": "see archived data",
+  "privilege.allows.data-ooc.mutation": "act on out-of-control values and record the reason",
+  "privilege.allows.data-ooc.query": "see values outside the control limits",
+  "privilege.allows.data-sample.mutation": "register samples and enter measurements",
+  "privilege.allows.data-sample.query": "see samples and their measurements",
+  "privilege.allows.data-set-history.query": "see when and how a data set was changed",
+  "privilege.allows.data-set.mutation": "create data sets and change their fields",
+  "privilege.allows.data-set.query": "see data sets and how their fields are laid out",
+  "privilege.allows.data-summary.query": "see values summarized by period and field",
+  "privilege.allows.department.mutation": "create, change and move departments",
+  "privilege.allows.department.query": "see departments and who belongs to them",
+  "privilege.allows.disposition.mutation": "decide a disposition and send it for approval — scrap and rework are settled here",
+  "privilege.allows.disposition.query": "see how nonconforming items were dispositioned",
+  "privilege.allows.employee.mutation": "register employees and change their assignments",
+  "privilege.allows.employee.query": "see the employee roster and their assignments",
+  "privilege.allows.env-var.mutation": "add and change environment variables — this changes how the server runs",
+  "privilege.allows.env-var.query": "see environment variable names and values",
+  "privilege.allows.equipment-state.mutation": "change equipment state and record why it stopped",
+  "privilege.allows.equipment-state.query": "see whether equipment is running or stopped",
+  "privilege.allows.figure.mutation": "create and change figure models",
+  "privilege.allows.figure.query": "see figure models and how they are built",
+  "privilege.allows.inspection.mutation": "enter inspection results and judge them",
+  "privilege.allows.inspection.query": "see inspection specs and results",
+  "privilege.allows.job-order.mutation": "issue, change and close job orders",
+  "privilege.allows.job-order.query": "see job orders and how far along they are",
+  "privilege.allows.kpi.mutation": "create indicators and change their targets and formulas",
+  "privilege.allows.kpi.query": "see indicators and how they track against target",
+  "privilege.allows.label-studio.mutation": "set up the label studio connection and send work to it",
+  "privilege.allows.label-studio.query": "see work exchanged with label studio",
+  "privilege.allows.labeling.mutation": "apply and change labels",
+  "privilege.allows.labeling.query": "see labeling tasks and their results",
+  "privilege.allows.maintenance.mutation": "plan maintenance and report what was carried out",
+  "privilege.allows.maintenance.query": "see maintenance plans and what was carried out",
+  "privilege.allows.menu.mutation": "change the menu and its order — this changes what screens other people see",
+  "privilege.allows.mes-outbox.mutation": "set destinations and resend what failed",
+  "privilege.allows.mes-outbox.query": "see whether messages to outside systems are backing up",
+  "privilege.allows.mlflow.mutation": "set up the mlflow connection and register models",
+  "privilege.allows.mlflow.query": "see experiments and models recorded in mlflow",
+  "privilege.allows.mlops.mutation": "create pipelines and run training and deployment",
+  "privilege.allows.mlops.query": "see training and deployment pipeline runs",
+  "privilege.allows.ops-master.mutation": "change operating rules — scheduling follows these values",
+  "privilege.allows.ops-master.query": "see operating rules such as working and non-working days",
+  "privilege.allows.order.mutation": "take, change and cancel orders",
+  "privilege.allows.order.query": "see orders and their line items",
+  "privilege.allows.organization.mutation": "change the organization structure",
+  "privilege.allows.organization.query": "see the organization structure",
+  "privilege.allows.partner.mutation": "register partners and unlink them",
+  "privilege.allows.partner.query": "see partners and how their domains are linked",
+  "privilege.allows.privilege.query": "see the privileges declared in this deployment",
+  "privilege.allows.process-instance.query": "see how far a process run has got",
+  "privilege.allows.process.mutation": "create processes and change their steps",
+  "privilege.allows.process.query": "see process definitions and their steps",
+  "privilege.allows.production-report.mutation": "report production and issue corrections",
+  "privilege.allows.production-report.query": "see production reports and their corrections",
+  "privilege.allows.scenario.mutation": "create scenarios and start and stop them",
+  "privilege.allows.scenario.query": "see integration scenarios and their runs",
+  "privilege.allows.schedule.mutation": "build and move the schedule",
+  "privilege.allows.schedule.query": "see the production schedule",
+  "privilege.allows.security.mutation": "change security settings — this changes who can reach the system",
+  "privilege.allows.security.query": "see security settings such as address restrictions",
+  "privilege.allows.setting.mutation": "change system settings",
+  "privilege.allows.setting.query": "see system settings",
+  "privilege.allows.state-register.mutation": "change that record — the next run resumes from it",
+  "privilege.allows.state-register.query": "see how far an integration has processed",
+  "privilege.allows.station.mutation": "assign stations and send work directives to them",
+  "privilege.allows.station.query": "see stations and who is assigned to them",
+  "privilege.allows.terminology.mutation": "change the words shown on screen and their translations",
+  "privilege.allows.tutorial.mutation": "create and change tutorials",
+  "privilege.allows.twin.mutation": "create and change twins, and start and stop them",
+  "privilege.allows.twin.query": "see twins and how their sites are laid out",
+  "privilege.allows.user.mutation": "invite users, grant roles and lock accounts — who can do what is settled here",
+  "privilege.allows.user.query": "see the user list and each person’s roles",
+  "privilege.allows.webhook.mutation": "create webhooks and change where they post",
+  "privilege.allows.webhook.query": "see webhooks and what they have sent",
+  "privilege.allows.work-shift.mutation": "create and change shift timetables",
+  "privilege.allows.worker.mutation": "register workers and change their placement",
+  "privilege.allows.worker.query": "see workers and where they are placed",
+  "privilege.category.accounting": "accounting",
+  "privilege.category.activity": "work activity definition",
+  "privilege.category.activity-instance": "work in progress",
+  "privilege.category.ai-assistant": "ai assistant",
+  "privilege.category.ai-inference": "ai inference",
+  "privilege.category.attachment": "attachment",
+  "privilege.category.bizplace": "business place",
+  "privilege.category.board": "board",
+  "privilege.category.board-ai": "board ai",
+  "privilege.category.board-import": "board import",
+  "privilege.category.board-template": "board template",
+  "privilege.category.company": "company",
+  "privilege.category.connection": "system connection",
+  "privilege.category.contact_point": "contact point",
+  "privilege.category.data-archive": "data archive",
+  "privilege.category.data-ooc": "out-of-control data",
+  "privilege.category.data-sample": "data sample",
+  "privilege.category.data-set": "data set",
+  "privilege.category.data-set-history": "data set history",
+  "privilege.category.data-summary": "data summary",
+  "privilege.category.department": "department",
+  "privilege.category.disposition": "nonconformance disposition",
+  "privilege.category.employee": "employee",
+  "privilege.category.env-var": "environment variable",
+  "privilege.category.equipment-state": "equipment state",
+  "privilege.category.figure": "figure model",
+  "privilege.category.inspection": "inspection",
+  "privilege.category.job-order": "job order",
+  "privilege.category.kpi": "performance indicator",
+  "privilege.category.label-studio": "label studio connection",
+  "privilege.category.labeling": "data labeling",
+  "privilege.category.maintenance": "maintenance",
+  "privilege.category.menu": "menu",
+  "privilege.category.mes-outbox": "mes outbox",
+  "privilege.category.mlflow": "mlflow connection",
+  "privilege.category.mlops": "mlops",
+  "privilege.category.ops-master": "operations master data",
+  "privilege.category.order": "order",
+  "privilege.category.organization": "organization",
+  "privilege.category.partner": "partner",
+  "privilege.category.privilege": "privilege list",
+  "privilege.category.process": "process definition",
+  "privilege.category.process-instance": "process run",
+  "privilege.category.production-report": "production report",
+  "privilege.category.scenario": "integration scenario",
+  "privilege.category.schedule": "production schedule",
+  "privilege.category.security": "security",
+  "privilege.category.setting": "setting",
+  "privilege.category.state-register": "integration state register",
+  "privilege.category.station": "station",
   "privilege.category.system": "system setting",
-  "privilege.description": "to {name} {category} data",
+  "privilege.category.terminology": "terminology",
+  "privilege.category.tutorial": "tutorial",
+  "privilege.category.twin": "digital twin",
+  "privilege.category.user": "user",
+  "privilege.category.webhook": "webhook",
+  "privilege.category.work-shift": "work shift",
+  "privilege.category.worker": "worker",
   "privilege.name.mutation": "edit",
   "privilege.name.query": "read",
   "text.account is reactivated": "account is reactivated",

package/translations/ko.json

@@ -39,8 +39,168 @@
   "field.user_account": "사용자 계정",
   "field.user_type": "사용자 유형",
   "label.partner": "파트너",
+  "privilege.allows.accounting.mutation": "전표를 올리고 고치고 마감할 수 있습니다.",
+  "privilege.allows.accounting.query": "전표와 계정 잔액을 볼 수 있습니다.",
+  "privilege.allows.activity-instance.mutation": "업무를 시작하고, 넘기고, 끝내거나 중단할 수 있습니다.",
+  "privilege.allows.activity-instance.query": "진행 중이거나 끝난 업무를 볼 수 있습니다.",
+  "privilege.allows.activity.mutation": "업무 활동의 종류와 절차를 만들고 고칠 수 있습니다.",
+  "privilege.allows.ai-assistant.mutation": "AI 도우미에게 일을 맡길 수 있습니다.",
+  "privilege.allows.ai-assistant.query": "AI 도우미와 주고받은 대화를 볼 수 있습니다.",
+  "privilege.allows.ai-inference.query": "학습된 모델이 낸 추론 결과를 볼 수 있습니다.",
+  "privilege.allows.attachment.mutation": "파일을 올리고 지울 수 있습니다.",
+  "privilege.allows.attachment.query": "올려 둔 파일을 열어 볼 수 있습니다.",
+  "privilege.allows.bizplace.mutation": "사업장을 등록하고 고칠 수 있습니다.",
+  "privilege.allows.bizplace.query": "사업장과 그 주소를 볼 수 있습니다.",
+  "privilege.allows.board-ai.mutation": "AI 에게 보드를 만들게 할 수 있습니다.",
+  "privilege.allows.board-ai.query": "AI 가 만든 보드 초안을 볼 수 있습니다.",
+  "privilege.allows.board-import.mutation": "바깥 파일에서 보드를 가져올 수 있습니다.",
+  "privilege.allows.board-import.query": "가져온 보드의 이력을 볼 수 있습니다.",
+  "privilege.allows.board-template.mutation": "보드 템플릿을 만들고 고칠 수 있습니다.",
+  "privilege.allows.board-template.query": "보드 템플릿을 볼 수 있습니다.",
+  "privilege.allows.board.mutation": "보드를 만들고 고치고 지울 수 있습니다.",
+  "privilege.allows.board.query": "보드를 열어 볼 수 있습니다.",
+  "privilege.allows.company.mutation": "회사 정보를 고칠 수 있습니다.",
+  "privilege.allows.company.query": "회사 정보를 볼 수 있습니다.",
+  "privilege.allows.connection.mutation": "연결을 만들고 고치고 끊을 수 있습니다. 접속 정보가 여기 들어갑니다.",
+  "privilege.allows.connection.query": "다른 시스템과의 연결과 그 상태를 볼 수 있습니다.",
+  "privilege.allows.contact_point.mutation": "연락처를 등록하고 고칠 수 있습니다.",
+  "privilege.allows.contact_point.query": "거래처 담당자 연락처를 볼 수 있습니다.",
+  "privilege.allows.data-archive.mutation": "데이터를 보관으로 넘기고 되살릴 수 있습니다.",
+  "privilege.allows.data-archive.query": "보관으로 넘긴 데이터를 볼 수 있습니다.",
+  "privilege.allows.data-ooc.mutation": "이탈로 판단한 값을 처리하고 그 사유를 남길 수 있습니다.",
+  "privilege.allows.data-ooc.query": "관리 한계를 벗어난 값을 볼 수 있습니다.",
+  "privilege.allows.data-sample.mutation": "표본을 등록하고 측정값을 넣을 수 있습니다.",
+  "privilege.allows.data-sample.query": "채취한 표본과 그 측정값을 볼 수 있습니다.",
+  "privilege.allows.data-set-history.query": "데이터셋 구성이 언제 어떻게 바뀌었는지 볼 수 있습니다.",
+  "privilege.allows.data-set.mutation": "데이터셋을 만들고 항목을 고칠 수 있습니다.",
+  "privilege.allows.data-set.query": "데이터셋과 그 항목 구성을 볼 수 있습니다.",
+  "privilege.allows.data-summary.query": "기간과 항목으로 집계한 값을 볼 수 있습니다.",
+  "privilege.allows.department.mutation": "부서를 만들고 고치고 옮길 수 있습니다.",
+  "privilege.allows.department.query": "부서와 그 소속을 볼 수 있습니다.",
+  "privilege.allows.disposition.mutation": "부적합 처리를 판단하고 승인을 올릴 수 있습니다. 폐기·재작업이 여기서 정해집니다.",
+  "privilege.allows.disposition.query": "부적합으로 잡힌 것을 어떻게 처리했는지 볼 수 있습니다.",
+  "privilege.allows.employee.mutation": "임직원을 등록하고 소속을 고칠 수 있습니다.",
+  "privilege.allows.employee.query": "임직원 명부와 소속을 볼 수 있습니다.",
+  "privilege.allows.env-var.mutation": "환경 변수를 더하고 고칠 수 있습니다. 서버 동작이 바뀝니다.",
+  "privilege.allows.env-var.query": "서버 환경 변수의 이름과 값을 볼 수 있습니다.",
+  "privilege.allows.equipment-state.mutation": "설비 상태를 바꾸고 멈춘 사유를 남길 수 있습니다.",
+  "privilege.allows.equipment-state.query": "설비가 돌고 있는지 멈췄는지 볼 수 있습니다.",
+  "privilege.allows.figure.mutation": "Figure 모델을 만들고 고칠 수 있습니다.",
+  "privilege.allows.figure.query": "Figure 모델과 그 구성을 볼 수 있습니다.",
+  "privilege.allows.inspection.mutation": "검사 결과를 올리고 합부를 판단할 수 있습니다.",
+  "privilege.allows.inspection.query": "검사 기준과 검사 결과를 볼 수 있습니다.",
+  "privilege.allows.job-order.mutation": "작업 지시를 내리고 고치고 닫을 수 있습니다.",
+  "privilege.allows.job-order.query": "작업 지시와 그 진행 상황을 볼 수 있습니다.",
+  "privilege.allows.kpi.mutation": "지표를 만들고 목표값과 계산식을 고칠 수 있습니다.",
+  "privilege.allows.kpi.query": "성과 지표와 그 목표 달성도를 볼 수 있습니다.",
+  "privilege.allows.label-studio.mutation": "Label Studio 연결을 설정하고 작업을 보낼 수 있습니다.",
+  "privilege.allows.label-studio.query": "Label Studio 와 주고받은 작업을 볼 수 있습니다.",
+  "privilege.allows.labeling.mutation": "라벨을 달고 고칠 수 있습니다.",
+  "privilege.allows.labeling.query": "라벨링 작업과 그 결과를 볼 수 있습니다.",
+  "privilege.allows.maintenance.mutation": "보전 계획을 세우고 실시 결과를 올릴 수 있습니다.",
+  "privilege.allows.maintenance.query": "보전 계획과 실시 이력을 볼 수 있습니다.",
+  "privilege.allows.menu.mutation": "메뉴 구성과 순서를 고칠 수 있습니다. 다른 사람이 보는 화면 목록이 바뀝니다.",
+  "privilege.allows.mes-outbox.mutation": "보낼 곳을 설정하고 실패한 것을 다시 보낼 수 있습니다.",
+  "privilege.allows.mes-outbox.query": "바깥 시스템으로 보낼 것이 밀려 있는지 볼 수 있습니다.",
+  "privilege.allows.mlflow.mutation": "MLflow 연결을 설정하고 모델을 올릴 수 있습니다.",
+  "privilege.allows.mlflow.query": "MLflow 에 기록된 실험과 모델을 볼 수 있습니다.",
+  "privilege.allows.mlops.mutation": "파이프라인을 만들고 학습과 배포를 돌릴 수 있습니다.",
+  "privilege.allows.mlops.query": "학습과 배포 파이프라인의 실행 이력을 볼 수 있습니다.",
+  "privilege.allows.ops-master.mutation": "운영 기준을 고칠 수 있습니다. 일정 계산이 이 값을 따릅니다.",
+  "privilege.allows.ops-master.query": "근무일과 비근무일 같은 운영 기준을 볼 수 있습니다.",
+  "privilege.allows.order.mutation": "주문을 받고 고치고 취소할 수 있습니다.",
+  "privilege.allows.order.query": "주문과 그 품목을 볼 수 있습니다.",
+  "privilege.allows.organization.mutation": "조직 구조를 고칠 수 있습니다.",
+  "privilege.allows.organization.query": "조직 구조를 볼 수 있습니다.",
+  "privilege.allows.partner.mutation": "협력사를 등록하고 연결을 끊을 수 있습니다.",
+  "privilege.allows.partner.query": "협력사와 그 도메인 연결을 볼 수 있습니다.",
+  "privilege.allows.privilege.query": "이 시스템에 선언된 권한 목록을 볼 수 있습니다.",
+  "privilege.allows.process-instance.query": "프로세스가 어디까지 돌았는지 볼 수 있습니다.",
+  "privilege.allows.process.mutation": "프로세스를 만들고 단계를 고칠 수 있습니다.",
+  "privilege.allows.process.query": "프로세스 정의와 그 단계를 볼 수 있습니다.",
+  "privilege.allows.production-report.mutation": "생산 실적을 올리고 정정을 낼 수 있습니다.",
+  "privilege.allows.production-report.query": "생산 실적과 그 정정 이력을 볼 수 있습니다.",
+  "privilege.allows.scenario.mutation": "시나리오를 만들고 돌리고 멈출 수 있습니다.",
+  "privilege.allows.scenario.query": "연동 시나리오와 그 실행 이력을 볼 수 있습니다.",
+  "privilege.allows.schedule.mutation": "일정을 짜고 옮길 수 있습니다.",
+  "privilege.allows.schedule.query": "생산 일정을 볼 수 있습니다.",
+  "privilege.allows.security.mutation": "보안 설정을 고칠 수 있습니다. 누가 접속할 수 있는지가 바뀝니다.",
+  "privilege.allows.security.query": "접속 제한 같은 보안 설정을 볼 수 있습니다.",
+  "privilege.allows.setting.mutation": "기본 설정값을 고칠 수 있습니다.",
+  "privilege.allows.setting.query": "시스템 기본 설정값을 볼 수 있습니다.",
+  "privilege.allows.state-register.mutation": "그 기록을 고칠 수 있습니다. 다음 연동이 여기서부터 다시 읽습니다.",
+  "privilege.allows.state-register.query": "연동이 어디까지 처리했는지 기록을 볼 수 있습니다.",
+  "privilege.allows.station.mutation": "작업 지점을 배정하고 작업 지시를 내려 보낼 수 있습니다.",
+  "privilege.allows.station.query": "작업 지점과 거기 배정된 사람을 볼 수 있습니다.",
+  "privilege.allows.terminology.mutation": "화면에 나오는 용어와 그 번역을 고칠 수 있습니다.",
+  "privilege.allows.tutorial.mutation": "따라 하기 안내를 만들고 고칠 수 있습니다.",
+  "privilege.allows.twin.mutation": "트윈을 만들고 고치고 돌리고 멈출 수 있습니다.",
+  "privilege.allows.twin.query": "트윈과 그 현장 구성을 볼 수 있습니다.",
+  "privilege.allows.user.mutation": "사용자를 초대하고 역할을 주고 잠글 수 있습니다. 누가 무엇을 할 수 있는지가 여기서 정해집니다.",
+  "privilege.allows.user.query": "사용자 명부와 각자의 역할을 볼 수 있습니다.",
+  "privilege.allows.webhook.mutation": "Webhook 을 만들고 보낼 주소를 고칠 수 있습니다.",
+  "privilege.allows.webhook.query": "Webhook 설정과 전송 이력을 볼 수 있습니다.",
+  "privilege.allows.work-shift.mutation": "교대 시간표를 만들고 고칠 수 있습니다.",
+  "privilege.allows.worker.mutation": "작업자를 등록하고 배치를 고칠 수 있습니다.",
+  "privilege.allows.worker.query": "작업자 명부와 배치를 볼 수 있습니다.",
+  "privilege.category.accounting": "회계",
+  "privilege.category.activity": "업무 활동 정의",
+  "privilege.category.activity-instance": "진행 중인 업무",
+  "privilege.category.ai-assistant": "AI 도우미",
+  "privilege.category.ai-inference": "AI 추론",
+  "privilege.category.attachment": "첨부파일",
+  "privilege.category.bizplace": "사업장",
+  "privilege.category.board": "보드",
+  "privilege.category.board-ai": "보드 AI",
+  "privilege.category.board-import": "보드 가져오기",
+  "privilege.category.board-template": "보드 템플릿",
+  "privilege.category.company": "회사",
+  "privilege.category.connection": "시스템 연결",
+  "privilege.category.contact_point": "연락처",
+  "privilege.category.data-archive": "데이터 보관",
+  "privilege.category.data-ooc": "관리 이탈 데이터",
+  "privilege.category.data-sample": "데이터 표본",
+  "privilege.category.data-set": "데이터셋",
+  "privilege.category.data-set-history": "데이터셋 변경 이력",
+  "privilege.category.data-summary": "데이터 집계",
+  "privilege.category.department": "부서",
+  "privilege.category.disposition": "부적합 처리",
+  "privilege.category.employee": "임직원",
+  "privilege.category.env-var": "환경 변수",
+  "privilege.category.equipment-state": "설비 상태",
+  "privilege.category.figure": "Figure 모델",
+  "privilege.category.inspection": "검사",
+  "privilege.category.job-order": "작업 지시",
+  "privilege.category.kpi": "성과 지표",
+  "privilege.category.label-studio": "Label Studio 연결",
+  "privilege.category.labeling": "데이터 라벨링",
+  "privilege.category.maintenance": "설비 보전",
+  "privilege.category.menu": "메뉴",
+  "privilege.category.mes-outbox": "MES 전송함",
+  "privilege.category.mlflow": "MLflow 연결",
+  "privilege.category.mlops": "MLOps",
+  "privilege.category.ops-master": "운영 기준정보",
+  "privilege.category.order": "주문",
+  "privilege.category.organization": "조직",
+  "privilege.category.partner": "협력사",
+  "privilege.category.privilege": "권한 목록",
+  "privilege.category.process": "프로세스 정의",
+  "privilege.category.process-instance": "프로세스 실행",
+  "privilege.category.production-report": "생산 실적",
+  "privilege.category.scenario": "연동 시나리오",
+  "privilege.category.schedule": "생산 일정",
+  "privilege.category.security": "보안",
+  "privilege.category.setting": "기본 설정",
+  "privilege.category.state-register": "연동 상태 레지스터",
+  "privilege.category.station": "작업 지점",
   "privilege.category.system": "시스템 설정",
-  "privilege.description": "{category}를 {name}할 수 있음",
+  "privilege.category.terminology": "용어",
+  "privilege.category.tutorial": "따라 하기",
+  "privilege.category.twin": "디지털 트윈",
+  "privilege.category.user": "사용자",
+  "privilege.category.webhook": "Webhook",
+  "privilege.category.work-shift": "근무 교대",
+  "privilege.category.worker": "작업자",
   "privilege.name.mutation": "생성, 수정, 삭제",
   "privilege.name.query": "조회",
   "text.account is reactivated": "계정이 재 활성화되었습니다.",