Contezza Community » Tezza

Na overleg met @Tahir Malik en @Diego Mirandola

Huidige uitgangspunt is als volgt:

• Profielnaam in te vullen
• Rol te selecteren (SiteConsumer, SiteManager etc.)
• Sites te selecteren (multi-select, indivudeel, all)
• Gebruikers te selecteren (multi-select, individueel, all)

Profielen kunnen worden opgeslagen in een springboot applicatie via een API-call /save, en ook worden opgehaald/bewerkt.
Onderstaand een voorbeeld van een mogelijk JSON schema voor een lijst authorisatie profielen:

{
    "version": "<someVersion>",
    "id": "<someGeneratedId>",
    "AuthorisatieProfielen": [
        {
            "profielNaam": "Test Profiel",
            "users": [
                "gorden" 
            ],
            "rolName": "SiteConsumer",
            "zaaktypen": [
                "ZTMeldingOpenbareRuimte" 
            ],
            "objecttypen": []
        }
    ]
}

Opgeslagen profielen kunnen worden gepubliceerd. Dit gaat via een aparte API call /publish. Deze call verzamelt de te publiceren profielen (bijvoorbeeld op basis van een lijst van IDs die is meegegeven vanuit de UI) en doet een call naar Alfresco om in bulk te bewerken. Foutmeldingen worden per call teruggeven naar de UI.

• Groepen aanmaken in Keycloack via de real-import json --> Erik
• Backend AP aanpassen dat hij ROLES aanmaakt in Keycloack --> Bram
• Backend inloggen met Keycloack JWT Token die je vanuit de Frontend mee krijgt --> Erik
• Onderzoeken naar link tussen profiel & Zaaktype --> Bram

Zoals besproken met Tahir en Diego:

Keycloak wordt optioneel, eigenlijk alleen te gebruiken wanneer GZAC ook wordt gebruikt.

De applicatie slaat groep, rol, gebruikers en sites lokaal op. Front-end kan de api bevragen om de autorisatiegroepen van een gebruiker op te vragen bij inloggen.
De applicatie schrijft groep, rol en gebruikers ook weg naar Keycloak voor gebruik in GZAC.

Frontend is verantwoordelijk voor het ophalen van de autorisatie profielen en site memberships en hier een diff in te laten zien wanneer gebruikers lid zijn van een site maar dit lidmaatschap niet uit een profiel halen.

https://git.contezza.nl/develop/alfresco/contezza-configuratie-services

Main branch bevat de laatste versie.

Hier in is het volgende nog extra toegevoegd:

Bij het publiceren van profielen worden de site memberships opgehaald en gefilterd:
Komt er een gebruiker niet voor in de sitememberships dan wordt deze toegevoegd aan een POST lijst.
Komt er een gebruiker voor in de sitemememberships maar met een rol anders dan in de autorisatieprofielen dan wordt deze toegevoegd aan een PUT lijst.

De POST lijst wordt gebruikt in een bulk call naar site/{siteId}/memberships met daarin alle userIds en rollen.
De PUT lijst wordt gebruikt om per gebruiker een call naar site/{siteId}/members/{userId} te doen met daarin de nieuwe rol.

DELETE is lastiger:
Als gebruikers niet in de autorisatieprofielen voorkomen maar wel op de sites kunnen we er niet vanuit gaan dat ze verwijderd moeten worden omdat iemand ze met de hand kan hebben toegevoegd.
Er moet een diff bestaan tussen bestaande profielen en te publiceren profielen om te zien we er verwijderd zijn uit een bestaand profiel en dus van een site moeten worden verwijderd.

• Authentication & Authorization via de Alfresco Auth API
  • Via ticket volledig, via bearer nog deels, zie subticket
• DevTools
• Build en start docker
• Aanmaken rollen in Keycloak ipv groepen
• Bug fixes AlfrescoApiService

Extra informatie: Als dit project wordt gebruikt met tezza-workspace als backend lokaal:

Voor gebruik zonder keycloak moeten de taken 'platform' en 'share' worden gestart.

Voor gebruik met keycloak moeten de taken 'start-docker-platform' en 'start-docker-share' worden gestart

Kan deze hoofdticket dicht of zal ik deze ticket weghalen van de Roadmap?
Hoe zorgen we dan dat dit wel prio heeft om af te maken en te releasen?

1. Async call getriggerd vanuit Frontent bij openen pagina
   • Backend doet een check op alle profielen
   • Voor de default profielen wijzigingen worden direct doorgevoerd in de DB
   • Voor de custom profielen worden wijzigingen niet direct doorgevoerd maar teruggeven in de JSON response
   • In de Frontend UI wil ik per profiel zien of deze
     • In Sync is --> groen
     • Wijziging doorgevoerd in default profiel --> Oranje/geel
     • Wijziging kan niet doorgevoerd worden --> rood
       • Mogelijkheid bij een niet doorgevoerd wijziging om die gebruiker(s) toe te voegen aan een bestaande profiel --> onderzoeken
2. In de lijst wil ik per profiel kunnen inzien of deze wel/niet gepubliceerd is, nu is dat onderscheid niet te maken

De volgende docker variable moet toegevoegd worden:

CONTEZZA_AUTHORIZATION_MANAGEMENT_SERVICE_PROXY_URL=https://dev-tezza.contezza.cloud/authorization-management-service/

Op dev-tezza gebruikte Keycloak H2 interne database. Dit is aangepast.

Bevindingen na test:

• Protected profiles zijn niet meer protected na bewerking.
• TEZZA_BEHEER moet als laatste worden gebootstrapped om de rol goed te zetten.
• Bestaande gebruikers op Tezza beheer site moeten bij startup worden opgehaald/weggeschreven naar bijbehorende profielen (TEZZA_BEHEER, TEZZA_GEMEENTE, TEZZA_POSTINTAKE).
• Profielen gerelateerd aan Tezza Beheer site worden wel in keycloak bijgewerkt maar niet in Alfresco
• Delete action wordt niet uitgevoerd in keycloak
• Bij DeleteAction staat moet fromRole gevuld worden met wat in Role staat.
• Rol omschrijving mist in Info validate response
• Ondersteuning voor wildcard 'Alle Zaaktype Sites', 'Alle Objecttype Sites' mist nu. Voorstel payload (besproken met Diego):
  

  "sites": [
              {
                  "id": "*",
                  "siteType": "zaak",
                  "displayName": "[Maakt niet uit]" 
              }
          ]
  

• Bootstrap
• Nieuwe profiel aanmaken & publish
• Diff wijziging doorvoeren/validatie
• Profiel wijzigen & publish
• Profiel verwijderen & publish

De eerste versie van de app (inclusief alle subtickets) is meegenomen in contezza-apps versie 4.2.2.