サービス管理者・監査ログ 仕様書

ALTER TABLE users ADD COLUMN is_admin BOOLEAN NOT NULL DEFAULT false;
ALTER TABLE users ADD COLUMN is_suspended BOOLEAN NOT NULL DEFAULT false;

// entities/users.rs に追加
pub is_admin: bool,
pub is_suspended: bool,

pub struct Model {
    pub id: Uuid,
    pub actor_id: Option<Uuid>,      // NULL = システム自動実行
    pub actor_type: String,          // "user" | "system"
    pub action: String,              // ドット記法（例: "user.admin.grant"）
    pub resource_type: String,       // "user" | "tenant" | "project" | ...
    pub resource_id: String,         // 対象リソースの ID（UUID 文字列など）
    pub tenant_id: Option<Uuid>,     // テナントスコープ操作のみ設定
    pub metadata: Option<serde_json::Value>, // before/after・理由など
    pub ip_address: Option<String>,  // IPv4 / IPv6 文字列
    pub user_agent: Option<String>,
    pub created_at: DateTimeUtc,
}

ALTER TABLE users ADD COLUMN is_admin BOOLEAN NOT NULL DEFAULT false;
ALTER TABLE users ADD COLUMN is_suspended BOOLEAN NOT NULL DEFAULT false;

CREATE TABLE audit_logs (
    id UUID PRIMARY KEY,
    actor_id UUID REFERENCES users(id) ON DELETE SET NULL,
    actor_type VARCHAR NOT NULL,
    action VARCHAR NOT NULL,
    resource_type VARCHAR NOT NULL,
    resource_id VARCHAR NOT NULL,
    tenant_id UUID REFERENCES tenants(id) ON DELETE SET NULL,
    metadata JSONB,
    ip_address VARCHAR(45),
    user_agent VARCHAR,
    created_at TIMESTAMPTZ NOT NULL DEFAULT now()
);

CREATE INDEX idx_audit_logs_actor ON audit_logs(actor_id);
CREATE INDEX idx_audit_logs_action ON audit_logs(action);
CREATE INDEX idx_audit_logs_resource ON audit_logs(resource_type, resource_id);
CREATE INDEX idx_audit_logs_tenant ON audit_logs(tenant_id);
CREATE INDEX idx_audit_logs_created ON audit_logs(created_at DESC);

-- audit_logs は append-only。アプリロールへの UPDATE/DELETE を剥奪する
REVOKE UPDATE, DELETE ON audit_logs FROM app_role;

起動時:
  BOOTSTRAP_ADMIN_EMAIL が設定されている
    → users WHERE is_admin = true の件数を確認
    → 管理者が 1 人以上存在する場合: ブートストラップをスキップ（ログ出力のみ）
    → 管理者が 0 人の場合のみ:
        → users WHERE email = $email → is_admin = true に UPDATE
        → audit_logs に action="user.admin.grant", actor_type="system" を INSERT
          （metadata には user_id のみ記録。メールアドレスは含めない）

/// is_admin = true のユーザー専用エクストラクタ。セッション認証のみ受理（PAT 不可）。
pub struct AdminUser {
    pub user_id: Uuid,
}

impl FromRequestParts<AppState> for AdminUser {
    type Rejection = AppError;

    async fn from_request_parts(parts: &mut Parts, state: &AppState) -> Result<Self, Self::Rejection> {
        let auth = AuthUser::from_request_parts(parts, state)
            .await
            .map_err(|_| AppError::Unauthorized)?;

        // 管理者操作はセッション認証のみ。PAT は権限範囲外として 403。
        auth.require_session().map_err(|_| AppError::Forbidden)?;

        let user = users::Entity::find_by_id(auth.user_id)
            .one(&state.db)
            .await?
            .ok_or(AppError::Unauthorized)?;

        if !user.is_admin {
            return Err(AppError::Forbidden);
        }

        Ok(AdminUser { user_id: auth.user_id })
    }
}

// extractors.rs: user_id 取得後に追加
let user = users::Entity::find_by_id(user_id).one(&state.db).await?
    .ok_or(AuthError::Unauthorized)?;
if user.is_suspended {
    return Err(AuthError::Suspended);  // → 403 Forbidden
}

// user.admin.grant
{ "reason": "初期管理者設定" }

// user.password_reset
{ "target_user_id": "uuid", "send_to": "support-relay@example.com" }

// user.2fa.reset
{ "reason": "ユーザーがデバイスを紛失" }

// project.member.role.change
{ "before": "Member", "after": "Admin" }

// auth.login.failure
{ "reason": "invalid_password" }

// tenant.delete
{ "tenant_name": "Example Corp" }

{
  "send_to": "support-relay@example.com"
}

GET /v1/admin/audit-logs

{
  "logs": [
    {
      "id": "uuid",
      "actor_id": "uuid",
      "actor_type": "user",
      "action": "user.admin.grant",
      "resource_type": "user",
      "resource_id": "uuid",
      "tenant_id": null,
      "metadata": { "reason": "初期管理者設定" },
      "ip_address": "203.0.113.1",
      "created_at": "2026-05-27T10:00:00Z"
    }
  ],
  "next_cursor": "base64cursor"
}

{
  "user_registration_enabled": true,
  "drive_default_quota_mb": 10240,
  "drive_system_max_quota_mb": 102400
}

/admin

┌──────────────────────────────────────────────────┐
│ 管理者ダッシュボード                               │
├──────────────────────────────────────────────────┤
│ ユーザー数: 1,234   テナント数: 87   停止中: 3    │
├──────────────────────────────────────────────────┤
│ [ユーザー管理] [テナント管理] [監査ログ] [設定]   │
└──────────────────────────────────────────────────┘

/admin/users

┌────────────────────────────────────────────────────────────────┐
│ ユーザー管理                                    [+ ユーザー作成] │
├──────────────┬──────────────────┬──────────┬───────────────────┤
│ 名前         │ メール           │ 状態     │ 操作              │
├──────────────┼──────────────────┼──────────┼───────────────────┤
│ Alice        │ alice@example.com│ 通常     │ [詳細▼]           │
│ Bob          │ bob@example.com  │ 停止中   │ [詳細▼]           │
└──────────────┴──────────────────┴──────────┴───────────────────┘

┌──────────────────────────────────────┐
│ bob@example.com                      │
│ 状態: 停止中                          │
│                                      │
│ [停止解除]  [パスワードリセット送信]   │
│ [2FA リセット]  [パスキー削除]        │
│ [OAuth 解除]    [強制削除]            │
│                                      │
│ 管理者フラグ: ○ 付与  ● 剥奪         │
└──────────────────────────────────────┘

/admin/audit-logs

┌────────────────────────────────────────────────────────────────────┐
│ 監査ログ                            [アクション▼] [期間▼] [🔍検索] │
├──────────────────┬──────────────────┬──────────────────┬───────────┤
│ 日時             │ 操作者           │ アクション        │ 対象      │
├──────────────────┼──────────────────┼──────────────────┼───────────┤
│ 2026-05-27 10:02 │ alice@example.com│ user.admin.grant │ user:bob  │
│ 2026-05-27 09:55 │ system           │ user.admin.grant │ user:alice│
│ 2026-05-27 09:30 │ bob@example.com  │ auth.2fa.enable  │ user:bob  │
└──────────────────┴──────────────────┴──────────────────┴───────────┘

// middleware/admin.ts
export default defineNuxtRouteMiddleware(() => {
  const { user } = useAuth()
  if (!user.value?.is_admin) {
    return navigateTo('/')
  }
})