03.1 — Autenticazione, ruoli e scope

L’Invariante

Una credenziale, un confine. Una credenziale emessa per una superficie non funziona mai silenziosamente su un’altra: le key edge guidano il canale sync, le sessioni PIN guidano le azioni kernel, le sessioni portale guidano l’API tenant, le sessioni admin guidano le operations. Il least privilege è strutturale — un token bridge fisicamente non può aprire un lotto.

Il Contratto

Registro ruoli (manifest production-line): MAGAZZINIERE (trigger di recezione + letture), OPERATORE (trigger di lavorazione), QUALITA (trigger di collaudo), ADMIN (wildcard). I ruoli vivono nel rbac_engine del manifest — ogni verticale dichiara i propri.

Il Flusso

edge:  PIN → /auth/login → sessione (TTL 12h, ax_sessions, revocabile)
            PIN condiviso? → 409 PIN_AMBIGUOUS {candidates:[{operatorId,name}]}
            → rimanda con operatorId
cloud: email+password → /portal/login → sessione (12h)
            email su >1 tenant? → 401 TENANT_AMBIGUOUS → passa tenant_id
sync:  token bt_* monouso → /bootstrap/claim → {tenant_id, api_key}
            il re-claim RUOTA la key — la vecchia muore all'istante

Esempio di Payload

# Sessione operatore edge
curl -s http://edge:8291/api/v1/auth/login -H 'content-type: application/json' \
  -d '{"tenantId":"<uuid>","deviceCode":"IPC-01","pin":"1234"}'
# → {"token":"…","expiresInHours":12,"context":{"tenantId":"…","operatorId":"…","role":"MAGAZZINIERE","deviceId":"IPC-01"}}

# Sessione portale cloud
curl -s https://cp.axiom-trace.eu/api/v1/portal/login -H 'content-type: application/json' \
  -d '{"email":"qa@customer.com","password":"…"}'
# → {"token":"…","tenant_id":"…","role":"owner","display_name":"…"}

I Fallimenti Noti