feat(server-nestjs): consume adminRole events in keycloak and gitlab modules

[shikanime]

Issues liées

Blocks the cut-over of #2738, #2495, #2496, #2740.

Quel est le comportement actuel ?

admin-role.service.ts already emits these events on main, but no @OnEvent consumer exists — at cutover the Keycloak/GitLab group sync would be silently lost. Also unblocks #2738 (user migration emits adminRole.upsert per impacted role).

Quel est le nouveau comportement ?

Bridge emitAsync('adminRole.upsert' | 'adminRole.delete') to actual consumers in server-nestjs:

• keycloak: reconcile the impacted role's Keycloak group membership (reuses ensureAdminRoleGroup)
• gitlab: upsert members with admin/auditor flags from the role's oidc group (mirrors legacy upsertAdminRole/deleteAdminRole plugin functions)

Shared payload type AdminRoleEventPayload in app-events.service.ts.

Signed-off-by: Shikanime Deva 22115108+shikanime@users.noreply.github.com

[github-actions]

🤖 Hey !

A preview of the application is available at : https://console-pr-2749.dso.cpin-hp.numerique-interieur.fr

Please be patient, deployment may take a few minutes.

[shikanime]

Verdict : Changements demandés

Le pont GitLab est fidèle au legacy et bien testé, mais le pont Keycloak pour adminRole.delete relit la base à l'intérieur de la transaction émettrice et ne révoque donc jamais les membres — bloquant, il faut traiter le payload de delete ou émettre après commit — et le module se base sur un main pré-#2792 dont il duplique le split d'auditor paths. Bel effort otherwise : trois suites de tests dont la chaîne event→consommateurs, exactement le garde-fou qui manquait pour débloquer #2738.

[StephaneTrebel]

Les consommateurs adminRole.* présents dans le diff relient bien les deux ponts demandés et le payload de suppression est maintenant consommé sans relecture du rôle supprimé. La branche reste toutefois à 3 commits de main et deux fils de revue pertinents restent ouverts : rebaser, intégrer #2792 puis réconcilier les fils et les contrôles avant nouvelle revue.

[shikanime]

Comment s'articule la revue

L'implémentation suit bien les patterns existants : la réconciliation Keycloak repasse par ensureAdminRoleGroup (idempotent, avec relecture en base) et la révocation interroge le groupe via getGroupByPath sans le créer, avec tolérance 404. Le pont GitLab reflète fidèlement les fonctions plugin legacy, mais le chemin delete s'appuie sur upsertUser qui crée les comptes GitLab absents — invariant déjà corrigé sur la PR #2807. Par ailleurs, la comparaison du chemin admin en égalité stricte diverge du reste du même fichier qui passe par parseGroupPaths, ce qui casse silencieusement les configurations multi-chemins. Le reste (payload partagé AdminRoleEventPayload, specs ajoutées plutôt que supprimées, imports minimaux, pas de cast as) est conforme ; le flag draft est cohérent avec le statut du chantier.

[StephaneTrebel]

Verdict : changements demandés. Le rebase et la révocation Keycloak depuis le payload ont bien corrigé les points précédents, et les specs de chaîne sont utiles. Deux régressions restent toutefois dans le pont GitLab : une suppression peut provisionner un utilisateur GitLab absent, et une configuration admin multi-chemins n'est pas reconnue ; détails inline ci-dessous.

[shikanime]

Traitement de la revue (c808c97)

• packages/ts-config/tsconfig.base.json : l'artefact n'existe plus à la tête de branche (fil marqué obsolète, résolu).
• Pont GitLab delete : getUserByEmail avant révocation ; compte absent → membre ignoré (provisioning OIDC), pas de compte fantôme — calibré sur feat(zone): port keycloak and gitlab zone bridges to server-nestjs #2807. Nouvelle spé : should skip absent GitLab accounts instead of provisioning them.
• Config admin multi-chemins : parseGroupPaths + includes sur getAdminGroupPath(), aligné sur l'usage projet (l. 292). Nouvelle spé : should recognize every configured admin group path.

Gates locaux : vitest gitlab.service.spec (30/30), nest build, eslint — verts.

[StephaneTrebel]

Verdict : changements demandés. Les deux constats fonctionnels précédents sont corrigés : les chemins admin multiples passent par parseGroupPaths, et une révocation n’essaie plus de provisionner les comptes GitLab absents ; les tests et les checks du head sont verts. La branche reste toutefois à 4 commits derrière main : rebase et relance des checks requis avant validation. Ledger #2723 : specs et parité sont couvertes par le diff ; le choix de conception n’est pas encore documenté dans l’issue comme le demande son premier critère.

done

[cloud-pi-native-sonarqube]

Quality Gate passed

Issues

• 0 New Issues
• 0 Fixed Issues
• 0 Accepted Issues

Measures

• 0 Security Hotspots
• 0.00% Coverage (48.80% Estimated after merge)
• 0.00% Duplicated Code (3.80% Estimated after merge)

Project ID: cloud-pi-native_console_AYsa46O31ebDtzs-pYyZ

View in SonarQube

[StephaneTrebel]

Verdict : approuvée. Les correctifs GitLab sont conformes à la décision documentée dans #2723 : les chemins multiples sont pris en charge et la console reste autoritaire sur le provisioning OIDC lors d’une révocation. Le pont couvre les événements upsert/delete dans Keycloak et GitLab, avec des specs de chaîne/service ; la branche est à jour sur main et tous les checks, dont Sonar, sont verts.