EAC.Infrastructure.Security 0.1.0-rc.2

EAC.Infrastructure.Security

Repositorio propietario del NuGet EAC.Infrastructure.Security.

Estado actual: alcance hasta RC completado con 0.1.0-rc.1 publicado en NuGet.org. La promoción estable permanece aplazada hasta autorización explícita.

Instalación y configuración

<PackageReference Include="EAC.Infrastructure.Security" Version="0.1.0-rc.1" />

El registro básico no exige configuración ambiental ni activa un handler de autenticación. El host conserva el control explícito sobre JWT Bearer, OIDC u otro handler oficial:

services.AddEacSecurity(
    claims => claims.MapSubject("sub").MapClientId("client_id"),
    capabilities => capabilities.Add("sample.order.read"));

Cuando existe configuración EAC de seguridad, se enlaza y valida al inicio:

services.AddEacSecurity(
    builder.Configuration,
    claims => claims.MapSubject("sub").MapClientId("client_id"),
    capabilities => capabilities.Add("sample.order.read"));

Configuración completa con valores seguros predeterminados:

{
  "Eac": {
    "Security": {
      "DefaultScheme": "Bearer",
      "Authority": "https://identity.example",
      "Audience": "orders-api",
      "Issuer": "https://identity.example",
      "ValidateIssuer": true,
      "ValidateAudience": true,
      "ValidateLifetime": true,
      "ValidateSignature": true,
      "RequireHttpsMetadata": true
    }
  }
}

Equivalencia mediante variables de entorno:

Eac__Security__DefaultScheme=Bearer
Eac__Security__Authority=https://identity.example
Eac__Security__Audience=orders-api
Eac__Security__Issuer=https://identity.example
Eac__Security__ValidateIssuer=true
Eac__Security__ValidateAudience=true
Eac__Security__ValidateLifetime=true
Eac__Security__ValidateSignature=true
Eac__Security__RequireHttpsMetadata=true

Una sección incompleta o insegura impide el startup. Los cambios requieren reiniciar el proceso. Una configuración programática proporcionada al final del registro tiene precedencia sobre appsettings y variables de entorno:

services.AddEacSecurity(
    builder.Configuration,
    ConfigureClaims,
    ConfigureCapabilities,
    options => options.Audience = "orders-api-v2");

Authority, Audience e Issuer no son secretos. Tokens, claves privadas, client secrets y credenciales pertenecen al handler/proveedor oficial y deben obtenerse desde un almacén externo; este paquete nunca los recibe ni almacena. Las capacidades, claims admitidas y políticas son contratos tipados y permanecen en código.

Los roles de proveedor solo se traducen a capacidades cuando la fuente declara explícitamente claim type, issuer, audience y client/resource esperados:

services.AddEacSecurity(
    claims => claims
        .MapSubject("sub")
        .MapClientId("client_id", "azp")
        .MapRoles("roles")
        .AcceptRoleSource("https://identity.example", "orders-api", "orders-client")
        .FromRole("order-operator", "sample.order.read"),
    capabilities => capabilities.Add("sample.order.read"));

• Índice documental
• Diseño
• Plan de implementación
• Arquitectura transversal