Agente · dev-core

Proposito

Desarrollo y mantenimiento del modulo core/ — autenticacion, usuarios, organizaciones, permisos, credenciales, middleware y configuracion SaaS. Es la base sobre la que operan todos los demas modulos.

Estructura de archivos

core/
├── models.py                  # 10 modelos (440 LOC)
├── api.py                     # API principal: 8 routers, ~45 endpoints (1049 LOC)
├── auth_api.py                # WebAuthn/Passkey endpoints (357 LOC)
├── credential_api.py          # Credential Store API (263 LOC)
├── htmx_views.py              # Vistas HTMX para templates (698 LOC)
├── signals.py                 # Audit signals: login, logout, welcome email
├── email_service.py           # Welcome email via Resend
├── module_registry.py         # Mapa URL → modulo SaaS requerido
├── workspace_api.py           # Endpoints para el workspace
├── middleware/
│   ├── rate_limit.py          # Rate limiting per-IP + per-tenant
│   ├── module_gating.py       # Acceso por modulo contratado
│   ├── impersonation.py       # Suplantacion de superusuario
│   ├── tenant_rls.py          # Row-Level Security PostgreSQL
│   ├── csp.py                 # Content Security Policy
│   ├── payload_budget.py      # Limite de tamano de request
│   └── tenant_metrics.py      # Metricas por tenant
└── management/commands/
    ├── finops_report.py       # Informe FinOps
    └── perf_review.py         # Informe rendimiento

Modelos (10)

Relaciones clave

Plan ──M2M──> SaaSModule
Organization ──FK──> Plan
Organization ──M2M──> SaaSModule (extra_modules)
User ──FK──> Organization
SystemLog ──FK──> User, Organization
StoredCredential ──FK──> Organization
ModulePermission ──1:1──> User
TemporaryAccess ──FK──> User
LoginLog ──FK──> User

API Endpoints (~45)

Users (/api/users/)

Settings (/api/settings/)

Status y Search (/api/status/, /api/search)

Admin (/api/admin/)

Logs (/api/logs/, /api/login-history/)

Auth — Passkeys (/auth/)

Credentials (/api/credentials/)

Otros

Middleware Pipeline

Orden de ejecucion (despues de Django auth):

1. ImpersonationMiddleware — Sustituye request.user si hay sesion de suplantacion
2. ModuleGatingMiddleware — Verifica que la org tiene el modulo activo para la URL
3. RateLimitMiddleware — Dos capas: per-IP (sliding window) + per-tenant (plan-based)
4. PayloadBudgetMiddleware — Limite de tamano de request
5. TenantRLSMiddleware — Configura Row-Level Security de PostgreSQL
6. CSPMiddleware — Inyecta headers Content-Security-Policy
7. TenantMetricsMiddleware — Contadores Prometheus por tenant

Rate Limits

Credential Store

Sistema unificado de credenciales encriptadas para Auto-Provision y SSH.

Tipos soportados

• SNMPv2c: community string
• SNMPv3: username, auth_protocol (MD5/SHA), auth_key, priv_protocol (DES/AES), priv_key
• SSH: username, password, enable_password
• HTTP: username, password
• Multi: combinacion de los anteriores en una sola credencial

Encriptacion

• Algoritmo: Fernet (AES-128-CBC + HMAC-SHA256)
• Campos encriptados: community, auth_key, priv_key, ssh_password, enable_password, http_password
• Campos en claro: usernames, protocols
• StoredCredential.get_section(name) → descifra y devuelve dict de una seccion

Sistema de permisos

Jerarquia de roles

Superuser (is_superuser=True)
  └── Admin (role='admin')
        └── Operator (role='operator')
              └── Readonly (role='readonly')

Permisos granulares (ModulePermission)

Formato JSON: {"scope": "level"}

Scopes: racks, blueprints, observatory, terminal, network, cns, itsm, fleet, users Levels: none < view < edit < admin

Ejemplo: {"racks": "edit", "observatory": "view", "users": "none"}

Acceso temporal (TemporaryAccess)

• Duracion: 1-72 horas
• Auto-expira segun expires_at
• Revocable manualmente
• No puede exceder nivel del que lo concede
• Registro completo en audit trail

Signals y auditoria

LoginLog campos

• timestamp, user, ip_address, user_agent, success, username_attempted, method
• Methods detectados: password, social, passkey, token

Docs relacionados

Mantenido por: Claude (Anthropic) + Equipo CreaRack Ultima actualizacion: 13-04-2026

Véase también

• [[concept—saas—multi-tenancy]] — modelo multi-tenancy con RLS
• [[concept—saas—module-gating]] — gating de módulos por plan SaaS
• [[entity—core—model—organization]] — modelo tenant principal del core
• [[entity—core—model—user]] — modelo de usuario multi-organización
• [[entity—core—model—plan]] — planes SaaS y módulos contratables
• [[entity—core—model—saasmodule]] — definición de módulos de producto
• [[entity—core—model—storedcredential]] — credenciales cifradas reutilizables
• [[crearack-tech—backend—passkeys-authentication]] — autenticación con passkeys