Cosmos.Authorization 3.2.0

Cosmos.Authorization

Autorización fine-grained (FGA) para servicios Cosmos. El paquete es el único lugar del ecosistema que conoce al proveedor externo de autorización (hoy WorkOS FGA): hacia afuera solo se ve el puerto IGrantedResourcesProvider.

Qué expone

• IGrantedResourcesProvider — lista qué recursos (por su external_id) tiene concedidos una membresía bajo un recurso padre con un permiso (ListResourcesForMembershipAsync), chequea un permiso puntual sobre un recurso (CheckAsync) y crea recursos (CreateResourceAsync). La coherencia de la jerarquía la valida el proveedor de FGA. Los recursos cuelgan siempre de un tenant: CreateResourceAsync recibe el tenantId del ecosistema y el paquete lo traduce a la identidad del proveedor.
• ResourceType — el árbol de tipos de recurso del modelo FGA de Cosmos: Subscription (raíz) → ResourceGroup → Resource. Cerrado a propósito: los tipos se declaran acá y cada uno conoce a su padre.
• Resource — una referencia a un recurso: ResourceById(id) o ResourceByExternalId(resourceType, externalId). La misma referencia sirve de padre (listar, crear) y de objetivo (check).
• AgregarAutorizacionFga(apiKey) — extension de IServiceCollection que registra el proveedor como singleton. Recibe la API key ya resuelta; de dónde sale es decisión del consumidor.

Uso

builder.Services.AgregarAutorizacionFga(apiKey);

Si el servicio corre en Azure y guarda la key en Key Vault, Cosmos.Authorization.Azure hace ese paso: await builder.Services.AgregarAutorizacionFgaDesdeKeyVaultAsync(vaultUri, "WORKOS-API-KEY").

// ¿Puede este miembro leer este grupo de recursos?
var puede = await provider.CheckAsync(
    membershipId,
    new ResourceByExternalId(ResourceType.ResourceGroup, "ADPRO"),
    "resource-group:read",
    ct);

// ¿Qué grupos de recursos del producto puede leer? (descubrimiento, p. ej. para filtrar catálogos)
var concedidos = await provider.ListResourcesForMembershipAsync(
    membershipId,
    new ResourceByExternalId(ResourceType.Subscription, "co.sinco.cosmos.miservicio"),
    "resource-group:read",
    ct);

// Aprovisionamiento: crear un grupo de recursos bajo el producto.
await provider.CreateResourceAsync(
    tenantId, ResourceType.ResourceGroup, "ADPRO",
    new ResourceByExternalId(ResourceType.Subscription, "co.sinco.cosmos.miservicio"), ct);

Qué NO hace

• No cachea las respuestas: un permiso revocado se nota en la invocación siguiente.
• No interpreta los external_id: qué significan (esquemas, módulos, recursos) es semántica del dominio consumidor.