passo5_access_request_api.py

"""
PASSO 5 - IGA: Access Request + Approval Workflow.

Aqui adicionamos a metade de GOVERNANCE do IGA: o acesso so e provisionado
DEPOIS de ser aprovado, e tudo fica registrado (trilha de auditoria).

Fluxo:
    1. Alguem cria uma solicitacao de acesso  -> status "pendente"
    2. O gestor aprova ou rejeita
    3. Se aprovado -> reaproveita a ponte do PASSO 4 (PowerShell -> AD) e provisiona
    4. Se rejeitado -> nada e provisionado

Esta API roda na porta 8002 (RH=8000, Webhook=8001, IGA=8002).

Como rodar (com o .venv ativado):
    uvicorn passo5_access_request_api:app --reload --port 8002

Como testar:
    - Abra http://127.0.0.1:8002/docs e use os endpoints, OU
    - Rode em outro terminal: python passo5_access_request_demo.py
"""

from datetime import datetime

from fastapi import FastAPI, HTTPException
from pydantic import BaseModel

# Reaproveitamos a ponte do PASSO 4: o provisionamento ja existe e funciona.
from passo4_iqservice_bridge import acionar_powershell

# PASSO 6: politica de Segregation of Duties (SoD).
from passo6_sod_policy import verificar_sod, registrar_acesso


# 1) O que o solicitante envia para PEDIR um acesso.
class NovaSolicitacao(BaseModel):
    solicitante_nome: str
    solicitante_email: str
    access_profile: str  # o acesso desejado (ex.: "AD-Grupo-Financeiro")
    justificativa: str   # POR QUE precisa do acesso (exigencia de governanca)


# 2) O que o gestor envia ao decidir.
class Decisao(BaseModel):
    aprovador: str
    motivo: str = ""


# 3) "Banco" em memoria das solicitacoes e um contador de ids.
SOLICITACOES: dict[int, dict] = {}
_proximo_id = 1


app = FastAPI(
    title="IGA - Access Request & Approval (SailPoint ISC Lab)",
    description="Solicitacao de acesso com aprovacao e trilha de auditoria.",
    version="1.0.0",
)


def _agora() -> str:
    return datetime.now().strftime("%Y-%m-%d %H:%M:%S")


@app.get("/")
def raiz():
    return {"servico": "IGA - Access Request & Approval", "status": "online"}


# 4) CRIAR uma solicitacao de acesso (entra como "pendente").
@app.post("/solicitacoes")
def criar_solicitacao(pedido: NovaSolicitacao):
    global _proximo_id
    solic_id = _proximo_id
    _proximo_id += 1

    registro = {
        "id": solic_id,
        "solicitante_nome": pedido.solicitante_nome,
        "solicitante_email": pedido.solicitante_email,
        "access_profile": pedido.access_profile,
        "justificativa": pedido.justificativa,
        "status": "pendente",
        "criado_em": _agora(),
        "aprovador": None,
        "motivo_decisao": None,
        "decidido_em": None,
        "provisionamento_ad": None,
    }
    SOLICITACOES[solic_id] = registro
    print(f"[{registro['criado_em']}] NOVA SOLICITACAO #{solic_id}: "
          f"{pedido.solicitante_nome} pede '{pedido.access_profile}' (pendente)")
    return registro


# 5) LISTAR todas (visibilidade / auditoria).
@app.get("/solicitacoes")
def listar_solicitacoes():
    return list(SOLICITACOES.values())


# 6) VER uma solicitacao especifica.
@app.get("/solicitacoes/{solic_id}")
def obter_solicitacao(solic_id: int):
    registro = SOLICITACOES.get(solic_id)
    if registro is None:
        raise HTTPException(404, f"Solicitacao #{solic_id} nao encontrada.")
    return registro


def _exige_pendente(solic_id: int) -> dict:
    registro = SOLICITACOES.get(solic_id)
    if registro is None:
        raise HTTPException(404, f"Solicitacao #{solic_id} nao encontrada.")
    if registro["status"] != "pendente":
        raise HTTPException(
            409,
            f"Solicitacao #{solic_id} ja foi decidida (status: {registro['status']}).",
        )
    return registro


# 7) APROVAR -> aqui esta o portao de governanca: so apos aprovar provisionamos.
@app.post("/solicitacoes/{solic_id}/aprovar")
def aprovar(solic_id: int, decisao: Decisao):
    registro = _exige_pendente(solic_id)

    # PASSO 6: portao de SoD. A politica e verificada ANTES de provisionar e
    # prevalece ate sobre a decisao do gestor (controle preventivo).
    ok, conflito = verificar_sod(registro["solicitante_email"], registro["access_profile"])
    if not ok:
        registro["status"] = "bloqueada_sod"
        registro["aprovador"] = decisao.aprovador
        registro["motivo_decisao"] = f"Bloqueada por SoD: {conflito['motivo']}"
        registro["decidido_em"] = _agora()
        registro["violacao_sod"] = conflito
        print(f"[{registro['decidido_em']}] BLOQUEADA #{solic_id} (SoD '{conflito['politica']}'): "
              f"{conflito['novo_acesso']} x {conflito['conflita_com']} -> NADA provisionado")
        raise HTTPException(
            status_code=409,
            detail={"mensagem": "Solicitacao viola politica de SoD.", "violacao": conflito},
        )

    # Provisiona de verdade reaproveitando a ponte do PASSO 4.
    resultado_ad = acionar_powershell(
        nome=registro["solicitante_nome"],
        email=registro["solicitante_email"],
        access_profile=registro["access_profile"],
        acao="provisionar",
    )

    # Registra o acesso concedido (passa a contar para futuras checagens de SoD).
    registrar_acesso(registro["solicitante_email"], registro["access_profile"])

    registro["status"] = "aprovada"
    registro["aprovador"] = decisao.aprovador
    registro["motivo_decisao"] = decisao.motivo
    registro["decidido_em"] = _agora()
    registro["provisionamento_ad"] = resultado_ad

    print(f"[{registro['decidido_em']}] APROVADA #{solic_id} por {decisao.aprovador} "
          f"-> provisionado: {resultado_ad['saida']}")
    return registro


# 8) REJEITAR -> nada e provisionado, mas fica registrado.
@app.post("/solicitacoes/{solic_id}/rejeitar")
def rejeitar(solic_id: int, decisao: Decisao):
    registro = _exige_pendente(solic_id)

    registro["status"] = "rejeitada"
    registro["aprovador"] = decisao.aprovador
    registro["motivo_decisao"] = decisao.motivo
    registro["decidido_em"] = _agora()

    print(f"[{registro['decidido_em']}] REJEITADA #{solic_id} por {decisao.aprovador} "
          f"(motivo: {decisao.motivo or 'nao informado'}) -> nada provisionado")
    return registro