# Modèles de contrôle d'accès
RBAC (Role-Based Access Control)       : permissions liées à un rôle (admin, editor, viewer)
ABAC (Attribute-Based Access Control)  : permissions calculées selon des attributs (département, heure, IP)
DAC (Discretionary Access Control)     : le propriétaire de la ressource décide qui y accède
MAC (Mandatory Access Control)         : politique centrale imposée (SELinux, labels de classification)

# RBAC minimal avec FastAPI : dépendance de vérification de rôle
from fastapi import Depends, HTTPException, status
from enum import Enum

class Role(str, Enum):
    ADMIN = "admin"
    EDITOR = "editor"
    VIEWER = "viewer"

ROLE_PERMISSIONS = {
    Role.ADMIN: {"read", "write", "delete", "manage_users"},
    Role.EDITOR: {"read", "write"},
    Role.VIEWER: {"read"},
}

def require_permission(permission: str):
    def dependency(current_user=Depends(get_current_user)):  # get_current_user extrait le user du JWT
        user_permissions = ROLE_PERMISSIONS.get(current_user.role, set())
        if permission not in user_permissions:
            raise HTTPException(status_code=status.HTTP_403_FORBIDDEN, detail="Permission refusée")
        return current_user
    return dependency

@app.delete("/courses/{course_id}")
async def delete_course(course_id: int, user=Depends(require_permission("delete"))):
    ...

-- Moindre privilège au niveau base de données : ne jamais utiliser un compte "root" pour l'application
-- Créer un rôle applicatif restreint en PostgreSQL
CREATE ROLE app_backend LOGIN PASSWORD 'change_me_with_a_secret_manager';

-- Accorder UNIQUEMENT les droits nécessaires sur le schéma applicatif
GRANT CONNECT ON DATABASE technologik TO app_backend;
GRANT USAGE ON SCHEMA public TO app_backend;
GRANT SELECT, INSERT, UPDATE, DELETE ON courses, lessons, users TO app_backend;

-- Interdire explicitement les opérations DDL (structure) et les tables sensibles
REVOKE ALL ON audit_logs FROM app_backend;
GRANT SELECT, INSERT ON audit_logs TO app_backend;  -- écriture seule, pas de suppression de traces

# Moindre privilège au niveau système Linux : un service ne doit jamais tourner en root
# /etc/systemd/system/technologik-api.service
cat <<'EOF' > /etc/systemd/system/technologik-api.service
[Unit]
Description=Technologik API
After=network.target

[Service]
User=technologik          # utilisateur dédié, non-root
Group=technologik
NoNewPrivileges=true       # empêche l'escalade de privilèges via setuid
ProtectSystem=strict       # système de fichiers en lecture seule sauf exceptions
ProtectHome=true
ReadWritePaths=/var/lib/technologik
ExecStart=/opt/technologik/venv/bin/uvicorn app.main:app --host 127.0.0.1 --port 8000

[Install]
WantedBy=multi-user.target
EOF

# Créer l'utilisateur système dédié sans shell interactif (réduit la surface d'attaque)
useradd --system --no-create-home --shell /usr/sbin/nologin technologik
chown -R technologik:technologik /var/lib/technologik

# Revue périodique des accès (access review)
1. Lister tous les comptes/rôles avec accès privilégié
2. Vérifier que chaque privilège est encore justifié (départ d'employé, changement de poste)
3. Révoquer les accès inutilisés depuis > 90 jours
4. Auditer les comptes de service (souvent oubliés, jamais expirés)
5. Documenter chaque exception au principe du moindre privilège