T-308 - Criar a conta de auditor no ambiente local e no staging

• Componente: deploy (deploy/scripts/seed.py e deploy/keycloak/README.md) e operação do Keycloak do staging.
• Depende de: nenhuma tarefa.
• Data máxima: 05/11/2026
• Estimativa: 2 pontos (Fibonacci)

Entregável

• Conta [email protected] com o papel auditor criada pelo seed no ambiente local.
• Conta [email protected] com o papel profissional-rh no seed, igual ao Keycloak do staging.
• Conta de auditor criada no Keycloak do staging, sem o grupo de autocadastro.
• deploy/keycloak/README.md descrevendo as três contas.

Descrição

O seed cria [email protected] como profissional de RH e [email protected] como auditor. No Keycloak do staging, [email protected] foi trocada para profissional de RH, porque os jobs de demonstração pertencem a ela e o auditor não acessa rotas de job. Não existe hoje uma conta de auditor utilizável para testar e demonstrar a área do auditor.

Contexto e decisões tomadas

• provisionar_usuario em seed.py atribui o papel da lista USUARIOS, remove o grupo synapse-autocadastro só do auditor que acabou de criar e recusa uma conta existente que já tenha o papel conflitante. Rodar o seed atual contra o staging falha nessa recusa em [email protected].
• O grupo synapse-autocadastro é padrão do realm e concede profissional-rh. Uma conta de auditor criada pelo console também o recebe, e o grupo precisa ser removido antes de atribuir auditor (deploy/keycloak/README.md).
• Decisão a confirmar no requisito 1: [email protected] passa a ser profissional de RH também no seed, e o papel de auditor fica com uma conta própria. Assim o seed volta a coincidir com o staging, e os jobs de demonstração de [email protected] voltam a ser acessíveis no ambiente local.
• O seed não é executado contra o staging nesta tarefa. A conta do staging é criada pelo console de administração do Keycloak.

Escopo

Dentro do escopo

• A lista USUARIOS de seed.py, a documentação das contas em deploy/keycloak/README.md e a criação da conta no Keycloak do staging.

Fora do escopo

• Os cenários de jobs do seed.
• Qualquer mudança no realm ou no autocadastro.

Requisitos

1. Antes de editar, confirmar com o usuário a troca do papel de [email protected] no seed.
2. Em USUARIOS, mudar [email protected] para profissional_rh e profissional-rh, e acrescentar [email protected], com nome "Auditoria", papel auditor e papel no Keycloak auditor.
3. Atualizar o cabeçalho de seed.py e a seção de contas de deploy/keycloak/README.md com as três contas e os papéis.
4. Registrar no README do Keycloak que um Keycloak local criado com o seed anterior mantém [email protected] como auditor, e que o seed novo recusa essa conta até o papel ser trocado no console ou o volume do Keycloak ser recriado.
5. No Keycloak do staging, criar [email protected] pelo console, com e-mail verificado, remover o grupo synapse-autocadastro e atribuir só o papel auditor. A senha é entregue ao time fora do repositório.

Contexto técnico

• Entradas: a lista USUARIOS e o realm synapse.
• Saídas: uma conta de auditor em cada ambiente.
• Componentes afetados: seed.py, deploy/keycloak/README.md e o Keycloak do staging.
• Restrições: nenhuma senha em arquivo versionado; nenhuma conta com os dois papéis de negócio.
• Referências: deploy/scripts/seed.py, README do Keycloak (deploy/keycloak/README.md), deploy/keycloak/realm-synapse.json, DEC-087 (docs/decisoes/dec-087.md).

Critérios de aceitação

• Num ambiente local limpo, o seed cria as três contas, e [email protected] não pertence ao grupo synapse-autocadastro.
• [email protected] faz login e recebe 403 em GET /jobs, e [email protected] lista os próprios jobs de demonstração.
• No staging, a conta de auditor faz login e tem só o papel auditor.

Definição de concluído (DoD)

• Seed executado num ambiente local limpo e os critérios conferidos.
• Conta do staging conferida no console do Keycloak.
• Testes de deploy/keycloak/tests/ que tocam o seed ou as contas, se houver, sem falha.