feat(auth): authentik OIDC + admin SSO グループ同期

[Mikuto0831]

Summary

• authentik を OIDC プロバイダーとして追加（AUTHENTIK_CLIENT_ID 等の env var で有効化）
• OIDCClaims.Groups フィールドを追加し、ID Token の groups クレームを抽出
• ADMIN_GROUPS 環境変数で admin グループ名を指定するとログイン時にロールを自動同期
• UserRepository.UpsertWithIdentity に roleHint 引数を追加

admin SSO の動作フロー

authentik グループ "dailycoding-admins" に所属
      ↓ ログイン
ID Token に groups: ["dailycoding-admins"] が含まれる
      ↓ verifier.Verify()
OIDCClaims.Groups = ["dailycoding-admins"]
      ↓ AuthUsecase.resolveRoleHint()
ADMIN_GROUPS=dailycoding-admins → roleHint = "admin"
      ↓ UpsertWithIdentity()
users.role = 'admin' に更新

ADMIN_GROUPS 未設定のときはロールを変更しない（従来通り手動 DB UPDATE で昇格可能）。

authentik 側の設定手順

1. authentik 管理画面 → Applications → Providers で OAuth2/OIDC Provider を作成
2. Client ID / Secret を控え、Redirect URI に https://dailycoding.lcn.ad.jp/api/auth/authentik/callback を登録
3. Provider → Edit → Advanced Protocol Settings → Scopes に groups Property Mapping を追加
   （これにより ID Token に groups クレームが含まれるようになる）
4. バックエンドの .env.prod に追記:

   AUTHENTIK_CLIENT_ID=<client_id>
   AUTHENTIK_CLIENT_SECRET=<secret>
   AUTHENTIK_ISSUER=https://authentik.lcn.ad.jp/application/o/<app-slug>/
   AUTHENTIK_CALLBACK_URL=https://dailycoding.lcn.ad.jp/api/auth/authentik/callback
   ADMIN_GROUPS=dailycoding-admins
   

Test plan

• authentik でログインし /api/auth/me に role が返ること
• admin グループのユーザーがログイン後 role = "admin" になること
• admin グループから外したユーザーが次のログイン後 role = "student" に戻ること
• ADMIN_GROUPS 未設定時に既存ユーザーのロールが変化しないこと
• Google / Keycloak など groups クレームを持たないプロバイダーで従来通り動作すること

🤖 Generated with Claude Code