feat: 구현: 유저 그룹 중심 권한 통합 및 미들웨어 정책 고도화

backend/internal/service/tenant_service.go

@@ -48,40 +48,54 @@ func (s *tenantService) ListManageableTenants(ctx context.Context, userID string
 		return nil, errors.New("keto service not initialized")
 	}
 
-	// 1. Get directly managed tenants
-	directTenantIDs, err := s.keto.ListObjects(ctx, "Tenant", "admins", userID)
+	// 1. 직접 관리자인 테넌트 ID 목록 (Tenant:ID#admins@User:ID)
+	directTenantIDs, err := s.keto.ListObjects(ctx, "Tenant", "admins", "User:"+userID)
 	if err != nil {
-		slog.Error("Failed to list directly managed tenants from Keto", "userID", userID, "error", err)
+		slog.Error("Failed to list direct tenants", "userID", userID, "error", err)
 	}
 
-	// 2. Get managed tenant groups
-	groupIDs, err := s.keto.ListObjects(ctx, "TenantGroup", "admins", userID)
+	// 2. 관리 권한이 있는 유저 그룹 목록 (UserGroup:ID#owners@User:ID)
+	// 정책: 그룹장은 해당 그룹(테넌트)의 어드민이 된다.
+	ownedGroupIDs, err := s.keto.ListObjects(ctx, "UserGroup", "owners", "User:"+userID)
 	if err != nil {
-		slog.Error("Failed to list managed tenant groups from Keto", "userID", userID, "error", err)
+		slog.Error("Failed to list owned groups", "userID", userID, "error", err)
 	}
 
-	// 3. Get tenants belonging to those groups
-	var groupInheritedTenantIDs []string
-	for _, groupID := range groupIDs {
-		// In Keto, we defined: Tenant#parent_group@TenantGroup:GroupID#_
-		// To find tenants in a group, we look for relations where namespace=Tenant, relation=parent_group, subject=TenantGroup:GroupID#_
-		// Wait, my ListObjects lists objects given a subject.
-		// So subject="TenantGroup:"+groupID+"#_"
-		// Object is Tenant ID.
-		ts, err := s.keto.ListRelations(ctx, "Tenant", "", "parent_group", "TenantGroup:"+groupID)
+	// 3. 멤버로 속한 유저 그룹 목록 (UserGroup:ID#members@User:ID)
+	memberGroupIDs, err := s.keto.ListObjects(ctx, "UserGroup", "members", "User:"+userID)
+	if err != nil {
+		slog.Error("Failed to list group memberships", "userID", userID, "error", err)
+	}
+
+	// 4. 유저 그룹을 통해 상속받은 테넌트 목록 조회 (Tenant:ID#manage@UserGroup:ID#members)
+	var inheritedTenantIDs []string
+	allMyGroups := append(ownedGroupIDs, memberGroupIDs...)
+	for _, groupID := range allMyGroups {
+		// 해당 그룹에 부여된 테넌트 관리 권한 역추적
+		relations, err := s.keto.ListRelations(ctx, "Tenant", "", "manage", "UserGroup:"+groupID+"#members")
 		if err == nil {
-			for _, t := range ts {
-				groupInheritedTenantIDs = append(groupInheritedTenantIDs, t.Object)
+			for _, r := range relations {
+				inheritedTenantIDs = append(inheritedTenantIDs, r.Object)
+			}
+		}
+		// view 권한도 관리 가능 목록에 포함 (필요 시)
+		relationsView, err := s.keto.ListRelations(ctx, "Tenant", "", "view", "UserGroup:"+groupID+"#members")
+		if err == nil {
+			for _, r := range relationsView {
+				inheritedTenantIDs = append(inheritedTenantIDs, r.Object)
 			}
 		}
 	}
 
-	// Combine and deduplicate IDs
+	// 합산 및 중복 제거
 	allIDsMap := make(map[string]bool)
 	for _, id := range directTenantIDs {
 		allIDsMap[id] = true
 	}
-	for _, id := range groupInheritedTenantIDs {
+	for _, id := range ownedGroupIDs {
+		allIDsMap[id] = true // 그룹 자체도 테넌트이므로 포함
+	}
+	for _, id := range inheritedTenantIDs {
 		allIDsMap[id] = true
 	}