model

type Role struct {
	Name string

	// Targets, bu rolün erişebildiği hedef adları.
	Targets []string
}

type Session struct {
	// ID, record.NewSessionID()'nin ürettiği değer. Kayıt dosyasının adı
	// da bu olduğu için, denetim kaydı ile .cast dosyası arasındaki bağ
	// tek bir alanla kuruluyor.
	ID string

	// User ve Target, id değil AD tutar. Denetim kaydını okuyan insan
	// "hangi kullanıcı" diye sorduğunda cevabın bir JOIN'e ihtiyacı olmasın.
	User   string
	Target string

	// OSUser, oturumun AÇILDIĞI hesap.
	//
	// users.os_user'ın kopyası gibi görünür ama değildir: policy o an
	// başka bir hesaba karar vermiş olabilir ve kullanıcının bugünkü
	// os_user'ı o günkü kararı değiştirmemeli. Denetim, kaydın alındığı
	// andaki gerçeği saklar.
	OSUser string

	// SrcIP, kullanıcının bastion'a bağlandığı adres.
	SrcIP string

	StartedAt time.Time

	// EndedAt sıfır değerse oturum hâlâ açık (şemada NULL).
	EndedAt time.Time

	// RecordingPath, .cast dosyasının yolu. Kayıt açılamadıysa boş —
	// ama o durumda oturum zaten reddedilmiş olmalı (S1.8 kararı).
	RecordingPath string
}

type Target struct {
	Name    string
	Host    string
	Port    int
	HostKey string

	// Labels, operatörün iliştirdiği key=value notları ("env=prod").
	//
	// ⚠️ YETKİ DEĞİL: erişimi rol → hedef bağı veriyor. Etiket yalnızca
	// hedefleri gruplayıp bulmak için — etiketten yetki türetmek,
	// etiket ekleyebilen herkese yetki dağıtmak olurdu.
	//
	// Yalnızca LİSTELEME yollarında dolu (store.Targets). Oturum açma
	// yolundaki tekil okuma bunu çekmiyor: her bağlantıda ikinci bir
	// sorgu, hiç kullanılmayan bir alan için.
	Labels map[string]string
}

type TargetFacts struct {
	// ServerVersion, sunucunun kendi afişi: "SSH-2.0-OpenSSH_9.6p1 Debian-3".
	ServerVersion string
	// HostKeyType, pinlenmiş anahtarın türü (ssh-ed25519 …).
	HostKeyType string
	// LastSeenAt, son BAŞARILI bağlantı. Sıfır ise hiç bağlanılmadı.
	LastSeenAt time.Time
	// ConnectMS, o bağlantının el sıkışma süresi.
	ConnectMS int
	// LastErrorAt/LastError, son BAŞARISIZ deneme. Başarıyı silmiyor.
	LastErrorAt time.Time
	LastError   string

	// Probe, yalnızca target_probe.enabled ile dolar — yani hedefte
	// komut çalıştırıldıysa. ProbedAt sıfırsa hedefe hiç dokunulmadı.
	//
	// İç içe duruyor ki paneli çizen de, koda bakan da "bu satırı
	// öğrenmek için makineye dokunduk mu" sorusunu tek bakışta
	// cevaplayabilsin.
	Probe    TargetProbe
	ProbedAt time.Time
}

type TargetProbe struct {
	// Kernel, `uname -srm` çıktısı.
	Kernel string
	// OSName, /etc/os-release içindeki PRETTY_NAME (yoksa NAME).
	OSName string
}

type User struct {
	// Name, postern kullanıcı adı ("yigit"). auth.go'nun doğruladığı ve
	// Permissions'a koyduğu değer.
	Name string

	// OSUser, kişinin hedeflerdeki VARSAYILAN hesabı. İstek boş geldiğinde
	// principal bu olur.
	//
	// S3 şemasında users.os_user (NOT NULL) — kişiye özel, paylaşılmaz.
	// Driver 1'in özü bu alan: herkes hedefe kendi adıyla düşüyor.
	OSUser string

	// Roles, kişinin sahip olduğu roller. Hedef erişimi rollerden gelir.
	Roles []Role

	// SSOOnly true ise bu kullanıcı YALNIZCA kimlik sağlayıcı üzerinden
	// girebilir; public key ile girişi reddedilir.
	//
	// IdP'den otomatik oluşan (JIT) kullanıcılar böyle doğar: erişimleri
	// IdP'de kapatılınca gerçekten bitsin ve rolleri her girişte
	// tazelensin diye. Elle oluşturulan servis hesapları false kalır.
	SSOOnly bool

	/*
	 * DirBound, hesabın bir DİZİN kimliğine bağlı olduğu.
	 *
	 * ⚠️ Oturum açılışında dizine yeniden sorulup sorulmayacağının
	 * DOĞRU koşulu bu — SSOOnly değil. Ölçüldü: yetkisi dizinden gelen
	 * bir yönetici (admin_via='group') sso_only=false ile duruyordu,
	 * yani dizinde kapatılsa bile anahtarıyla oturum açardı.
	 */
	DirBound bool

	// Admin, uygulama YÖNETİM yetkisi (kullanıcı/rol/hedef değiştirme,
	// web'deki yönetim sayfaları). Hedef erişimiyle ilgisi yok: admin
	// olmayan biri terminale girebilir, admin olan biri rolü yoksa hiçbir
	// hedefe giremez. İki eksen bilerek ayrık.
	Admin bool
}