Release notes: 0.7.1
- Updated depedencies and report text outputs 
Release notes: 0.7
- Uses beta endpoint now by default, --expand option now expands the results to report regardless of the use of --allTerminations
Release notes: 0.6.9
- using --expand=9c06d103-f5b0-4404-bb25-aec4636912cd,47087cd3-64e9-470b-980a-5662f498e016 and expand 10 group members to for separate inspection.
Release notes: 0.6.8
- When you update policy with any guest conditions in GUI that policy will be only available from the beta endpoint after the update (during preview). 
- This update brings normalization for policies that are transfered to beta endpoint due to this behavior. 
- The policy will be evaluated like the previous guest conditions, as long as the following conditions are included "internalGuest,b2bCollaborationGuest,b2bCollaborationMember" and no tenants are excluded from the policy. In order to evaluate transferred policies, 
- use '--allowPreviewPolicies' when running CaOptics to account for this behavior

Release notes: 0.6.6-7 beta
- Allow use of different login endpoints for login and graph with params: --altLogin --altGraph
- Allow use of custom filtering for policies (this only recommended, when the policies do not adhere to expected schema)

Release notes: 0.6.5 beta
- Added counter to reporting when high number of permutations is also added to report (default is to add only unterminated)
- Minor code fixes changing <var> to <let> 
- Report filename now includes day, month, year and tenantId e.g. report_day_4_month_9_year_2022-tenant_48f55450-183a-45d6-a9ce-68f3cbc68947.csv

Release notes: 0.6.4 beta
- Get more groups per single call (less batching)
- Fix race condition detected when generally using for await loops 
- Enclose values with "" between delimitters (CSV)

Release notes: 0.6.3 beta
- Optimizations to way the mapped objects are handled. 
  - Mapped objects are cached. You can recreate the object mapping by using parama 'clearMappingCache'
  - Lookup keys will start from 'user/group/role' conditions always first
  - Added possibility to populate usermap with random UUID's to test for performance impact (this just debug option, and not really something that would be in non-beta versions)

Release notes: 0.6.2 beta
- Separated cache params into separate functions -> (clearTokenCache and ClearPolicyCache)
- Added possibility of running pre-optimized algorithm on permutations with param --aggressive (High memory consumption, only here for A/B testing)
- merge completed.

Release notes: 0.6.1 beta 
- Basic version of CSV reporting added
- Streamlined permutation generation to ensure essential permutations are generated, and some permutations are are terminated earlier on the lookups

Release notes: 0.6 beta (first non "silent" release)
- App displayNames added to MD report. Object type added to the user type

Release notes: 0.5.2,0.5.1,0.5 beta  (see previous branches for release notes)

**Configuração de execução do tipo dispare e esqueça para o Azure Cloud Shell (Bash)**```bash
curl -o- https://raw.githubusercontent.com/jsa2/caOptics/main/init.sh | bash;
# Force reload of NVM
export NVM_DIR="$([ -z "${XDG_CONFIG_HOME-}" ] && printf %s "${HOME}/.nvm" || printf %s "${XDG_CONFIG_HOME}/nvm")"
[ -s "$NVM_DIR/nvm.sh" ] && \. "$NVM_DIR/nvm.sh" 
# This loads nvm

**Relacionado ao Azure AD**
- Função Leitor de Segurança do Azure AD habilitada 
- Se você tiver o Azure CLI e uma sessão CLI existente, esta ferramenta usará essa [sessão](https://github.com/jsa2/caoptics/blob/main/tokenHandler/getCode.js). 
   - Se você não tiver o Azure CLI instalado, apenas o clientID do Azure CLI é usado para obter tokens com o fluxo device_code iniciado pelo cliente http Node.js

      >![](https://assets.kitploit.com/production/public/readmes/47865/74e5e9fa7f505e20aecbe9ab86620b749fbecbd246cf233c4826991cda9a493b.png)  


**Os seguintes pacotes de código aberto são usados**

Para reduzir a quantidade de código, usamos as seguintes dependências para operação e estética (Parabéns aos mantenedores desses pacotes fantásticos. O link da licença de cada pacote é fornecido na coluna de licença)
  
 pacote | estética | operação | licença
  -|-|-|-
  [axios](https://www.npmjs.com/package/axios)||✅ | [MIT](https://github.com/axios/axios/blob/v1.x/LICENSE)
  [yargs](https://www.npmjs.com/package/yargs)||✅ | [MIT](https://github.com/yargs/yargs/blob/main/LICENSE)
  [jsonwebtoken](https://www.npmjs.com/package/jsonwebtoken) | |✅|[MIT](https://github.com/auth0/node-jsonwebtoken/blob/master/LICENSE)
  [chalk](https://www.npmjs.com/package/chalk)| ✅ | |[MIT](https://github.com/chalk/chalk/blob/main/license)
   [js-beautify ](https://www.npmjs.com/package/js-beautify) | ✅ | |[MIT](https://github.com/beautify-web/js-beautify/blob/main/LICENSE)

**Qual acesso de rede é necessário para que isso funcione?**

1. Os seguintes hosts são necessários para a operação  ```sh
  graph.microsoft.com
  login.microsoftonline.com

**Referência** https://learn.microsoft.com/en-us/azure/active-directory/conditional-access/concept-conditional-access-conditions#device-platforms


> **Importante** <br> *A Microsoft recomenda que você tenha uma política de Acesso Condicional para plataformas de dispositivos não suportadas. Como exemplo, se você quiser bloquear o acesso aos seus recursos corporativos a partir do Chrome OS ou de qualquer outro cliente não suportado, você deve configurar uma política com uma condição de Plataformas de dispositivos que inclua qualquer dispositivo e exclua as plataformas de dispositivos suportadas e o controle de concessão definido como Bloquear acesso.* 

---

#### Diferenças de pesquisa


1. Pesquisa por função
> Quando funções são usadas como condições, a pesquisa de exclusões/inclusões é determinada apenas pela função. Isso pode resultar em uma situação em que a política termina corretamente em uma função, mas o usuário que está nessa função ainda pode ser excluído da política nos resultados. Nos resultados, ambas as condições são destacadas (não mescladas). Isso é puramente uma decisão de design, pois queremos mostrar as terminações de função separadamente, sem contexto de usuário ou grupo. 

 --- 

    Example:
    userID:0cd1b62d-5ff8-497b-9b56-9bb02bc0ab8c is included from All Apps policy

    There is admin policy, that covers role of Global administrator, but not the userId. 

    Both of following conditions would be shown in results:
    1. Role GA is excluded individually (1)
    2. UserId is not explicitly targeted by group or userId (0)

    All (cross-policy)	policies matched:1	users:Company Administrator
    All (cross-policy)	policies matched:0	users:joosua santasalo
    


---

2. Pesquisa por grupo
> Por outro lado, se grupos forem usados, a terminação da política é mesclada, e assim a exclusão do usuário seria mostrada como terminada pela inclusão do grupo.

    Example:
    userID:194383eb-6053-4d1e-bc72-f332be6ca2cb is included from All Apps policy

    There is policy which targets the user only by group

    Following conditions would be shown in results:
    1. User is excluded individually 
    2. User is targeted via group.

  
    All (cross-policy)	policies matched:1	users:Vihtori Santasalo (matched via group)


3. Pesquisa por convidado
   
>Os usuários não são mapeados como convidados nesta versão. Este recurso será introduzido posteriormente, permitindo capturar inclusões/exclusões de userIds de convidados para serem mapeados corretamente para a propriedade ``GuestsOrExternalUsers``.
Atualmente, usuários convidados são mapeados como usuários normais.
>

#### Aninhamento de grupos

  >Devido a considerações de desempenho, a profundidade de aninhamento para resolver a associação de grupos só é resolvida uma vez se um grupo for grupo de outro grupo. Caso contrário, há risco de resolver associações indefinidamente, pois um subgrupo pode incluir qualquer um dos grupos raiz, resultando em uma condição de loop sem fim.

    Membership:    
    Group1 -> all members resolved
    --> user is member of Group1
    --> Group2 is member of Group1 -> all members resolved to Group1
      --> Group3 is member of Group1 -> NOT RESOLVED

> Se você ousar... você pode aumentar o aninhamento diretamente no código... [group.js](https://github.com/jsa2/caoptics/blob/main/ca/mainPlugins/userMappers/group.js)

![](https://assets.kitploit.com/production/public/readmes/47865/59681df621b6d006dbf9ae0a77045e5967665eb4000674c643fcc9a9e74ad856.png)  



## Parâmetros

Param| Descrição 
-|-
``mapping`` | Por padrão, exclusões baseadas em usuário e grupo são avaliadas pelo ID exato dos objetos. Por exemplo, se um objeto é excluído por uma política, ele deve ser encontrado em outra política pelo seu ID exato. <br> Usar `` --mapping`` invoca o MS Graph para preencher o relacionamento entre objetos de uma forma que garanta, por exemplo, que um usuário possa ser excluído por userId em uma política, enquanto a avaliação detecta que o usuário está incluído em outra política por um groupId. <br> ex.: ``--mapping`` 
``clearMappingCache`` | Limpa os mapeamentos de usuário / grupo recuperados em uma execução anterior <br> ex.: ``--clearMappingCache`` 
``skipObjectId `` | Remove o ObjectId das permutações. Isso pode ser útil se você quiser excluir a conta break-glass dos resultados <br> ex.: ``--skipObjectId=bcd27e9b-8974-42ec-a2a1-ba2498b45674,c7a4a639-00e7-47e0-aa9d-ea502bbbd382`` 
``skip `` | Remove a categoria de permutação completa. <br> ex.: ``--skip=users`` 
``includeReportOnly `` | Permite misturar políticas reportOnly com políticas habilitadas. Remova as políticas existentes antes de executar isso removendo o arquivo policies.json na raiz, ou use a opção ``clearPolicyCache`` <br> ex.: ``--includeReportOnly`` 
``includeLegacyAuth `` | Por padrão, políticas que possuem apenas condições de autenticação herdada não são avaliadas. Use este sinalizador se você quiser incluir a autenticação herdada na análise <br> observe que incluir a autenticação herdada a analisará em relação a todos os aplicativos, não apenas às cargas de trabalho suportadas (AAD, SPO, EXO) <br> ex.: ``--includeLegacyAuth`` 
``clearPolicyCache `` | Remove os caches de políticas <br> ex.: ``--clearPolicyCache`` 
``clearTokenCache `` | Remove os caches de token <br> ex.: ``--clearTokenCache`` 
``allTerminations`` | Inclui também resultados que terminaram na política <br> ``--allTerminations``
``debug`` | Mostra o uso de memória e a estimativa de progresso <br> ex.: ``--debug``
``altLogin `` | Permite definir um FQDN alternativo para o endpoint de login <br> ex.: ``--altLogin=login.microsoft.com.alt``
``altGraph `` | Permite definir um FQDN alternativo para o endpoint do Graph <br> ex.: ``--altGraph=graph.microsoft.com.alt`` 
``customPolicyFilter `` | Permite o uso de filtragem personalizada para políticas (recomendado apenas quando as políticas não aderem ao esquema esperado) <br> ex.: ``--customPolicyFilter`` <br> Você pode modificar o filtro selecionando [``customPolicyFilter.js``](https://github.com/jsa2/caoptics/blob/main/ca/mainPlugins/customPolicyFilter.js) 
``expand `` | Permite definir um grupo a ser expandido nos resultados. Por padrão, o grupo é expandido para os 10 primeiros itens. A quantidade de itens expandidos pode ser aumentada usando em conjunto a opção ``--expandCount=30``<br> ex.: ``--expand=9c06d103-f5b0-4404-bb25-aec4636912cd,47087cd3-64e9-470b-980a-5662f498e016`` <br> Nota: O uso desta opção exige que o cache de mapeamento seja limpo ``--clearMappingCache`` 

### Como fornecer parâmetros a partir do launch.json (depuração no VSCode)?


copie o esquema JSON atual e crie um arquivo chamado launch.json na pasta ``.vscode/launch.json`````json
{
    "version": "0.2.0",
    "configurations": [
        {
            "type": "node",
            "request": "launch",
            "name": "Launch Program",
            "skipFiles": [
                "<node_internals>/**"
            ],
"program": "${workspaceFolder}/ca/main.js",
//"program": "${file}",
            "args":  [
                "--skipObjectId=259fcf40-ff7c-4625-9b78-cd11793f161f",
               "--mapping",
              "--clearMappingCache",
               "--clearPolicyCache",
               "--clearTokenCache",
               "--customPolicyFilter",
               "--allowPreviewPolicies=beta",
             //  "--altGraph=graph.microsoft.com",
              // "--allPlatforms",
             //   "--includeReportOnly",
                //"--inject",
            //"--clearPolicyCache",
              // "--skipCleaning",
             // "--allTerminations",
             // "--aggressive",
             "--debug",
            ],
            "runtimeArgs": [
                "--max-old-space-size=4096"
            ]
        }
    ]
  }

Cada execução iniciará o login se nenhuma sessão estiver armazenada. Se você tiver uma sessão no Azure CLI e quiser usar outra sessão, então, no Azure CLI, execute ``Az Account Clear`` 

1. Execução estática (sem [mapeamento](#parameters) )
>``node ./ca/main.js `` 
2. Execução estática (com [mapeamento](#parameters) )
>``node ./ca/main.js --mapping`` 
3. Fornecendo ``skipObjectId=yourID`` para excluir o grupo Break glass 
>``node ./ca/main.js --mapping  --skipObjectId=259fcf40-ff7c-4625-9b78-cd11793f161f`` 

Além disso, se você estiver experimentando a ferramenta, é recomendável incluir ``--clearPolicyCache --clearTokencache``  como parâmetro. Isso removerá os tokens de sessão existentes e o policy.json (cache)

>remova o policies.json da pasta do projeto, se você não quiser remover a sessão do cache, mas apenas quiser que as políticas sejam removidas

**Saída esperada (com base nos dados de exemplo)**

Policy | Permutation | Terminations | lookup 
 -|-|-|- 
All (cross-policy)| 33a51ecbcc58466a90b6bea66b239c74|  0| Locations:10a25087-9bf6-479b-a2a1-37e814310c90 -> Platforms:macOS -> clientAppTypes:mobileAppsAndDesktopClients -> users:All 
All (cross-policy)| 4194a5e64e054764bd8774d4992887b9|  0| Locations:10a25087-9bf6-479b-a2a1-37e814310c90 -> Platforms:macOS -> clientAppTypes:mobileAppsAndDesktopClients 
All (cross-policy)| 24f38821ea8e4331aeae7c078a727236|  1| Locations:10a25087-9bf6-479b-a2a1-37e814310c90 -> Platforms:macOS 


## Visualização de relatórios
Todas as execuções bem-sucedidas produzem ``crosstable.md`` (uma tabela markdown) e o csv ``report.csv`` 
- Cada nova execução da ferramenta apagará o relatório anterior

**Exemplo de relatório .csv**```
users                 Applications clientAppTypes              Platforms locations terminations  
-----                 ------------ --------------              --------- --------- ----------
GuestsOrExternalUsers All          browser                     macOS     finland   0
user-Joosua Santasalo All          browser                     macOS     finland   0
user-Joosua Santasalo All          mobileAppsAndDesktopClients macOS     finland   0
All                   All          browser                     macOS     finland   0

## Solução de problemas

- Se você estiver usando a AZ CLI para login de sessão, comece com ``az account clear`` 
- Ao executar a ferramenta, adicione ``--clearPolicyCache --clearTokencache`` para limpar os caches (tokens, políticas e localizações)
- remova manualmente os arquivos policies.json e namedLocations.json existentes da raiz do projeto (se você não estiver usando a opção ``--clearPolicyCache --clearTokencache`` )
- Se as inclusões de Grupo não parecerem funcionar, certifique-se de que ``--mapping`` esteja selecionado e de que não haja aninhamento além de dois grupos

--- 

**Testes no Azure Cloud Shell**

Se você estiver testando esta solução em um ambiente maior. Ative ``--debug`` nos parâmetros e, se possível, aumente o tamanho do heap do Node para `` --max-old-space-size=4096 `` 
  - A experiência de testes mostrou que a quantidade de permutações pode atingir números bastante altos em ambientes grandes. Executar com o modo de depuração pode ajudar a apontar onde o problema pode ocorrer. Em tais cenários, usar o Cloud Shell pode não ser viável (embora o algoritmo de permutação agora tenha reduzido enormemente o uso de memória, não consegui confirmar que o Cloud Shell funcionaria em ambientes grandes)

> Uma vez que o algoritmo atual para geração de permutações é muito reduzido em relação ao original, até o Cloud Shell deveria funcionar, mas, por exemplo, condições de corrida ou outros vazamentos de memória ainda podem estar à espreita em algum lugar e se manifestar em ambientes maiores, mitigando os benefícios do algoritmo atual. 

``node --max-old-space-size=4096 ./ca/main.js --mapping  --skipObjectId=259fcf40-ff7c-4625-9b78-cd11793f161f --clearPolicyCache --debug`` 


---

- Você pode ter referências vazias nas políticas de CA e a pesquisa mostrará, portanto, uma condição não finalizada.

  >![](https://assets.kitploit.com/production/public/readmes/47865/7820044fc6c547017bca097b6a0306b341e689241ceea64b245f8a204c3269b4.png)  


# Contribuição

Abra um pull request ou envie uma issue, dependendo do escopo da solicitação.