web 用 M2M の構成を追加する

[n4mlz]

概要

xlair.dev の server 起動時同期に利用する web 用 M2M Application を Auth0 構成へ追加する。

変更内容

• XLAIR Web の client-credentials Application を追加する。
• https://api.xlair.dev に対する device permission の client grant を追加する。
• web サーバーが /sync を呼び出す M2M 運用と Client Secret の管理方法を追記する。
• 既存の XLAIR Device とその grant は変更しない。

レビュー観点

• web と筐体を別 M2M Application として識別する現在の認証境界でよいか。Client Secret の漏えい時に web だけを失効・再発行できることを優先する設計である。
• web に筐体と同じ device permission を与え、/sync の利用主体として扱う方針でよいか。それとも server 側に web 専用の principal / permission を分ける必要があるか。
• Auth0 構成の適用後に Client Secret を web の実行環境へ登録する運用主体とローテーション手順を、この PR の範囲で確定させる必要があるか。