Lab 24 — EventBridge como espinha dorsal

# Rode ANTES de mudar nada. Conte quantos repositorios um consumidor novo
# precisaria tocar no desenho atual.
grep -rl "InvokeFunctionAsync\|HttpClient.*faturamento\|HttpClient.*pedidos" \
  --include="*.cs" ./servicos/ | sort -u
# Na Cadencia: 5 arquivos, em 4 repositorios diferentes, cada um com um dono
# de time distinto — e a Contabilidade ainda nem entrou no grafo.

{
  "version": "0",
  "id": "9a1b2c3d-...",
  "detail-type": "PedidoPago",
  "source": "faturamento",
  "account": "111122223333",
  "time": "2026-08-07T14:22:31Z",
  "resources": ["pedido/p-001"],
  "detail": {
    "pedidoId": "p-001",
    "valor": 8200.00,
    "moeda": "BRL",
    "clienteHash": "a1b2...",
    "schemaVersion": "1.1",
    "canalVenda": "app"
  }
}

# bus.tf — o barramento CUSTOM, isolado do default, e quem pode publicar nele

# O bus default de toda conta ja recebe, sozinho, os eventos nativos dos
# servicos AWS daquela conta (GuardDuty, Config, e por ai). Publicar evento de
# NEGOCIO nele mistura duas fontes com dono e finalidade diferentes na mesma
# cota e nas mesmas regras. Um bus custom isola as duas coisas.
resource "aws_cloudwatch_event_bus" "pedidos" {
  name = "${var.projeto}-pedidos-eventbus"
  tags = { Projeto = var.projeto, Dominio = "pedidos" }
}

# So publica quem tem a claim certa. A condicao amarra o PAPEL IAM que assina
# o PutEvents ao "source" que ele declara — Pedidos nao pode publicar um
# evento fingindo ser Faturamento, porque o papel dele nao tem a tag exigida.
data "aws_iam_policy_document" "resource_policy_bus" {
  statement {
    sid       = "SoQuemTemClaimPublica"
    effect    = "Allow"
    actions   = ["events:PutEvents"]
    resources = [aws_cloudwatch_event_bus.pedidos.arn]
    principals {
      type        = "AWS"
      identifiers = ["*"]
    }
    condition {
      test     = "StringEquals"
      variable = "aws:PrincipalTag/dominio-eventbridge"
      values   = ["pedidos", "faturamento", "estoque"]
    }
  }
}

resource "aws_cloudwatch_event_bus_policy" "pedidos" {
  event_bus_name = aws_cloudwatch_event_bus.pedidos.name
  policy          = data.aws_iam_policy_document.resource_policy_bus.json
}

# O archive grava, em paralelo a entrega, uma copia filtrada. Retencao em
# dias; por padrao o EventBridge guarda indefinidamente se voce omitir o
# campo — aqui e explicito porque armazenamento indefinido e divida.
resource "aws_cloudwatch_event_archive" "pedidos" {
  name             = "${var.projeto}-archive"
  event_source_arn = aws_cloudwatch_event_bus.pedidos.arn
  retention_days   = 90

  event_pattern = jsonencode({
    source = ["pedidos", "faturamento", "estoque"]
  })
}

output "bus_arn" {
  value       = aws_cloudwatch_event_bus.pedidos.arn
  description = "ARN do bus custom; PutEvents e as regras apontam para aqui, nunca para o default"
}

# schema.tf — o contrato, versionado, e o registro automatico de inferencia

resource "aws_schemas_registry" "pedidos" {
  name        = "${var.projeto}-contratos"
  description = "Contratos de evento de negocio entre os dominios da Cadencia"
}

# O discoverer INFERE schema a partir do trafego real do bus. Util para
# descobrir o que ja esta em producao e nao foi documentado — nao e o
# contrato que os produtores devem seguir, e sim um raio-x do que ja existe.
resource "aws_schemas_discoverer" "pedidos" {
  source_arn = aws_cloudwatch_event_bus.pedidos.arn
  description = "Infere o formato dos eventos que circulam no bus, para auditoria"
}

# O contrato DECLARADO, que os produtores devem seguir. JSONSchema Draft4 e
# OpenAPI 3 sao os dois formatos aceitos pelo registro; aqui, Draft4.
# A versao 1 e a que Fraude e Contabilidade leem hoje. Adicionar campo
# opcional gera versao 2 sem quebrar quem ainda le a 1; RENOMEAR ou remover
# um campo exige uma versao nova e um periodo de transicao com os dois nomes
# publicados — nunca sobrescrever a versao que consumidor em producao usa.
resource "aws_schemas_schema" "pedido_pago_v1" {
  name          = "faturamento@PedidoPago"
  registry_name = aws_schemas_registry.pedidos.name
  type          = "JSONSchemaDraft4"

  content = jsonencode({
    "$schema" = "http://json-schema.org/draft-04/schema#"
    title     = "PedidoPago"
    type      = "object"
    required  = ["pedidoId", "valor", "moeda", "clienteHash", "schemaVersion"]
    properties = {
      pedidoId      = { type = "string" }
      valor         = { type = "number" }
      moeda         = { type = "string" }
      clienteHash   = { type = "string" }
      schemaVersion = { type = "string" }
      # canalVenda e ADITIVO: opcional, nao entra em "required". E assim que
      # um campo novo nao quebra quem ainda le a versao anterior do contrato.
      canalVenda    = { type = "string" }
    }
  })
}

# rules.tf — regras nomeadas, alvo com propria politica de retentativa e DLQ

# A fila morta e do ALVO, nao da regra nem do bus. Cada regra pode ter varios
# alvos, e cada um com sua propria DLQ e politica de repeticao.
resource "aws_sqs_queue" "dlq_fraude" {
  name                      = "${var.projeto}-fraude-dlq"
  message_retention_seconds = 1209600 # 14 dias — o teto do SQS, para dar tempo de investigar
}

resource "aws_cloudwatch_event_rule" "risco_pagamento_alto" {
  name           = "${var.projeto}-risco-pagamento-alto"
  event_bus_name = aws_cloudwatch_event_bus.pedidos.name
  description    = "Roteia para Fraude todo PedidoPago com valor acima do limite de risco"

  # O padrao casa por CONTEUDO, nao por quem publicou. "faturamento" aqui e o
  # valor do campo source, nao uma assinatura de topico — Estoque ou qualquer
  # outro dominio poderia publicar no mesmo formato e a regra alcancaria.
  event_pattern = jsonencode({
    source      = ["faturamento"]
    detail-type = ["PedidoPago"]
    detail = {
      valor = [{ numeric = [">", 5000] }]
    }
  })
}

resource "aws_cloudwatch_event_target" "fraude" {
  rule           = aws_cloudwatch_event_rule.risco_pagamento_alto.name
  event_bus_name = aws_cloudwatch_event_bus.pedidos.name
  arn            = aws_lambda_function.fraude.arn
  role_arn       = aws_iam_role.invocar_fraude.arn

  retry_policy {
    maximum_event_age_in_seconds = 3600 # teto de 24h; 1h cobre o SLA de risco da Fraude
    maximum_retry_attempts       = 2
  }

  dead_letter_config {
    arn = aws_sqs_queue.dlq_fraude.arn
  }
}

# A regra de Notificacao casa por TIPO de evento, de QUALQUER origem — e o
# que mostra que uma regra nao e uma assinatura de topico de um produtor so.
resource "aws_cloudwatch_event_rule" "notificar_cliente" {
  name           = "${var.projeto}-notificar-cliente"
  event_bus_name = aws_cloudwatch_event_bus.pedidos.name

  event_pattern = jsonencode({
    detail-type = ["PedidoCriado", "PedidoPago"]
  })
}

resource "aws_cloudwatch_event_target" "notificacao" {
  rule           = aws_cloudwatch_event_rule.notificar_cliente.name
  event_bus_name = aws_cloudwatch_event_bus.pedidos.name
  arn            = aws_lambda_function.notificacao.arn
  role_arn       = aws_iam_role.invocar_notificacao.arn
}

# A Contabilidade nasce AQUI, como regra nova. Nenhum recurso de Faturamento
# foi tocado nesta mudanca — e a prova concreta do requisito de zero PR
# cruzado.
resource "aws_cloudwatch_event_rule" "fechamento_contabil" {
  name           = "${var.projeto}-fechamento-contabil"
  event_bus_name = aws_cloudwatch_event_bus.pedidos.name

  event_pattern = jsonencode({
    source      = ["faturamento"]
    detail-type = ["PedidoPago"]
  })
}

resource "aws_cloudwatch_event_target" "contabilidade" {
  rule           = aws_cloudwatch_event_rule.fechamento_contabil.name
  event_bus_name = aws_cloudwatch_event_bus.pedidos.name
  arn            = aws_lambda_function.contabilidade.arn
  role_arn       = aws_iam_role.invocar_contabilidade.arn
}

// PublicadorEventos.cs — o produtor so conhece o bus, nunca o consumidor

public sealed class PublicadorEventos
{
    private readonly IAmazonEventBridge _eventBridge;
    private readonly string _busName;

    public PublicadorEventos(IAmazonEventBridge eventBridge, IConfiguration config)
    {
        _eventBridge = eventBridge;
        // Sempre o bus CUSTOM, nunca "default" — publicar la misturaria
        // evento de negocio com evento nativo de servico AWS da conta.
        _busName = config["EventBridge:BusName"]!;
    }

    public async Task PublicarPedidoPagoAsync(Pedido pedido, CancellationToken ct)
    {
        // O envelope carrega a versao do contrato explicitamente. E o que
        // permite ao consumidor decidir, sem adivinhar, se sabe ler este
        // formato ou se precisa tratar como versao desconhecida.
        var detalhe = JsonSerializer.Serialize(new
        {
            pedidoId = pedido.Id,
            valor = pedido.ValorLiquido,
            moeda = "BRL",
            clienteHash = HashCliente(pedido.ClienteId),
            schemaVersion = "1.1",
            canalVenda = pedido.Canal, // campo aditivo da v1.1; ausente na v1.0 e opcional
        });

        var pedidoPutEvents = new PutEventsRequestEntry
        {
            Source = "faturamento",
            DetailType = "PedidoPago",
            Detail = detalhe,
            EventBusName = _busName,
            // O ID do proprio dominio (pedidoId) vira a chave de dedupe do
            // consumidor — a entrega e pelo menos uma vez, nunca exatamente uma.
            Resources = { $"pedido/{pedido.Id}" },
        };

        var resposta = await _eventBridge.PutEventsAsync(
            new PutEventsRequest { Entries = { pedidoPutEvents } }, ct);

        // PutEvents pode aceitar parte do lote e rejeitar outra parte — o
        // sucesso da chamada NAO garante que todo evento foi aceito.
        if (resposta.FailedEntryCount > 0)
        {
            throw new EventBridgePublishException(
                $"{resposta.FailedEntryCount} evento(s) rejeitado(s) pelo PutEvents");
        }
    }

    private static string HashCliente(string clienteId) =>
        Convert.ToHexString(SHA256.HashData(Encoding.UTF8.GetBytes(clienteId)));
}

// FuncaoFraude.cs — o consumidor confere a versao, e trata duplicata como normal

public sealed class FuncaoFraude
{
    private readonly IIdempotenciaStore _idempotencia; // mesma pratica do L22
    private readonly IRiscoService _risco;

    public async Task<APIGatewayProxyResponse> ManipularAsync(
        CloudWatchEvent<PedidoPagoDetalhe> evento, ILambdaContext contexto)
    {
        // Entrega e PELO MENOS UMA VEZ — tanto por retry do alvo quanto por
        // replay do archive. O Id do envelope da EventBridge, nao o pedidoId
        // do dominio, e a chave de dedupe: dois PutEvents do mesmo pedido tem
        // Ids diferentes, mas o MESMO evento reentregue mantem o mesmo Id.
        if (await _idempotencia.JaProcessadoAsync(evento.Id))
        {
            contexto.Logger.LogInformation("evento {Id} ja processado — ignorando", evento.Id);
            return Sucesso();
        }

        var detalhe = evento.Detail;

        // Compatibilidade ADITIVA: campo novo e opcional (schemaVersion 1.1
        // trouxe canalVenda) e simplesmente ignorado se ausente. Nao falha.
        // Campo OBRIGATORIO ausente, ou de tipo trocado, e outra historia:
        // rejeita e registra — processar com dado errado e pior que rejeitar.
        if (string.IsNullOrEmpty(detalhe.SchemaVersion))
        {
            contexto.Logger.LogWarning(
                "evento {Id} sem schemaVersion — versao de contrato desconhecida, rejeitando",
                evento.Id);
            throw new ContratoDesconhecidoException(evento.Id);
        }

        var resultado = await _risco.AvaliarAsync(new AvaliacaoRisco(
            detalhe.PedidoId, detalhe.Valor, detalhe.ClienteHash));

        await _idempotencia.MarcarProcessadoAsync(evento.Id, ttl: TimeSpan.FromDays(7));

        if (resultado.RiscoAlto)
        {
            contexto.Logger.LogWarning(
                "pedido {PedidoId} marcado de risco alto: {Motivo}",
                detalhe.PedidoId, resultado.Motivo);
        }

        return Sucesso();
    }
}

#!/usr/bin/env bash
# implantar.sh — sobe o barramento, o contrato, as regras e os consumidores
set -euo pipefail

PROJETO="${PROJETO:?defina PROJETO}"
REGIAO="${REGIAO:-us-east-1}"

terraform init -upgrade
terraform apply -auto-approve

BUS_ARN="$(terraform output -raw bus_arn)"
echo "barramento no ar: ${BUS_ARN}"

# Confirma que as tres regras foram criadas e estao ENABLED — regra
# desabilitada nao aparece como erro em lugar nenhum, so nao roteia.
aws events list-rules --event-bus-name "${PROJETO}-pedidos-eventbus" \
  --query "Rules[].{nome:Name,estado:State}" --output table

# provas.sh — cinco medicoes; nenhuma conclusao vem de "a regra parece certa"

PROJETO=ffv-lab
BUS="${PROJETO}-pedidos-eventbus"

# ── Prova 1: o evento casa a regra certa, e SO ela ────────────────────────
# Publica um PedidoPago acima do limite de risco. Espera Fraude E
# Contabilidade dispararem; Notificacao tambem, porque a regra dela casa
# PedidoPago de qualquer origem.
aws events put-events --entries "$(cat <<'JSON'
[{
  "Source": "faturamento", "DetailType": "PedidoPago",
  "EventBusName": "ffv-lab-pedidos-eventbus",
  "Detail": "{\"pedidoId\":\"p-001\",\"valor\":8200,\"moeda\":\"BRL\",\"clienteHash\":\"abc\",\"schemaVersion\":\"1.1\"}"
}]
JSON
)"
sleep 5
aws cloudwatch get-metric-statistics --namespace AWS/Events \
  --metric-name Invocations --dimensions Name=RuleName,Value=${PROJETO}-risco-pagamento-alto \
  --start-time "$(date -u -v-5M +%FT%TZ)" --end-time "$(date -u +%FT%TZ)" \
  --period 60 --statistics Sum --query "Datapoints[].Sum" --output text
# Esperado: 1. Zero significa que o padrao da regra nao casou — confira
# "source", "detail-type" e o operador numeric em "detail.valor".

# ── Prova 2: alvo fora do ar entrega na DLQ, nao perde o evento ───────────
aws lambda put-function-concurrency --function-name ffv-lab-fraude --reserved-concurrent-executions 0
aws events put-events --entries file://evento-risco-alto.json
sleep 300   # tentativas + MaximumEventAgeInSeconds do alvo
aws sqs get-queue-attributes --queue-url "$(terraform output -raw dlq_fraude_url)" \
  --attribute-names ApproximateNumberOfMessages --query "Attributes.ApproximateNumberOfMessages" --output text
aws lambda put-function-concurrency --function-name ffv-lab-fraude --reserved-concurrent-executions 5
# Esperado: pelo menos 1 mensagem na DLQ. Zero significa que o
# DeadLetterConfig nao esta no ALVO, so declarado e nao aplicado.

# ── Prova 3: contrato aditivo nao quebra, contrato quebrado rejeita ───────
# 3a. Publica SEM schemaVersion — simula produtor antigo ou evento malformado.
aws events put-events --entries '[{
  "Source":"faturamento","DetailType":"PedidoPago",
  "EventBusName":"ffv-lab-pedidos-eventbus",
  "Detail":"{\"pedidoId\":\"p-002\",\"valor\":9000,\"moeda\":\"BRL\",\"clienteHash\":\"xyz\"}"
}]'
aws logs filter-log-events --log-group-name /aws/lambda/ffv-lab-fraude \
  --filter-pattern "contrato desconhecido" --query "events[].message" --output text
# Esperado: uma linha de rejeicao explicita — nao um erro generico de parse.

# ── Prova 4: replay reconstroi o intervalo perdido ─────────────────────────
# Espere pelo menos 10 min apos os eventos de teste (atraso de gravacao do
# archive) antes de disparar o replay, ou parte deles ficará de fora.
aws events start-replay --replay-name recuperar-fraude-teste \
  --event-source-arn "$(terraform output -raw archive_arn)" \
  --event-start-time "$(date -u -v-15M +%FT%TZ)" \
  --event-end-time "$(date -u +%FT%TZ)" \
  --destination '{"Arn":"'"$(terraform output -raw bus_arn)"'","FilterArns":["'"$(terraform output -raw regra_fraude_arn)"'"]}'
aws events describe-replay --replay-name recuperar-fraude-teste \
  --query "{estado:State,ultimoReplayed:EventLastReplayedTime}" --output table
# Esperado: State eventualmente COMPLETED, e o consumidor processa de novo
# os eventos do intervalo — confira pelo Id do evento com "replay-name" no
# metadado, distinguindo do PutEvents original.

# ── Prova 5: adicionar consumidor nao gera diff em Pedidos nem Faturamento ─
git log --oneline -- terraform/faturamento/ | head -1   # SHA antes de adicionar Contabilidade
terraform apply -target=aws_cloudwatch_event_rule.fechamento_contabil -auto-approve
git log --oneline -- terraform/faturamento/ | head -1   # mesmo SHA de antes
# Esperado: os dois comandos devolvem o MESMO commit — prova de que nenhuma
# linha do dominio de Faturamento mudou para a Contabilidade nascer.

# 1. Confirme que ninguem precisa mais do archive ANTES de tocar nele —
#    apagar e IRREVERSIVEL, diferente da maioria dos recursos deste modulo.
aws events describe-archive --archive-name ffv-lab-archive \
  --query "{eventos:EventCount,tamanho:SizeBytes}" --output table

# 2. Cancele replay em andamento antes do destroy, ou ele fica orfao.
aws events list-replays --query "Replays[?State=='RUNNING'].ReplayName" \
  --output text | xargs -n1 -I{} aws events cancel-replay --replay-name {}

# 3. Derrube o que o Terraform administra — bus, regras, archive, schema.
terraform destroy -auto-approve

# 4. FILAS DLQ: o destroy remove a fila, mas NAO garante que as mensagens
#    dentro dela foram tratadas. Drene antes, ou perca o que estava pendente
#    de investigacao.
aws sqs receive-message --queue-url "$(terraform output -raw dlq_fraude_url)" \
  --max-number-of-messages 10 --query "Messages[].Body" --output json

# 5. Confirme que nao ha regra ORFA apontando para um bus ja apagado, se
#    voce interrompeu o destroy no meio.
aws events list-rules --query "Rules[].{nome:Name,bus:EventBusName}" --output table

# 6. Prova final: nada com o nome do projeto de pe.
aws resourcegroupstaggingapi get-resources \
  --tag-filters Key=Projeto,Values=ffv-lab \
  --query "ResourceTagMappingList[].ResourceARN" --output table