- Verschickt
- 15. November 2026 um 07:37 UTC
- Autor
- Kamo
- Commit
- 7a63fd0
idp/: **************** CRUD + refresh + test/start|result + activate|disable + break-glass (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED bei jedem Schreiben). OIDC-Erkennung (Aussteller überprüft, nur https, SSRF-geschützt: jede von Admin eingegebene / Dokument-benannte URL muss auf öffentliche Adressen aufgelöst werden), JWKS + x5c Ablauf. federation/start|callback mit connectionId -> IdpSignInService: PKCE+nonce+state, id_token bestätigt durch den existierenden IdTokenValidator (nur asymmetrisch, iss/aud/azp/exp/nonce), client_secret_basic standardmäßig; Identität (iss, sub, connection id) ORG_IDP; Auto-Link + JIT nur über die von der Verbindung verifizierten Domains (ansonsten die JIT durch **************** (TEAM_MEMBER ACTIVE|PROSPECT, E-Mail verifiziert, Link-Seite proof); Mapping von Ansprüchen/Gruppen -> Abteilung, Berufsbezeichnung, Amtstitel, Rolle, Teams (TeamWriter-Schnittstelle) + org graph + MemberRightsAppliedService => Rechte push live), sync_on_signin; vertrauenswürdige IdP MFA über amr/acr; TEST führt die gesamte Validierung durch und speichert die vollständige Organisations-Idp (nur für diese Organisation, niemals für die Domain eines anderen Mandanten) Ergebniskarte (wer, welche Account-Aktion, Rolle/Abteilung/Titel/Teams, MFA) - schreibt nichts. signin/identify routes by Host + Domäne über ACTIVE-Verbindungen und nur ownership_verified-Zeilen; signin/methods listet sso-Schaltflächen auf. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL verweigern das Passwort eines bedeckten Mitglieds für THAT org (403 SSO_REQUIRED + sso-Button-Daten; Picker lässt die Organisation fallen und erfasst das Auswahltoken) und verweigert ein Zurücksetzen nur, wenn das Kennwort funktioniert nirgends; Eigentümer + org_break_glass_members immer ausgenommen; fehlschlägt offen; inert, bis ein Administrator eine erforderliche Die Aktivierung erfordert einen erfolgreichen Test; ERFORDERLICH erfordert >= 1 Glasbruchmitglied mit MFA oder einem Passcode. IdpHealthJob (6h, Singleton): Metadaten/Schlüssel aktualisieren, Zertifikat/Geheimnis ablaufen + unlesbare Metadaten -> eins IDP_CONNECTION_HEALTH-Benachrichtigung pro Ereignis. SAML-Schnitte (SamlServiceProvider, ****************