- Enviado
- 15 de noviembre de 2026 a las 7:37 UTC
- Autor
- Kamo
- Commit
- 7a63fd0
idp/: **************** CRUD + refresh + test/start|result + activate|disable + break-glass (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED en cada escritura). Descubrimiento de OIDC (emisor comprobado, solo https, Protegido por SSRF: cada URL de tipo admin / con nombre de documento debe resolverse en direcciones públicas), JWKS + expiración de x5c. federation/start|callback con connectionId -> IdpSignInService: PKCE+nonce+state, id_token probado por el servidor existente IdTokenValidator (solo asimétrico, iss/aud/azp/exp/nonce), client_secret_basic por defecto; identidad (iss, sub, id de conexión) ORG_IDP; enlace automático + JIT solo sobre los dominios verificados por la propiedad de la conexión (de lo contrario, el JIT a través de **************** (TEAM_MEMBER ACTIVE|PROSPECT, correo electrónico verificado, no hay carta de verificación); asignación de reclamaciones/grupos -> departamento, cargo, título oficial, rol, equipos (codo de TeamWriter + MemberRightsAppliedService => servicio de derechos de usuario, push en vivo), sync_on_signin; MFA de IdP de confianza a través de amr/acr; completeOrgIdp (solo para esa org; nunca en el dominio de otro inquilino).TEST ejecuta toda la validación y almacena el Tarjeta de resultados (quién, qué acción de cuenta, rol/departamento/título/equipos, MFA) - no escribe nada host + dominio sobre conexiones ACTIVAS y filas ownership_verified solamente; signin/methods enumera los botones sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL rechazan la contraseña de un miembro cubierto para THAT org (403 SSO_REQUIRED + sso button data; el selector deja caer la org y selecciona el token select) y rechaza un restablecimiento solo cuando la contraseña funciona nowhere; owners + org_break_glass_members siempre exento; falla abierto; inerte hasta que un administrador activa un requisito La activación necesita una prueba de aprobación; REQUISITO necesita >= 1 miembro de romper el vidrio con MFA o una clave de acceso. IdpHealthJob (6h, singleton): actualización de metadatos/claves, caducidad de certificado/secreto + metadatos ilegibles -> uno Notificación IDP_CONNECTION_HEALTH por evento. Secciones SAML (SamlServiceProvider, ****************