- Expédié
- 15 novembre 2026 à 07:37 UTC
- Auteur
- Kamo
- Commit
- 7a63fd0
idp/: **************** CRUD + refresh + test/start|result + activer|désactiver + brise-verre (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED à chaque écriture). Découverte OIDC (émetteur vérifié, https uniquement, SSRF-guarded: chaque URL nommée admin / document doit être résolue en adresses publiques), JWKS + expiration x5c. federation/start|callback avec connectionId -> IdpSignInService: PKCE+nonce+state, id_token vérifié par l'existant IdTokenValidator (asymétrique uniquement, iss/aud/azp/exp/nonce), client_secret_basic par défaut; identité (iss, sub, id de connexion) ORG_IDP; auto-link + JIT uniquement sur les domaines vérifiés par la propriété de la connexion (sinon JIT jusqu'à **************** (TEAM_MEMBER ACTIVE|PROSPECT, email vérifié, Aucune lettre de vérification); mise en correspondance des réclamations/groupes -> département, titre de poste, titre officiel, rôle, équipes + org graph + MemberRightsAppliedService => droits d'accès, sync_on_signin; MFA d'IdP de confiance via amr/acr; completeOrgIdp (cette org uniquement; jamais sur le domaine d'un autre locataire). TEST exécute toute la validation et stocke les Carte de résultats (qui, quelle action de compte, rôle/département/titre/équipes, MFA) - n'écrit rien host + domaine sur les connexions ACTIVES et les lignes ownership_verified uniquement ; signin/methods liste les boutons sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL refuse le mot de passe d'un membre couvert pour THAT org (403 SSO_REQUIRED + sso button data; le sélecteur abandonne l'org et étend le jeton select) et refuse une réinitialisation uniquement lorsque le mot de passe fonctionne nowhere; propriétaires + org_break_glass_members toujours exemptés; échoue à ouvrir; inerte jusqu'à ce qu'un administrateur active un requis L'activation nécessite un test de réussite; OBLIGATOIRE nécessite >= 1 membre brise-verre avec MFA ou une clé d'accès. IdpHealthJob (6h, singleton): actualisation des métadonnées/clés, expiration du certificat/secret + métadonnées illisibles -> un Notification IDP_CONNECTION_HEALTH par événement. Seams SAML (SamlServiceProvider, ****************