- Diantar
- 15 November 2026 pukul 07.37 UTC
- Pengarang
- Kamo
- Kommit
- 7a63fd0
idp/: **************** CRUD + refresh + test/start|result + activate|disable + break-glass (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED pada setiap menulis). OIDC penemuan (penyedia diperiksa, hanya https, SSRF-guarded: setiap admin-typed / document-named URL harus diselesaikan ke alamat publik), JWKS + x5c expiry. federation/start|callback with connectionId -> IdpSignInService: PKCE+nonce+state, id_token terbukti oleh yang ada IdTokenValidator (hanya asimetris, iss/aud/azp/exp/nonce), client_secret_basic default; identitas (iss, sub, id sambungan) ORG_IDP; auto-link + JIT hanya pada domain yang diverifikasi kepemilikan sambungan (jika tidak link-page proof); JIT through **************** (TEAM_MEMBER ACTIVE|PROSPECT, email verified, no verification letter); pemetaan klaim/kelompok -> departemen, jabatan, jabatan resmi, peran, tim (TeamWriter seam + org graph + MemberRightsAppliedService => rights push live), sync_on_signin; trusted IdP MFA via amr/acr; completeOrgIdp (hanya org itu; tidak pernah pada domain penyewa lain). TEST menjalankan seluruh validasi dan menyimpan kartu hasil (siapa, tindakan akun mana, peran/departemen/gelar/tim, MFA) - tidak menulis apa-apa. signin/identify routes by host + domain di atas koneksi ACTIVE dan hanya baris ownership_verified; signin/methods daftar tombol sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL menolak kata sandi anggota tertutup untuk THAT org (403 SSO_REQUIRED + data tombol sso; pemilih membuang org dan mencakup token seleksi) dan menolak reset hanya bila sandi bekerja tidak di mana-mana; pemilik + org_break_glass_members selalu dibebaskan; gagal buka; inert sampai admin mengaktifkan yang diperlukan sambungan. Aktivasi memerlukan tes lulus; PERLU membutuhkan >= 1 anggota break-glass dengan MFA atau kunci sandi. IdpHealthJob (6h, singleton): metadata/keys refresh, cert/secret expiry + metadata tidak dapat dibaca -> satu pemberitahuan IDP_CONNECTION_HEALTH per peristiwa. SAML seams (SamlServiceProvider, ****************