- Shipped
- 15 novembre 2026 alle ore 07:37 UTC
- Author
- Kamo
- Commit
- 7a63fd0
idp/: **************** CRUD + aggiornamento + test/avvio|risultato + attivazione|disabilitazione + rottura-vetro (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED ad ogni scrittura). Rilevamento OIDC (controllo dell'emittente, solo https, SSRF-guarded: ogni URL digitato dall'amministratore / denominato documento deve essere risolto in indirizzi pubblici), JWKS + scadenza x5c. federation/start|callback con connectionId -> IdpSignInService: PKCE+nonce+state, id_token provato dall'esistente IdTokenValidator (solo asimmetrico, iss/aud/azp/exp/nonce), client_secret_basic predefinito; identità (iss, sub, id connessione) ORG_IDP; collegamento automatico + JIT solo sui domini verificati dalla proprietà della connessione (in caso contrario il JIT attraverso **************** (TEAM_MEMBER ACTIVE|PROSPECT, e-mail verificata, link-page proof); Nessuna lettera di verifica); mappatura delle richieste/gruppi -> reparto, titolo di lavoro, titolo ufficiale, ruolo, team (TeamWriter seam + grafico organizzativo + MemberRightsAppliedService => diritti push live), sync_on_signin; trusted IdP MFA via amr/acr; completeOrgIdp (solo quella organizzazione; mai sul dominio di un altro tenant). TEST esegue l'intera convalida e memorizza l'ID dell'organizzazione Scheda dei risultati (chi, quale azione dell'account, ruolo/dipartimento/titolo/team, MFA) - non scrive nulla host + dominio su connessioni ACTIVE e solo righe ownership_verified; signin/methods elenca i pulsanti sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL rifiuta la password di un membro coperto per THAT org (403 SSO_RICHIESTO + sso dati del pulsante; picker rilascia l'org e raggiunge il token di selezione) e rifiuta un reset solo quando la password funziona nowhere; proprietari + org_break_glass_members sempre esentati; non riesce ad aprire; inerte fino a quando un amministratore non attiva un requisito L'attivazione richiede un test di passaggio; RICHIESTO richiede >= 1 membro con MFA o una passkey. IdpHealthJob (6h, singleton): aggiornamento dei metadati/chiavi, scadenza del certificato/segreto + metadati illeggibili -> uno Notifica IDP_CONNECTION_HEALTH per evento. Seam SAML (SamlServiceProvider, ****************