- Shipped
- 2026년 11월 15일 오전 7:37 UTC
- Author
- Kamo
- Commit
- 7a63fd0
idp/: **************** CRUD + 새로 고침 + 테스트/시작|결과 + 활성화|비활성화 + 브레이크-글라스 (MANAGE_IDENTITY_PROVIDERS 718, 모든 쓰기에서 IDP_CONNECTION_CHANGED). OIDC 검색(발급자 확인, https만, SSRF 보호: 관리자가 입력한 모든 URL / 문서 이름은 공개 주소로 해결되어야합니다.), JWKS + x5c 만료. federation/start|callback with connectionId -> IdpSignInService: PKCE+nonce+state, id_token은 기존의 토큰에 의해 검증됩니다 IdTokenValidator (비대칭만, iss/aud/azp/exp/nonce), client_secret_basic 기본값; ID (iss, sub, connection id) ORG_IDP; 연결의 소유권 확인된 도메인에서만 자동 링크 + JIT (그렇지 않으면 링크 페이지 증명); **************** (TEAM_MEMBER ACTIVE|PROSPECT, 이메일 확인, 확인 편지가 없습니다); 매핑 클레임 / 그룹 -> 부서, 직함, 공식 직함, 역할, 팀 (TeamWriter 솔기 + org 그래프 + MemberRightsAppliedService => 권리 푸시 라이브), sync_on_signin; amr/acr를 통해 신뢰할 수있는 IdP MFA; completeOrgIdp (그 org만; 다른 테넌트의 도메인에는 절대로 사용되지 않음). TEST 는 전체 검증을 실행하고 결과를 저장합니다 결과 카드 (누구, 어떤 계정 작업, 역할/부서/직함/팀, MFA) - 아무것도 쓰지 않습니다 ACTIVE 연결과 ownership_verified 행에 대해서만 host + domain; signin/methods 는 sso 버튼을 나열합니다. SsoEnforcement : REQUIRED_DOMAINS / REQUIRED_ALL 그 조직에 대한 커버 된 회원의 비밀번호를 거부합니다 (403 SSO_REQUIRED + sso 버튼 데이터; picker 는 org 를 삭제하고 select 토큰의 범위를 측정)하고 비밀번호가 작동할 때만 재설정을 거부합니다 nowhere; 소유자 + org_break_glass_members 항상 면제; 실패 열기; 관리자가 필요한 활성화 할 때까지 비활성 연결. 활성화에는 테스트 통과가 필요합니다. 필수적으로 MFA 또는 암호 키가 있는 1명 이상의 브레이크 유리 구성원이 필요합니다. IdpHealthJob (6시간, 싱글톤): 메타데이터/키 새로 고침, 인증서/비밀 만료 + 읽을 수 없는 메타데이터 -> 하나 이벤트당 IDP_CONNECTION_HEALTH 알림. SAML 접합(SamlServiceProvider, ****************