- Shipped
- 15 listopada 2026 07:37 UTC
- Author
- Kamo
- Commit
- 7a63fd0
idp/: **************** CRUD + refresh + test/start|result + activate|disable + break-glass (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED przy każdym zapisie). Wykrywanie OIDC (sprawdzanie wydawcy, tylko https, SSRF-strzeżony: każdy adres URL wpisany przez administratora / dokument musi rozwiązać adresy publiczne), JWKS + x5c wygaśnięcie. federation/start|callback z connectionId -> IdpSignInService: PKCE+nonce+state, id_token potwierdzony przez istniejący IdTokenValidator (tylko asymetryczny, iss/aud/azp/exp/nonce), domyślnie client_secret_basic; tożsamość (iss, sub, id połączenia) ORG_IDP; auto-link + JIT tylko w domenach zweryfikowanych przez właściciela połączenia (w przeciwnym razie JIT przez **************** (TEAM_MEMBER ACTIVE|PROSPECT, email zweryfikowany, link-page proof); mapowanie roszczeń/grup -> dział, stanowisko, tytuł urzędowy, rola, zespoły (nie ma listu weryfikacyjnego); + MemberRightsAppliedService => uwierzytelnianie na żywo (rights push live), sync_on_signin; zaufany dostawca usług MFA przez amr/acr; completeOrgIdp (tylko ta organizacja; nigdy w domenie innego dzierżawcy). TEST uruchamia całą walidację i przechowuje karta wyników (kto, jakie działanie konta, rola/dział/tytuł/zespoły, MFA) - nic nie pisze host + domena nad połączeniami ACTIVE i tylko wiersze ownership_verified; signin/methods wyświetla listę przycisków sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL odrzuca hasło objętego członkiem dla THAT org (403 SSO_REQUIRED + Dane przycisku sso; selektor upuszcza org i zakresy wybiera token) i odmawia resetowania tylko wtedy, gdy hasło działa nigdzie; właściciele + org_break_glass_members zawsze zwolnieni; nie otwiera się; bezwładny, dopóki administrator nie aktywuje wymaganego Aktywacja wymaga przejścia testu; WYMAGANIE wymaga >= 1 członka z uwierzytelnianiem wieloskładnikowym lub kluczem dostępu. IdpHealthJob (6h, singleton): odświeżenie metadanych/kluczy, wygaśnięcie certyfikatu/sekretu + nieczytelne metadane -> jeden Powiadomienie IDP_CONNECTION_HEALTH na zdarzenie. Szwy SAML (SamlServiceProvider, ****************