- Enviado
- 15 de novembro de 2026 às 07:37 UTC
- Autor
- Kamo
- Confirmação
- 7a63fd0
idp/: **************** CRUD + refresh + teste/iniciar|resultado + ativar|desabilitar + quebra-vidro (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED em cada gravação). Descoberta de OIDC (emissor verificado, somente https, SSRF-guardado: cada URL digitado pelo administrador / nomeado por documento deve resolver para endereços públicos), JWKS + expiração x5c. federation/start|callback com connectionId -> IdpSignInService: PKCE+nonce+state, id_token provado pelo existente IdTokenValidator (apenas assimétrico, iss/aud/azp/exp/nonce), client_secret_basic padrão; identidade (iss, sub, id de conexão) ORG_IDP; auto-link + JIT somente sobre os domínios verificados pela propriedade da conexão (caso contrário, prova de página de link); JIT através de **************** (TEAM_MEMBER ACTIVE|PROSPECT, email verificado, sem carta de verificação); mapeamento de reivindicações/grupos -> departamento, cargo, título oficial, função, equipes (seam do TeamWriter + MemberRightsAppliedService => push de direitos ao vivo), sync_on_signin; MFA de IdP confiável via amr/acr; completeOrgIdp (somente naquela organização; nunca no domínio de outro inquilino). TEST executa toda a validação e armazena o cartão de resultado (quem, qual ação da conta, função/departamento/título/equipes, MFA) - não escreve nada host + domínio sobre conexões ACTIVAS e linhas ownership_verified somente; signin/methods lista botões sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL recusa a senha de um membro coberto para THAT org (403 SSO_REQUIRED + dados do botão sso; o seletor deixa cair o org e abrange o token de seleção) e recusa uma redefinição somente quando a senha funciona em nenhum lugar; proprietários + org_break_glass_members sempre isentos; falha ao abrir; inerte até que um administrador ative um requisito A ativação precisa de um teste de aprovação; REQUISITO precisa de >= 1 membro de quebra de vidro com MFA ou uma senha. IdpHealthJob (6h, singleton): atualização de metadados/chaves, expiração de certificado/segredo + metadados ilegíveis -> um Notificação IDP_CONNECTION_HEALTH por evento. Seams SAML (SamlServiceProvider, ****************