- Shipped
- 15 noiembrie 2026 la 07:37 UTC
- Author
- Kamo
- Commit
- 7a63fd0
idp/: **************** CRUD + refresh + test/start|result + activare|dezactivare + spargere-sticlă (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED la fiecare scriere). Descoperirea OIDC (verificarea emitentului, numai https, SSRF-guarded: fiecare URL denumit admin / document trebuie să se rezolve la adrese publice), expirarea JWKS + x5c. federation/start|callback cu connectionId -> IdpSignInService: PKCE+nonce+state, id_token verificat de către serverul existent IdTokenValidator (numai asimetric, iss/aud/azp/exp/nonce), client_secret_basic implicit; identitate (iss, sub, id conexiune) ORG_IDP; auto-link + JIT numai peste domeniile verificate de proprietate ale conexiunii (altfel JIT prin **************** (TEAM_MEMBER ACTIVE|PROSPECT, e-mail verificat, Mappingul revendicărilor/grupurilor -> departament, poziție, titlu oficial, rol, echipe (coadă TeamWriter); + MemberRightsAppliedService => drepturi de acces (live), sync_on_signin; MFA de încredere pentru IdP prin amr/acr; completeOrgIdp (numai pentru acea organizație; niciodată pe domeniul unui alt client). TEST rulează întreaga validare și stochează card de rezultate (cine, ce acțiune de cont, rol/departament/titlu/echipe, MFA) - nu scrie nimic gazdă + domeniu peste conexiuni ACTIVE și numai rândurile ownership_verified; signin/methods listează butoanele sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL refuză parola unui membru acoperit pentru acea organizație (403 SSO_REQUIRED + sso butonul de date; selectorul scade org și se referă la selectarea tokenului) și refuză o resetare numai atunci când parola funcționează nicăieri; proprietarii + org_break_glass_members întotdeauna scutiți; nu reușește să deschidă; inert până când un administrator activează o cerință Activarea necesită un test de trecere; OBLIGATORIU necesită >= 1 membru care sparge sticla cu MFA sau o cheie de acces. IdpHealthJob (6h, singleton): reîmprospătarea metadatelor / cheilor, expirarea certificatului / secretului + metadatele necitibile -> una Notificare IDP_CONNECTION_HEALTH per eveniment. Cusături SAML (SamlServiceProvider, ****************