- Отгружено
- 15 ноября 2026 г. в 07:37 UTC
- Автор
- Kamo
- Завершение
- 7a63fd0
idp/: **************** CRUD + refresh + test/start|result + activate|disable + break-glass (MANAGE_IDENTITY_PROVIDERS 718, IDP_CONNECTION_CHANGED при каждой записи) SSRF-охраняемый: каждый URL, введённый администратором / названный документом, должен разрешать публичные адреса), JWKS + x5c истечения срока действия. federation/start|callback с connectionId -> IdpSignInService: PKCE+nonce+state, id_token проверен существующим IdTokenValidator (только асимметричный, iss/aud/azp/exp/nonce), client_secret_basic по умолчанию; идентификация (iss, sub, id соединения) ORG_IDP; auto-link + JIT только через домены соединения, проверенные владельцем (иначе link-page proof); JIT через **************** (TEAM_MEMBER ACTIVE|PROSPECT, электронная почта проверена, отсутствие письма о подтверждении); сопоставление требований/групп -> отдел, должность, официальное звание, роль, команды + org graph + MemberRightsAppliedService => права push live), sync_on_signin; доверенный IdP MFA через amr/acr; completeOrgIdp (только для этой организации; никогда для домена другого арендатора). TEST выполняет всю проверку и сохраняет карта результатов (кто, какое действие учетной записи, роль/отдел/должность/команды, MFA) - ничего не пишет host + домен через АКТИВНЫЕ соединения и только строки ownership_verified; signin/methods перечисляет кнопки sso. SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL отказывается от пароля покрытого участника для THAT org (403 SSO_REQUIRED + sso button data; picker сбрасывает org и обходит select token) и отказывает в сбросе только в том случае, если пароль работает нигде; владельцы + org_break_glass_members всегда исключены; не открывается; инертный, пока администратор не активирует требуемое подключение. Активация требует прохождения теста; НЕОБХОДИМО требует >= 1 члена с MFA или паролем. IdpHealthJob (6ч, одиночный): обновление метаданных/ключей, истечение срока действия сертификата/секрета + нечитаемые метаданные -> один Уведомление IDP_CONNECTION_HEALTH на событие. Швы SAML (SamlServiceProvider, ****************