- Shipped
- 15 листопада 2026 р. о 07:37 UTC
- Author
- Kamo
- Commit
- 7a63fd0
idp /: **************** CRUD + refresh + test/start|result + activate|disable + break-glass (MANAGE_ IDENTITY_ PROVIDERS 718, IDP_ CONNECTION_ CHANGED при кожному записі). Визначення OIDC (перевірка видавництва, тільки https, Захищений SSRF: кожен URL, введений адміністратором / з назвою документа, повинен розв' язуватися на публічні адреси), JWKS + x5c expiry. federation/ start| callback з connectionId -> IdpSignInService: PKCE+nonce+state, id_ token підтверджено існуючим IdTokenValidator (тільки асиметричний, iss/ aud/ azp/ exp/ nonce), client_ secret_ basic типовий; ідентичність (iss, sub, ідентифікатор з’ єднання) ORG_ IDP; автоматичне посилання + JIT тільки для доменів, перевірених власником з’ єднання (інакше link- page proof); JIT через **************** (TEAM_ MEMBER ACTIVE| PROSPECT, електронна пошта перевірена, без перевірочного листа); відображення претензій/ груп -> відділ, посада, офіційна посада, роль, команди (з’ єднання TeamWriter + org graph + MemberRightsAppliedService => rights push live), sync_ on_ signin; надійний IdP MFA через amr/ acr; completeOrgIdp (тільки ця організація; ніколи у домені іншого користувача). TEST виконує всю перевірку і зберігає картка результатів (хто, яка дія облікового запису, роль/ відділ/ посада/ команди, MFA) — нічого не записується. signin/ identify routes by вузол + домен через з’ єднання ACTIVE і лише рядки ownership_ verified; signin/ methods містить список кнопок sso. SsoEnforcement: REQUIRED_ DOMAINS / REQUIRED_ ALL відмовляється надати пароль учасника для THAT org (403 SSO_ REQUIRED + sso button data; picker drops the org and spans the select token) і відмовляється від скасування, лише якщо пароль працює ніде; власники + org_ break_ glass_ members завжди виключені; не вдається відкрити; інертний, поки адміністратор не активує обов’ язковий з’ єднання. Активація потребує успішного тесту; НЕОБХІДНО потребує > = 1 члена з MFA або паролем. IdpHealthJob (6 год, одинично): оновлення метаданих/ ключів, закінчення терміну дії сертифіката/ секрету + нечитабельні метадані -> один Сповіщення IDP_ CONNECTION_ HEALTH на подію. Шви SAML (SamlServiceProvider, ****************)