- 已发运
- 2026年11月15日 07:37 UTC
- 作者
- Kamo
- 承诺
- 7a63fd0
idp / : **************** CRUD + 刷新 + 测试/开始|结果 + 激活|禁用 + 破玻璃 (MANAGE_IDENTITY_PROVIDERS 718,在每次写入时 IDP_CONNECTION_CHANGED ) 。 OIDC 发现(发行者检查,仅限 https,无法发现发行者) SSRF-guarded:每个admin-typed/document-named URL必须解析为公共地址 ) , JWKS + x5c 过期。 federation/start|callback with connectionId -> IdpSignInService: PKCE+nonce+state, id_token 由现有服务验证 IdTokenValidator (仅非对称,iss/aud/azp/exp/nonce ) , client_secret_basic 默认值;身份 (iss, sub, connection id) ORG_IDP;仅在连接的所有权验证域上自动链接 + JIT (否则 链接页面证明 ) ; JIT 通过 ************** (TEAM_MEMBER ACTIVE|PROSPECT, 电子邮件验证, 没有验证信 ) ; 映射索赔/组 -> 部门,职位,官方头衔,角色,团队 (TeamWriter 接缝 + org graph + MemberRightsAppliedService => 权限推送实时 ) , sync_on_signin;通过 amr/acr 进行受信任的 IdP MFA; completeOrgIdp (仅限该组织;不得在其他租户的域上 ) 。 TEST 运行整个验证并存储 结果卡 (谁, 哪个帐户行动, 角色/部门/职位/团队, MFA ) - 什么都不写 仅在 ACTIVE 连接和 ownership_verified 行上使用 host + domain;signin/methods 列出 sso 按钮。 SsoEnforcement: REQUIRED_DOMAINS / REQUIRED_ALL 拒绝被覆盖的成员的密码对于 THAT org (403 SSO_REQUIRED + sso 按钮数据;选择器放弃 org 并扩展到 select 令牌)并且仅在密码有效时拒绝重置 nowhere; 所有者 + org_break_glass_members 总是豁免; 失败打开; 惰性,直到管理员激活一个必需的 激活需要通过测试;必需需要 >= 1 个具有 MFA 或密钥的打破玻璃成员。 IdpHealthJob (6小时,单一 ) : 元数据/密钥刷新,证书/秘密过期 + 不可读元数据 -> 一个 SAML 接缝 (SamlServiceProvider , * * * * * * * * * * * * * * * * *)