Single sign-on (SSO)
Armazenamento de config SAML 2.0 e OIDC para um admin conectar o IdP corporativo ao tenant. Plano Enterprise.
Pontos-chave
- Armazena apenas a metadata do IdP: entity id, URL SSO, cert (SAML) ou issuer + client id + secret (OIDC).
- Suporta um enforced_domain opcional: quando o email de login bate com o domínio, o tenant precisa usar SSO.
- Client secret OIDC é write-only na API: endpoints de leitura retornam um indicador de presença, nunca o valor cru.
- Mutação só admin: um não-admin recebe 403 mesmo quando a feature é liberada no plano.
01
O que está em prod
- Armazenamento de metadata e UI admin em /settings/sso.
- Enforcement do plan-gate (Enterprise) no PUT, com 402 PLAN_UPGRADE_REQUIRED para tiers inferiores.
- Entry no audit log por upsert / delete para o cutover do IdP ser rastreável.
02
O que ainda não está em prod
- Verificação de assertion SAML real no login: o login ainda passa por senha + Google OAuth.
- Troca de code OIDC e JIT user provisioning.
- Fluxo de login IdP-initiated.