@eqs/auth : provision « jit » sans rôle par défaut, et identités Entra indexées sur oid sans chemin depuis sub #139

New issue

Closed

opened 2026-10-12 09:28:50 +00:00 by nicolas-fryder · 0 comments

nicolas-fryder commented 2026-10-12 09:28:50 +00:00

Owner

Copy link

Deux constats du rétrofit des comptes d'ATLAS (D-056, #80).

1. provision: 'jit' crée un compte sans rôle

Commande : première connexion Entra d'une personne dont aucun groupe n'est dans roles.yaml/entra.groupes, avec provision: 'jit'.
Attendu : un rôle par défaut déclarable (ATLAS : lecture — tout le monde dans l'agence consulte la carte).
Observé : rôle vide ; la personne entre et n'a accès à rien, sans message.
Proposition : entra.roleParDefaut dans roles.yaml, validé par validerCatalogue.

2. Pas de reprise des identités Entra existantes

Observé : le fournisseur Microsoft de better-auth indexe account.accountId sur oid. ATLAS stockait sub (OIDC maison) : la migration ne peut pas recopier les identités, et le cahier §8 bis ne le dit pas.
Contournement : la première connexion Entra relie par adresse (accountLinking, fournisseur de confiance).
Proposition : le dire au §8 bis, avec la conséquence (relier par adresse = faire confiance à l'adresse Entra), et que la conformité le vérifie sur un locataire nommé.

Versions

@eqs/auth 0.19.0 / 0.20.0, better-auth 1.7.7.

Ouvert depuis le rejeu du rétrofit d'ATLAS (étape 5a).

Deux constats du rétrofit des comptes d'ATLAS (D-056, #80). ## 1. `provision: 'jit'` crée un compte sans rôle **Commande** : première connexion Entra d'une personne dont aucun groupe n'est dans `roles.yaml/entra.groupes`, avec `provision: 'jit'`. **Attendu** : un rôle par défaut déclarable (ATLAS : `lecture` — tout le monde dans l'agence consulte la carte). **Observé** : rôle vide ; la personne entre et n'a accès à rien, sans message. **Proposition** : `entra.roleParDefaut` dans `roles.yaml`, validé par `validerCatalogue`. ## 2. Pas de reprise des identités Entra existantes **Observé** : le fournisseur Microsoft de better-auth indexe `account.accountId` sur `oid`. ATLAS stockait `sub` (OIDC maison) : la migration ne peut pas recopier les identités, et le cahier §8 bis ne le dit pas. **Contournement** : la première connexion Entra relie par adresse (`accountLinking`, fournisseur de confiance). **Proposition** : le dire au §8 bis, avec la conséquence (relier par adresse = faire confiance à l'adresse Entra), et que la conformité le vérifie sur un locataire nommé. ## Versions @eqs/auth 0.19.0 / 0.20.0, better-auth 1.7.7. *Ouvert depuis le rejeu du rétrofit d'ATLAS (étape 5a).*

nicolas-fryder referenced this issue from a commit 2026-10-13 07:59:47 +00:00

feat(auth): entra.roleParDefaut pour la création à la première connexion (#139)

nicolas-fryder referenced this issue from a commit 2026-10-13 07:59:47 +00:00

test(auth): le schéma de roles.yaml porte entra.roleParDefaut (#139)

nicolas-fryder referenced this issue from a pull request that will close it, 2026-10-13 08:01:57 +00:00

Version 0.21.0 : les treize tickets du rétrofit d'ATLAS (#137 à #149) #150

nicolas-fryder closed this issue 2026-10-13 10:02:17 +00:00

Sign in to join this conversation.

No Branch/Tag specified

Branches Tags

main

dev

@eqs/tooling@0.24.3

@eqs/testing@0.24.3

@eqs/telemetry@0.24.3

@eqs/platform-next@0.24.3

@eqs/platform-nest@0.24.3

@eqs/http@0.24.3

@eqs/errors@0.24.3

@eqs/config@0.24.3

@eqs/cli@0.24.3

@eqs/auth@0.24.3

@eqs/tooling@0.24.2

@eqs/testing@0.24.2

@eqs/telemetry@0.24.2

@eqs/platform-next@0.24.2

@eqs/platform-nest@0.24.2

@eqs/http@0.24.2

@eqs/errors@0.24.2

@eqs/config@0.24.2

@eqs/cli@0.24.2

@eqs/auth@0.24.2

@eqs/tooling@0.24.1

@eqs/testing@0.24.1

@eqs/telemetry@0.24.1

@eqs/platform-next@0.24.1

@eqs/platform-nest@0.24.1

@eqs/http@0.24.1

@eqs/errors@0.24.1

@eqs/config@0.24.1

@eqs/cli@0.24.1

@eqs/auth@0.24.1

@eqs/tooling@0.24.0

@eqs/testing@0.24.0

@eqs/telemetry@0.24.0

@eqs/platform-next@0.24.0

@eqs/platform-nest@0.24.0

@eqs/http@0.24.0

@eqs/errors@0.24.0

@eqs/config@0.24.0

@eqs/cli@0.24.0

@eqs/auth@0.24.0

@eqs/tooling@0.23.0

@eqs/testing@0.23.0

@eqs/telemetry@0.23.0

@eqs/platform-next@0.23.0

@eqs/platform-nest@0.23.0

@eqs/http@0.23.0

@eqs/errors@0.23.0

@eqs/config@0.23.0

@eqs/cli@0.23.0

@eqs/auth@0.23.0

@eqs/tooling@0.22.0

@eqs/testing@0.22.0

@eqs/telemetry@0.22.0

@eqs/platform-next@0.22.0

@eqs/platform-nest@0.22.0

@eqs/http@0.22.0

@eqs/errors@0.22.0

@eqs/config@0.22.0

@eqs/cli@0.22.0

@eqs/auth@0.22.0

@eqs/tooling@0.21.0

@eqs/testing@0.21.0

@eqs/telemetry@0.21.0

@eqs/platform-next@0.21.0

@eqs/platform-nest@0.21.0

@eqs/http@0.21.0

@eqs/errors@0.21.0

@eqs/config@0.21.0

@eqs/cli@0.21.0

@eqs/auth@0.21.0

@eqs/tooling@0.20.0

@eqs/testing@0.20.0

@eqs/telemetry@0.20.0

@eqs/platform-next@0.20.0

@eqs/platform-nest@0.20.0

@eqs/http@0.20.0

@eqs/errors@0.20.0

@eqs/config@0.20.0

@eqs/cli@0.20.0

@eqs/auth@0.20.0

@eqs/tooling@0.19.0

@eqs/testing@0.19.0

@eqs/telemetry@0.19.0

@eqs/platform-next@0.19.0

@eqs/platform-nest@0.19.0

@eqs/http@0.19.0

@eqs/errors@0.19.0

@eqs/config@0.19.0

@eqs/cli@0.19.0

@eqs/auth@0.19.0

@eqs/tooling@0.17.1

@eqs/testing@0.17.1

@eqs/telemetry@0.17.1

@eqs/platform-next@0.17.1

@eqs/platform-nest@0.17.1

@eqs/http@0.17.1

@eqs/errors@0.17.1

@eqs/config@0.17.1

@eqs/cli@0.17.1

@eqs/auth@0.17.1

@eqs/tooling@0.17.0

@eqs/testing@0.17.0

@eqs/telemetry@0.17.0

@eqs/platform-next@0.17.0

@eqs/platform-nest@0.17.0

@eqs/http@0.17.0

@eqs/errors@0.17.0

@eqs/config@0.17.0

@eqs/cli@0.17.0

@eqs/auth@0.17.0

@eqs/tooling@0.16.0

@eqs/testing@0.16.0

@eqs/telemetry@0.16.0

@eqs/platform-next@0.16.0

@eqs/platform-nest@0.16.0

@eqs/http@0.16.0

@eqs/errors@0.16.0

@eqs/config@0.16.0

@eqs/cli@0.16.0

@eqs/auth@0.16.0

@eqs/tooling@0.15.0

@eqs/testing@0.15.0

@eqs/telemetry@0.15.0

@eqs/platform-next@0.15.0

@eqs/platform-nest@0.15.0

@eqs/http@0.15.0

@eqs/errors@0.15.0

@eqs/config@0.15.0

@eqs/cli@0.15.0

@eqs/auth@0.15.0

@eqs/tooling@0.14.0

@eqs/testing@0.14.0

@eqs/telemetry@0.14.0

@eqs/platform-next@0.14.0

@eqs/platform-nest@0.14.0

@eqs/http@0.14.0

@eqs/errors@0.14.0

@eqs/config@0.14.0

@eqs/cli@0.14.0

@eqs/auth@0.14.0

@eqs/tooling@0.13.0

@eqs/testing@0.13.0

@eqs/telemetry@0.13.0

@eqs/platform-next@0.13.0

@eqs/platform-nest@0.13.0

@eqs/http@0.13.0

@eqs/errors@0.13.0

@eqs/config@0.13.0

@eqs/cli@0.13.0

@eqs/auth@0.13.0

@eqs/tooling@0.12.2

@eqs/testing@0.12.2

@eqs/telemetry@0.12.2

@eqs/platform-next@0.12.2

@eqs/platform-nest@0.12.2

@eqs/http@0.12.2

@eqs/errors@0.12.2

@eqs/config@0.12.2

@eqs/cli@0.12.2

@eqs/auth@0.12.2

@eqs/tooling@0.12.1

@eqs/testing@0.12.1

@eqs/telemetry@0.12.1

@eqs/platform-next@0.12.1

@eqs/platform-nest@0.12.1

@eqs/http@0.12.1

@eqs/errors@0.12.1

@eqs/config@0.12.1

@eqs/cli@0.12.1

@eqs/auth@0.12.1

@eqs/tooling@0.12.0

@eqs/testing@0.12.0

@eqs/telemetry@0.12.0

@eqs/platform-next@0.12.0

@eqs/platform-nest@0.12.0

@eqs/http@0.12.0

@eqs/errors@0.12.0

@eqs/config@0.12.0

@eqs/cli@0.12.0

@eqs/auth@0.12.0

@eqs/tooling@0.11.2

@eqs/testing@0.11.2

@eqs/telemetry@0.11.2

@eqs/platform-next@0.11.2

@eqs/platform-nest@0.11.2

@eqs/http@0.11.2

@eqs/errors@0.11.2

@eqs/config@0.11.2

@eqs/cli@0.11.2

@eqs/auth@0.11.2

@eqs/tooling@0.11.1

@eqs/testing@0.11.1

@eqs/telemetry@0.11.1

@eqs/platform-next@0.11.1

@eqs/platform-nest@0.11.1

@eqs/http@0.11.1

@eqs/errors@0.11.1

@eqs/config@0.11.1

@eqs/cli@0.11.1

@eqs/auth@0.11.1

@eqs/tooling@0.11.0

@eqs/testing@0.11.0

@eqs/telemetry@0.11.0

@eqs/platform-next@0.11.0

@eqs/platform-nest@0.11.0

@eqs/http@0.11.0

@eqs/errors@0.11.0

@eqs/config@0.11.0

@eqs/cli@0.11.0

@eqs/auth@0.11.0

@eqs/tooling@0.10.1

@eqs/testing@0.10.1

@eqs/telemetry@0.10.1

@eqs/platform-next@0.10.1

@eqs/platform-nest@0.10.1

@eqs/http@0.10.1

@eqs/errors@0.10.1

@eqs/config@0.10.1

@eqs/cli@0.10.1

@eqs/auth@0.10.1

@eqs/tooling@0.10.0

@eqs/testing@0.10.0

@eqs/telemetry@0.10.0

@eqs/platform-next@0.10.0

@eqs/platform-nest@0.10.0

@eqs/http@0.10.0

@eqs/errors@0.10.0

@eqs/config@0.10.0

@eqs/cli@0.10.0

@eqs/auth@0.10.0

@eqs/tooling@0.9.0

@eqs/testing@0.9.0

@eqs/telemetry@0.9.0

@eqs/platform-next@0.9.0

@eqs/platform-nest@0.9.0

@eqs/http@0.9.0

@eqs/errors@0.9.0

@eqs/config@0.9.0

@eqs/cli@0.9.0

@eqs/auth@0.9.0

@eqs/tooling@0.8.1

@eqs/testing@0.8.1

@eqs/telemetry@0.8.1

@eqs/platform-next@0.8.1

@eqs/platform-nest@0.8.1

@eqs/http@0.8.1

@eqs/errors@0.8.1

@eqs/config@0.8.1

@eqs/cli@0.8.1

@eqs/auth@0.8.1

@eqs/tooling@0.8.0

@eqs/testing@0.8.0

@eqs/telemetry@0.8.0

@eqs/platform-next@0.8.0

@eqs/platform-nest@0.8.0

@eqs/http@0.8.0

@eqs/errors@0.8.0

@eqs/config@0.8.0

@eqs/cli@0.8.0

@eqs/auth@0.8.0

@eqs/tooling@0.7.0

@eqs/testing@0.7.0

@eqs/telemetry@0.7.0

@eqs/platform-next@0.7.0

@eqs/platform-nest@0.7.0

@eqs/http@0.7.0

@eqs/errors@0.7.0

@eqs/config@0.7.0

@eqs/cli@0.7.0

@eqs/auth@0.7.0

@eqs/tooling@0.6.0

@eqs/testing@0.6.0

@eqs/telemetry@0.6.0

@eqs/platform-next@0.6.0

@eqs/platform-nest@0.6.0

@eqs/http@0.6.0

@eqs/errors@0.6.0

@eqs/config@0.6.0

@eqs/cli@0.6.0

@eqs/auth@0.6.0

@eqs/tooling@0.5.1

@eqs/testing@0.5.1

@eqs/telemetry@0.5.1

@eqs/platform-next@0.5.1

@eqs/platform-nest@0.5.1

@eqs/http@0.5.1

@eqs/errors@0.5.1

@eqs/config@0.5.1

@eqs/cli@0.5.1

@eqs/auth@0.5.1

@eqs/tooling@0.5.0

@eqs/testing@0.5.0

@eqs/telemetry@0.5.0

@eqs/platform-next@0.5.0

@eqs/platform-nest@0.5.0

@eqs/http@0.5.0

@eqs/errors@0.5.0

@eqs/config@0.5.0

@eqs/cli@0.5.0

@eqs/auth@0.5.0

@eqs/tooling@0.4.0

@eqs/testing@0.4.0

@eqs/telemetry@0.4.0

@eqs/platform-next@0.4.0

@eqs/platform-nest@0.4.0

@eqs/http@0.4.0

@eqs/errors@0.4.0

@eqs/config@0.4.0

@eqs/cli@0.4.0

@eqs/auth@0.4.0

@eqs/tooling@0.2.0

@eqs/telemetry@0.2.0

@eqs/errors@0.2.0

@eqs/config@0.2.0

@eqs/tooling@0.1.0

Labels

Clear labels   

bug

Something is not working

  

duplicate

This issue or pull request already exists

  

enhancement

New feature

  

help wanted

Need some help

  

invalid

Something is wrong

  

question

More information is needed

  

wontfix

This won't be fixed

No labels

bug

duplicate

enhancement

help wanted

invalid

question

wontfix

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

1 participant

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

Infrastructure/eqs-platform#139

No description provided.