IdP
身份提供方，负责创建、维护和管理用户身份信息，并提供认证服务。
核心事实
时间轴 (近 90 天)
自动化客户 onboarding 的核心技术难点在于身份供给与权限配置，通常依赖身份提供方（IdP）与内部系统的 API 对接。
实现条件访问通常需要身份提供方（IdP）支持SAML/OIDC中的acr、amr等声明扩展，并能向应用传递策略决策结果。
SCIM（跨域身份管理系统）是一套用于自动化用户身份信息交换的开放标准
SAML断言是企业IdP颁发的XML格式安全令牌，使用IdP的私钥进行数字签名
密码学签名机制能作为EMA信任替代方案，因为伪造有效签名在计算上不可行，攻击者需控制企业IdP本身
在EMA场景下，账户关联应依赖企业IdP签发的、经过签名的断言而非用户手动确认，这是一种解决模式
由于SCIM推送是IdP主动发起的异步操作，接收端静默拒绝或返回模糊错误时管理员在IdP侧几乎无从察觉
新的SCIM日志页面会记录IdP发送的每一个供给请求
SSO可集中管控账户生命周期，员工离职时只需在IdP侧吊销凭证即可切断其对所有关联应用的访问权限
在ID-JAG模型中，企业管理员预先配置哪些应用可以访问哪些资源、在什么条件下访问以及访问范围，身份提供商基于这些预设策略签发包含授权断言的令牌
还有 7 条时间轴事件
全部知识事实 (17)
IDScan属于身份验证即服务（IDVaaS）赛道的企业
65%待验证自动化客户 onboarding 的核心技术难点在于身份供给与权限配置，通常依赖身份提供方（IdP）与内部系统的 API 对接。
50%待验证实现条件访问通常需要身份提供方（IdP）支持SAML/OIDC中的acr、amr等声明扩展，并能向应用传递策略决策结果。
50%待验证SCIM（跨域身份管理系统）是一套用于自动化用户身份信息交换的开放标准
50%待验证在EMA场景下，账户关联应依赖企业IdP签发的、经过签名的断言而非用户手动确认，这是一种解决模式
50%待验证密码学签名机制能作为EMA信任替代方案，因为伪造有效签名在计算上不可行，攻击者需控制企业IdP本身
50%待验证SAML断言是企业IdP颁发的XML格式安全令牌，使用IdP的私钥进行数字签名
50%待验证新的SCIM日志页面会记录IdP发送的每一个供给请求
50%待验证由于SCIM推送是IdP主动发起的异步操作，接收端静默拒绝或返回模糊错误时管理员在IdP侧几乎无从察觉
50%待验证SSO可集中管控账户生命周期，员工离职时只需在IdP侧吊销凭证即可切断其对所有关联应用的访问权限
50%待验证在ID-JAG模型中，企业管理员预先配置哪些应用可以访问哪些资源、在什么条件下访问以及访问范围，身份提供商基于这些预设策略签发包含授权断言的令牌
50%待验证ID-JAG的流程是应用先从身份提供商获得一个身份断言，然后用该断言换取针对特定资源服务器的访问令牌，交换过程中强制执行企业授权策略
50%待验证在Okta的Cross App Access架构中，身份提供商（IdP）扮演经纪人（broker）的角色，负责协调并建立连接的信任链条
50%待验证IdP的职责边界是撮合连接（broker the connection），建立初始信任关系，但不代替下游应用完成全部安全验证
50%待验证下游应用必须主动验证授权（grant）的有效性，包括检查授权是否由可信IdP签发、是否针对当前应用、是否在有效期内、访问范围是否一致
50%待验证该分层设计中IdP负责宏观信任撮合，应用负责微观权限控制，应用对自己的资源拥有最终决定权
50%待验证基于令牌的无状态身份验证要求所有参与系统信任同一个或一组相互信任的身份提供方（IdP）
50%