IdP
身份提供方，负责创建、维护和管理用户身份信息，并提供认证服务。
核心事实
时间轴 (近 90 天)
Claude apps gateway 的 upstream 新增可选的 groups 列表，只有属于指定 IdP 分组的开发者才会被路由到该 upstream，故障转移时同样生效。
面向Agent的IdP需支持自动注册、凭证轮换、最小权限策略和全链路审计。
对账时，IdP提供“应该有哪些账户”的基准，SaaS应用内的管理API或后台是“实际有哪些账户和授权”的权威数据源。
整改时区分“应用内直接调整”和“通过IdP或自动化间接触发”两类动作，本质上是在权衡即时性与可审计性：手工调整快但易出错、难追溯；通过IdP组映射或SCIM触发的变更更一致，但依赖前期集成质量。
在客户身份场景中，IdP可能是Auth0、Cognito等云服务，或自建认证中心。
员工身份通常复用企业现有IdP以实现SSO，客户身份则往往需要独立的IdP以支持社交登录、自助注册等外部用户特性。
多因素认证（MFA）、设备绑定和机构身份提供方（IdP）联合登录可以叠加在RBAC之上，使账户在技术上难以脱离所属机构环境使用。
自动化客户 onboarding 的核心技术难点在于身份供给与权限配置，通常依赖身份提供方（IdP）与内部系统的 API 对接。
EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
实现条件访问通常需要身份提供方（IdP）支持SAML/OIDC中的acr、amr等声明扩展，并能向应用传递策略决策结果。
还有 15 条时间轴事件
全部知识事实 (20)
SCIM（跨域身份管理系统）是一套用于自动化用户身份信息交换的开放标准
65%已验证IDScan属于身份验证即服务（IDVaaS）赛道的企业
65%待验证Claude apps gateway 的 upstream 新增可选的 groups 列表，只有属于指定 IdP 分组的开发者才会被路由到该 upstream，故障转移时同样生效。
50%待验证面向Agent的IdP需支持自动注册、凭证轮换、最小权限策略和全链路审计。
50%待验证对账时，IdP提供“应该有哪些账户”的基准，SaaS应用内的管理API或后台是“实际有哪些账户和授权”的权威数据源。
50%待验证整改时区分“应用内直接调整”和“通过IdP或自动化间接触发”两类动作，本质上是在权衡即时性与可审计性：手工调整快但易出错、难追溯；通过IdP组映射或SCIM触发的变更更一致，但依赖前期集成质量。
50%待验证在客户身份场景中，IdP可能是Auth0、Cognito等云服务，或自建认证中心。
50%待验证员工身份通常复用企业现有IdP以实现SSO，客户身份则往往需要独立的IdP以支持社交登录、自助注册等外部用户特性。
50%待验证多因素认证（MFA）、设备绑定和机构身份提供方（IdP）联合登录可以叠加在RBAC之上，使账户在技术上难以脱离所属机构环境使用。
50%待验证自动化客户 onboarding 的核心技术难点在于身份供给与权限配置，通常依赖身份提供方（IdP）与内部系统的 API 对接。
50%待验证EMA 之所以能把授权收敛到 IdP，前提是企业已经用 IdP 统一了员工身份；应用接入 IdP 后，用户登录走 SAML 或 OpenID Connect 标准，由 IdP 颁发身份断言。
50%待验证实现条件访问通常需要身份提供方（IdP）支持SAML/OIDC中的acr、amr等声明扩展，并能向应用传递策略决策结果。
50%待验证在EMA场景下，账户关联应依赖企业IdP签发的、经过签名的断言而非用户手动确认，这是一种解决模式
50%待验证密码学签名机制能作为EMA信任替代方案，因为伪造有效签名在计算上不可行，攻击者需控制企业IdP本身
50%待验证SAML断言是企业IdP颁发的XML格式安全令牌，使用IdP的私钥进行数字签名
50%待验证由于SCIM推送是IdP主动发起的异步操作，接收端静默拒绝或返回模糊错误时管理员在IdP侧几乎无从察觉
50%待验证新的SCIM日志页面会记录IdP发送的每一个供给请求
50%待验证SSO可集中管控账户生命周期，员工离职时只需在IdP侧吊销凭证即可切断其对所有关联应用的访问权限
50%待验证在ID-JAG模型中，企业管理员预先配置哪些应用可以访问哪些资源、在什么条件下访问以及访问范围，身份提供商基于这些预设策略签发包含授权断言的令牌
50%待验证ID-JAG的流程是应用先从身份提供商获得一个身份断言，然后用该断言换取针对特定资源服务器的访问令牌，交换过程中强制执行企业授权策略
50%