Revogação
Como um acesso deixa de existir sem sincronizar o ciclo de vida dos usuários com o IdP.
Quando alguém sai da empresa, o IdP desabilita a conta. Muitos sistemas copiam esse evento para dentro de si, com webhooks ou SCIM, e cortam o acesso localmente. O Xokepoint não faz isso. Cada IdP tem um mecanismo de eventos diferente, com autenticação, entrega e reenvio diferentes, e manter essa integração para cada um só encurta uma revogação que já acontece sozinha.
Ela acontece sozinha porque nenhum acesso dura mais que um token curto:
Revogação não precisa ser instantânea, mas precisa acontecer sem ninguém intervir. Cada caminho tem o seu prazo:
| O que é revogado | Onde | Quando vale |
|---|---|---|
| Usuário no IdP, headless | IdP do cliente | Na próxima troca, em até 5 minutos |
| Usuário no IdP ou participação em grupo, interativo | IdP do cliente | Não sozinho: depois de 24 horas sem uso ou no fim do consentimento. Bloqueie a pessoa para cortar na hora |
| Pessoa bloqueada no agente | Publicação no Admin | Consentimentos e máquinas na hora; na próxima chamada |
| Máquina ou consentimento revogado | Harness sessions no Admin | Na próxima chamada |
| Refresh token ou code usado duas vezes | Automático | A máquina na hora; na próxima chamada |
| Harness login desligado na conexão | Admin | No próximo refresh; access tokens expiram em até 5 min |
| Delegação, capacidade ou recurso | Publicação no Admin | Na próxima chamada |
| Expiração de uma relação | Condição no OpenFGA | Na primeira chamada depois da data |
| Agente desativado (kill switch) | Admin | Na próxima chamada e na próxima troca |
| Chave do agente trocada | Admin | Na próxima troca; tokens já emitidos expiram em até 5 min |
| Identity connection | Admin | Na próxima chamada e na próxima troca |
As relações valem na próxima chamada porque o PDP as consulta em cada decisão, inclusive a delegação que o token exchange já conferiu. O token curto cobre o que o Xokepoint não vê, e a consulta por chamada cobre o que ele vê.
O modo interativo
Um harness de código renova o token com um refresh token, e um refresh não passa pelo IdP. A participação nos grupos é lida só no login. Então uma pessoa desabilitada no IdP, ou tirada de um grupo elegível, mantém uma máquina conectada até passarem 24 horas sem uso ou até o consentimento terminar. Quando o acesso precisa acabar agora, bloqueie a pessoa no agente: publicar o bloqueio revoga os consentimentos e as máquinas dela, e ela não consegue entrar de novo (Quem pode delegar).
Cada login é um grant de uma máquina, e o token carrega o grant_id dela. O PEP confere em cada chamada que o grant e o consentimento ainda estão ativos, então revogar uma máquina a para na próxima chamada sem mexer nas outras máquinas da pessoa.
Onde fica visível
O registro de emissão é onde a revogação no IdP fica visível: a troca falha com o motivo e o sujeito, e vira um sinal no Inbox (Observabilidade).