Что мигрируется
| Объект | Проверка |
|---|---|
| Realm / tenant | Сопоставление областей, имен и issuer |
| OIDC clients | Redirect URI, scopes, client auth, PKCE |
| Пользователи | Идентификаторы, атрибуты, политики паролей |
| RBAC | Роли, группы, составные роли, итоговые permissions |
| Сессии и токены | Нельзя безусловно переносить доверие к старым токенам |
Этапы миграции
- Инвентаризация: выгрузить клиентов, scopes, группы и зависимости приложений.
- Проверка контрактов: протестировать OIDC discovery и обязательные claims.
- Импорт идентификаций: определить законный способ переноса паролей и альтернативные процедуры re-enrollment.
- Параллельные тесты: сопоставить права для репрезентативных пользователей.
- Cutover: изменить issuer и конфигурацию клиентов, подготовить fallback.
- После переключения: проверить login, logout, passkeys, аудит и восстановление.
Риски
Не переносите hash паролей без проверки алгоритмов, форматов и требований к rehash; старые сессии и credential ID могут потребовать принудительного перевыпуска. Согласуйте схему email, subject и identity linking до cutover.