用途：本技能用于把 Infisical 连接到身份提供商（IdP），实现人员通过 IdP 登录，并自动完成账号与用户组的配置与取消配置。注意方向：这里是“人员登录”，不是工作负载认证（属于 infisical-setup）、也不是 Infisical 向外认证（属于 infisical-app-connections）。此处的 OIDC 与 LDAP 均指人员登录，工作负载场景请另寻他处。
主要能力与费用：Google SSO 与 GitHub SSO 免费（云与自托管均可用）；SAML 2.0 与 OIDC 为付费（云 Pro 层或自托管企业许可）；SCIM 配置为付费（云 Enterprise 层或自托管企业许可）。小团队若只想免去密码管理，用免费的 Google/GitHub SSO 即可。
使用顺序（顺序错误会导致配置中途失败）：1. 验证邮箱域名（SSO 与 SCIM 都必需）；2. 配置 SAML 或 OIDC（启用 SCIM 的前置条件）；3. SCIM 配置；4. 组映射到角色。SCIM 只能在组织已配置 SAML 或 OIDC 后启用；若报告 SCIM 无法启用，先检查前两项。
限制与注意：强制 SSO 会封禁已验证域名的邮箱/密码注册，这是有意设计。启用强制前，务必先建立一个带密码、可绕过 SSO 的应急组织管理员（break-glass），并知晓 /login/admin 管理登录入口（例如 https://app.infisical.com/login/admin，仅该组织的组织管理员可用）。组成员关系仅在登录时同步，在 IdP 中移除成员不会立即在 Infisical 生效，需等其下次 SSO 登录。启用组映射会禁用手动组管理。SCIM 取消配置才能真正移除账号，配合 SSO 才能完整下线人员。切勿索取或处理用户的 IdP 凭据，配置仅使用元数据、证书与客户端凭据。