Может у человека вообще ldap нету

Это тоже вариант)

а запросить группы нельзя в claims?

> а запросить группы нельзя в claims?
имеешь ввиду во время /login? можно, но тут еще дальнейшее членство в группе как-то надо отслеживать

Да, все это костылями делается. Есть scim, но его на самом деле и нет негде толком.

дальнейшее членство в группе всё равно скорее всего через перелогин, т.к. политики привящаны к токену. Новая группа = новая политика = новый токен

При чем если купить гугл за 15 баксов за юзера то там есть лдап и в нем вроде группы есть

> дальнейшее членство в группе всё равно скорее всего через перелогин
Так если мы ранее для identity/group в vault прицепили политику, а затем добавили туда identity/entity пользователя ему не придется перелогиниваться. Политика ведь наследуется от group.
Ну т.е. привязка/отвязка к/от group не ведет к перелогину и новой генерации токена

> При чем если купить гугл за 15 баксов за юзера то там есть лдап и в нем вроде группы есть
15 не хило так..

Это не гугл жадный это протокол OAuth2 не предполагает какие-то группы передавать.

oauth предполагает,. afaik общую схему - claims, где можно передавать что угодно

> Так если мы ранее для identity/group в vault прицепили политику, а затем добавили туда identity/entity пользователя ему не придется перелогиниваться. Политика ведь наследуется от group.
если политика сгенерирована по шаблону, содержащему данные из identity, то может быть и так, но во всех остальных случаях к токену привязывается политика, и если членство в группе подразумевает добавление-удаление политики, то я сомневаюсь, что это применится к существующему токену без отдельных приседаний с бубном

хм, интересно, нужно попробовать посмотреть

JFYI, проверил. Если пользователя с entity добавить в группу с определенной политикой, то для того чтобы применилась политика перелогиниваться не надо. Тожесамое при удалении

/ # vault read secret/group-qa
Error reading secret/group-qa: Error making API request.

URL: GET http://127.0.0.1:8200/v1/secret/group-qa
Code: 403. Errors:

* 1 error occurred:
 * permission denied


/ # vault read secret/group-qa
WARNING! The following warnings were returned from Vault:

  * Invalid path for a versioned K/V secrets engine. See the API docs for the
  appropriate API endpoints to use. If using the Vault CLI, use 'vault kv get'
  for this operation.

/ # vault read secret/group-qa
Error reading secret/group-qa: Error making API request.

URL: GET http://127.0.0.1:8200/v1/secret/group-qa
Code: 403. Errors:

* 1 error occurred:
 * permission denied

В другой консоле включал entity в группу с политикой на разрешение чтения secret/group-qa

Ну т.е. можно попробовать с синхронизацие Gsuit заморочиться в entity и группы

Кстати, друзья. Если кто-то желает о чем-то поделиться с коллегами в формате доклада, или наоборот на что-то есть спрос, не стесняйтесь, пишите, и мы организуем митап :)

Preferred Qualifications:
Around 5 years of experience as DevSecOps in an large scale environment
)))
Самому термину дай бог 5 лет)

Ну так классика же, не? Стаж 30 лет возраст не больше 25