---
# Position de ce role dans la directive d'authentification (D-38..D-41).
# Voir docs/authentification.md. Gardee par la preuve P29 : un role sans cette
# declaration, ou dont la declaration contredit son code, fait echouer le harnais.
authentification:
  portee: web-sso
  mecanisme: oauth2-proxy
  formulaire_local: ferme
  secours: "icingacli user ... (via sudo sur l'hote)"
  raison: >-
    Pas d'OIDC natif : la passerelle oauth2-proxy porte l'authentification et
    transmet l'identite en en-tete. L'hote n'est pas expose directement.