# resoudre_idp — l'URL publique du fournisseur d'identite

Resout `auth.<domaine>` depuis l'exposition que le plan declare, au lieu de fabriquer
`keycloak.<domaine>` par convention.

## Pourquoi

Quatre roles construisaient le nom a la main. Aucun ne le publiait : le DNS resout
`auth`, nginx sert `auth`, et Keycloak s'annonce sous `auth`. Un client qui interroge
`keycloak.<domaine>` echoue — ou recoit un issuer qui ne correspond pas au sien
(« issuer did not match the issuer returned by provider »).

Corrige une premiere fois dans `serveur_oauth2_proxy`, puis retrouve a l'identique
dans trois autres roles. Une convention de nommage se contredit ; une declaration se
corrige.

## Sorties

| Fait | Exemple |
|---|---|
| `resoudre_idp_hote` | `auth.chezlepro.internal` |
| `resoudre_idp_base` | `https://auth.chezlepro.internal/realms/chezlepro` |
| `resoudre_idp_discovery` | `…/.well-known/openid-configuration` |