안녕하세요,
로컬 비밀번호를 사용하여 로그인할 수 있도록 설정된 것이 의도된 동작인가요? 사용자가 OIDC 로그인을 통해 계정을 생성했다고 가정해 보겠습니다. 이 시점에서는 모든 것이 정상적으로 작동하며, 사용자는 OIDC 제공자를 통해 로그인할 수 있고 OIDC 제공자에서 2FA(2단계 인증)가 강제 적용되어 계정이 보호됩니다.
이제 사용자가 비밀번호 재설정 이메일 기능을 통해 이 OIDC 연결된 계정에 로컬 비밀번호를 설정했다고 합시다. 비밀번호를 설정한 후, 로컬 비밀번호 및 OIDC를 모두 사용하여 로그인할 수 있게 되지만, 로컬 로그인은 2FA로 보호되지 않아 잠재적으로 보안에 취약할 수 있습니다. 더욱 심각한 문제는 로컬 비밀번호를 설정한 후에는 되돌릴 방법이 없는 것 같습니다. 로컬 비밀번호를 설정한 사용자는 이를 다시 삭제할 수 없으며, 소셜 로그인을 비활성화하기 때문에 2FA를 설정할 수도 없습니다.
OIDC 사용자의 로컬 로그인을 허용하지 않는 옵션을 원합니다. 또한 더 엄격하게, OIDC 연결된 계정에 대해 OIDC 로그인을 필수로 만들기 위해 다른 모든 소셜 로그인도 허용하지 않는 옵션을 원합니다.
감사합니다.
