release 2026.07.07-24520d4

2026-07-07 13:46:12 +00:00
parent ecb8d90ce6
commit 37a853d12f
6 changed files with 674 additions and 0 deletions
@@ -0,0 +1,63 @@
+# Ory Hydra v2.3 — OAuth2-AS für den SAP-MCP-Stack (C#-Portierung).
+# URLs/DSN/Secrets kommen aus dem Environment (compose):
+#   DSN, SECRETS_SYSTEM, URLS_SELF_ISSUER, URLS_LOGIN, URLS_CONSENT
+serve:
+  cookies:
+    same_site_mode: Lax
+  tls:
+    # TLS terminiert der zentrale Reverse Proxy (kas-proxy/Caddy); interne Netze
+    # dürfen X-Forwarded-Proto setzen.
+    allow_termination_from:
+      - 10.0.0.0/8
+      - 172.16.0.0/12
+      - 192.168.0.0/16
+  public:
+    cors:
+      # claude.ai macht Discovery/DCR/Token-Calls teils aus dem Browser —
+      # ohne CORS meldet der Connector "Client-Registrierung nicht unterstützt".
+      enabled: true
+      allowed_origins:
+        - https://claude.ai
+        - https://claude.com
+        - https://chatgpt.com
+        - https://chat.openai.com
+      allowed_methods:
+        - GET
+        - POST
+        - OPTIONS
+      allowed_headers:
+        - Authorization
+        - Content-Type
+      exposed_headers:
+        - Content-Type
+
+strategies:
+  access_token: jwt
+
+oidc:
+  dynamic_client_registration:
+    # Self-Service-Onboarding: MCP-Clients registrieren sich anonym
+    # über POST /oauth2/register (RFC 7591).
+    enabled: true
+    # Clients, die bei der Registrierung KEINE Scopes angeben (z. B. ChatGPT),
+    # bekommen diese Defaults — sonst scheitert ihr Authorize-Request mit
+    # invalid_scope. ChatGPT fordert zusätzlich OIDC-Scopes (openid/profile/
+    # email) an; die geben wir frei, auch wenn wir keine Profil-Claims führen.
+    default_scope:
+      - mcp
+      - offline_access
+      - openid
+      - profile
+      - email
+
+oauth2:
+  pkce:
+    enforced_for_public_clients: true
+
+ttl:
+  access_token: 1h
+  refresh_token: 720h
+
+log:
+  level: info
+  leak_sensitive_values: false