# Fase 3 — Identity

**Varighed:** 3 måneder  
**Status:** Planlagt  
**Afhængigheder:** Fase 1, Fase 2 (login UI)

---

## Mål

Fuld identity platform: brugerstyring, roller, permissions og MFA under egen kontrol.

---

## Leverancer

### Brugerstyring
- [ ] CRUD brugere i Control Center
- [ ] Invitation-flow (email link)
- [ ] Brugerprofil (navn, avatar, afdeling)
- [ ] Deaktivering og sletning (GDPR-compliant)
- [ ] Bulk-import (CSV)

### Roller og permissions
- [ ] Foruddefinerede roller: Super Admin, Admin, Support, User
- [ ] Custom roller med granular permissions
- [ ] Permission matrix per modul (se [PERMISSION_SYSTEM.md](../security/PERMISSION_SYSTEM.md))
- [ ] Role assignment per bruger og per gruppe

### MFA
- [ ] TOTP (Google Authenticator, Microsoft Authenticator kompatibel)
- [ ] Backup codes (10 engangs-koder)
- [ ] MFA enrollment flow i Shell
- [ ] Admin kan enforce MFA per gruppe
- [ ] MFA recovery flow (admin-assisted)

### Authentication
- [ ] OAuth2/OIDC provider (OpenIddict/Duende)
- [ ] Authorization Code + PKCE for Shell
- [ ] Refresh token rotation
- [ ] Session management (aktive sessions, revoke)
- [ ] Password policy (længde, kompleksitet, historik)

### Federation (forberedelse)
- [ ] AD/Azure AD federation design
- [ ] SAML/OIDC inbound federation skeleton

---

## Acceptkriterier

1. Admin opretter bruger → bruger modtager invitation → logger ind med MFA
2. Roller begrænser adgang korrekt i Control Center
3. MFA er påkrævet for admin-roller
4. Session revoke fjerner adgang inden for 5 minutter
5. Password reset flow fungerer end-to-end
6. Penetrationstest af auth-flow bestået

---

*Næste: [PHASE_04_DEVICE_MANAGEMENT.md](./PHASE_04_DEVICE_MANAGEMENT.md)*
