Identidade não é e-mail, e o login não pode ser um muro — não negocia.
Um broker único em auth.{domínio} que sabe quem é a pessoa e prova isso aos apps: PKCE em todo cliente, JWT assimétrico, 2 fatores no mínimo, ReBAC deny-by-default e recuperação com força igual ou maior que a do login.
$ schematize install iamPisos inegociáveis
Não se desligam "pra ir mais rápido". Lista completa na skill.
Auth é aplicação separada
Serviço, front, repo e usuário próprios em auth.{domínio}; todo login e cadastro acontece lá e os apps delegam por code + PKCE.
Chave de assinatura só no auth
Sem ela em prd o serviço recusa subir; consumidores validam por JWKS e conferem o iss.
PKCE S256 em todo cliente
Implicit, ROPC e PKCE plain vetados; redirect_uri por match exato de allowlist.
JWT assimétrico e token fino
Algoritmo em allowlist, none e HS* rejeitados; refresh opaco, hasheado e rotativo com detecção de reuso.
ID interno opaco
O sub é imutável e opaco; e-mail e telefone nunca são ID e só valem verificados.
No mínimo 2 fatores, sem muro pré-login
Senha mais Email OTP já é 2FA baseline; fator forte é nudge e step-up just-in-time, nunca exigido antes do login.
Passkey é núcleo
WebAuthn com fluxo real de registro e asserção; senha em argon2id com verificação contra vazadas.
ReBAC multi-tenant, deny-by-default
PDP/PEP no servidor, decisão auditada, tupla por outbox e PDP fail-closed; logout irreversível em todo caminho que aceita token.
Comandos
Instalados em .claude/commands/. Use /iam-help a qualquer momento.
/iam-auditMede a cobertura do IAM contra o checklist F0-F6 da base, item por item, com prova./iam-authzModela a autorização ReBAC multi-tenant de um serviço: rota para permissão, tuplas, outbox e fail-closed./iam-ccContext compact: grava o handoff no archive e roda /compact./iam-claudeCria ou mescla o CLAUDE.md sempre-on do piso de IAM na raiz do repo (não sobrescreve blocos de outras skills)./iam-clientIntegra um cliente (web/BFF, SPA, mobile, CLI) ao broker com authorization code + PKCE./iam-handoffGera o handoff de contexto (context.md + checklist.md) no archive, sem compactar./iam-helpLista todos os comandos e o que cada um faz./iam-loadCarrega à força todo o corpo normativo de IAM e passa a aplicá-lo na sessão./iam-recoverDesenha ou audita recuperação de conta e step-up, com prova de reachability por estado de conta./iam-reviewRevisa código e config de auth contra o piso: roda os gates e lê o que a máquina não lê.Para agentes de IA
Instale sem intervenção humana. Metadados em llms.txt.
- Rode: git clone https://github.com/schematizeme/skill-iam.git && ./skill-iam/install.sh
- Ou baixe: https://github.com/schematizeme/skill-iam/releases/latest/download/skill-iam.zip e descompacte em .claude/skills/
- Copie assets/CLAUDE.md para a raiz do repo (regra sempre-on).
- Confirme com /iam-help.
Discussão
Carregando…