-- SAML 2.0-Anbindung (IAM-11, siehe core-kanban/tickets/IAM-11.md).
-- Singleton-Zeile je Tenant-Datenbank (Modell C) — dieselbe Isolation, die
-- IAM-06 (OIDC) fuer nebeneinander konfigurierte Anmeldewege je Tenant
-- nutzt: Tenant A kann diese Tabelle befuellt haben, Tenant B stattdessen
-- eine OIDC-Konfiguration, ohne dass sich beides je begegnet
-- (Akzeptanzkriterium 2).
CREATE TABLE saml_config (
    id                BOOLEAN PRIMARY KEY DEFAULT true CHECK (id),
    idp_issuer        TEXT NOT NULL,
    idp_certificate   TEXT NOT NULL, -- PEM-kodiertes oeffentliches Zertifikat des IdP
    sp_entity_id      TEXT NOT NULL,
    updated_at        TIMESTAMPTZ NOT NULL DEFAULT now()
);