Document issue #36 fix: OIDC Provider/Application captured as Blueprint

Authentik-OIDC.md

@@ -62,5 +62,26 @@ für externe User gesperrt ist:
 über die Doku-Seite — erfordert MAS Custom-Template-Override (`templates.path`), höherer
 Aufwand/Risiko, siehe `docs/TASKS.md`.
 
+## OIDC Provider/Application als Code erfasst (2026-07-28, Issue #36)
+
+Die OAuth2-Provider- + Application-Verknüpfung ("Matrix Authentication Service" / Slug
+`matrix`) aus Stage 1+2 oben war ursprünglich reines Klick-Ergebnis in der UI und existierte
+nirgends als Code — anders als die Flow-Fixes oben. Ginge die Authentik-DB verloren, wäre
+diese Verknüpfung (inkl. Client-Secret) nicht rekonstruierbar gewesen, ohne MAS neu zu
+synchronisieren. Jetzt ebenfalls als Blueprint (`matrix-oidc-provider.yaml` in
+`apps/authentik/authentik-blueprints.yaml`) erfasst: Client-ID, Redirect-URI, `sub_mode:
+hashed_user_id`, Property-Mappings (openid/email/profile), Auth-/Invalidation-Flow, Signing-Key,
+sowie die Application selbst.
+
+Der Client-Secret steht **nicht** im Blueprint (die ConfigMap ist nicht SOPS-verschlüsselt),
+sondern wird per `!Env AUTHENTIK_MAS_OIDC_CLIENT_SECRET` gelesen — die Env-Var kommt aus einem
+neuen Key `mas-oidc-client-secret` in der bestehenden SOPS-verschlüsselten
+`authentik-credentials` Secret (`apps/authentik/authentik-secret.yaml`), verdrahtet über
+`global.env` im `authentik.yaml` HelmRelease. Der eingetragene Wert ist der tatsächliche,
+live genutzte Secret (keine Rotation) — verifiziert per direktem DB-Vergleich nach dem
+Blueprint-Rollout: Client-ID, Secret-Länge, Redirect-URI, Property-Mappings und
+Application-Verknüpfung 1:1 identisch zum Vorzustand, kein Duplikat erzeugt, MAS lief
+durchgehend ohne Neustart/Fehler weiter.
+
 ---
 **Weitere Details**: Siehe Kapitel 2 in diesem Projekt.