OAuth2/OIDC-Autorisierungsserver auf Nitro: Discovery, /authorize, /token, /userinfo, JWKS, Introspect, Revoke. Auth-Code + PKCE und Device Grant. Signing-Keys im KMS mit Rotation. WebAuthn/Passkeys primär, Passwort-Fallback (Argon2id), MFA. SSO-Session, Admin-API, Audit-Log, Rate-Limiting. Grundlage für alle weiteren Milestones.