A cadeia inteira: o login OIDC estabelece a identidade, o sub vira a chave, e a tabela de grant decide quais empresas você alcança.
sub
Identidade
Ninguém autenticado nesta sessão.
Escopo (empresas que você alcança)
Nenhum domínio concedido — sem acesso a dado de empresa.