# AP4는 공개 edge에서 session을 정제된 upstream identity로 바꾼다
# Question: AP4에서 외부 session 요청은 어떤 공개·비공개 경계를 지나 trusted identity header와 internal token이 되는가?
direction: right
g0: "External browser" {
  n0: "Browser" {
    shape: person
  }
}
g1: "AP4 deployment path" {
  n1: "Nginx edge" {
    shape: rectangle
  }
  n2: "Spring upstream" {
    shape: rectangle
  }
  n3: "oauth2-proxy" {
    shape: rectangle
  }
}
g0.n0 -> g1.n1: "AP4_SESSION"
g1.n1 -> g1.n3: "auth subrequest"
g1.n1 -> g1.n2: "identity"