# 외부 IdP 인증은 Keycloak broker에서 application credential로 다시 경계가 나뉜다
# Question: 외부 IdP의 인증 결과는 Keycloak broker에서 어떻게 local identity와 Keycloak-issued authorization code로 바뀌고 기존 AP1~AP4 경계로 이어지는가?
direction: right
g0: "Upstream IdP" {
  n0: "Google IdP" {
    shape: rectangle
  }
}
g1: "Keycloak → Application" {
  n1: "Keycloak broker" {
    shape: rectangle
  }
  n2: "Keycloak authorization code" {
    shape: rectangle
  }
  n3: "AP1 · AP2 · AP3 · AP4" {
    shape: rectangle
  }
}
g0.n0 -> g1.n1: "identity assertion"
g1.n1 -> g1.n2: "issue code"
g1.n2 -> g1.n3: "Keycloak issuer"