%% 외부 IdP 인증은 Keycloak broker에서 application credential로 다시 경계가 나뉜다
%% question: 외부 IdP의 인증 결과는 Keycloak broker에서 어떻게 local identity와 Keycloak-issued authorization code로 바뀌고 기존 AP1~AP4 경계로 이어지는가?
flowchart LR
    subgraph g_upstream_zone["Upstream IdP"]
        n0["Google IdP"]
    end
    subgraph g_broker_app_zone["Keycloak → Application"]
        n1["Keycloak broker"]
        n2["Keycloak authorization code"]
        n3["AP1 · AP2 · AP3 · AP4"]
    end
    n0 -->|"identity assertion"| n1
    n1 -->|"issue code"| n2
    n2 -->|"Keycloak issuer"| n3