2.0 KiB
2.0 KiB
외부 IdP 인증은 Keycloak broker에서 application credential로 다시 경계가 나뉜다
Alternative text
Upstream IdP zone의 Google identity assertion이 Keycloak broker zone의 validation과 account linking을 거쳐 Keycloak authorization code가 되고 기존 AP1~AP4 application 경계로 이어지는 다이어그램.
Long description
왼쪽 upstream IdP zone의 Google이 identity assertion을 Keycloak broker에 넘긴다. Keycloak은 assertion을 검증하고 provider alias와 upstream sub로 local identity를 연결한 뒤 자기 authorization code를 발급한다. 이 code가 기존 AP1·AP2·AP3·AP4 application 경계 중 하나로 이어지므로 application이 신뢰하는 issuer는 계속 Keycloak이다.
Elements and evidence
- Boundary: Upstream IdP (system): Keycloak 앞에서 사용자 인증을 수행하는 외부 identity provider 경계. Evidence: L1152–L1157.
- Boundary: Keycloak → Application (system): Keycloak이 upstream 결과를 local identity와 자기 authorization code로 바꿔 application OAuth 경계로 넘기는 구간. Evidence: L1152–L1165.
- Google IdP (service): Upstream authorization을 수행하고 identity assertion을 Keycloak에 돌려주는 IdP. Evidence: L1152–L1157.
- Keycloak broker (service): Upstream response를 검증하고 provider alias와 upstream sub로 local user와 session을 연결하는 broker. Evidence: L1152–L1160.
- Keycloak authorization code (data): Upstream token이 아니라 Keycloak이 downstream application에 발급하는 authorization code. Evidence: L1161–L1165.
- AP1 · AP2 · AP3 · AP4 (service): 외부 IdP와 무관하게 기존 application credential boundary 중 하나가 이어지는 downstream 경계. Evidence: L1162–L1165.
Relationships
- Google IdP → Keycloak broker: identity assertion. Evidence: L1157–L1158.
- Keycloak broker → Keycloak authorization code: issue code. Evidence: L1158–L1161.
- Keycloak authorization code → AP1 · AP2 · AP3 · AP4: Keycloak issuer. Evidence: L1161–L1165.