25 lines
2.0 KiB
Markdown
25 lines
2.0 KiB
Markdown
# 외부 IdP 인증은 Keycloak broker에서 application credential로 다시 경계가 나뉜다
|
||
|
||
## Alternative text
|
||
|
||
Upstream IdP zone의 Google identity assertion이 Keycloak broker zone의 validation과 account linking을 거쳐 Keycloak authorization code가 되고 기존 AP1~AP4 application 경계로 이어지는 다이어그램.
|
||
|
||
## Long description
|
||
|
||
왼쪽 upstream IdP zone의 Google이 identity assertion을 Keycloak broker에 넘긴다. Keycloak은 assertion을 검증하고 provider alias와 upstream sub로 local identity를 연결한 뒤 자기 authorization code를 발급한다. 이 code가 기존 AP1·AP2·AP3·AP4 application 경계 중 하나로 이어지므로 application이 신뢰하는 issuer는 계속 Keycloak이다.
|
||
|
||
## Elements and evidence
|
||
|
||
- **Boundary: Upstream IdP** (system): Keycloak 앞에서 사용자 인증을 수행하는 외부 identity provider 경계. Evidence: L1152–L1157.
|
||
- **Boundary: Keycloak → Application** (system): Keycloak이 upstream 결과를 local identity와 자기 authorization code로 바꿔 application OAuth 경계로 넘기는 구간. Evidence: L1152–L1165.
|
||
- **Google IdP** (service): Upstream authorization을 수행하고 identity assertion을 Keycloak에 돌려주는 IdP. Evidence: L1152–L1157.
|
||
- **Keycloak broker** (service): Upstream response를 검증하고 provider alias와 upstream sub로 local user와 session을 연결하는 broker. Evidence: L1152–L1160.
|
||
- **Keycloak authorization code** (data): Upstream token이 아니라 Keycloak이 downstream application에 발급하는 authorization code. Evidence: L1161–L1165.
|
||
- **AP1 · AP2 · AP3 · AP4** (service): 외부 IdP와 무관하게 기존 application credential boundary 중 하나가 이어지는 downstream 경계. Evidence: L1162–L1165.
|
||
|
||
## Relationships
|
||
|
||
- **Google IdP → Keycloak broker:** identity assertion. Evidence: L1157–L1158.
|
||
- **Keycloak broker → Keycloak authorization code:** issue code. Evidence: L1158–L1161.
|
||
- **Keycloak authorization code → AP1 · AP2 · AP3 · AP4:** Keycloak issuer. Evidence: L1161–L1165.
|