docs: define AP4 local identity profile

2026-07-25 16:42:34 +09:00
parent 76c852e947
commit 87edb6634d
2 changed files with 38 additions and 0 deletions
@@ -0,0 +1,20 @@
+# AP4 edge forward-auth: local identity profile
+
+nginx의 `auth_request`가 oauth2-proxy `/oauth2/auth`를 호출하고, 미인증
+브라우저만 Keycloak로 redirect한다. oauth2-proxy는 confidential
+`edge-proxy` client로 code를 교환하며 browser에는 HttpOnly session cookie만
+남긴다.
+
+Google이 없어도 이 경계는 완전히 동작한다. 사용자는 Keycloak local
+credential로 로그인하고 upstream 애플리케이션은 OAuth/OIDC를 몰라도 된다.
+
+보안 경계:
+
+- backend와 oauth2-proxy 포트를 host에 publish하지 않는다.
+- 외부에서 받은 identity header를 nginx가 제거·덮어쓴다.
+- backend는 trusted nginx가 주입하는 별도 internal token도 확인한다.
+- 브라우저가 직접 호출한 `/oauth2/auth`는 공개하지 않는다.
+
+`verify-edge-no-google-profile.sh`는 Compose와 nginx 계약을 검사하고,
+`verify-pattern4.sh`는 실제 local-user 브라우저 흐름과 spoofing 방어를
+검증한다.