kong-azure-obo-demo アーキテクチャ概要

kong-azure-obo-demo アーキテクチャ概要 An architecture diagram generated by Archify. ユーザー · ブラウザ · Architecture component ユーザー ブラウザ Entra ID · IdP（ミドル層App / API App） · Architecture component Entra ID IdP（ミドル層App / API App） Route① / · openid-connect（認可コードフロー、OBOなし） · Kong Gateway 3.16（Postgres backed） Route① / openid-connect（認可コードフロー、OBOなし） Route② /mcp/customers · openid-connect（OBO）+ ai-mcp-proxy（ACL） · Kong Gateway 3.16（Postgres backed） Route② /mcp/customers openid-connect（OBO）+ ai-mcp-proxy（ACL） Route③ /llm · ai-proxy-advanced · Kong Gateway 3.16（Postgres backed） Route③ /llm ai-proxy-advanced chat-ui · Next.js + Vercel AI SDK · kong-internal ネットワーク（外部到達不可） chat-ui Next.js + Vercel AI SDK demo-api · Bun/TypeScript（Customer Inquiry / Details） · kong-internal ネットワーク（外部到達不可） demo-api Bun/TypeScript（Customer Inquiry / Details） Azure OpenAI · Architecture component Azure OpenAI ① ログイン（認可コードフロー） 認証・トークン発行 X-User-Name/Email, Authorization: Bearer ② tools/call（Bearerトークン再提示） ③ OBOトークン交換（token_exchange） ④ ACL通過後、実データ取得 ⑤ LLM呼び出し（model: kong-demo-llm） Azure資格情報を注入 Kong Gateway 3.16（Postgres backed） kong-internal ネットワーク（外部到達不可） Legend Frontend Backend Cloud Security External

Route①

  • • ブラウザ⇄Next.jsの経路
  • • openid-connectが認可コードフローとセッションCookie発行のみを扱う（OBOはしない）

Route②

  • • Next.jsのエージェント（サーバーサイド）⇄デモAPIの経路
  • • openid-connectがOBO（token_exchange）でトークンを交換
  • • ai-mcp-proxyがACLを評価してからMCP変換済みTool呼び出しとして中継

Route③

  • • Next.jsのエージェント⇄Azure OpenAIの経路
  • • ai-proxy-advancedがAzure固有の資格情報・エンドポイントを注入（OBOとは無関係）