Route B：PKJWT認証とバックエンド経由API

Route B：PKJWT認証とバックエンド経由API A workflow diagram generated by Archify. 01 / 利用者（ブラウザー） 02 / 3rd Party 03 / Kong API Gateway 04 / IdP（Keycloak / AS） 05 / Resource Server（保護API） UIとRoute選択 PARと利用者認証 コード交換・セッション API検査と結果表示 静的UI（Kong経由） Kong Gateway / OAuth 業務バックエンド Route Bを選択 · ブラウザーでRoute Bへ · 利用者（ブラウザー） › UIとRoute選択 Route Bを選択 ブラウザーでRoute Bへ UIで結果を確認 · claim/header・署名・束縛 · 利用者（ブラウザー） › API検査と結果表示 UIで結果を確認 claim/header・署名・束縛 デモUIを配信 · nginx / Kong経由で配信 · 3rd Party › 静的UI（Kong経由） › UIとRoute選択 デモUIを配信 nginx / Kong経由で配信 PARを送信 · PKCE S256 / PKJWT + mTLS · 3rd Party › Kong Gateway / OAuth › PARと利用者認証 PARを送信 PKCE S256 / PKJWT + mTLS callback・token取得 · state・提示iss / AS mTLS · 3rd Party › Kong Gateway / OAuth › コード交換・セッション callback・token取得 state・提示iss / AS mTLS バックエンドがAPI呼出し · Bearer + Route B証明書 · 3rd Party › 業務バックエンド › API検査と結果表示 バックエンドがAPI呼出し Bearer + Route B証明書 token・PoPを検査 · introspection / cnf照合 · Kong API Gateway › API検査と結果表示 token・PoPを検査 introspection / cnf照合 PAR受理・利用者認証 · Keycloak / ログイン画面 · IdP（Keycloak / AS） › PARと利用者認証 PAR受理・利用者認証 Keycloak / ログイン画面 JWTと束縛を再検証 · 元client証明書とcnfを照合 · Resource Server（保護API） › API検査と結果表示 JWTと束縛を再検証 元client証明書とcnfを照合 mTLS + Bearer mTLS / token・証跡 TP Kong経由 / 応答 専用mTLS + token Route Bへアクセス PAR + 認可画面へ code・state・iss API Kong経由の応答 Kong経由 / UI取得 Legend サービスUI API処理 認証・検査 利用者

承認済み設計・実装／受入前

  • • 旧受入済みの直接転送から、バックエンド経由へ変更予定
  • • 応答: API Kong → バックエンド → TP Kong → ブラウザー

OAuthと証明書の分担

  • • Kongがcode交換・session管理、バックエンドがAPI呼出し
  • • ASとAPIは同じRoute B証明書。内部hopは別identity
  • • Bのtoken/refreshはbridgeがPKJWT署名、TLS鍵とは分離