ADFS認証・カスタム認可のフローチャート

目標設計：PostgreSQLマスタ照会は未実装（ADR-0003で決定）

ADFS認証・カスタム認可のフローチャート 目標設計：PostgreSQLマスタ照会は未実装（ADR-0003で決定） GET /adfs/policy/...（未認証） /authorize へredirect（front-channel） 有効セッション再利用時はこの往復を省略する 認可コード付きcallback ADFS標準ログイン画面はこの前段（図の対象外） code→token交換（back-channel） 検証済みIDトークン（属性クレーム含む） 検証済みクレームをHeaderで引き渡し（X-ADFS-Group-Claim） 同一Kong Gateway内の後続プラグイン。別プロセスではない 属性値→グループ照会（attribute_group_map）［目標設計］ group_id = policy-admin グループ×API許可照会（group_api_permission）［目標設計］ 許可（allowed = true） 転送（X-Group-Id: policy-admin） 200 OK 200 OK ① OIDC認証（ADFS） ② 認可判定：カスタムプラグイン×PostgreSQL［目標設計］ ③ バックエンド転送 Test UI · ADFS系APIを選択 · Sequence participant Test UI ADFS系APIを選択 openid-connect · Kong・OIDC認証 · Sequence participant openid-connect Kong・OIDC認証 ADFS · Azure VM上のOIDC IdP · Sequence participant ADFS Azure VM上のOIDC IdP legacy-authz · Kongカスタム認可（目標設計） · Sequence participant legacy-authz Kongカスタム認可（目標設計） PostgreSQL · 認可マスタ（未実装） · Sequence participant PostgreSQL 認可マスタ（未実装） insurance-policy · 契約 / ADFSのみ · Sequence participant insurance-policy 契約 / ADFSのみ Legend request return security default message

主経路とセッション再利用

  • • ①OIDC認証→②プラグイン×Postgres照会→③許可ならBackend転送
  • • セッション再利用時は①を省略

拒否・障害の分岐（目標設計）

  • • 許可なし／マスタ未登録→403（Backend未到達）
  • • DB障害→fail closed（403とは別カテゴリ）