Route別LogoutとRefresh Token失効

Route別LogoutとRefresh Token失効 A workflow diagram generated by Archify. 01 / 利用者・ブラウザー 02 / Kong Gateway 03 / Keycloak EX / 受入証跡 Route別logout Refresh Token失効とlocal session破棄 Keycloak SSO終了と再ログイン 対象Routeからログアウト · Route A / Route B · 利用者・ブラウザー › Route別logout 対象Routeからログアウト Route A / Route B Route selectorへ戻る · 反対Routeは新しい認可フロー · 利用者・ブラウザー › Keycloak SSO終了と再ログイン Route selectorへ戻る 反対Routeは新しい認可フロー Route sessionを解決 · 専用cookie + logout suffix · Kong Gateway › Route別logout Route sessionを解決 専用cookie + logout suffix Refresh Tokenを失効 · A=mTLS／B=stock PKJWT · Kong Gateway › Refresh Token失効とlocal session破棄 · 設定済み Refresh Tokenを失効 A=mTLS／B=stock PKJWT 設定済み Kong sessionを破棄 · Route専用cookieを失効 · Kong Gateway › Refresh Token失効とlocal session破棄 Kong sessionを破棄 Route専用cookieを失効 Keycloakへredirect · end_session_endpoint · Kong Gateway › Keycloak SSO終了と再ログイン Keycloakへredirect end_session_endpoint Revocationを受理 · /protocol/openid-connect/revoke · Keycloak › Refresh Token失効とlocal session破棄 Revocationを受理 /protocol/openid-connect/revoke Keycloak SSOを終了 · RP-Initiated Logout · Keycloak › Keycloak SSO終了と再ログイン Keycloak SSOを終了 RP-Initiated Logout Wire-level証跡を取得 · refresh replay・cookie・SSO・Route切替 · 受入証跡 › Refresh Token失効とlocal session破棄 · 未完了 Wire-level証跡を取得 refresh replay・cookie・SSO・Route切替 未完了 Route別logout URI 自動受入テスト未実施 redirect id_token_hint + post_logout_redirect_uri revoked A: tls_client_auth / B: private_key_jwt session内refresh token Legend User UI Agent logic Policy Context / trace Cloud service External system

実装済み設定

  • • Routeごとのlogout URL・cookie・session secretを分離
  • • Route AはmTLS、Route Bはstock private_key_jwtでrevocation
  • • Keycloak end_session_endpointからUIへ復帰

未完了の受入証跡

  • • 古いrefresh tokenで再発行できないこと
  • • Kong cookieとKeycloak SSO sessionの終了
  • • logout後に反対Routeで新しい認可が始まること

判定上の注意

  • • confirmation画面の有無は合格条件にしない
  • • token値をログへ出さずRouteとphaseだけを記録
  • • 失効失敗時の継続動作もwire-levelで確認する