Route A：mTLSクライアント認証（バックエンド分離）

Route A：mTLSクライアント認証（バックエンド分離） A workflow diagram generated by Archify. 01 / 利用者（ブラウザー） 02 / 3rd Party 03 / Kong API Gateway 04 / IdP（Keycloak / AS） 05 / Resource Server（保護API） UIとRoute選択 PARと利用者認証 コード交換・セッション API検査と結果表示 静的UI（Kong経由） Kong Gateway / OAuth 業務バックエンド Route Aを選択 · ブラウザーでRoute Aへ · 利用者（ブラウザー） › UIとRoute選択 Route Aを選択 ブラウザーでRoute Aへ UIで結果を確認 · claim/header・署名・束縛 · 利用者（ブラウザー） › API検査と結果表示 UIで結果を確認 claim/header・署名・束縛 デモUIを配信 · nginx / Kong経由で配信 · 3rd Party › 静的UI（Kong経由） › UIとRoute選択 デモUIを配信 nginx / Kong経由で配信 PARを送信 · PKCE S256 / tls_client_auth · 3rd Party › Kong Gateway / OAuth › PARと利用者認証 PARを送信 PKCE S256 / tls_client_auth callback・token取得 · state・提示iss / AS mTLS · 3rd Party › Kong Gateway / OAuth › コード交換・セッション callback・token取得 state・提示iss / AS mTLS バックエンドがAPI呼出し · Bearer + Route A証明書 · 3rd Party › 業務バックエンド › API検査と結果表示 バックエンドがAPI呼出し Bearer + Route A証明書 token・PoPを検査 · introspection / cnf照合 · Kong API Gateway › API検査と結果表示 token・PoPを検査 introspection / cnf照合 PAR受理・利用者認証 · Keycloak / ログイン画面 · IdP（Keycloak / AS） › PARと利用者認証 PAR受理・利用者認証 Keycloak / ログイン画面 JWTと束縛を再検証 · 元client証明書とcnfを照合 · Resource Server（保護API） › API検査と結果表示 JWTと束縛を再検証 元client証明書とcnfを照合 mTLS + Bearer mTLS / token・証跡 TP Kong経由 / 応答 専用mTLS + token Route Aへアクセス PAR + 認可画面へ code・state・iss API Kong経由の応答 Kong経由 / UI取得 Legend サービスUI API処理 認証・検査 利用者

承認済み設計・実装／受入前

  • • 旧受入済みの直接転送から、バックエンド経由へ変更予定
  • • 応答: API Kong → バックエンド → TP Kong → ブラウザー
  • • 応答のTP Kong再訪は矢印の経由表示に集約

OAuthと証明書の分担

  • • OAuth・user tokenの管理はKong、外部API呼出しはバックエンド
  • • ASとAPIは同じRoute A証明書。内部hopは別identity
  • • KongがASとcode交換・session保持。詳細は本文を参照