Autenticação da entrada de APIs¶
Avaliar a requisição recebida em /securitychecker/v1/auth. O chamador é a integração de entrada das APIs, não o BFF.
%%{init: {"theme":"base","themeVariables":{"fontFamily":"Arial, sans-serif","fontSize":"16px","lineColor":"#64748b","primaryTextColor":"#172b4d"},"flowchart":{"htmlLabels":true,"useMaxWidth":true,"nodeSpacing":28,"rankSpacing":38,"padding":14,"curve":"linear","subGraphTitleMargin":{"top":12,"bottom":16}},"sequence":{"useMaxWidth":true,"actorMargin":28,"width":145,"height":45,"diagramMarginX":32,"diagramMarginY":12,"messageMargin":24,"wrap":true,"mirrorActors":false},"themeCSS":".edgeLabel, .edgeLabel p {background-color:var(--diagram-surface)!important;color:var(--diagram-text)!important}\n.cluster rect {fill:var(--diagram-group)!important;stroke:var(--diagram-line)!important}\n.cluster-label span, .cluster-label text {color:var(--diagram-text)!important;fill:var(--diagram-text)!important}\n.flowchart-link, .actor-line {stroke:var(--diagram-line)!important}\nmarker path {fill:var(--diagram-line)!important;stroke:var(--diagram-line)!important}\n.actor {fill:var(--diagram-domain)!important;stroke:var(--diagram-domain-border)!important}\ntext.actor, .messageText, .loopText, .labelText {fill:var(--diagram-text)!important}\n.messageLine0, .messageLine1, .loopLine {stroke:var(--diagram-line)!important}\n.labelBox {fill:var(--diagram-surface)!important;stroke:var(--diagram-line)!important}\n.note {fill:var(--diagram-async)!important;stroke:var(--diagram-async-border)!important}\n.noteText {fill:var(--diagram-text)!important}\n.nodeLabel, .nodeLabel p, .nodeLabel span {color:var(--diagram-text)!important}\n.node .nodeLabel, .node .nodeLabel p {font-size:17px;font-weight:600;line-height:1.4;text-align:center}\n.nodeLabel small {display:inline-block;margin-top:4px;font-size:15px;font-weight:400;line-height:1.4;color:var(--diagram-description)!important}\ntext.actor, text.actor tspan {font-size:17px;font-weight:600}\n.node.entry rect, .node.entry polygon, .node.entry path, .node.entry circle {fill:var(--diagram-entry)!important;stroke:var(--diagram-entry-border)!important}\n.node.domain rect, .node.domain polygon, .node.domain path, .node.domain circle {fill:var(--diagram-domain)!important;stroke:var(--diagram-domain-border)!important}\n.node.security rect, .node.security polygon, .node.security path, .node.security circle {fill:var(--diagram-security)!important;stroke:var(--diagram-security-border)!important}\n.node.store rect, .node.store polygon, .node.store path, .node.store circle {fill:var(--diagram-store)!important;stroke:var(--diagram-store-border)!important}\n.node.async rect, .node.async polygon, .node.async path, .node.async circle {fill:var(--diagram-async)!important;stroke:var(--diagram-async-border)!important}\n.node.external rect, .node.external polygon, .node.external path, .node.external circle {fill:var(--diagram-external)!important;stroke:var(--diagram-external-border)!important}\n text.actor tspan, .loopText tspan, .labelText tspan, .messageText tspan, .noteText tspan {fill:var(--diagram-text)!important}\n\n"}}%%
%%{init: {"sequence":{"width":135,"actorMargin":24,"messageMargin":24,"wrap":true}}}%%
sequenceDiagram
actor E as Entrada HTTP
participant S as Security Checker
participant D as Discovery
participant A as Security
participant P as Auth Provider
participant K as Keycloak
E->>S: Contexto da requisição
S->>D: Resolver tenant, método e caminho
D-->>S: Rota e referências
Note over S: Aplicar IP Policy e quota
opt Referência de autenticação
S->>A: Consultar definição no targetTenantId
A-->>S: Tipo e configuração
end
alt OAuth
S->>P: Validar JWT
P-->>S: Resultado
else Basic ou API Key
S->>S: Extrair credenciais e conferir client
S->>K: Validar credenciais por emissão
K-->>S: Token do tenant
else NO_AUTH
S->>S: Dispensar credencial externa
end
S->>K: Obter token interno conforme estratégia
K-->>S: Token
S-->>E: Token interno e discoveryResumo: Discovery precede políticas, que precedem autenticação. Referências preservam o tenant proprietário. NO_AUTH também usa emissão interna. O fluxo OAuth valida o token externo antes de emitir o interno.
Resultado: Headers/contexto permitem continuidade ao Broker. O Checker não chama o Broker diretamente.
Alternativas relevantes: Falhas de descoberta, política ou credencial interrompem o fluxo. Rotas de documentação têm ramo próprio com NO_AUTH; não se presume uma topologia corporativa de ingresso.