Architektur
Drei Deployment-Modi für jede Sicherheitsanforderung — von der Single-Binary-Evaluierung bis zur vollen 4-Prozess-Isolation.
Deployment-Modi
Mini
Single Binary
Alle 4 Pipeline-Stufen laufen in einem Prozess mit In-Memory-DirectMessageTransport. Keine externen Abhängigkeiten.
- 1 Prozess
- In-Memory-Transport
- Kein NATS/Valkey benötigt
- Ideal für Evaluierung und Edge-Deployments
Small
2 Prozesse
Frontend + Backend kommunizieren über NATS oder Valkey. Request- und Response-Validatoren laufen im jeweiligen Host-Prozess.
- 2 Prozesse, 2 isolierte Netzwerke
- NATS- oder Valkey-Transport
- Standard-Netzwerkisolation
- Ideal für kleine Teams
Full
4 Prozesse
Maximale Isolation: Frontend, Request Validator, Backend und Response Validator laufen jeweils in separaten Netzwerken.
- 4 Prozesse, 4 isolierte Netzwerke
- 4 dedizierte NATS/Valkey-Instanzen
- Starke Netzwerkisolation
- Enterprise-Grade Sicherheit
Identisches Verhalten in allen Modi
Validierungslogik, Policy-Entscheidungen und Fehlerantworten sind Bit-für-Bit identisch, unabhängig vom Deployment-Modus. Der Transport-Layer ist der einzige Unterschied.
Request-Validierungs-Pipeline (16 Schritte)
- HTTP-Level-Sicherheitsprüfungen (SQLi, XSS, Path Traversal)
- Realm-Validierung (Whitelist-Durchsetzung)
- Client-ID-Validierung
- Blockierte Pfade
- CIBA-Grant-Type-Ablehnung
- Flow-Profil-Durchsetzung
- Flow-spezifische Validierung (Authorization/Token/Refresh)
- Token-in-URL-Erkennung
- Grant-Type-Validierung (pro Client)
- Scope-Validierung (clientspezifische Whitelist)
- Redirect-URI-Validierung (Whitelist + SSRF)
- PKCE-Enforcement (S256)
- State/Nonce-Parameter-Prüfung
- Admin-API-Endpoint-Whitelist
- SAML-Validierung (XXE, Signature Wrapping)
- HTTP-Basis-Sicherheit (Smuggling, Injection)
Response-Validierungs-Pipeline (9 Schritte)
- Token-in-URL-Fragment-Erkennung
- Token-Strukturvalidierung (JWT-Format)
- Refresh-Token-in-Body-Prüfung
- JWT-Claim-Allowlist-Durchsetzung
- Discovery-Dokument-Validierung
- JWKS-Response-Inspektion (RSA-Schlüsselgröße, Algorithmen)
- Claim-Wert-Inspektion (Größenlimits)
- Realm/Role-Claims-Inspektion
- JWE/Opaque-Token-Handling
Keycloak-Operationserkennung
Das Gateway klassifiziert jeden Request nach HTTP-Methode, Pfad und Query-Parametern.
OIDC-Protokoll
- Token-Request / Refresh
- Authorization-Request
- UserInfo, Introspection, Revocation
- Device Authorization
- End Session, JWKS
SAML-Protokoll
- AuthnRequest / Response
- Logout-Request
- Metadata-Endpoint
- Artifact Resolve
Admin-API
- Realm-CRUD + Export
- User-Management (CRUD, Rollen, Sessions)
- Client-Management
- Identity-Provider-Konfiguration
- Auth-Flows, Rollen, Gruppen, Events