MOBILE-ID · TRUSTED LTANS
Các profile bảo mật API
Chọn Standard, Enhanced và kết nối nội bộ; phân biệt OAuth, mTLS và ký request.
Chọn profile theo ranh giới kết nối
Ba nhóm dưới là thiết kế để chốt cấu hình, không phải công bố mọi môi trường đã được triển khai. Cấu hình của gateway, IAM và Core phải được xác nhận cùng nhau.
| Profile | Client → Gateway | Gateway / adapter → Core | Điều kiện |
|---|---|---|---|
| Standard | HTTPS + OAuth2 Client Credentials. | HTTPS; danh tính dịch vụ và kiểm tra quyền theo backend. | Không bắt mTLS bên ngoài nếu profile được duyệt không yêu cầu. |
| Enhanced | OAuth2 kết hợp mTLS hoặc cơ chế client assertion theo profile. | Giữ bảo mật nội bộ độc lập. | Nêu cấp chứng thư, rotation, trust và recovery khi mTLS áp dụng. |
| Internal / Core | Không yêu cầu đối tác gọi trực tiếp Core. | mTLS/ký request nếu cấu hình Core yêu cầu. | Adapter không được bỏ chính sách Core vì client chọn Standard. |
OAuth và mTLS kết hợp thế nào?
OpenAPI hiện giữ OAuth2 theo scope ở từng operation. MutualTLS là scheme được khai báo để mô tả profile nâng cao, không nằm trong yêu cầu Standard toàn cục. Nếu phát hành contract Enhanced, hai scheme trong cùng một Security Requirement Object nghĩa là AND; hai object riêng nghĩa là OR. Chỉ công bố biến thể sau khi profile được chốt.
{"security": [{"OAuth2": ["archives:write"], "MutualTLS": []}]}Không nhầm bốn loại thông tin
| Loại | Mục đích |
|---|---|
| Token truy cập OAuth | Quyền ứng dụng và audience API; không phải chứng thư ký. |
| Chứng thư client TLS | Xác thực một phía client của ranh giới mTLS. |
| Chứng thư ký số | Kiểm chứng chữ ký của dữ liệu/giao dịch. |
| Chứng thư TSA | Kiểm chứng token dấu thời gian. |