English 
Tiếng ViệtBẢO MẬT API
Xác thực, phân quyền và độ tin cậy của yêu cầu
Mỗi thao tác phải nêu rõ định danh client, ngữ cảnh người dùng, scope, liên kết tenant/RP và cơ chế bảo vệ transport/yêu cầu.
01
Các đường xác thực
| Phương thức | Áp dụng | Kiểm soát |
|---|---|---|
| OAuth2 client credentials | Dịch vụ với dịch vụ | Client ID, scope, audience và rotation |
| OIDC user context | Luồng ủy quyền người dùng | Subject, ngữ cảnh xác thực và sự đồng ý |
| mTLS | Định danh dịch vụ có độ tin cậy cao | Chuỗi chứng thư, SAN và thu hồi |
| Yêu cầu đã ký | Kênh được chọn | Timestamp, nonce, digest nội dung và key ID |
| WebAuthn assertion | Phê duyệt của signer | Challenge, origin, RP ID, credential và counter |
02
Mô hình scope
| Scope | Mục đích |
|---|---|
| signing.request | Tạo/đọc yêu cầu ký |
| signing.approve | Gửi/xác minh phê duyệt của signer |
| signing.activate | Phát hành hoặc sử dụng activation chữ ký |
| signing.execute | Thực thi thao tác ký đã được phê duyệt |
| evidence.read | Đọc bằng chứng và kết quả xác minh |
| evidence.renew | Yêu cầu gia hạn bằng chứng |
| admin.providers | Quản lý route CA/provider đã phê duyệt |
03
Quy tắc xử lý bí mật
- Không đặt access token trong URL hoặc log.
- Credential ID và định danh signer được che ngoài ranh giới tin cậy.
- Giá trị SAD có thời gian sống ngắn, ràng buộc mục đích và không bao giờ trả về cho client chưa được ủy quyền.
- Khóa riêng mTLS được lưu trong cơ chế bảo vệ khóa đã phê duyệt.
- Secret webhook được rotate và quản lý phiên bản.