Autorisatie Server Interfaces - 0.7.x

Common Interfaces

AS Metadata Interface

Metadata

AOF.AS-I.MTD.200.v1

De metadata van de autorisatieserver kan, conform RFC 8414, worden opgehaald op een well-known URL die kan worden geconstrueerd m.b.v. de  <iss> claim uit het token (zie ook section-3.1 van RFC8414). Dit betekent dat bij een iss die gelijk is aan: https://FQDN/some-path-extension, de metadata kan worden verkregen bij: https://FQDN/.well-known/oauth-authorization-server/some-path-extension.

De Authorization Server Metadata Response bevat de volgende attributen.

AOF.AS-I.MTD.300.v1

Autorisatie Server MedMij:

• issuer;
• authorization_endpoint;
• token_endpoint;
• jwks_uri;
• response_types_supported;
• signed_metadata.

AOF.AS-I.MTD.400.v1

Autorisatie Server ZA:

• issuer;
• token_endpoint;
• jwks_uri;
• response_types_supported;
• signed_metadata.

De response die wordt geretourneerd bevat daarnaast de volgende headers:

Cache-Control: must-revalidate, max-age=<max-age-metadata>
Pragma: no-cache

Een client mag verkregen metadata conform de Cache-Control header directives, zoals beschreven in RFC 7234, cachen.

De waarde van max-age-metadata is configureerbaar in de autorisatie server. Initiële waarde is 14400 seconden (4 uur).

JWKS

AOF.AS-I.MTD.300.v1

De public key waarmee de digitale handtekening kan worden gecontroleerd wordt als een JWK beschikbaar gesteld. De URL waarop de JWK Set kan worden opgevraagd (jwks_uri) maakt deel uit van de AS metadata response. Iedere JSON Web Key (JWK) in de set, die beschikbaar wordt gesteld op de jwks_uri, bevat een kid parameter. De juiste JWK in de JWK Set wordt gevonden o.b.v. de waarde van het kid attribuut in de header van de ontvangen JWT.

De response die wordt geretourneerd na een HTTP GET op de jwks_uri bevat naast de JWK Set de volgende headers:

Cache-Control: must-revalidate, max-age=<max-age-jwks>
Pragma: no-cache

Een client mag verkregen JWK's conform de Cache-Control header directives, zoals beschreven in RFC 7234, cachen.

De waarde van max-age-jwks is configureerbaar in de autorisatie server. Initiële waarde is 14400 seconden (4 uur).

De JWK bevat de volgende attributen, waar de definitie van de attributen kan worden gevonden in RFC 7517 en RFC 7518:

• "kty":"RSA"
• "alg":"RS256"
• "use":"sig"
• "kid":"<the identifier of the key-pair used to sign this JWT>"
• "x5c":"<de van toepassing zijnde keten van PKIX certificaten>"
• "n":"<the modulus value for the RSA public key>"
• "e":"<the exponent value for the RSA public key>"

AORTA Token Interface

Middels deze interface kunnen AORTA access_tokens worden verkregen.

AOF.AS-I.ATI.100.v1

Bij iedere interactie die wordt geboden op de AORTA Token Interface, wordt in ieder HTTP-request, op de volgende wijze, een custom HTTP header meegezonden:

AORTA-ID: initialRequestID=<UUID conform RFC4122>; requestID=<UUID conform RFC4122>

MedMij Token Exchange

De MedMij Token Exchange Interface is gebaseerd op OAuth token exchange.

AOF.AS-I.MTE.100.v1

Het MedMij Token Exchange endpoint is slechts benaderbaar voor de MedMij-in component van de resource broker.

AOF.AS-I.MTE.200.v2

De autorisatieserver ontvangt een token exchange request met de volgende attributen:

De autorisatieserver retourneert een token exchange response met de volgende attributen:

Te hanteren error responses zijn eveneens beschreven in RFC 8693.

AORTA Token Exchange

De AORTA Token Exchange Interface is gebaseerd op OAuth token exchange.

AOF.AS-I.ATE.100.v2

Het AORTA Token Exchange endpoint is slechts benaderbaar voor de ZA-in component van de resource broker en voor GBx-applicaties die deel uitmaken van AORTA.

AOF.AS-I.ATE.200.v3

De autorisatieserver ontvangt een token exchange request met de volgende attributen:

Mogelijke combinaties van subject_token, actor_token, registration_token en consent_token zijn:

Voorbeeld van een token exchange request:

POST [base]/token
Content-Type: application/x-www-form-urlencoded
AORTA-ID: initialRequestID=<UUID conform RFC4122>; requestID=<UUID conform RFC4122>

grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Atoken-exchange
&audience=urn%3Aoid%3A2.16.840.1.113883.2.4.6.6.352
&requested_token_type=urn%3Aietf%3Aparams%3Aoauth%3Atoken-type%3Ajwt
&subject_token=<base64url-encoded SAML Assertion>
&subject_token_type=urn%3Aietf%3Aparams%3Aoauth%3Atoken-type%3Asaml2
&actor_token=<base64url-encoded SAML Assertion>
&actor_token_type=urn%3Aietf%3Aparams%3Aoauth%3Atoken-type%3Asaml2
&registration_token=<base64url-encoded SAML Assertion>
&registration_token_type=urn%3Aietf%3Aparams%3Aoauth%3Atoken-type%3Asaml2
&consent_token=<base64url-encoded SAML Assertion>
&consent_token_type=urn%3Aietf%3Aparams%3Aoauth%3Atoken-type%3Asaml2
&scope=search%3ACoverage%3A1.0%3Arequest%20search%3APatient%3A1.0%3Arequest~aorta.contextcode.BGZ~normaal

Een token exchange response bevat de volgende attributen:

Te hanteren error responses zijn eveneens beschreven in RFC 8693.

Voorbeeld van een token exchange response:

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8

{
    "access_token": "2YotnFZFEjr1zCsicMWpAA",
    "issued_token_type": "urn:ietf:params:oauth:token-type:jwt",
    "token_type": "Bearer",
    "expires_in": 20,
    "scope": "search:Appointment:1.0:request/3~aorta.contextcode.AFSPROPV~normaal"
}

AS-Logging Interface

AOF.AS-I.ALI.150.v1

Logbestanden die nodig zijn voor de managementrapportages kunnen, conform gemaakte afspraken in het DAP, middels een API, via HTTPS (TLS) door VZVZ-beheer worden opgehaald. Technisch formaat van de logbestanden is JSON.

De logging kan desgewenst worden opgesplitst in meerdere JSON-bestanden. Ieder JSON-bestand heeft wel altijd betrekking op interacties die plaats hebben gevonden conform één specifieke MedMij-release. Op deze manier kan in de rapportages een beeld worden gecreëerd van het gebruik van een bepaalde MedMij-release in de tijd.

De loggegevens die beschikbaar moeten worden gesteld zijn hieronder per interface van de Autorisatie Server beschreven.

Logging m.b.t. de MedMij Autorisatie Interface

AOF.AS-I.ALI.200.v1

Ontvangen authorization requests en de bijbehorende geretourneerde authorization responses of error responses:

• timestamp ontvangst
• sessie-id
• zorgaanbiedernaam
• gegevensdienst-id's en bijbehorende gegevensdienstnamen
• client_id en organisatienaam
• timestamp tonen landingspagina
• timestamp redirect naar PGO Server
• een hash van de geretourneerde authorization code
• geretourneerde HTTP statuscodes en error-codes

Verzonden ZAB requests en de bijbehorende ontvangen ZAB responses of error responses:

• timestamp verzending
• sessie-id
• zorgaanbiedernaam
• timestamp ontvangst response
• ontvangen statuscode van ZAB
• ontvangen URA
• alle ontvangen appID's
• ontvangen error-codes

Authenticatie gebruiker:

• sessie-id
• timestamp redirect naar DigiD
• timestamp gebruiker terug van DigiD
• ontvangen statuscode van DigiD

Verzonden artefact resolve berichten en de bijbehorende geretourneerde artefact responses of error responses:

• timestamp verzending
• sessie-id
• timestamp ontvangst response
• status uit artefact response
• status van de ontvangen SAML-Assertion (duidt mogelijk op mis-use-case)
• ontvangen error-codes (duidt mogelijk op mis-use-case

Logging m.b.t. de MedMij User Interface

AOF.AS-I.ALI.300.v1

Getoonde toestemmingspagina's en verleende of geweigerde toestemmingen:

• timestamp tonen
• sessie-id
• timestamp ontvangst keuze
• resultaat (toestemming of weigering)

Logging m.b.t. de MedMij Token Interface

AOF.AS-I.ALI.400.v1

Ontvangen access token requests en de bijbehorende geretourneerde access token responses of error responses:

• timestamp ontvangst
• sessie-id
• een hash van de ontvangen authorization code (wel zodanig dat deze kan worden gebruikt om een token request te relateren aan een authorization request)
• timestamp retour
• de jti claim van het geretourneerde access token
• geretourneerde gegevensdienst-id's (in scope attribuut)
• geretourneerde HTTP statuscodes en error-codes

Logging m.b.t. de MedMij Introspection Interface (wordt uitgefaseerd met Resource Server v1)

AOF.AS-I.ALI.500.v1

Ontvangen introspection requests en de bijbehorende geretourneerde introspection responses of error responses:

• timestamp ontvangst
• sessie-id
• de jti claim van het access token
• timestamp retour
• status token (actief of niet)
• geretourneerde HTTP statuscodes en error-codes

Logging m.b.t. de AORTA Token Interface - MedMij Token Exchange

AOF.AS-I.ALI.600.v1

Ontvangen token exchange requests en de bijbehorende geretourneerde token exchange responses of error responses

• sessie-id
• Inhoud van het ontvangen request
  • timestamp
  • de jti claim van het subject_token
  • subject_token_type
• Inhoud van de geretourneerde response
  • timestamp
  • de jti claim van het geretourneerde AORTA access_token
  • token_type
  • geretourneerde HTTP statuscodes en error-codes

Logging m.b.t. de AORTA Token Interface - AORTA Token Exchange

AOF.AS-I.ALI.700.v1

Volgt in een latere versie van AoF.

MedMij Interfaces

AOF.AS-I.MMI.100.v1

De autorisatieserver biedt een aantal MedMij interfaces. De autorisatieserver ondersteunt hierbij de volgende MedMij use cases:

• UC Verzamelen;
• UC Delen.

MedMij User Interface

AOF.AS-I.MMI.200.v1

Zie MedMij User Interface.

MedMij Autorisatie Interface

AOF.AS-I.MMI.300.v1

De autorisatieserver biedt de Authorization interface, zoals gespecificeerd in de te ondersteunen releases van het MedMij afsprakenstelsel. 

MedMij Token Interface

AOF.AS-I.MMI.400.v1

De autorisatieserver biedt het Token interface, zoals gespecificeerd in de te ondersteunen releases van het MedMij afsprakenstelsel.

{}