Changelog AoF - 0.7.x

Bij interactie gericht aan Resource Server, client_id in AORTA access_token vullen met role-id van RB VnC in plaats van met appID=1.

Expliciet gemaakt dat toets op client_id in AORTA access_token bij Resource Server plaats moet vinden m.b.v. het AORTA Stelseltoken.

Slechts componenten/servers die direct interactie hebben met GBx-applicaties opnemen in AORTA Stelseltoken.

Voor componenten die slechts interacties hebben met andere componenten, en niet met GBx-applicaties, worden de URL's vooralsnog via configuratiedata gedeeld.

Onderdelen die niet worden gerealiseerd in AoF 0.7 verwijderd of gemarkeerd dat ze nog niet worden gebruikt:

• RB ACT/VWI Interface
• Taak Uitvoering Interface
• Taak Notificatie Interface

Aanpassingen n.a.v. aanscherping notified-pull voor BgZ.

• Slechts één consent_token per Task instance toestaan.
• Client_id van consent_token bevat altijd URA en nooit een appID
• appID toegevoegd aan alle query_strings in Task.input

AOF.TS.ACT.200

AOF.FP.NTFP.100

AOF.FP.SYNC.100

AOF.FP.NTFP.100

AOF.FP.ORG.100

AOF.FP.PAT.100

Waar van toepassing vulling van _vrb_client_id met role van RB MedMij-in.

Naast role name ook een role-id toegevoegd voor gebruik in tokens. Impact op vulling van diverse tokens.

Waar van toepassing, toevoeging van FQDN van Resource Client (GBx-applicatie) aan _vrb_client_id, zodat toetsing van match tussen TLS Client en _vrb_client_id door RB ZA-in kan worden uitgevoerd zonder opnieuw het APR te hoeven raadplegen.

Verheldering vulling van _vrb_client_id en client_id claims in AORTA access_token.

Aanpassing hasConformance response, zodat ook FQDN van een client wordt geretourneerd.

Resource Broker, Autorisatie Server ZA, Autorisatie Server MedMij, RB APR

AOF.TS.AST.300

AOF.TS.AAT.400

AOF.RB-I.ARI.500

AOF.TS.PAT.100

AOF.TS.ATT.100

AOF.TS.AMT.100

AOF.TS.AIT.100

AOF.TS.ACT.100

Schrijven van toegangslog door Resource Broker expliciet opgenomen in flow.

Wijziging van APR API: van getApplication naar meer functionele aanroepen.

Verhelderd dat Adressering Server vooralsnog APR-data ophaalt via ZORG-AB.

FQDN toegevoegd aan response van getRoutingInfo, zodat Autorisatie Server ZA deze in het access_token kan stoppen.

Verhelderd dat response objecten door de Adressering Server worden geretourneerd in de volgorde waarin de interactions werden ontvangen in het request.

AOF.ADS-I.RII.100

AOF.RB-I.ARI.500

AOF.RB-I.ARI.600

AOF.RB-I.RBL.100

AOF.RB-I.RBL.200

AOF.TS.AST.300

AOF.TS.AAT.400

Transformatie Server, Adressering Server

Destination attribuut hoeft niet altijd aanwezig te zijn in routing info request. Het gebruik ervan daarnaast ook verhelderd.

Verheldering omgang met versie van interacties.

Verheldering uitzondering "Ongeldig request".

AOF.ADS-I.RII.100

AOF.GS-I.HTR.100

AOF.RB-I.ARI.100

AOF.RB-I.ARI.300

AOF.RB-I.ARI.400

Aanpassing n.a.v. security-review:

Naar GBx-clients wordt slechts een enkelvoudige token exchange response geretourneerd. Vooralsnog niet mogelijk om een array van responses te ontvangen. Eerst ervaring opdoen met array bij interne verwerking van token responses (t.b.v. FHIR-operation) in resource broker.

Aanpassingen t.b.v. integratie RSv1 en RSv2 van LSP+.

Voorbeelden toegevoegd.

AOF.AS-I.MTE.200

AOF.ADS-I.RII.100

Hanteren role van interne componenten in Audience van AORTA SAML Assertions en in _vrb_aud claim van het AORTA access_token.

Idem. in audience van token exchange request.

AOF.TS.AST.300

AOF.TS.PAT.100

AOF.TS.ATT.100

AOF.TS.AMT.100

AOF.TS.AIT.100

AOF.TS.ACT.100

AOF.TS.AAT.400

AOF.AS-I.ATE.200

acr claim in AORTA access_token dient slechts informatie te geven over het authenticatieniveau van het subject, niet van de actor.

actor_token in AORTA token exchange request kan slechts een AORTA transactietoken zijn.

Resource Client, Autorisatie Server ZA, Resource Server

AOF.TS.AAT.400

AOF.AS-I.ATE.200

AOF.TS.PAT.200

AOF.TS.ATT.200

Aanpassingen t.b.v. Corona Vaccinatie connector:

• Toestaan COA nummer in transactietoken, PKIo authenticatietoken, inschrijftoken, consent_token en AORTA access_token.

• Toestaan hash van BSN in transactietoken, PKIo authenticatietoken, consent_token en AORTA access_token.

AOF.TS.PAT.200

AOF.TS.ATT.200

AOF.TS.AIT.100

AOF.TS.ACT.200

AOF.TS.AAT.400

Introductie van AORTA Stelseltoken om te borgen dat slechts wordt gecommuniceerd met vertrouwde servers in het AORTA netwerk.

Ook van toepassing bij ophalen van metadata/JWKS bij Autorisatie Server.

Resource Client, RB- componenten, AS-componenten, AORTA Stelselnode, Resource Server.

AOF.GS-I.GEN.100

Bevinding n.a.v. security review:

• subject_token hoort een verplicht attribuut te zijn in een token exchange request.

Bevinding n.a.v. security review:

• Audience attribuut in MedMij token exchange request moet conform RFC 8693 worden herhaald indien meerdere audiences worden gevraagd. Dus geen comma-separated attribuut.

Bevinding n.a.v. security review:

• Bij selectie juiste JWK, naast kid, ook kty en use attribuut gebruiken.

Toevoeging Adressering Server

AOF.RS-I.FRI.200

AOF.TS.AAT.400

TS Metadata Interface toegevoegd.

Protocol_in en protocol_out op generieke transformatie request interface aangevuld met een  transformation-id. De protocol-velden wijzen namelijk niet eenduidig naar één mogelijke transformatie. Response bevat nu ook interaction-id van output bericht.

Vulling contentVersion in response o.b.v. interaction-id in transformatieresponse bericht.

AOF.TS-I.OTR.100

AOF.TS-I.MDI.100

AOF.TS-I.FTR.100

AOF.TS-I.FOT.100

AOF.TS-I.TGP.100

AOF.TS-I.TGP.200

AOF.TS-I.FAP.100

AOF.TS.ATT.200

AOF.TS.PAT.200

AOF.TS.AAT.400

AOF.RS-I.FRI.100

AOF.AS-I.ATE.100

AOF.AS-I.ATE.200

AOF.TS.AAT.400

AOF.RS-I.FRI.200

LSP+

AOF.FP.DEV.100

AOF.FP.ORG.100

AOF.FP.PAT.100

Hergebruik middels UC extensions voor RB:

• UC extension: Inhoudelijke toetsing request
• UC extension: Toetsing tokens bij inkomend request
• UC extension: Toetsing van een intern RB-request
• UC extension: Toetsing scope van request
• UC extension: Toetsing request en contextCode
• UC extension: Adressering van request
• UC extension: Screening van response

Token controles voor AS ZA ondergebracht in UC Autorisatie Server ZA.

Task.owner toegevoegd aan Task profiel voor notified-pull.

Task kan meerdere consent_tokens bevatten.

Organization kan een afdeling representeren.

Vulling van NotOnOrAfter in consent_token laten bepalen door zorgtoepassing.

Consent_token mag ook worden getekend m.b.v. servercertificaat (vereenvoudigd gebruik UZI-pas).

BSN in SAML tokens opnemen in urn:oid formaat.

FHIR version en, waar van toepassing "broker", toegevoegd aan base-URL voor:

• AORTA CapabilityStatement Interface
• AORTA FHIR Resource Interface
• AORTA FHIR Resource Broker Interface
• Verzending & Consolidatie Interface
• Actualiteitsregister Interface

Notificatie kan in de HTTP body ook een Task instance bevatten.

RB ACT includeert Task in notificatie en retourneert foutmelding bij een FHIR-read op Task.

Slechts toestemming toetsen wanneer gegevens worden opgevraagd.

Aanpassingen m.b.t. toetsing autorisatie voor interne componenten.

Toetsing op verplichte aanwezigheid inschrijftoken en mandaattoken, bij tekening met servercertificaat, verwijderd, zodat ook interacties kunnen worden verwerkt op vertrouwensniveau laag. Geldt voor transactietoken en consent_token.

Aanpassingen m.b.t. toetsing autorisatie voor interne componenten.

Aanpassing n.a.v. security review:

• Cache-control header gespecificeerd voor metadata en jwks responses

Op te leveren logging aan CCDA aangepast n.a.v. security review:

• jti claim van subject_token i.p.v. gehele subject_token
• hash van authorization code i.p.v. code zelf

Metadata response voor AS ZA aangepast n.a.v. security review:

• authorization_endpoint verwijderd

Aanpassing n.a.v. security review:

• Bij meesturen van tokens het type aanduiden middels Bearer (dus conform standaard) en niet langer als SAML2-Bearer of JWT-Bearer. Het type kan worden bepaald door de samenstelling van de ontvangen string.
• Cache-control headers verwijderd op interface van RB VnC. Zijn hier overbodig, omdat gebruik wordt gemaakt van de standaard Authorization header.

Aanpassing n.a.v. security review:

• CRL-controle specifiek gemaakt voor type ontvangen token.

UC Resource Server, UC Workflow, UC Autorisatie Server MedMij, UC Autorisatie Server ZA, UC Resource Broker MedMij-in, UC Resource Broker ZA-in, UC Resource Broker VnC, UC Resource Broker ACT, UC Transformatie Server

Aanpassing n.a.v. security review:

• Logging in use case zodanig beschreven dat altijd alle requests en responses worden gelogd.

Aanpassing MAP regel: gebruiksinteractie i.p.v. operatie.

Aanpassing toets consent_token.