Token specificaties - 0.7.x

jti

jti bevat een globaal uniek ID van het betreffende token. Aanbevolen wordt om een UUID te gebruiken.

iss bevat de HTTPS-URL van de autorisatieserver die het token heeft uitgegeven. Op deze manier kan automatisch de juiste metadata, met daarin de juiste endpoints, worden opgehaald.

sub

Formaat: "<id-systeem>|<id>"

Het ID van de gebruiker, of van een systeem, die uitgifte van dit access_token legitimeert. De claim kan bevatten:

• Het BSN van de persoon die een interactie initieert m.b.t. haar eigen gegevens, of die een ander persoon hiertoe heeft gemachtigd - sub bevat dan de string "http://fhir.nl/fhir/NamingSystem/bsn|<bsn>"
• Het UZI-nummer van een zorgverlener - sub bevat dan de string "http://fhir.nl/fhir/NamingSystem/uzi-nr-pers|<UZI-nummer>"
• Het appID van het systeem (indien het request zonder tussenkomst van een gebruiker is ingestuurd) - sub bevat dan de string "http://fhir.nl/fhir/NamingSystem/aorta-app-id|<app-id>"

Formaat: "<codesysteem>|<rolcode>"

De rolcode van de gebruiker die uitgifte van dit access_token legitimeert. De claim kan bevatten:

• De rolcode die hoort bij een persoon, ofwel "http://fhir.nl/fhir/NamingSystem/aorta-rolcode|P"
• De UZI-rolcode van een zorgverlener, ofwel "http://fhir.nl/fhir/NamingSystem/uzi-rolcode|<UZI-rolcode>"

Verplicht indien de sub claim is gevuld met een ID van een persoon.

act.sub

Formaat: "<id-systeem>|<id>"

Het ID van de gebruiker of van het systeem die handelt namens de persoon, die is opgenomen in de sub claim. De claim kan bevatten:

• Het BSN van een gemachtigd persoon die gegevens van een ander persoon opvraagt - sub bevat dan de string "http://fhir.nl/fhir/NamingSystem/bsn|<bsn>"
• Het UZI-nummer van een zorgverlener of van een medewerker van een zorginstelling - sub bevat dan de string "http://fhir.nl/fhir/NamingSystem/uzi-nr-pers|<UZI-nummer>"
• Het appID van het systeem (indien het request zonder tussenkomst van een gebruiker is ingestuurd) - sub bevat dan de string "http://fhir.nl/fhir/NamingSystem/aorta-app-id|<app-id>"

De Authentication Context Class Reference. Geeft informatie over het niveau waarop de sub van het token is geauthenticeerd. Mogelijke waarden, zoals gespecificeerd binnen SAML zijn:

• "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport" (bijvoorbeeld DigiD-basis)
• "urn:oasis:names:tc:SAML:2.0:ac:classes:MobileTwoFactorContract" (bijvoorbeeld DigiD-midden)
• "urn:oasis:names:tc:SAML:2.0:ac:classes:Smartcard" (bijvoorbeeld DigiD-substantieel)
• "urn:oasis:names:tc:SAML:2.0:ac:classes:SmartcardPKI" (bijvoorbeeld UZI-pas of DigiD-hoog)
• "urn:oasis:names:tc:SAML:2.0:ac:classes:X509" (servercertificaat)

Informatie over op welke grondslag of grondslagen dit token is gebaseerd. Het betreft een door spatie gescheiden set van strings. Mogelijk waarden:

• "MAP" - het Medisch Autorisatie Protocol is toegepast.
• "TR"- toestemming van patiënt is vastgelegd in een toegelaten toestemmingsregister.
• "MedMij" - het token is uitgeven n.a.v. een conform MedMij afgegeven toestemmingsverklaring.
• "BRON" - toestemming is, door de patiënt of diens vertegenwoordiger, vastgelegd bij de bronhoudende zorgaanbieder zelf, en is daarom nog niet getoetst.
• "CNST" - toestemming mag door de bronhoudende zorgaanbieder worden verondersteld te zijn verkregen, bijvoorbeeld t.b.v. een verwijzing van de patiënt - deze is vastgelegd in een consent_token, en het juiste gebruik van dit token voor het ontvangen request is reeds getoetst.
• "LOG" - specifieke autorisatieregels m.b.t. de toegangslog zijn toegepast.
• "ACT/VWI" - specifieke autorisatieregels m.b.t. toegang tot ACT/VWI-entries zijn toegepast.

Een voorbeeld van een attest claim is "MAP TR", waarmee dan wordt aangeduid dat het MAP is getoetst en dat toestemming is vastgelegd en getoetst in een toegelaten toestemmingsregister.

nbf

Wordt gevuld met de expiration time van het MedMij access_token of met de expiration time van het AORTA transactietoken naar aanleiding waarvan dit AORTA access_token wordt uitgegeven.

aud

Indien het token is bedoeld om een FHIR-interactie te initiëren bij een GBx-server:

De aud van het token bevat het appID en de FQDN van de GBx-applicatie, die deze interactie gaat ontvangen. Formaat: ["<appID>", "<FQDN>"].

Een appID heeft het formaat: "urn:oid:2.16.840.1.113883.2.4.6.6.<applicatie-id>". Aan iedere GBx-applicatie die is aangesloten op AORTA wordt een eigen <applicatie-id> toegekend.

Indien het token is bedoeld om een FHIR-interactie te initiëren bij een Resource Broker component:

De aud bevat de "<role van betreffende Resource Broker component>".

Formaat van een role: "urn:oid:2.16.840.1.113883.2.4.3.111.8.<role-id>". Roles zijn gespecificeerd in het AORTA Stelseltoken.

Het ID van de patiënt, d.w.z. de persoon waarop de gegevens, die worden uitgewisseld, betrekking hebben.

Verplicht gevuld bij patiëntgebonden interacties.

Formaat (één van de volgende):

• "urn:oid:2.16.840.1.113883.2.4.6.3.<BSN>" OF "http://fhir.nl/fhir/NamingSystem/bsn|<bsn>"

• "urn:oid:2.16.840.1.113883.2.4.3.111.4.<Hash van BSN>"

• "urn:oid:2.16.840.1.113883.2.4.3.111.6.<COA nummer>"

Dit attribuut bevat informatie over de partij die als resource client mag optreden en daarvoor dit token mag  gebruiken.

Indien een interactie, door RB VnC wordt geïnitieerd bij een Resource Server (GBZ-applicatie):

client_id bevat de role van RB VnC, zoals gespecificeerd in het AORTA Stelseltoken.

Indien een interactie, door een Resource Client (GBx-applicatie) via RB ZA-in wordt geïnitieerd bij een Resource Broker component (bijv. RB ACT):

client_id bevat de role van RB ZA-in, zoals gespecificeerd in het AORTA Stelseltoken.

Formaat van een role: "urn:oid:2.16.840.1.113883.2.4.3.111.8.<role-id>". Roles zijn gespecificeerd in het AORTA Stelseltoken.

_vrb

De _vrb claim bevat, in een aantal subclaims, VZVZ Resource Broker specifieke informatie over de afhandeling van interacties. Een resource server (GBZ-applicatie) mag deze claim desgewenst negeren.

Deze claim is slechts aanwezig wanneer een interactie, via RB VnC, wordt geïnitieerd bij een resource server.

Formaat: ["<role>", "<role>"]

De role van alle Resource Broker componenten, die dit token in de keten tussen Resource Client en de uiteindelijke bestemming, mogen verwerken. 

Wanneer de uiteindelijke bestemming een Resource Broker component is, dan wordt deze component zelf niet opgenomen in de _vrb_aud claim, maar in de aud claim.

Wanneer een interactie door RB VnC wordt geïnitieerd bij een resource server (GBZ-applicatie), dan bevat de _vrb_aud claim de role van RB ZA-in en die van RB VnC.

Wanneer een interactie door RB ZA-in wordt geïnitieerd bij een andere Resource Broker component (bijv. RB ACT) dan bevat de _vrb_aud claim het role van de Resource Broker ZA-in component.

Formaat van een role: "urn:oid:2.16.840.1.113883.2.4.3.111.8.<role-id>". Roles zijn gespecificeerd in het AORTA Stelseltoken.

Indien een interactie, door een Resource Client (GBx-applicatie) via RB ZA-in en RB VnC wordt geïnitieerd bij een Resource Server (GBZ-applicatie):

_vrb_client_id bevat de role van RB ZA-in en de FQDN + appID van de Resource Client. Formaat: ["<role>", "<appID>", "<FQDN>"].

Indien een interactie, door een Resource Client (GBx-applicatie) via RB ZA-in wordt geïnitieerd bij een Resource Broker component (bijv. RB ACT):

_vrb_client_id bevat de FQDN + appID van de Resource Client. Formaat: ["<appID>", "<FQDN>"].

Indien een interactie, door RB MedMij-in, via RB VnC wordt geïnitieerd bij een Resource Server (GBZ-applicatie):

_vrb_client_id bevat de role van RB MedMij-in.

Formaat van een appID: "urn:oid:2.16.840.1.113883.2.4.6.6.<applicatie-id>".

Formaat van een role: "urn:oid:2.16.840.1.113883.2.4.3.111.8.<role-id>". Roles zijn gespecificeerd in het AORTA Stelseltoken.

De versie van de tokendefinitie die wordt gehanteerd.

patient/Patient.read

patient/Practitioner.read

patient/Organization.read

patient/Observation.read

patient/AllergyIntolerance.read

patient/MedicationRequest.read

patient/Composition.read

patient/Encounter.read

patient/EpisodeOfCare.read

patient/DocumentManifest.write

of

patient/DocumentManifest.read

of 

patient$delete-dossier

patient/Task.write