Aanvraagmodule - Authenticatie via Single Sign-on (SSO)

Authenticatie via Vlaams Toegangsbeheer

Vanuit Mijn Burgerprofiel maken we gebruik van het Vlaams Toegangsbeheer om authenticatie te faciliteren. Deze component voorziet automatisch single sign-on functionaliteit zodat een burger zich niet telkens opnieuw moet aanmelden in verschillende applicaties. In het kader van de aanvraagmodule kan een formulier op twee manier geraadpleegd worden:

• Embedded in Mijn Burgerprofiel

• Stand-alone

De SSO-functionaliteit is gebonden aan deze beperkingen:

• een beperkte levensduur

• aanmelden moet in dezelfde browserinstantie

• geen garantie dat de gebruikerscontext bewaard blijft tussen de verschillende applicaties

• bij embed geïmpacteerd door third party cookie problematiek

Single Sign-on via token

Om een aantal beperkingen op te lossen bij de klassieke manier waarop single sign-on werkt, gebruiken we Token Exchange om een OAuth Access Token te generen die door de aanvraagmodule gebruikt kan worden.

Vereisten

• De aanvraagmodule moet een trust relatie hebben met Mijn Burgerprofiel Client-ID (zie Bijlage - Mijn Burgerprofiel Client-ID)

Implementatie

Standaard zal een aanvraagmodule gebruik maken van OpenId Connect (op basis van authorization code grant) in kader van geauthenticeerde formulieren. Hoewel dit geen probleem vormt voor een formulier dat in stand-alone modus getoond wordt kan dit problemen veroorzaken in embedded modus.

Om Single Sign-on vanuit Mijn Burgerprofiel naar een formulier via een aangesloten aanvraagmodule te garanderen maken we gebruik van Token Exchange. Op deze manier zal Mijn Burgerprofiel de beschikbare gebruikerscontext beschikbaar stellen via een OAuth Access Token specifiek gescoped voor de aanvraagmodule.

Gebruikerscontext doorgeven aan een aanvraagmodule

Om de gebruikerscontext door te geven aan een aanvraagmodule moet het OAuth Access Token - verkregen via de voorgaande Token Exchange - worden doorgegeven vanuit Mijn Burgerprofiel. Gezien de gevoeligheid van het OAuth Access Token moet dit altijd via een server-to-server operatie verlopen. De server-to-server operatie verloopt volgens onderstaande API specificatie en moet resulteren in een tijdelijk, éénmalig te gebruiken token.

Tot slot moet het tijdelijk token worden doorgegeven als query parameters via de formulier URL. Een aantal voorbeelden van dit type URL's:

• Voorbeelden:

  • https://formulier.vlaanderen.be/f6d35977-f45d-4710-befc-21e2812d83ea?token=<TEMP-TOKEN>

Bijlage - Mijn Burgerprofiel Client-ID