Mijn Burgerprofiel - Single Sign-on (SSO)

Vanuit Mijn Burgerprofiel maken we gebruik van het Vlaams Toegangsbeheer om authenticatie te faciliteren. Deze component voorziet automatisch single sign-on functionaliteit zodat een burger zich niet telkens opnieuw moet aanmelden in verschillende applicaties.

Deze SSO-functionaliteit is gebonden aan deze beperkingen:

• een beperkte levensduur

• aanmelden moet in dezelfde browserinstantie

• geen garantie dat de gebruikerscontext bewaard blijft tussen de verschillende applicaties

Single Sign-on via token

Om een aantal beperkingen op te lossen bij de klassieke manier waarop single sign-on werkt, gebruiken we Token Exchange om een OAuth Access Token te generen die de Mijn Burgerprofiel-applicatie kan gebruiken om een sessie op te starten.

Vereisten

• De applicatie moet een trust aanvragen voor de Mijn Burgerprofiel Client-ID (zie Bijlage - Mijn Burgerprofiel Client-ID)

• De applicatie beschikt over ondersteuning voor Token Exchange grant type

• De applicatie beschikt over ondersteuning voor Client Credential grant type

Implementatie

Single Sign-on vanuit een applicatie begint door het verkrijgen van een OpenID Connect Access Token (OIDC Access Token) via de authorization code grant.

Zodra de applicatie het OIDC Access Token heeft, kan de uitwisseling via de Token Exchange beginnen om een OAuth Access Token te generen dat de Mijn Burgerprofiel-applicatie kan verwerken.

Token Exchange

Zodra de applicatie een OIDC Access Token heeft, kan er een OAuth Access Token worden aangevraagd via delegatie volgens de Token Exchange RFC. Dit betekent dat subject en actor token moeten meegegeven worden tijdens de Token Exchange.

POST /op/v1/token HTTP/1.1
Host: authenticatie-ti.vlaanderen.be
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:token-exchange
&audience=<MBP-CLIENT-ID>
&subject_token=<OIDC-ACCESS-TOKEN>
&subject_token_type=urn:ietf:params:oauth:token-type:access_token
&actor_token=<OIDC-ACCESS-TOKEN>
&actor_token_type=urn:ietf:params:oauth:token-type:access_token
&client_id=<APP-CLIENT-ID>
&client_secret=<APP-CLIENT-SECRET>

Na het succesvol uitvoeren van de Token Exchange zal de applicatie onderstaand antwoord verkrijgen.

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-cache, no-store

{
  "issued_token_type":"urn:ietf:params:oauth:token-type:access_token",
  "access_token": "ZC5-A1AkXUzXRKb71sAIHBl9F87F18anzEaQy6G6KFD",
  "expires_in": 3600,
  "scope": "profile rrn",
  "token_type": "Bearer"
}

Gebruikerscontext doorgeven aan Mijn Burgerprofiel

Om gebruikercontext door te geven aan Mijn Burgerprofiel dient men het OAuth Access Token verkregen via voorgaande Token Exchange operatie door te geven. Gezien de gevoeligheid van het OAuth Access Token dient deze steeds via een server-to-server operatie te verlopen.

Als laatste dient men vervolgens het tijdelijk token door te geven als query parameters van de Mijn Burgerprofiel URL. Onderstaand alvast enkele voorbeelden van zo een URLs:

• TNI:

  • https://burgerprofiel.tni-vlaanderen.be/?token=<MBP-TEMP-TOKEN>

  • https://burgerprofiel.tni-vlaanderen.be/meldingen?token=<MBP-TEMP-TOKEN>

• Productie:

  • https://www.burgerprofiel.be/?token=<MBP-TEMP-TOKEN>

  • https://www.burgerprofiel.be/meldingen?token=<MBP-TEMP-TOKEN>

Bijlage - Mijn Burgerprofiel Client-ID