Versions Compared

Old Version 6

changes.mady.by.user Peter Flintholm

Saved on

compared with

New Version Current

changes.mady.by.user Helle Mørch

Saved on

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.

...

Alle klienter oprettes og vedligeholdes ved hjælp af OAuth 2.0 Dynamic Client Registration Protocol (se https://datatracker.ietf.org/doc/html/rfc7591), Adgangen til at kalde client registration endpoint er begrænset til NSP administrationen. Dette betyder at anvendere af NSP Keycloak som ønsker en klient oprettet eller modificeret skal oprette en Jira sag supportsag på som indeholder metadata som beskriver klienten der skal oprettes eller modificeres (link). Metadata vedhæftes som JSON til sagen. Generelt er strukturen og tilladte felter beskrevet i RFC7591. NSP Keycloak understøtter (og kræver) dog nogle custom felter. Nedenfor er alle relevante felter for klient metadata til NSP Keycloak beskrevet.

...

Eksempel på metadata for oprettelse af en systemklient:

{
  "token_endpoint_auth_method": "tls_client_auth",
  "grant_types": ["client_credentials"],
  "client_name": "Dev - EHMI Systemklient",
  "audience": "https://eds.ehmi.dk",
  "scope": "EDS system/AuditEvent.crs",
  "contacts": [
    "døgnsupport@korsbæk.dk",
    "+45 1234 5678"
  ],
  "tls_client_auth_subject_dn": "C=DK,2.5.4.97=#0c0e4e5452444b2d3936303234313430,O=Testorganisation nr. 96024140,SERIALNUMBER=UI:DK-O:G:7bd0d84a-c1f3-4650-a351-4235c482ebeb,CN=System 1",
  "ehmi:eer:device_id": "c4b8d3ea-b187-426b-be77-bffd9f593d84",
  "ehmi:org_context": [
    {"name": "Frederiksbjerg Lægehus","sor": "1216891000016007","gln": "5790000135912"},
    {"name": "Aarhus Sygehus","sor": "1216891000013002","gln": "5790000530906"}
  ]
}


Eksempel på metadata for oprettelse af en brugerklient:

{
  "token_endpoint_auth_method": "tls_client_auth",
  "grant_types": ["authorization_code","refresh_token"],
  "client_name": "Dev - EHMI Brugerklient",
  "audience": "https://eds.ehmi.dk",
  "scope": "EDS user/AuditEvent.rs",
  "contacts": [
    "døgnsupport@korsbæk.dk",
    "+45 1234 5678"
  ],
  "tls_client_auth_subject_dn": "C=DK,2.5.4.97=#0c0e4e5452444b2d3936303234313430,O=Testorganisation nr. 96024140,SERIALNUMBER=UI:DK-O:G:7bd0d84a-c1f3-4650-a351-4235c482ebeb,CN=System 1",
  "redirect_uris": ["https://ehmi-client.local:8443/login/oauth2/code/oauth-par"]
}

 

 

PAR og mTLS

 

Verifikation af tokens : Link til Access Handler og JTP-H

 

Top 3 fejl : mTLS fejl, illegal redirect, manglende scope

 

Sikkerheds profil

NSP Keycloak følger FAPI 2.0 (se https://openid.net/specs/fapi-security-profile-2_0-final.html) med yderligere indskrænkninger af profilen:

Token profil

NSP Keycloak udsteder tokens jf. “JWT Token Profile for Healthcare (JTP-H)”

Verifikation af tokens

Verifikation af tokens som udstedes af NSP Keycloak skal foretages ved hjælpe af NSP Access Handler (se NSP Access Handler - Leverancebeskrivelse)

Typiske fejl man kan opleve som anvender

Kald til token og PAR endpoint 

Client_id er ukendt

Hvis der angives en ukendt client_id returneres en HTTP fejl 401 med teksten "{"error":"invalid_request","error_description":"Authentication failed."}" 

Ikke tilladte scopes

Hvis der anmodes om scopes som ikke er tilladte returneres en HTTP fejl 400 med teksten "{"error":"invalid_request","error_description":"Invalid scopes: EDS user/AuditEvent.rs"}"

Forkert mTLS certifikat

Hvis der anvendes et forkert mTLS klientcertifikat eller hvis subject i metadata ikke er angivet 100% korrekt returneres en HTTP fejl 401 med teskten "{"error":"invalid_request","error_description":"Authentication failed."}" 

Ikke tilladt redirect_uri

Hvis der angives en redirect_uri som ikke er tilladt returneres en HTTP fejl 400 med tekesten "{"error":"invalid_request","error_description":"Invalid parameter: redirect_uri"}"Hvordan identificerer man som anvender disse fejl