1. Solis: Izveidot parakstīšanas identitāti (credential)

Parakstīšanas identitāte tiek izveidota pēc veiksmīgas lietotāja autentifikācijas un autorizācijas.
Procesa rezultātā tiek iegūts:

• piekļuves marķieris (access_token);
• parakstīšanas identifikators (credentialID).
   

Procesa pārskats

flowchart TD
A[PKCE sagatavošana]
B[PAR pieprasījums]
C[Lietotāja autentifikācija]
D[Autorizācijas kods]
E[Access Token + Credential ID]
 
A --> B
B --> C
C --> D
D --> E

PKCE sagatavošana

 
Pirms autorizācijas pieprasījuma nosūtīšanas jāģenerē PKCE parametri.
 
Tiek izveidots nejaušs code_verifier, no kura tiek aprēķināts code_challenge.
 
Parakstīšanas identitātes izveides laikā jāizmanto:

code_challenge = BASE64URL_NO_PADDING(SHA-256(ASCII(code_verifier)))
code_challenge_method=S256

Svarīgi! code_verifier jāsaglabā līdz autorizācijas koda apmaiņai pret marķieri (tokenu).
 Ja tas tiek pārrakstīts vai nesakrīt ar PAR pieprasījumāiizmantoto challenge, tokena galapunkts atgriež invalid_grant /
invalidCodeVerifier.

PAR pieprasījums

Izsaukums reģistrē serverī OAuth autorizācijas pieprasījumu jauna īstermiņa parakstīšanas
identitātes iegūšanai. Atbildē tiek saņemts request_uri, kuru izmanto pārlūka autorizācijā.
Parakstīšanas identitātes izveide tiek uzsākta ar Pushed Authorization Request (PAR).

Galapunkts (Endpoint)

POST {{csc_base_url}}/oauth2/pushed_authorize
Authorization: Basic BASE64(client_id:client_secret)
Content-Type: application/x-www-form-urlencoded
response_type=code
client_id={{client_id}}
redirect_uri={{redirect_uri}}
scope=credential
state={{oauth_state}}
signatureQualifier={{signature_qualifier}}
acr_values={{acr_values}}
code_challenge_method=S256
code_challenge={{code_challenge}}

Ieejas parametri

Atbastītās acr_values vērtības

Piezīme

Parametrs acr_values nosaka, kuras autentifikācijas plūsmas lietotājam tiks piedāvātas autorizācijas laikā. Var norādīt vienu vai abus atbalstītos autentifikācijas veidus.

Atbildes piemērs:

{
"request_uri": "urn:ietf:params:oauth:request_uri:5a56e939-12e9-43be-8d3a-10491841edc3",
"expires_in": 60
}

authorize_url veido šādi:

{{csc_base_url}}/oauth2/authorize
?client_id={{client_id}}
&request_uri=<URL-encoded request_uri>

Lietotāja autorizācija

authorize_url atver lietotāja pārlūkā, lai EIDAS platforma autentificētu lietotāju un apstiprinātu
credential izveidi. PAR pieprasījumā norādītais acr_values nosaka, kura autentifikācijas plūsma lietotājam tiek
piedāvāta. Ja norādītas abas pakalpojumam paredzētās plūsmas, lietotājs var izvēlēties eID
karti datorā vai eID Scan. Ja norādīta viena plūsma, autorizācijas serveris lietotāju novirza uz
konkrēto autentifikācijas scenāriju.

Callback parametri

Pēc veiksmīgas autorizācijas platforma novirza pārlūku uz redirect_uri ar callback parametriem.

Autorizācijas koda apmaiņa

Izsaukums apmaina pārlūka callback saņemto authorization_code un tam atbilstošo PKCE
code_verifier pret īslaicīgu Bearer tokenu un credentialID.
 

HTTP pieprasījums

POST {{csc_base_url}}/oauth2/token
Authorization: Basic BASE64(client_id:client_secret)
Content-Type: application/x-www-form-urlencoded
grant_type=authorization_code
client_id={{client_id}}
code={{authorization_code}}
redirect_uri={{redirect_uri}}
code_verifier={{code_verifier}}

 Ieejas parametri:

Atbildes piemērs:

{
"access_token": "<access_token>",
"token_type": "Bearer",
"expires_in": 120,
"authorization_details": [
{
"type": "sign_identity_registration",
"group_labels": [
"urn:csc:signatureQualifier:eu_eidas_qes"
]
}
],
"credentialID": "<credential_id>"
}

Atbildes parametri: