1. Solis: Izveidot parakstīšanas identitāti (credential)

Parakstīšanas identitāte tiek izveidota pēc veiksmīgas lietotāja autentifikācijas un autorizācijas.
Procesa rezultātā tiek iegūts:

• piekļuves marķieris (access_token);
• parakstīšanas identifikators (credentialID).

Procesa pārskats

flowchart TD
A[PKCE sagatavošana]
B[PAR pieprasījums]
C[Lietotāja autentifikācija]
D[Autorizācijas kods]
E[Access Token + Credential ID]
 
A --> B
B --> C
C --> D
D --> E

PKCE sagatavošana

Pirms autorizācijas pieprasījuma nosūtīšanas jāģenerē PKCE parametri.
 
Tiek izveidots nejaušs code_verifier, no kura tiek aprēķināts code_challenge.
 
Parakstīšanas identitātes izveides laikā jāizmanto:

code_challenge = BASE64URL_NO_PADDING(SHA-256(ASCII(code_verifier)))
code_challenge_method=S256

Svarīgi! code_verifier jāsaglabā līdz autorizācijas koda apmaiņai pret marķieri (tokenu).
 Ja tas tiek pārrakstīts vai nesakrīt ar PAR pieprasījumā izmantoto challenge, tokena galapunkts atgriež invalid_grant /
invalidCodeVerifier.

PAR pieprasījums

Izsaukums reģistrē serverī OAuth autorizācijas pieprasījumu jauna īstermiņa parakstīšanas identitātes iegūšanai. Atbildē tiek saņemts request_uri, kuru izmanto pārlūka autorizācijā. Parakstīšanas identitātes izveide tiek uzsākta ar Iepriekš reģistrēts autorizācijas pieprasījum (Pushed Authorization Request jeb PAR).

Galapunkts (Endpoint)

POST {{csc_base_url}}/oauth2/pushed_authorize
Authorization: Basic BASE64(client_id:client_secret)
Content-Type: application/x-www-form-urlencoded
response_type=code
client_id={{client_id}}
redirect_uri={{redirect_uri}}
scope=credential
state={{oauth_state}}
signatureQualifier={{signature_qualifier}}
acr_values={{acr_values}}
code_challenge_method=S256
code_challenge={{code_challenge}}

Ieejas parametri

Atbastītās acr_values vērtības

Atbildes piemērs:

{
"request_uri": "urn:ietf:params:oauth:request_uri:5a56e939-12e9-43be-8d3a-10491841edc3",
"expires_in": 60
}

authorize_url veido šādi:

{{csc_base_url}}/oauth2/authorize
?client_id={{client_id}}
&request_uri=<URL-encoded request_uri>

Lietotāja autorizācija

authorize_url atver lietotāja pārlūkā, lai EIDAS platforma autentificētu lietotāju un apstiprinātu
credential izveidi.
PAR pieprasījumā norādītais acr_values nosaka, kura autentifikācijas plūsma lietotājam tiek
piedāvāta. Ja norādītas abas pakalpojumam paredzētās plūsmas, lietotājs var izvēlēties eID
karti datorā vai eID Scan. Ja norādīta viena plūsma, autorizācijas serveris lietotāju novirza uz
konkrēto autentifikācijas scenāriju.

Pāradresācijas (Callback) parametri

Pēc veiksmīgas autorizācijas platforma novirza pārlūku uz redirect_uri ar pāradresācijas parametriem.

Autorizācijas koda apmaiņa

Izsaukums apmaina pārlūka pāradresācijas (callback) saņemto authorization_code un tam atbilstošo PKCE
code_verifier pret īslaicīgu piekļuves marķieri (Bearer token) un credentialID.
 

HTTP pieprasījums

POST {{csc_base_url}}/oauth2/token
Authorization: Basic BASE64(client_id:client_secret)
Content-Type: application/x-www-form-urlencoded
grant_type=authorization_code
client_id={{client_id}}
code={{authorization_code}}
redirect_uri={{redirect_uri}}
code_verifier={{code_verifier}}

 Ieejas parametri:

Atbildes piemērs:

{
"access_token": "<access_token>",
"token_type": "Bearer",
"expires_in": 120,
"authorization_details": [
{
"type": "sign_identity_registration",
"group_labels": [
"urn:csc:signatureQualifier:eu_eidas_qes"
]
}
],
"credentialID": "<credential_id>"
}

Atbildes parametri: