Integration eines O-Profil-Verfahrens

Der USP Identity Provider (IdP) ist auf Basis von Keycloak umgesetzt und unterstützt alle gängigen OpenID-Connect-(OIDC)-Client-Konfigurationen. Für jede Stage der anzubindenden Anwendung wird im USP ein eigener OIDC-Client eingerichtet. Im Zuge des Anmeldevorgangs prüft das USP, ob die angemeldete Person über die erforderlichen Berechtigungen für den jeweiligen Client verfügt.

Login über das O-Profil

Ablauf eines Logins

1. Die Benutzerin bzw. der Benutzer startet die Anmeldung, indem das Verfahren über den entsprechenden Link auf mein.usp.gv.at aufgerufen wird.
2. Die Anwendung erkennt, dass es sich um einen Login über das USP handelt und leitet die Benutzerin bzw. den Benutzer unter Angabe der Client‑ID und der gewünschten Redirect‑URI zum Authentifizierungs-Endpunkt des USP‑IdPs weiter.
3. Falls noch keine aktive Session besteht, erfolgt die Anmeldung beim USP. 
4. Anschließend wird die Benutzerin bzw. der Benutzer zur angegebenen Redirect‑URI der Anwendung zurückgeleitet, die den Authorization Code entgegennimmt.
5. Das Verfahren tauscht den Authorization Code gemeinsam mit dem Client‑Secret über den Backchannel gegen Identity‑, Access‑ und Refresh‑Tokens (JWT) beim USP‑IdP aus.

Benötigte Informationen

Logout über das O-Profil

Backchannel-Logout (Standard)

In der Regel wird die Abmeldung am USP als Backchannel-Logout durchgeführt. Der Ablauf ist stellt sich wie folgt dar:

1. Das Verfahren ruft den Logout-Endpunkt des USP‑IdPs mit dem Identity Token und der gewünschten Post‑Logout Redirect‑URI auf.
2. Der USP‑IdP beendet die Session der Benutzerin bzw. des Benutzers und sendet anschließend einen POST‑Request an den vom Verfahren bereitgestellten Backchannel‑Logout‑Endpunkt, der die Session‑ID und die User‑ID enthält.
3. Nachdem der USP-IdP alle betroffenen Clients mit aktiver Session informiert hat, wird der Benutzer auf die Post‑Logout Redirect‑URI weitergeleitet.

Sowohl die Backchannel-Logout-URL als auch die Post-Logout-Redirect-URI sind vom Verfahrenspartner bekanntzugeben.

Frontchannel-Logout (Fallback-Verfahren)

In Ausnahmefällen kann der Logout alternativ über den Frontchannel erfolgen. Der Ablauf stellt sich wie folgt dar:

1. Das Verfahren ruft den Logout-Endpunkt des USP‑IdPs erneut mit dem Identity Token und der gewünschten Post‑Logout Redirect‑URI auf.
2. Der USP‑IdP zeigt eine interne Seite an, die die Frontchannel‑Logout‑Seite des Verfahrens als iFrame einbindet.
3. Nachdem der USP-IdP alle betroffenen Clients mit aktiver Session informiert hat, wird die Benutzerin bzw. der Benutzer auf die Post‑Logout Redirect‑URI weitergeleitet.

Attribute im O-Profil

Alle Attribute werden als Claims in JSON Web Tokens (JWT) an Ihr Verfahren übermittelt.